Patchday-Nachlese Oktober 2026: Remote Desktop ist wieder dran

Von /

Der Patchday ist keine 24 Stunden alt, da steht das erste bestätigte Problem im Release-Health-Dashboard. Microsoft hat laut BleepingComputer am 13. Oktober eingeräumt, dass Standardbenutzer nach den jüngsten Windows-Updates keine Remote-Desktop-Verbindung mehr zu bestimmten Windows-11-Rechnern aufbauen können. Die Verbindung bricht mit dem Fehler 0xC000000D ab, die Meldung lautet sinngemäß, das übergebene Token sei ungültig. Betroffen sind Hosts mit Windows 11 24H2, 25H2 und 26H2, auf denen das Vorschauupdate KB5124010 vom 22. September oder ein späteres Update installiert ist und die Sicherheitsfunktion „Administrator protection” aktiv ist.

Das Problem ist nicht die Lücke, sondern die Kombination. Administrator protection ist standardmäßig aus. Wer die Funktion nie angefasst hat, bekommt den Fehler nicht zu sehen. Wer aber Microsofts Sicherheits-Baselines nutzt, hat sie laut BleepingComputer mit dem Oktober-Sicherheitsupdate automatisch eingeschaltet bekommen. Und genau in dieser Konstellation, Baseline plus KB5124010 oder neuer, fällt der Remote-Desktop-Zugang für alle, die keine lokalen Administratoren sind.

Ich habe im September an dieser Stelle über Microsofts anhaltend schlechte Update-Qualität geschrieben. Dieser Fall ist eine Fortsetzung, und er ist ärgerlicher als die meisten, weil hier nicht ein Treiber oder ein Codec kaputtgegangen ist, sondern Microsofts eigene Sicherheitsempfehlung mit Microsofts eigenem Update kollidiert.

Was Administrator protection eigentlich tun soll

Administrator protection ist Microsofts Versuch, das alte Problem der Benutzerkontensteuerung zu lösen. Bisher bekam ein Mitglied der lokalen Administratorengruppe bei der Anmeldung ein geteiltes Token: ein Standard-Token für den Alltag und ein Admin-Token, das bei Bedarf über den UAC-Dialog aktiviert wurde. Beide Tokens hingen am selben Profil, und Schadsoftware, die im Benutzerkontext lief, konnte sich auf verschiedenen Wegen an das Admin-Token heranarbeiten.

Laut Microsofts Dokumentation ändert Administrator protection diese Architektur grundlegend. Der Benutzer bleibt dauerhaft ohne Rechte. Braucht ein Vorgang Administratorrechte, muss er sich über Windows Hello oder Passwort ausdrücklich dafür authentifizieren. Windows erzeugt dann über ein verstecktes, systemverwaltetes und profilgetrenntes Konto ein isoliertes Admin-Token, gibt es nur dem anfragenden Prozess und vernichtet es, sobald der Prozess endet. Es gibt keine automatischen Elevations mehr, und das Admin-Profil ist vom normalen Profil getrennt.

Das ist, ohne Ironie, eine gute Idee. Just-in-time-Elevation mit Profiltrennung ist das, was Sicherheitsleute seit Jahren fordern. Die Funktion lief seit Oktober 2025 als Vorschau in Windows 11 24H2 und 25H2 und ist laut Learn seit dem August-Vorschauupdate KB5120998 allgemein verfügbar, abgeschaltet per Default, aktivierbar über Intune, CSP, Gruppenrichtlinie oder die Windows-Sicherheit-App.

Microsoft listet in derselben Dokumentation auch, wo die Funktion ausdrücklich nicht hingehört: auf Windows 365 Cloud PCs, auf Azure-Virtual-Desktop-Sitzungshosts, auf Windows Server, auf Geräten mit Hyper-V, bei Roaming-Profilen und bei Anwendungen, die Dateien über Profilgrenzen hinweg teilen. Remote-Anmeldungen auf Cloud PCs und AVD-Hosts werden nicht unterstützt. Für klassisches Remote Desktop auf einem Windows-11-Client steht dort nichts. Das wäre der Moment gewesen, in dem Microsoft die Kombination hätte testen müssen.

