Windows November-Update: Aktivierung und Druck gestört – Grams IT

Seit dem Patchday vom 10. November 2026 hat Microsoft beim Windows November-Update zwei weitere Fehler eingeräumt. Aktivierungs- und Lizenzierungsbefehle über slmgr brechen mit Fehler 0x80041008 ab, und bestimmte Dokumente lassen sich nicht mehr drucken. Dazu kommen die Installationsabbrüche bei KB5132061 und die offenen SQL-Server-Verbindungen, über die ich gestern schon geschrieben habe.

Ich habe die Meldungen von BleepingComputer und Borns IT- und Windows-Blog gegen Microsofts eigene Dokumentation gelegt. Ergebnis vorweg: Der Aktivierungsfehler steht schwarz auf weiß in den öffentlichen KB-Artikeln. Den Druckfehler hat Microsoft bisher nur im Microsoft-365-Admin-Center bestätigt, auf den öffentlichen Seiten taucht er (Stand Freitagnachmittag) nicht auf.

Fehler 0x80041008: slmgr-Befehle scheitern

Microsoft beschreibt das Problem im Known-Issues-Abschnitt von KB5131080 für Windows Server 2025 (Build 26100.33822) und gleichlautend in KB5131090 für Windows Server 2022 (Build 20348.5870). Nach dem Update schlagen einige slmgr-Befehle mit „0x80041008, Invalid parameter (SWbemObjectEx)“ fehl. Laut Änderungsprotokoll von KB5131080 hat Microsoft den Eintrag am 11. November ergänzt, einen Tag nach dem Patchday. Ausdrücklich genannt werden zwei Befehle:

slmgr.vbs /skms-domain <domain>
slmgr.vbs /ipk <key>

Der erste legt laut Microsoft-Learn-Dokumentation zu slmgr die DNS-Domäne fest, in der der Client nach KMS-SRV-Einträgen sucht. Der zweite installiert einen Product Key. Beide gehören zum Standardwerkzeug, wenn Systeme ausgerollt, geklont oder umgeschlüsselt werden.

Laut BleepingComputer führt Microsoft das Problem im Release-Health-Portal unter WI1549486 und listet als betroffen Windows 10 21H2 und 22H2, Windows 11 23H2 sowie Windows Server 2019, 2022 und 2025. Selbst prüfen konnte ich die KB-Seiten für Server 2022 und 2025. Bei den Seiten für Windows 10 und Server 2019 kam ich nicht bis zum Known-Issues-Abschnitt.

Wer betroffen ist und wer nicht

Die Entwarnung zuerst, weil sie stimmt: Bereits aktivierte Geräte bleiben aktiviert. KMS-aktivierte Geräte bleiben nach Microsofts Angabe nach erfolgreicher Aktivierung in der Regel bis zu 180 Tage aktiv. Wer den KMS-Clientschlüssel schon im Image hat und slmgr nicht für weitere Konfiguration braucht, ist laut KB5131090 voraussichtlich nicht betroffen.

Getroffen werden vor allem Organisationen, die Aktivierung und Lizenzierung per Kommandozeile oder Automatisierung erledigen. Das sind genau die Umgebungen, in denen niemand mehr von Hand aktiviert: Deployment-Tasksequenzen, Image-Pipelines, Skripte für den Wechsel von MAK auf KMS. In Borns Kommentarspalte berichten Leser von Problemen mit Windows Server 2022 unter Citrix MCS beim Klonen aus einem Master-Image. Das sind Leserberichte, keine Microsoft-Angabe, aber sie passen ins Bild.

Was Microsoft als Lösung anbietet

Wenig. Eine Behebung soll laut KB5131080 „in den kommenden Tagen“ kommen, ein Datum gibt es nicht. Wer sofort eine Lösung braucht, soll sich an den Microsoft-Support für Unternehmen wenden, dort gibt es einen Workaround. Welcher das ist, schreibt Microsoft nicht öffentlich.

Born spricht von einem Out-of-Band-Update. In den KB-Artikeln steht das für den Aktivierungsfehler so nicht, dort heißt es nur, die Dokumentation werde aktualisiert, sobald die Lösung verfügbar ist. Für das SQL-Server-Problem kündigt Microsoft dagegen ausdrücklich ein Out-of-Band-Update an. Ob beide Fehler im selben Paket landen, ist offen.

Druckprobleme nach dem November-Update

Der zweite Fehler ist subtiler. Laut BleepingComputer warnt Microsoft unter WI1549472, dass der Druck von Dokumenten mit Bildern fehlschlagen kann, die bei der gewählten Druckauflösung mit Höhe oder Breite null gerendert werden. Microsofts Formulierung, zitiert von BleepingComputer: „images rendered with a height or width value of zero“.

Solche Bilder sieht man nicht, aber sie sind da. Microsoft nennt unsichtbare Wasserzeichen, Layout-Anker und Generatoren, die Bildobjekte ohne sichtbare Grafik einfügen. Beobachtet wurde das Problem vor allem bei Word-Dokumenten, die über GDI gedruckt werden, also über die klassische Windows-Grafikschnittstelle. Andere Anwendungen können ebenfalls betroffen sein.

Betroffene Versionen

Born hat die Release-Health-Einträge aus dem Admin-Center aufgelistet. Danach betrifft der Druckfehler praktisch alles, was noch Updates bekommt:

System	Release-Health-ID	Auslösendes Update
Windows 11 26H2, 25H2, 24H2	WI1549472 bis WI1549474	KB5132061
Windows 11 26H1	WI1549475	KB5132059
Windows 11 23H2	WI1549476	KB5131087
Windows 10 22H2 und 21H2	WI1549477, WI1549478	KB5131096
Windows Server 2025	WI1549479	KB5131080
Windows Server 2022	WI1549480	KB5131090
Windows Server 2019 / LTSC 2019	WI1549481	KB5131085
Windows Server 2016 / LTSC 2016	WI1549482	KB5131291

Die Tabelle stammt von Born, nicht direkt von Microsoft. Die WI-Seiten sind nur mit einem berechtigten Admin-Konto im Microsoft-365-Admin-Center erreichbar, ich konnte sie nicht öffnen. Auf den öffentlichen KB-Seiten für KB5132061, KB5131090 und KB5131080 steht der Druckfehler bislang nicht unter „Known issues“. Bei KB5131080 sind dort nur der Aktivierungsfehler und das WSUS-Thema aufgeführt, und die öffentliche Release-Health-Seite für Windows Server 2025 führt den Druckfehler ebenfalls nicht.

Einen Workaround nennt Microsoft nicht, einen Termin für die Behebung auch nicht. Ein Leser bei Born berichtet, dass auf seinem Windows Server 2019 mit freigegebenem Druckspooler und Kyocera-Treiber Druckaufträge nach dem Update verschwanden und ein Neustart half. Das ist eine Einzelmeldung, ob sie mit dem bestätigten Fehler zusammenhängt, ist unklar.

Fairerweise: KB5132061 und KB5131080 beheben auch ein Druckproblem. Seit dem Oktober-Update konnte das Hinzufügen eines im Active Directory veröffentlichten Druckers über die Einstellungen mit Fehler 87 scheitern. Das ist mit dem November-Update repariert.

Installationsfehler 0x80070306, 0x800f0989 und 0x800f0993

Der Vollständigkeit halber: Auf Windows 11 26H2 und 25H2 sowie 24H2 in den Editionen Enterprise und Education kann KB5132061 bei der Installation hängen bleiben oder mit 0x80070306, 0x800f0989 oder 0x800f0993 abbrechen. Laut Microsofts KB-Artikel zu KB5132061 versuchen betroffene Geräte die Installation unter Umständen immer wieder. Laut BleepingComputer trifft es Geräte, auf denen die optionale Vorschau KB5127936 vom 28. Oktober installiert war.

Microsoft repariert das serverseitig. Ab dem 11. November, 10 Uhr pazifischer Zeit, sollen betroffene Geräte innerhalb von 24 bis 48 Stunden automatisch versorgt werden und das Update danach regulär über Windows Update installieren. Wer nach 48 Stunden immer noch hängt, soll den Support kontaktieren. Für Windows Server 2025 ist dieser Fehler nicht dokumentiert.

Altlasten aus dem Oktober: SQL Server und NetApp

Zwei Probleme stammen aus dem Oktober, sind im November aber noch nicht erledigt. Seit dem Oktober-Update bleiben Verbindungen von SQL-Server-Linked-Server-Abfragen über OLE-DB-Provider offen, Oracle und PostgreSQL sind ausdrücklich genannt. Mit der Zeit sammeln sich die Verbindungen an und bremsen den Server. Microsoft führt das auf der Release-Health-Seite für Windows Server 2025 seit dem 11. November als bestätigt und kündigt ein Out-of-Band-Update „in the next few days“ an. Bis dahin gibt es eine Mitigation nur über den Support für Unternehmen. Das November-Update ändert daran nichts.