Wie der Fehler zustande kommt

Der Fehlercode 0xC000000D entspricht dem NT-Status STATUS_INVALID_PARAMETER: Eine Funktion hat ein Argument oder eine Token-Struktur bekommen, die sie nicht validieren konnte. Microsoft hat die Ursache nicht im Detail erklärt. Nach der Architekturbeschreibung liegt der Schluss aber nahe, dass die Anmeldung über Remote Desktop ein Token in der alten Form erwartet, das es unter Administrator protection nicht mehr gibt, und die Sitzung deshalb beim Aufbau abgewiesen wird.

Bemerkenswert ist, wen es trifft: Standardbenutzer, nicht Administratoren. Das ist die Gruppe, die von Administrator protection eigentlich unberührt bleiben sollte, weil sie nie ein Admin-Token hatte. Ein Mitarbeiter, der sich per RDP auf seinen Arbeitsplatzrechner im Büro schaltet, hat mit der neuen Elevation-Logik nichts zu tun. Trotzdem ist er derjenige, der ausgesperrt wird.

Die Zeitlinie macht den Fall besonders unglücklich. KB5124010 ist vom 22. September. Die Oktober-Sicherheitsupdates vom 13. Oktober enthalten denselben Code, weil Vorschauupdates in den nächsten Patchday einfließen. Gleichzeitig schalten die Oktober-Baselines Administrator protection ein. Wer also Baselines nutzt und den Patchday pünktlich eingespielt hat, bekommt beide Hälften des Problems am selben Tag. Microsoft hat das Known Issue laut WindowsForum am 13. Oktober eröffnet und noch am selben Vormittag auf „Mitigated” gesetzt, also auf entschärft, nicht auf behoben.

Der Workaround und was er kostet

Eine Korrektur gibt es nicht. Microsoft arbeitet laut BleepingComputer an einem Fix für ein künftiges Update, ohne Termin. Bis dahin lautet die Empfehlung: Administrator protection auf den betroffenen Remote-Desktop-Hosts vorübergehend abschalten. Microsoft rät ausdrücklich davon ab, KB5124010 oder das Oktober-Update zu deinstallieren, weil damit auch die Sicherheitsfixes des Patchdays und mehrere Fehlerbehebungen aus dem Vorschauupdate verschwinden würden, darunter die Korrektur für die im September kaputtgegangene Vertrauensstellung zur Domäne.

Der Schalter sitzt in der Richtlinie „Benutzerkontensteuerung: Typ des Administratorgenehmigungsmodus konfigurieren” unter Computerkonfiguration, Windows-Einstellungen, Sicherheitseinstellungen, Lokale Richtlinien, Sicherheitsoptionen. Dort von „Administratorgenehmigungsmodus mit Administrator protection” zurück auf den Legacy-Modus. In Intune heißt die Einstellung im Settings Catalog „User Account Control Type Of Admin Approval Mode” unter „Local Policies Security Options”, per CSP ist es UserAccountControl_TypeOfAdminApprovalMode. In allen Fällen braucht es einen Neustart, Microsoft betont das in der Dokumentation ausdrücklich.

Der Preis ist offensichtlich. Wer die Baseline übernommen hat, hat damit eine Sicherheitsverbesserung eingeschaltet, die er jetzt auf einem Teil der Flotte wieder zurücknehmen muss. Und wer nicht sauber arbeitet, nimmt sie gleich überall zurück, weil das einfacher ist als eine eigene Richtlinie nur für die RDP-Hosts. Ich halte das für die eigentliche Gefahr an diesem Fall: nicht die ausgesperrten Benutzer, sondern die Workarounds, die in drei Monaten niemand mehr zurückbaut.

Die Gegenposition: Baselines sind keine Pflicht

Fairerweise: Microsoft hat Administrator protection nicht heimlich auf alle Geräte geschoben. Die Funktion ist auf einer normalen Installation aus und bleibt aus. Wer sie über die Baseline bekommen hat, hat sich für die Baseline entschieden, und Microsoft sagt seit Jahren, dass Baselines vor dem Ausrollen in der eigenen Umgebung getestet werden müssen. Man kann argumentieren, dass genau das hier passiert ist: Eine Organisation testet die neue Baseline, stellt den RDP-Fehler fest, nimmt die Einstellung für ihre Hosts heraus, fertig. Das ist der vorgesehene Prozess.