Das zweite betrifft alle, die NetApp-Speicher mit Active Directory betreiben. Seit dem 13. Oktober verlangen Domänencontroller für LDAP-Anmeldungen ein Kerberos-Ticket, das zum LDAP-Dienstprinzipalnamen (SPN) passt. NetApp ONTAP und Azure NetApp Files schicken bei der LDAP-Sitzungssicherheit „none“ aber ein Ticket für den CIFS-Dienst. Laut Microsofts KB5134907 scheitert dann der Zugriff auf SMB-Freigaben, neue SMB-Volumes lassen sich nicht anlegen, und LDAP-abhängige Vorgänge brechen mit „Invalid credentials“ ab. Betroffen sind Domänencontroller mit Windows Server 2016 bis 2025 sowie 2012 und 2012 R2 im ESU-Programm. Am 12. November hat Microsoft das zusätzlich als Message-Center-Meldung MC1551001 an Admins verschickt.

Die Lösung liegt auf NetApp-Seite: LDAP-Sitzungssicherheit pro SVM auf „sign“ oder „seal“ stellen. Wer das nicht sofort kann, darf laut KB5134907 übergangsweise auf den betroffenen Domänencontrollern den DWORD-Wert LdapSPNVerificationLevel unter HKLM\SYSTEM\CurrentControlSet\Services\NTDS\Parameters auf 0 setzen und später wieder auf 1 zurückstellen. Für Azure NetApp Files gibt es noch keine Lösung.

Bemerkenswert ist hier ausnahmsweise die Kommunikation: Ursache, Betroffene, Lösung und ein öffentlicher Workaround stehen auf einer Seite. So geht es also auch.

WSUS, RD Web Access und Exchange

WSUS zeigt weiterhin keine Details zu Synchronisationsfehlern an. Microsoft hat die Funktion vorübergehend entfernt, um die Remote-Code-Execution-Lücke CVE-2025-59287 zu schließen. Ein Termin für die Rückkehr steht in KB5131080 nicht.

Zwei Dinge hat das November-Update dagegen repariert. RD Web Access, das Webportal der Remotedesktopdienste, rendert seine Oberfläche bisher mit XSLT im Browser. Ist XSLT per Richtlinie in Edge oder Chrome abgeschaltet, lädt die Seite nicht mehr. Laut KB5130994 rücken die Browser generell von XSLT ab. Mit dem November-Update rendert RD Web Access auf dem Server, betroffen waren Windows Server 2016 bis 2025. Wer das Portal angepasst hat, muss seine Anpassungen laut Microsoft auf serverseitiges XSLT umziehen.

Und die Probleme mit OWA-Anmeldung und im Postausgang hängenden Mails, die das Oktober-Update auf On-Premises-Exchange-Servern ausgelöst hatte, sind laut Release Health mit dem November-Update behoben, für Windows Server 2025 mit KB5131080.

Und in der Cloud: Outlook.com und Exchange Online

Mit den Windows-Updates nichts zu tun, aber in dieselbe Woche fallen zwei Vorfälle bei Microsofts Maildiensten. Laut Neowin hat Microsoft in einem Vorfallsbericht eingeräumt, dass ein Update der Spamregeln legitime Mails an Outlook.com-, Hotmail- und Live.com-Adressen blockiert hat, vom 6. November, 18:00 Uhr UTC, bis zum 9. November, 11:02 Uhr UTC. Die Mails landeten nicht im Spamordner, sie wurden abgewiesen. Der Absender bekam einen Unzustellbarkeitsbericht, der Empfänger erfuhr nichts. Den Bericht selbst konnte ich nicht einsehen. Den Zeitraum bestätigt aber unabhängig davon Skill Sprinters unter Berufung auf EasyDMARC und MailRoute, und dort heißt es auch, Microsoft habe die Regel zurückgenommen. Eine neue DMARC-Pflicht steckte laut Microsoft nicht dahinter, auch wenn vor allem Domains ohne DMARC-Eintrag Rückläufer meldeten.

Seit dem 12. November kommt dann der Ausfall von Exchange Online hinzu, den Microsoft unter EX1550543 und MO1550821 führt und über den ich heute schon geschrieben habe.