Das Argument trägt, aber nur halb. Eine Baseline ist Microsofts eigene Empfehlung, was sicher ist. Wenn diese Empfehlung mit Microsofts eigenem Vorschauupdate kollidiert, das drei Wochen vorher erschienen ist, dann hat niemand bei Microsoft die beiden Dinge zusammen getestet. Und das Vorschauupdate heißt Vorschau, weil es genau diese Fehler vorher finden soll. KB5124010 war drei Wochen lang in der Fläche, bevor es Teil des Pflichtupdates wurde. Das Problem ist erst aufgefallen, als die Baseline den Schalter umlegte. Vorschau und Baseline sind bei Microsoft offenbar zwei Teams, die nicht miteinander reden.

Warum das kein Einzelfall ist

Remote Desktop ist für Microsoft seit anderthalb Jahren ein wunder Punkt. Im März 2025 musste ein Fehler per Known Issue Rollback entschärft werden, der RDP- und RDS-Verbindungen nach den Januar-Updates abbrechen ließ. Im September 2026 brachte das Sicherheitsupdate KB5124008 laut Microsofts Release-Health-Seite Remote Desktop Services auf Windows Server zum Stillstand: Verbindungen brachen nach wenigen Minuten ab, Server hingen bei „Bitte warten Sie auf die Remotedesktopkonfiguration”, dazu reagierten MMC, der RDS-Lizenzierungsdiagnostiker und der Explorer nicht mehr. Microsoft brauchte ein Out-of-Band-Update (KB5129195) am 14. September, um das zu reparieren. Derselbe Patchday brachte eine verlorene Vertrauensstellung zur Domäne für Credential-Guard-geschützte Computerkonten, USB-Audio-Ausfälle, verschwundene Plan9-Freigaben in Hyper-V-Linux-VMs und schwarze Bildschirme nach der Anmeldung auf AVD-Hosts. Der AC-3-Codec-Fehler aus KB5124010 steht seit dem 2. Oktober als „Confirmed” ohne Lösung im Dashboard.

Das Muster ist immer dasselbe: Microsoft schiebt Sicherheitsänderungen mit tieferen Eingriffen ins System, Machine Identity Isolation, Administrator protection, Secure-Boot-Zertifikate, und die Nebenwirkungen zeigen sich erst im Betrieb. Ich bezweifle nicht, dass diese Änderungen nötig sind. Ich bezweifle, dass monatliche Pakete mit 1.400 Schwachstellen und gleichzeitigen Architekturänderungen noch so getestet werden, wie es früher der Fall war. Die Zero Day Initiative hat beim Oktober-Patchday angemerkt, dass die Zahl der Lücken schneller wächst als die der tatsächlichen Angriffe. Für die Update-Qualität gilt das Umgekehrte: Die Zahl der Known Issues wächst schneller als die der Lösungen.

Fazit

Wer Microsofts Sicherheits-Baselines nutzt und Windows-11-Rechner als Remote-Desktop-Hosts für Standardbenutzer betreibt, muss jetzt handeln. Nicht durch Deinstallation des Oktober-Updates, sondern durch eine eigene, eng begrenzte Richtlinie, die Administrator protection nur auf diesen Hosts auf den Legacy-Modus zurücksetzt. Diese Richtlinie gehört mit Datum und Grund dokumentiert, damit sie zurückgebaut wird, sobald Microsoft den Fix liefert. Wer Baselines nicht nutzt und die Funktion nie eingeschaltet hat, ist nicht betroffen und sollte sie auch jetzt nicht einschalten, bis die Lösung da ist.

Und Microsoft? Vorschauupdates und Baselines müssen zusammen getestet werden, bevor beide im selben Monat auf dieselben Geräte treffen. Sonst wird aus jedem „secure by default” ein „locked out by default”.

Quellen:

Nach oben scrollen