Was das für Kommunen und Verwaltungs-IT bedeutet

Für den Aktivierungsfehler ist die wichtigste Frage simpel: Läuft bei Ihnen irgendwo ein slmgr /ipk oder slmgr /skms-domain automatisch? Typische Kandidaten sind Tasksequenzen in MDT oder Configuration Manager, Skripte nach dem Sysprep, Golden Images für VDI und Terminalserver. Wenn ja, sollten Sie diese Pipelines bis zur Korrektur nicht mit einem Image auf November-Stand füttern, oder Sie holen sich den Workaround beim Support. Bestehende, aktivierte Server und Clients brauchen keine Sofortmaßnahme. Mit bis zu 180 Tagen KMS-Gültigkeit ist Zeit genug, auf den Fix zu warten.

Beim Druckfehler ist die Lage unangenehmer, weil er die Sachbearbeitung trifft und nicht die IT. Briefvorlagen mit unsichtbarem Wasserzeichen, Bescheide aus Fachverfahren, die Word-Dokumente mit eingebetteten Platzhalterobjekten erzeugen: Genau dieses Muster beschreibt Microsoft. Ich würde ein paar der meistgenutzten Vorlagen über den Druckserver testen, bevor das Update auf alle Clients geht, und den Service Desk vorwarnen. Wenn ein bestimmtes Dokument reproduzierbar nicht druckt, ein anderes aber schon, wissen Sie, wonach Sie suchen.

Das Update deshalb zurückhalten? Davon rate ich ab. Der Druckfehler betrifft eine bestimmte Dokumentenkonstellation, die Sicherheitslücken des Monats betreffen alle Systeme. Wer einzelne Arbeitsplätze mit kritischem Druckaufkommen hat, kann sie gezielt später patchen, aber nicht den ganzen Bestand.

Wer NetApp-Speicher am AD hängen hat, sollte heute noch nachsehen, wie die LDAP-Sitzungssicherheit der SVMs steht. Steht sie auf „none“ und funktionieren die Freigaben noch, dann wahrscheinlich nur, weil das Oktober-Update auf den Domänencontrollern noch fehlt.

Der Outlook.com-Vorfall trifft Verwaltungen von der anderen Seite. Viele Bürger nutzen Hotmail- und Outlook.com-Adressen. Wenn Ihr Haus zwischen dem 6. und 9. November Terminbestätigungen, Rückfragen oder Bescheide per Mail an solche Adressen verschickt hat, lohnt ein Blick in die Unzustellbarkeitsberichte dieses Zeitraums. Was zurückkam, ist beim Bürger nie angekommen und sollte erneut raus. Einen DMARC-Eintrag für die eigene Domain würde ich unabhängig davon setzen, falls noch keiner existiert.

Und noch etwas Organisatorisches: Die WI-Meldungen zum Druckfehler sieht nur, wer ins Admin-Center schaut. Wenn Ihre Kommune ein Microsoft-365-Tenant hat, lohnt es sich, dort die Windows-Release-Health-Meldungen im Blick zu haben. Die öffentlichen KB-Seiten hinken offenbar hinterher.

Fazit

Drei neue Windows-Fehler in der ersten Woche, zwei Altlasten aus dem Oktober mit SQL Server und NetApp, das weiterhin eingeschränkte WSUS-Reporting und obendrauf zwei Vorfälle bei Microsofts Maildiensten. Zwei der neuen Windows-Fehler sind öffentlich nicht vollständig dokumentiert. Der Aktivierungsfehler ist ärgerlich, aber beherrschbar, solange Sie Ihre Automatisierung kennen. Der Druckfehler ist der, der Ihnen am Montag Tickets bringt.

Was mich daran stört, ist weniger der einzelne Bug als die Kommunikation. Dass es besser geht, zeigt ausgerechnet die NetApp-Seite KB5134907. Ein Fehler, der von Windows 10 bis Server 2025 alles betrifft, gehört auf die öffentliche KB-Seite, nicht nur in ein Portal hinter dem Login. Und „Workaround über den Support“ ist für eine Gemeinde ohne Enterprise-Supportvertrag keine Antwort.

Prüfen Sie heute Ihre Deployment-Skripte auf slmgr und die LDAP-Einstellungen Ihrer NetApp-SVMs, testen Sie Ihre wichtigsten Word-Vorlagen über den Druckserver, gehen Sie die Rückläufer an Outlook.com-Adressen vom 6. bis 9. November durch und schauen Sie Anfang nächster Woche nach den angekündigten Fixes.

Quellen: