Friedrich Merz hat heute um 14:05 Uhr im Bundestag eine Regierungserklärung zum Europäischen Rat abgegeben. Angesetzt waren 20 Minuten, der ZDF-Mitschnitt dauert 25. Brüssel kam darin auch vor, irgendwann in der zweiten Hälfte. Die erste Hälfte war etwas anderes: eine Rede über Gerechtigkeit, gehalten von einem Kanzler, mit dem laut ARD-Deutschlandtrend noch zehn Prozent der Wahlberechtigten zufrieden sind. Das ist der niedrigste Wert, den Infratest dimap seit 1997 für einen amtierenden Kanzler gemessen hat.

Ich habe mir den Text vollständig angesehen. Was ich gefunden habe, ist eine Rede, die mit einem Papst beginnt, mit Robert Schuman weitergeht und dazwischen ein Wort so oft benutzt, dass es am Ende nichts mehr bedeutet. Und ich habe gezählt, wie oft der Kanzler das Wort „Lücke“ gebraucht. Dazu gleich mehr.

Vorweg, damit es nicht untergeht: Merz hat zu Beginn Bärbel Bas gewürdigt, die am Montag nach dem Tod ihrer Stieftochter als Arbeitsministerin und SPD-Chefin zurückgetreten ist. Das war angemessen, und ich mache mich darüber nicht lustig. Über den Rest schon.

Die Gerechtigkeitslücke, vorgetragen vom Kanzler mit der Vertrauenslücke

Merz eröffnet mit einem Zitat von Benedikt XVI. aus dessen Bundestagsrede vom 22. September 2011: Politik müsse „Mühen um Gerechtigkeit“ sein. Das Zitat stimmt, ich habe es nachgeschlagen. Dann erklärt der Kanzler, in Deutschland habe sich eine „Gerechtigkeitslücke“ aufgetan, vor allem zwischen den Generationen, und die Bundesregierung arbeite daran, sie zu schließen. Die „Sicherheitslücke“ dagegen sei bereits geschlossen, das Land nach außen „um ein Vielfaches wehrhafter“ und nach innen „wieder sicherer“. Eine Zahl dazu nennt er nicht. Eine einzige nicht.

Zwei Tage vorher, nach der CDU-Präsidiumsklausur, hatte derselbe Mann von einer „Vertrauenskrise“ gesprochen und von einer „Glaubwürdigkeitslücke“, die sich die CDU mit der nicht eingelösten Stromsteuersenkung selbst gerissen habe. Das macht in einer Woche: Sicherheitslücke (geschlossen), Gerechtigkeitslücke (in Arbeit), Glaubwürdigkeitslücke (eingeräumt), Vertrauenskrise (eingeräumt). Wer vier Löcher im Dach meldet und bei einem sagt, es sei schon dicht, der sollte für die anderen drei einen Dachdecker mitbringen. Merz bringt eine Rede.

Fairerweise: Der Befund selbst ist nicht falsch. Dass die Lasten der Sozialsysteme ungleich verteilt sind, kann man belegen. Nur verteilt sie der Kanzler auf der falschen Achse. Er sieht die Lücke zwischen Jung und Alt. Sie liegt zwischen denen, die einzahlen, und denen, die nicht einzahlen müssen. Dazu unten mehr, denn das ist der Kern, warum die Leute diese Reform nicht wollen.

Deutschlandtrend Oktober 2026: Die Zahlen, die in der Rede fehlten

Weil Merz keine Zahlen genannt hat, hole ich das nach. Im ARD-Deutschlandtrend, erhoben vom 28. bis 30. September unter 1.303 Wahlberechtigten, sind zehn Prozent mit der Arbeit des Kanzlers zufrieden, 88 Prozent nicht. Anfang September waren es noch 13 Prozent. Die Bundesregierung insgesamt liegt ebenfalls bei zehn Prozent. Zum Vergleich: Verteidigungsminister Pistorius kommt auf 50 Prozent. Der einzige Minister, dessen Ressort eine „Bereichsausnahme“ in der Schuldenregel hat, ist der einzige, dem die Leute glauben. Das sollte dem Finanzminister zu denken geben, der auch SPD-Chef ist.

In der Sonntagsfrage sieht es nicht besser aus. INSA misst am 13. Oktober die AfD bei 30 Prozent und die Union bei 18,5. Forsa sieht am selben Tag 26 zu 19, die Forschungsgruppe Wahlen im Politbarometer vom 8. Oktober 28 zu 21. Bei der Bundestagswahl im Februar 2025 hatte die Union 28,5 Prozent, die AfD 20,8. Rechnet man das durch, hat die Union seit dem Wahltag rund ein Drittel ihrer Wähler verloren und die AfD je nach Institut zwischen einem Viertel und knapp der Hälfte dazugewonnen. Eine Verdopplung ist das nicht, das sage ich auch denen, die es gerne so erzählen. Es reicht trotzdem, um eine Partei, die 1949 Adenauer gestellt hat, in zwei Bundesländern unter ein Fünftel zu drücken.

Und dasselbe Politbarometer sagt noch etwas, das Merz heute geflissentlich übergangen hat: Eine Mehrheit der Befragten sieht die Reformen der Bundesregierung kritisch. Der Kanzler freut sich in seiner Rede ausdrücklich darüber, dass „so lebendig debattiert wird“. Ich übersetze: Die Leute lehnen ab, was er vorhat, und er nennt das Debatte.

Landtagswahl Sachsen-Anhalt 2026 und die zwei anderen Abende

Merz spricht in seiner Erklärung von Extremismus, der „mit aller Macht in dieses Parlament eindringt und in die Landesparlamente“. Er sagt nicht, wie. Ich schon.

Am 6. September hat die AfD in Sachsen-Anhalt nach dem endgültigen Ergebnis der Landeswahlleiterin 43,79 Prozent der Zweitstimmen geholt. Die CDU, die das Land seit 2002 regiert hat, fiel von 37,12 auf 17,23 Prozent, ein Minus von 19,89 Punkten. Von 41 Wahlkreisen hat die CDU 2021 noch 40 direkt gewonnen. 2026 keinen einzigen. Die Wahlbeteiligung lag bei 77,8 Prozent, der höchsten in der Geschichte des Landes. Das war keine Protestwahl der Daheimgebliebenen. Das war eine Entscheidung.

Zwei Wochen später, am 20. September, flog die CDU in Mecklenburg-Vorpommern mit 4,9 Prozent aus dem Landtag. Zum ersten Mal in der Geschichte der Bundesrepublik sitzt die CDU in einem Landesparlament nicht mehr. Am selben Abend verlor sie in Berlin 9,4 Punkte und das Rote Rathaus an die Linke. Drei Wahlen in einem Monat, drei Mal die Quittung. Merz nannte das ein „Desaster“ und blieb. Zwei Tage danach sagte er den Satz, den ich hier bereits seziert habe: Man habe auf zu viele Fragen keine Antworten mehr. Heute hat er eine Antwort gefunden. Sie heißt Gerechtigkeit und ist ein Substantiv.

Und wer heute im Plenum „höhnisch“ gelacht hat, wie Merz es ins Protokoll bittet, der sitzt dort, weil der Kanzler im Februar in Stuttgart versprochen hatte, die AfD werde „nicht die CDU zerstören“. Ich habe damals über diese Stuttgarter Rede geschrieben, der Kanzler feiere den kontrollierten Verfall. Ich nehme das „kontrolliert“ zurück.

Rentenreform 2027: Der Zeitplan, der jede Woche länger wird

Jetzt zur Reform, die laut Kanzler „vielleicht sogar die wichtigste innenpolitische Reform“ ist. Der Koalitionsausschuss hat das Paket am 1. und 2. Juli beschlossen. Die Vorstände der Koalitionsfraktionen verabredeten Ende August in Münster, es bis Jahresende durch den Bundestag zu bringen. Am 7. Oktober erklärte Merz beim Deutschlandtag, bis Weihnachten werde das nichts. Am 13. Oktober, einen Tag nach dem Rücktritt von Bärbel Bas, verkündete er auf dem Arbeitgebertag den neuen Plan: Kabinett bis Jahresende, Verabschiedung im ersten Quartal 2027. Und er fügte hinzu, die Rentenkommission habe im Juni geliefert, nun sei Oktober und es liege kein Gesetzentwurf vor.

Lesen Sie den letzten Satz noch einmal im Kontext. Die Ministerin, in deren Haus der Entwurf lag, ist am Tag davor zurückgetreten. In ihrer Erklärung nennt sie neben der Trauer „öffentliche Angriffe“, auch aus den Reihen des Koalitionspartners, die „weiter forciert“ worden seien. Unionspolitiker hatten ihr laut ZDF vorgeworfen, die Rente zu verschleppen. Einen Tag später steht der Kanzler vor den Arbeitgebern und sagt sinngemäß: Oktober, kein Entwurf. Heute im Bundestag sagt er über dieselbe Frau, ihre Entscheidung verdiene Respekt. Beides ist wahr. Beides zusammen ist das, was Merz in seiner Rede „Mühen um Gerechtigkeit“ nennt.

Inhaltlich bleibt er hart. Das Ende der abschlagsfreien Rente nach 45 Beitragsjahren mache die Rente „gerechter“, das Umlagesystem habe in einer alternden Gesellschaft keine Zukunft. Beim Arbeitgebertag sagte er laut Tagesspiegel außerdem: „Ich habe nicht die Absicht, der Liebling der Nation zu werden.“ Ich kann ihn beruhigen. Die Gefahr besteht nicht.

Das Umlagesystem hat Zukunft, nur nicht mit dieser Koalition

Der Satz, das Umlagesystem habe keine Zukunft, ist der eigentliche Skandal dieser Woche, und er erklärt besser als jede Umfrage, warum die Leute diese Reform ablehnen. Volker Pispers hat das in seinem Programm „Bis neulich“ vor Jahren in einer Nummer auseinandergenommen, die heute aktueller ist als die Regierungserklärung. Sein Punkt: Die umlagefinanzierte Rente kann nicht kaputtgehen, sie hat alle Krisen des letzten Jahrhunderts überlebt. Umlage heißt nicht, dass jemand 30 Jahre einzahlt und das verzinst zurückbekommt. Umlage heißt, dass das, was eine Gesellschaft in einem Jahr erwirtschaftet, auf die verteilt wird, die es erwirtschaften, auf die, die noch zu jung dafür sind, und auf die, die schon zu alt dafür sind. Das kann mal mehr und mal weniger sein, aber es ist nie weg. Pispers’ Fazit zum System: „gerechter geht es gar nicht“.

Das Problem ist nicht die Umlage. Das Problem ist, wer nicht mitmacht. Ärzte, Architekten und Anwälte haben eigene Versorgungswerke, Beamte und Abgeordnete zahlen gar nicht ein. Und wer mehr verdient, wird nach oben gedeckelt. Die Zahlen, die Pispers damals auf der Bühne hatte, sind alt, deshalb hier die aktuellen: Die Beitragsbemessungsgrenze in der Rentenversicherung liegt 2026 bei 8.450 Euro im Monat, in der Krankenversicherung bei 5.812,50 Euro, die Versicherungspflichtgrenze, ab der man sich privat versichern darf, bei 6.450 Euro. Der Beitragssatz zur Rente beträgt 18,6 Prozent, die Hälfte davon trägt der Arbeitnehmer. Wer 8.450 Euro verdient, zahlt also 785,85 Euro Arbeitnehmeranteil. Wer 25.000 Euro im Monat verdient, zahlt ebenfalls 785,85 Euro. Das sind bei ihm 3,1 Prozent vom Brutto, beim anderen 9,3. Eigene Rechnung, die Eingangsgrößen stehen oben. Und wer über 6.450 Euro liegt, darf sich obendrein aus der gesetzlichen Krankenkasse verabschieden, als Belohnung dafür, dass er mehr verdient. Pispers nannte das einen Schutzzaun für die Reiche. Ich habe kein besseres Wort gefunden.

Die Schweiz macht es anders, und sie ist bekanntlich kein sozialistischer Musterstaat. Die AHV ist umlagefinanziert, alle Erwerbstätigen zahlen ein, Selbstständige eingeschlossen, auf das gesamte Erwerbseinkommen und ohne Obergrenze. Nichterwerbstätige zahlen nach Vermögen und Renteneinkommen. Dafür garantiert die AHV nur eine Sockelrente, die zweite Säule ist Pflicht, und das System braucht Zuschüsse aus der Mehrwertsteuer. Es ist also kein Paradies. Aber es beantwortet die Frage, die Merz nicht stellt: Warum sollen nur die einzahlen, die am wenigsten haben?

Das Verrückte ist, dass die Rentenkommission der Bundesregierung diese Frage kennt. Ihr Bericht vom 23. Juni 2026 nennt eine Erwerbstätigenversicherung, die neben abhängig Beschäftigten auch Selbstständige, Beamte, Abgeordnete und Vorstände von Aktiengesellschaften umfasst, ausdrücklich das „Idealbild“ der Alterssicherung. Und schiebt es dann als langfristig in die Zukunft, weil die Widerstände zu stark seien. Beamte bleiben laut Freshfields-Analyse einstweilen ausgenommen. Was sofort kommt, ist das Ende der Rente mit 63 für die, die 45 Jahre eingezahlt haben. Was später kommt, vielleicht, ist die Beteiligung derer, die nie eingezahlt haben. Bärbel Bas wurde auf abgeordnetenwatch gefragt, ob sie die Beitragsbemessungsgrenze aufheben wolle. Die Antwort kam aus dem Ministerium und lautete sinngemäß, dazu könne man derzeit nichts sagen. Lars Klingbeil hat Ende September in Heidelberg neue Beamte in der gesetzlichen Rente gefordert. Ob die Union das mitträgt, hat Merz heute nicht gesagt.

Das ist der Grund, warum die Mehrheit im Politbarometer diese Reform ablehnt. Nicht, weil die Leute nicht rechnen können. Sondern weil sie rechnen können. Wer 45 Jahre eingezahlt hat, versteht sehr genau, dass seine Rente mit 63 gestrichen wird, damit der Beamte, der Abgeordnete und der Vorstand weiter nichts einzahlen müssen. Merz nennt das Generationengerechtigkeit. Pispers hätte ein anderes Wort gehabt.

Stromsteuer-Senkung: Das Versprechen zum zweiten Mal

Die eine konkrete Maßnahme aus der Klausur vom Wochenende ist die Senkung der Stromsteuer für alle auf das europäische Minimum. Das stand bereits im Koalitionsvertrag. Umgesetzt wurde es seit Januar 2026 nur für das verarbeitende Gewerbe sowie Land- und Forstwirtschaft, private Haushalte gingen leer aus. Jetzt verspricht die CDU es noch einmal und will es finanzieren mit, Zitat Merz, Spielräumen, die sich ergeben, wenn sich das Wachstum „verfestige und verstetige“.

Dazu passt der Satz aus der heutigen Rede, die Wirtschaftsinstitute hätten ihre Prognose für 2026 „verdoppelt auf 1,3 %“. Das stimmt sogar: Die Gemeinschaftsdiagnose vom 24. September hob die Erwartung von 0,6 auf 1,3 Prozent an. Was Merz weglässt: Für 2027 erwarten die Institute 1,1 Prozent, für 2028 noch 0,4. Rund zwei Drittel des Wachstums 2026 gehen nach Berechnung des ifo-Instituts auf fiskalische Impulse von knapp 40 Milliarden Euro zurück, vor allem Rüstung und Staatskonsum. Und die Institute bemängeln, dass sich grundlegende Strukturreformen bei den Sozialbeiträgen nicht abzeichnen. Die „kleinen Pflanzen“ der Zukunft, die der Kanzler heute an vielen Orten gesehen haben will, sind nach dieser Lesart vom Staat gegossen und gehen 2028 ein. Mit so einem Wachstum eine Steuersenkung zu finanzieren, ist ungefähr so solide wie ein Kredit, dessen Sicherheit das Auto ist, das man mit dem Kredit kaufen will.

Europäischer Rat Oktober 2026: Der Teil, um den es offiziell ging

Irgendwann kommt Brüssel. Merz reist heute Abend zum Europäischen Rat am 15. und 16. Oktober. Themen: der mehrjährige Finanzrahmen, der kleiner ausfallen wird als von der Kommission geplant; eine „EU-Bürokratiebremse“ und ein „EU-Berichtsentlastungsgesetz“, in dem alle Berichtspflichten „grundsätzlich abgeschafft“ gehören; das 28. Regime für Start-ups; die Spar- und Investitionsunion; Freihandelsabkommen mit Mercosur, Indien und dem Indopazifik; ein neues Handelsschutzinstrument, mit dem die Kommission ohne Befassung des Rates reagieren kann. Dazu der Satz, alle Regeln, die schnelle Investitionen verhindern, müssten „jetzt vorübergehend ausgesetzt werden“.

Das ist die Rede eines Außenkanzlers, und das ZDF hat ihn heute auch so genannt. Es ist zugleich die Rede eines Mannes, der am 15. September seine Reise zur UN-Generalversammlung abgesagt hat, weil seine Anwesenheit in Berlin erforderlich war, wie das Kanzleramt mitteilte. Vier Wochen später ist die Anwesenheit in Brüssel erforderlich. Ich verstehe das. In Brüssel fragt niemand nach Sachsen-Anhalt.

Zum Bürokratierückbau behauptet Merz, national sei das Berichtsentlastungsgesetz bereits verabschiedet, es gehe „ziemlich schnell“. Welches Gesetz, welche Berichtspflichten, seit wann: dazu kein Wort. Ich würde mir die Fundstelle gern ansehen. Bis dahin halte ich den Satz für das, was er in dieser Rede ist: ein Versprechen in der Vergangenheitsform.

Ein Punkt verdient trotzdem Ernst. Merz sagt, die Ukraine-Unterstützung koste „kein Euro“ bei Sozial- und Bildungsausgaben, weil die Bereichsausnahme in der Schuldenregel genau das sicherstelle. Als Argument gegen die AfD und Teile der Linken, die das anders erzählen, ist das richtig. Als Argument gegen die eigene Partei ist es tödlich: Wenn für Verteidigung die Schuldenregel nicht gilt, dann ist die Entscheidung, bei Rente, Pflege und Stromsteuer auf „Spielräume“ zu warten, keine Sachzwang-Frage, sondern eine politische. Der Kanzler hat heute selbst erklärt, wie Prioritäten gesetzt werden. Er hat nur nicht bemerkt, was er damit über seine eigenen sagt.

Was die Gegenseite sagen würde

Damit das hier keine Kampagne wird: Aus der Union hört man, Reformen dieser Größe brauchten Zeit, ein Rentengesetz müsse durch den Bundesrat, und wer nach 17 Monaten Regierungszeit Ergebnisse erwarte, habe von Gesetzgebung keine Ahnung. Eine Erwerbstätigenversicherung mit Beamten sei verfassungsrechtlich heikel und für die Länderhaushalte, die die Pensionen tragen, kurzfristig teurer statt billiger, weil die Beiträge sofort fällig würden und die Pensionen trotzdem weiterliefen. Söder hat am Sonntagabend bei „Miosga“ gesagt, Merz bleibe Kanzler, und die acht CDU-Ministerpräsidenten haben sich im September hinter ihn gestellt. Die AfD selbst bereitet laut einem internen Papier Bedingungen für eine Zusammenarbeit mit der Union vor, und 68 Prozent der Befragten im Politbarometer halten die AfD für eine Gefahr für die Demokratie. Eine Regierung zu stürzen, ohne Nachfolger und ohne Mehrheit jenseits der AfD, wäre tatsächlich ein Elfmeter ohne Torwart.

Alles richtig. Nur erklärt es nicht, warum der Zeitplan für die Rente dreimal verschoben wurde, warum die Stromsteuer zweimal versprochen wird, warum das „Idealbild“ der eigenen Kommission auf den Sankt-Nimmerleins-Tag gelegt wird und warum ein Kanzler mit zehn Prozent Zustimmung eine Rede über Gerechtigkeit hält, statt einen Gesetzentwurf vorzulegen. Dass es keinen besseren gibt, ist kein Argument für Merz. Es ist ein Argument gegen die CDU.

Fazit

Die Regierungserklärung Merz vom 14. Oktober 2026 ist keine schlechte Rede. Sie ist eine gute Rede zum falschen Zeitpunkt vom falschen Redner. Die Diagnose Gerechtigkeitslücke stimmt, der Papst stimmt, Schuman stimmt, die EU-Agenda ist vernünftig, die Abgrenzung von der AfD ist klar. Nur stammt sie von einem Kanzler, dessen Partei in vier Wochen drei Wahlen verloren hat, dessen Rentenreform jede Woche einen Monat später kommt, dessen Stromsteuerversprechen nun in zweiter Auflage erscheint und dem 88 Prozent der Wähler nicht mehr glauben. Und der das einzige Rentensystem, das jede Krise überstanden hat, für zukunftslos erklärt, weil er nicht bereit ist, alle daran zu beteiligen.

Wer in dieser Lage „schöpferische Anstrengungen“ fordert, sollte eine vorzeigen können. Ich habe heute keine gesehen. Ich habe einen Kanzler gesehen, der seine Lücken zählt und die Nummerierung für ein Programm hält.

Wenn Sie wissen wollen, wie es weitergeht, lesen Sie die Sonntagsfrage, nicht die Regierungserklärung. Ich fasse die Umfragen jede Woche hier zusammen. Und wenn Sie Ihren Abgeordneten etwas fragen wollen, fragen Sie ihn, wann er selbst in die gesetzliche Rente einzahlt. Die Antwort sagt mehr über die Gerechtigkeitslücke als 25 Minuten Regierungserklärung.

Quellen:

• Deutscher Bundestag – Regierungserklärung zum Europäischen Rat (14.10.2026),
• ZDFheute – Regierungserklärung in voller Länge und Einordnung (14.10.2026),
• Landeswahlleiterin Sachsen-Anhalt via wahlrecht.de – endgültiges Ergebnis (07.09.2026),
• bpb – Landtagswahl Mecklenburg-Vorpommern 2026 (21.09.2026),
• wahlrecht.de – Abgeordnetenhauswahl Berlin 2026 (20.09.2026),
• wahlrecht.de – Umfragen Bundestagswahl inkl. Ergebnis 23.02.2025 (13.10.2026),
• dawum – INSA 13.10.2026, Forschungsgruppe Wahlen – Politbarometer Oktober I 2026 (08.10.2026),
• ARD-Deutschlandtrend Oktober 2026 via dpa/Stuttgarter Zeitung (01.10.2026),
• ZDFheute – Rücktritt Bärbel Bas (12.10.2026),
• Handelsblatt/dpa – CDU-Krisenklausur, Stromsteuer (12.10.2026),
• WirtschaftsWoche – Merz auf dem Arbeitgebertag (13.10.2026),
• Tagesspiegel – Merz pocht auf Rentenreform (13.10.2026),
• ihre-vorsorge.de – Reformpaket bis Frühjahr (08.10.2026),
• krankenkassen.de – Rechengrößen Sozialversicherung 2026,
• Bremische Bürgerschaft – Drucksache 21/1892 zum Bericht der Alterssicherungskommission (09.07.2026),
• Freshfields – Empfehlungen der Rentenkommission (26.06.2026),
• abgeordnetenwatch – Antwort Bärbel Bas zur Beitragsbemessungsgrenze,
• ms-aktuell – Klingbeil zu Beamten in der gesetzlichen Rente (29.09.2026),
• Deutsches Ärzteblatt – Das Schweizer Modell (AHV),
• Access Financial – AHV/AVS, keine Lohnobergrenze (14.08.2026),
• Volker Pispers – „Bis neulich“ (Mitschrift der Rentennummer, Jahr nicht ermittelt),
• Gemeinschaftsdiagnose Herbst 2026 via ad-hoc-news (26.09.2026),
• Benedikt XVI. – Ansprache im Bundestag (22.09.2011), EU – Schuman-Erklärung (09.05.1950),
• euronews – internes AfD-Papier zur Zusammenarbeit (22.09.2026)

um zweiten Mal in Folge bricht Microsoft den eigenen Rekord: Der Patchday vom 13. Oktober 2026 schließt je nach Zählweise zwischen 1.407 und 1.415 Schwachstellen. Dustin Childs von der Zero Day Initiative hat das in seinem Review treffend eingeordnet: Dieser eine Monat übersteigt das Volumen jedes einzelnen Jahres, das Microsoft je veröffentlicht hat. Zum Vergleich: Das gesamte Jahr 2023 brachte es auf 914 CVEs. Vierstellige Patch-Zahlen mit sechsstelligen CVE-Nummern sind damit Realität, und ich sehe nichts, was diesen Trend in den nächsten Monaten umkehren würde.

Die Ursache ist dieselbe wie im September. Microsoft findet mit KI-gestützter Schwachstellensuche deutlich mehr Fehler als früher, und die Zero Day Initiative weist darauf hin, dass die Zahl der tatsächlich ausgenutzten Zero-Days nicht mitwächst: 15 Microsoft-Zero-Days von Januar bis Oktober 2026 gegenüber 17 im gleichen Zeitraum 2023. Die Entdeckung skaliert schneller als die Ausnutzung. Wer nach reiner CVE-Zahl priorisiert, verbrennt Ressourcen an den falschen Stellen.

Das heißt nicht, dass dieser Monat harmlos wäre. Es gibt einen aktiv ausgenutzten Zero-Day, der die Mark-of-the-Web-Schutzfunktion umgeht und für den laut Action1 bereits funktionsfähiger Exploit-Code existiert, eine kritische Remotecodeausführung in den Active Directory Domain Services, sechs kritische DHCP-Server-Lücken und eine Exchange-RCE, die technisch wurmfähig ist. Dazu kommt ein Stichtag, an dem gleich mehrere Produkte aus dem Support fallen. Dieser Überblick zeigt, was zuerst auf die Server gehört und was bis zur nächsten Rollout-Welle warten kann.

Die nackten Zahlen im Überblick

Wie jeden Monat weichen die Gesamtzahlen je nach Quelle ab, diesmal deutlicher als sonst. BleepingComputer zählt 1.411 Schwachstellen und schließt dabei 348 weitere aus, die Microsoft bereits früher im Monat für Azure-Dienste, Mariner, Dataverse und Partner Center veröffentlicht hatte. Tenable kommt auf 1.407 CVEs, davon 69 kritisch, 1.337 wichtig und eine mit niedriger Einstufung. Action1 nennt 1.409 Patches und 80 kritische Lücken, zählt dafür nur zwei Zero-Days. Die Zero Day Initiative sieht 1.415 neue CVEs. Günter Born gibt in seiner Security Update Summary 70 kritische an, ebenso BleepingComputer: 57 davon sind Remotecodeausführungen, 11 Rechteausweitungen und 2 Spoofing-Lücken. Ich verwende im Folgenden die BleepingComputer-Zahlen, weil sie sich auf die am Patchday selbst veröffentlichten Lücken beschränken. Die Abweichung bei den kritischen Lücken (69 bis 80) dürfte daran liegen, ob Azure- und Mariner-Einträge mitgezählt werden.

Nach Kategorien verteilt sich das Paket laut BleepingComputer ungefähr so: 677 Rechteausweitungen (Elevation of Privilege), 317 Remotecodeausführungen (RCE), 254 Fälle von Informationsoffenlegung, 73 Denial-of-Service-Lücken, 40 Umgehungen von Sicherheitsfunktionen und 28 Spoofing-Schwachstellen. Tenable rechnet das in Anteile um: 47,9 Prozent Rechteausweitungen, 22,3 Prozent RCE.

Für die Rollout-Planung ist die Produktverteilung interessanter. Tenable führt 301 betroffene Produkte und Komponenten auf. Ganz vorn liegt Excel mit 69 CVEs, gefolgt von der DNS-Server-Rolle mit 52, dem Windows-Kernel mit 46, dem Windows Installer mit 38 und dem Win32-Kernel-Subsystem mit 36. SharePoint bringt es auf 34, SQL Server auf 22. Dass die DNS-Server-Rolle auf Platz zwei steht, sollte jeden aufhorchen lassen, der Domänencontroller betreibt, denn dort läuft der DNS-Dienst in aller Regel.

Drei Zero-Days gibt es diesen Monat: einer wird aktiv angegriffen, zwei weitere waren vor dem Patch öffentlich bekannt. Die Zero Day Initiative hat zusätzlich 59 Lücken als wurmfähig identifiziert, also netzwerkbasiert ohne Authentifizierung und ohne Benutzerinteraktion ausnutzbar. Diese Zahl ist für mich die eigentliche Schlagzeile des Monats.

Risiko-Kohorten: Microsofts Antwort auf die eigene Flut

Neu in diesem Monat ist ein Versuch Microsofts, die Masse handhabbar zu machen. Unter dem Titel Using risk cohorts to prioritize security updates gruppiert das MSRC verwandte Schwachstellen in 15 Kohorten. Die größten für Oktober: 136 Lücken in Dateisystemen, Speicher und Backup, 135 in Office-Dokumenten und Mail-Clients, 131 in Grafik-, Medien- und Content-Verarbeitung, 109 an den Rechtegrenzen von Kernel und Core sowie 103 in Installation, Bereitstellung und Update-Diensten. Microsoft stellt klar, dass die Gruppen experimentell sind, keine offiziellen Kategorien darstellen und die Bewertung einzelner CVEs nicht ersetzen. Eine PDF-Zuordnung aller Oktober-CVEs zu ihren Kohorten liegt bei.

Dustin Childs merkt dazu trocken an, dass man so etwas früher Security Bulletin nannte: eine Komponente, mehrere CVEs, ein Dokument. Action1 geht in seinem Sysadmin-Brief einen ähnlichen Weg und sortiert nach dem, was man betreibt: Identitätsinfrastruktur zuerst (AD FS, AD, DNS, DHCP), dann SharePoint, dann Endgeräte, dann Geschäftsserver, dann die Appliances am Netzrand. Ich sehe das ähnlich. Der Kohorten-Ansatz ist richtig, kommt aber spät, und ob er in Patch-Management-Werkzeugen ankommt, muss sich erst zeigen. Für eine kleine Verwaltungs-IT ohne eigenes Security-Team ist jede Vorsortierung hilfreich, solange sie nicht dazu verführt, die Kohortengröße mit Gefährlichkeit zu verwechseln.

Die kritischsten Brennpunkte im Detail

Mehrere Lücken betreffen Server-Rollen, die in praktisch jeder Windows-Domäne laufen: Active Directory, DHCP, DNS, Remote Desktop Gateway. Dazu kommt der aktiv ausgenutzte Zero-Day auf den Clients. Es folgt die technische Aufarbeitung der Patches, die ich diesen Monat zuerst einspielen würde.

1. Windows Shell Security Feature Bypass (CVE-2026-96951)

CVSS-Score: 8,8

SCHWERWIEGENDKEIT: Hoch (==aktiv ausgenutzt==)

BEDROHUNG: Security Feature Bypass (Umgehung von Mark of the Web)

EXPLOITS: Dies ist die einzige nachweislich aktiv ausgenutzte Schwachstelle dieses Monats. Microsoft hat keine Angaben dazu gemacht, wer sie entdeckt hat oder wie die Angriffe im Detail ablaufen. Action1 führt die Exploit-Code-Reife als „Functional“, es existiert also funktionsfähiger Exploit-Code, nicht nur ein theoretischer Nachweis. Tenable ordnet die Lücke als dritte in freier Wildbahn ausgenutzte Windows-Shell-Lücke des Jahres 2026 ein, nach CVE-2026-21510 im Februar und CVE-2026-32202 im April. Die Zero Day Initiative verweist darauf, dass Angreifer seit 2024 immer wieder Wege um Mark of the Web herum gefunden haben; diesmal ist es die Shell statt SmartScreen, das Ergebnis ist dasselbe.

TECHNISCHE ZUSAMMENFASSUNG: Ursache ist eine unzureichende Neutralisierung von Sonderzeichen in Befehlen, also eine Command Injection (CWE-77) in der Windows-Shell. Ein Angreifer schickt dem Opfer eine präparierte Datei, etwa per E-Mail, Messenger oder über eine Webseite. Öffnet der Nutzer den Anhang oder Link, umgeht die Datei die Mark-of-the-Web-Kennzeichnung (MOTW), mit der Windows aus dem Internet stammende Dateien markiert und die nachgelagerte Schutzmechanismen wie SmartScreen oder die geschützte Office-Ansicht auslöst.

AUSNUTZBARKEIT: Der Angriff erfolgt über das Netzwerk, braucht keine Rechte, aber eine Benutzerinteraktion. Das ist in der Praxis keine Hürde: Phishing mit Dateianhang ist der häufigste Erstzugang überhaupt. Betroffen sind laut Action1 Windows 10 ab Version 1607, Windows 11 von 23H2 bis 26H1, Windows Server 2012 R2 bis 2025 sowie Visual Studio 2026. Ein Kommentator bei Born weist zu Recht darauf hin, dass MOTW ohnehin nur auf NTFS- und ReFS-Laufwerken existiert; auf FAT- oder exFAT-Datenträgern gibt es die Kennzeichnung gar nicht.

AUSWIRKUNGEN AUF DAS GESCHÄFT: MOTW ist der erste Baustein der Verteidigung gegen Dokument-Malware. Fällt er, laufen Makro-Sperren und Warndialoge ins Leere, und ein Anhang aus einer Bewerbungs- oder Rechnungsmail verhält sich wie eine lokal erstellte Datei. Für Verwaltungen mit hohem Mailaufkommen aus unbekannten Quellen, also für praktisch jedes Bürgerbüro, ist das der gefährlichste Patch des Monats.

WORKAROUND: Microsoft nennt keinen. Flankierend: Attack Surface Reduction Rules gegen Office-Kindprozesse, Application Control und ein EDR, das verdächtige Prozessketten nach dem Öffnen von Anhängen erkennt. Wer Anhänge aus dem Internet ohnehin in einer Sandbox öffnet, hat einen Puffer.

DRINGLICHKEIT: Höchste. Auf alle Clients, zuerst auf die, die externe Mails empfangen. Das Update erfordert einen Neustart.

2. .NET Framework Security Feature Bypass (CVE-2026-108398)

CVSS-Score: 8,8

SCHWERWIEGENDKEIT: Hoch (öffentlich bekannt)

BEDROHUNG: Security Feature Bypass (Umgehung von Windows Defender Application Control)

EXPLOITS: Die Lücke war vor Verfügbarkeit des Patches öffentlich bekannt. Entdeckt und gemeldet hat sie James Forshaw von Google Project Zero. Aktive Angriffe sind nicht bekannt, Microsoft stuft die Ausnutzung aber als „eher wahrscheinlich“ ein.

TECHNISCHE ZUSAMMENFASSUNG: Ursache ist ein unsicherer Suchpfad (Untrusted Search Path, CWE-426) im .NET Framework. Ein authentifizierter Angreifer mit niedrigen Rechten platziert eine präparierte .NET-Assembly auf dem System und registriert sie so, dass ein geschützter Prozess sie lädt. Gelingt das, umgeht der Code die Richtlinien von Windows Defender Application Control (WDAC) und läuft im Kontext des geschützten Prozesses. Eine Benutzerinteraktion ist nicht erforderlich, der Scope ist „changed“, der Angreifer verlässt also die Sicherheitsgrenze der verwundbaren Komponente.

AUSNUTZBARKEIT: Lokaler Zugriff mit einem gültigen Konto genügt. Relevant ist die Lücke vor allem dort, wo WDAC die zentrale Verteidigungslinie ist, etwa auf gehärteten Verwaltungsarbeitsplätzen oder Admin-Workstations. Wichtig für den Rollout: Die .NET-Framework-Updates sind eigene Pakete außerhalb des kumulativen Windows-Updates. Action1 nennt für Windows 10 21H2 die KBs 5127689, 5127690, 5127692 und 5127694, für Windows Server 2022 KB5127693, für Windows Server 2025 KB5127690 und für Windows 11 26H1 KB5127691.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Wer Application Control einsetzt, verlässt sich darauf, dass nur freigegebener Code läuft. Diese Lücke höhlt genau diese Garantie aus. Als zweiter Baustein nach einem Phishing-Erstzugang ist sie eine saubere Möglichkeit, Schutzmaßnahmen stillzulegen.

WORKAROUND: Microsoft nennt keinen. Darüber hinaus die WDAC-Richtlinien auf überbreite Freigaben für .NET-Pfade prüfen.

DRINGLICHKEIT: Hoch, zumal Forshaw erfahrungsgemäß Details veröffentlicht, sobald der Patch verfügbar ist.

Der dritte Zero-Day, CVE-2026-92707, ist ein Denial-of-Service in MessagePack-CSharp (CVSS 5,3, moderat), der von dritter Seite veröffentlicht wurde und den Microsoft jetzt in sein Release aufgenommen hat. Action1 zählt ihn nicht mit, daher die „zwei Zero-Days“ dort. Für die meisten Umgebungen ist das ein Entwicklerthema, kein Server-Notfall.

3. Active Directory Domain Services Remote Code Execution (CVE-2026-70229)

CVSS-Score: 8,1

SCHWERWIEGENDKEIT: ==Kritisch==

BEDROHUNG: Remote Code Execution (RCE / wurmfähig)

EXPLOITS: Aktive Angriffe sind nicht bekannt. Microsoft stuft die Ausnutzung als „eher wahrscheinlich“ ein. Die Zero Day Initiative führt die Lücke in ihrer Liste wurmfähiger Schwachstellen.

TECHNISCHE ZUSAMMENFASSUNG: Ursache ist laut Action1 eine fehlerhafte Autorisierung (Incorrect Authorization, CWE-863) in AD DS. Ein nicht authentifizierter Angreifer schickt ein präpariertes Paket an den AD-DS-Dienst und erreicht damit Codeausführung auf dem Domänencontroller. Die Angriffskomplexität ist hoch: Es müssen bestimmte Netzwerkkonfigurationen und Timing-Bedingungen zusammenkommen. Vier weitere AD-DS-Lücken (CVE-2026-88165 als RCE, dazu drei Denial-of-Service-Fälle) wurden parallel geschlossen.

AUSNUTZBARKEIT: Netzwerkbasiert, ohne Anmeldung, ohne Interaktion. Der Angreifer muss den Domänencontroller erreichen können, was in flachen Verwaltungsnetzen ohne Segmentierung jeder kompromittierte Client kann. Betroffen sind Windows Server 2012 bis 2025 inklusive Server Core sowie die Clients, die den Code mitbringen.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Codeausführung auf dem Domänencontroller ist der Worst Case, ohne Umweg. Der Angreifer kontrolliert damit das Verzeichnis, alle Konten und über Gruppenrichtlinien jedes Gerät in der Domäne.

WORKAROUND: Keiner. Domänencontroller zuerst patchen und den Zugriff auf AD-Ports aus Client-Segmenten über Firewall-Regeln auf das Nötige beschränken.

DRINGLICHKEIT: Kritisch. Mit CVE-2026-96951 zusammen der Patch, den ich keinen Tag liegen lassen würde.

4. Windows DHCP Server Remote Code Execution (CVE-2026-96934)

CVSS-Score: 9,8

SCHWERWIEGENDKEIT: ==Kritisch==

BEDROHUNG: Remote Code Execution (RCE / wurmfähig)

EXPLOITS: Aktive Angriffe sind nicht bekannt. Insgesamt sind diesen Monat sechs DHCP-Server-Lücken wurmfähig (CVE-2026-96934, CVE-2026-88117, CVE-2026-88119, CVE-2026-88120, CVE-2026-96320, CVE-2026-69830), fünf davon stuft Microsoft als kritisch ein. CVE-2026-96934 ist mit 9,8 die schwerste; CVE-2026-88117, CVE-2026-88119, CVE-2026-88120 und CVE-2026-88171 erreichen jeweils 8,1, verlangen aber das Gewinnen einer Race Condition.

TECHNISCHE ZUSAMMENFASSUNG: CVE-2026-96934 ist ein Use-after-free-Fehler. Ein nicht authentifizierter Angreifer sendet präparierte Pakete an den DHCP-Server-Dienst und erreicht Codeausführung oder bringt den Dienst zum Stillstand. Die entscheidende Einschränkung, die nur Action1 nennt: Die Lücke betrifft DHCP-Server im Failover-Modus. Wer DHCP-Failover für Hochverfügbarkeit konfiguriert hat, hat damit genau die Konfiguration, die der Angriff braucht. Die drei 8,1er-Lücken sind ebenfalls Use-after-free-Fehler mit Race Condition, CVE-2026-88171 ein Double Free. Ergänzend gibt es eine kritische RCE im DHCP-Client (CVE-2026-70250, CVSS 8,8, Use-after-free plus Race Condition), die laut Action1 Windows Server 2012 bis 2025 sowie Windows 10 1607 und 1809 betrifft.

AUSNUTZBARKEIT: DHCP ist per Definition ein Dienst, der unauthentifizierte Anfragen aus dem lokalen Netz beantwortet. Jedes Gerät im selben Segment ist ein möglicher Absender, inklusive eines mitgebrachten Notebooks am Besprechungsraum-Port. Die Client-Lücke braucht einen Angreifer im benachbarten Netz.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Wie im September läuft der DHCP-Server-Dienst in kleinen Verwaltungen häufig direkt auf einem Domänencontroller, und DHCP-Failover zwischen zwei DCs ist ein verbreitetes Setup. Dann ist eine DHCP-RCE eine DC-RCE. Die Client-Lücke wiederum macht aus einem Rogue-DHCP-Server im Gästenetz ein Werkzeug zur Übernahme von Servern.

WORKAROUND: Patchen. DHCP-Server vom Domänencontroller trennen, wo das noch nicht geschehen ist. DHCP-Snooping auf den Switches aktivieren, um Rogue-Server zu blockieren; das hilft gegen die Client-Lücke. Failover abzuschalten ist laut Action1 eine Option, aber nur nach Abwägung der Verfügbarkeit.

DRINGLICHKEIT: Kritisch, unmittelbar nach den Domänencontrollern. Zuerst die Failover-Paare identifizieren.

5. Microsoft Exchange Server Remote Code Execution (CVE-2026-70571)

CVSS-Score: 8,1

SCHWERWIEGENDKEIT: ==Kritisch==

BEDROHUNG: Remote Code Execution (RCE / Remotecodeausführung)

EXPLOITS: Aktive Angriffe sind nicht bekannt, Microsoft bewertet die Ausnutzung aber als „eher wahrscheinlich“. Die Zero Day Initiative nennt die Lücke technisch wurmfähig, hält eine tatsächliche Wurmwelle aber für unwahrscheinlich: Microsoft schreibt, der Angreifer brauche tiefes Wissen über die Zielumgebung, und ein Erfolg sei nicht garantiert.

TECHNISCHE ZUSAMMENFASSUNG: Es handelt sich um einen stapelbasierten Pufferüberlauf. Ein nicht authentifizierter Angreifer schickt eine präparierte E-Mail an einen verwundbaren Exchange-Server. Die Mail löst einen internen Prozess zur Inhaltskonvertierung aus, und in diesem Prozess kommt es zur Codeausführung. Eine Benutzerinteraktion ist nicht erforderlich, weil der Server die Mail selbst verarbeitet.

AUSNUTZBARKEIT: Jeder Exchange-Server, der Mails aus dem Internet annimmt, ist erreichbar. Das ist der Sinn eines Mailservers. Die Einschränkung „tiefes Wissen über die Zielumgebung“ senkt die Wahrscheinlichkeit eines Massenangriffs, nicht die eines gezielten.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Codeausführung auf dem Mailserver bedeutet Zugriff auf jedes Postfach, jeden Anhang, jeden Kalender. Dazu kommt im selben Update eine Spoofing-Lücke mit CVSS 9,3 (CVE-2026-70279), ebenfalls als „eher wahrscheinlich“ eingestuft: Ein Klick eines Administrators auf einen präparierten Link reicht, um Organisationsdaten lesen oder ändern zu können. Zwei Rechteausweitungen mit CVSS 8,8 (CVE-2026-96940, CVE-2026-77910) runden das Bild ab.

WORKAROUND: Das Exchange-SU einspielen (siehe eigener Abschnitt). Admin-Konten für Exchange nicht zum Surfen oder Mailen verwenden; das entschärft die Spoofing-Lücke.

DRINGLICHKEIT: Hoch bis kritisch für jeden On-Premises-Exchange, der aus dem Internet erreichbar ist.

6. Microsoft SharePoint Elevation of Privilege (CVE-2026-102866)

CVSS-Score: 8,1

SCHWERWIEGENDKEIT: ==Kritisch==

BEDROHUNG: Elevation of Privilege (Authentifizierung als beliebiger Benutzer)

EXPLOITS: Aktive Angriffe sind nicht bekannt. Die Zero Day Initiative hebt die Lücke aus den 34 SharePoint-CVEs dieses Monats heraus, weil sie die einzige kritische und die einzige ohne Authentifizierung ausnutzbare ist.

TECHNISCHE ZUSAMMENFASSUNG: Ursache ist eine fehlerhafte Prüfung kryptografischer Signaturen (CWE-347). Wer ein gültiges Proof-Token eines bestimmten Benutzers in die Hände bekommt, kann es verändern, an den Server schicken und sich als dieser Benutzer authentifizieren. Die Angriffskomplexität ist hoch, weil laut Action1 bestimmte Protokolleinstellungen vorliegen müssen. Betroffen ist ausschließlich SharePoint Server Subscription Edition, das Update ist KB5002927.

AUSNUTZBARKEIT: Die Hürde ist das Token. Die ZDI merkt an, dass es dafür mehrere Wege gibt. Wer sich an die SharePoint-Vorfälle der letzten Monate erinnert, bei denen Machine Keys von On-Premises-Servern gestohlen wurden, weiß, wie realistisch das ist.

AUSWIRKUNGEN AUF DAS GESCHÄFT: SharePoint ist in vielen Verwaltungen das Dokumentenmanagement. Ein Angreifer, der sich als Sachgebietsleiter authentifizieren kann, liest, was dieser lesen darf, und das ist in der Regel viel.

WORKAROUND: Patchen. SharePoint-Server grundsätzlich nicht direkt aus dem Internet erreichbar machen.

DRINGLICHKEIT: Hoch für alle SharePoint-SE-Installationen.

Weitere kritische Schwachstellen im Überblick

Die Liste der kritischen Netzwerk-RCEs ist diesen Monat lang. Microsoft QUIC bringt zwei Lücken mit CVSS 9,8 (CVE-2026-100219, CVE-2026-105016), die neben Windows auch .NET 8 bis 11 und Visual Studio betreffen. Der PostScript-Druckertreiber hat ebenfalls zwei (CVE-2026-70147, CVE-2026-70153), ausgelöst durch einen präparierten Druckauftrag über das Netz, dazu eine dritte mit 8,8 (CVE-2026-108467), für die ein authentifizierter Benutzer mit niedrigen Rechten genügt. Das Message Queuing hat eine 9,8er-RCE (CVE-2026-100202), Windows Text Shaping ebenfalls (CVE-2026-97814). Im Remote Desktop Gateway sind drei Lücken wurmfähig, darunter die kritische CVE-2026-70187, ein Use-after-free im Gateway-Dienst; wer RD Gateway als Homeoffice-Zugang betreibt, sollte das vor dem Wochenende erledigen. Hyper-V erhält zwei kritische RCEs (CVE-2026-102214, CVE-2026-105733), bei denen ein Angreifer mit niedrigen Rechten in einer VM Code auf dem Host ausführt, die zweite auch aus verschachtelter Virtualisierung heraus. Der Network Policy Server, in vielen Verwaltungen die RADIUS-Instanz für WLAN und VPN, bringt vier wurmfähige Lücken. Die Windows Deployment Services bekommen erneut eine kritische RCE (CVE-2026-88174), der Network Device Enrollment Service eine kritische RCE durch schwache Authentifizierung (CVE-2026-69802). Und im DNS-Server steckt neben den beiden wurmfähigen Lücken eine weitere kritische RCE (CVE-2026-96113), für die Microsoft keinen CVSS-Score veröffentlicht hat; Action1 führt sie trotzdem in der Kategorie „Same Day Deployment“.

Zwei Lücken verdienen aus Verwaltungssicht einen eigenen Satz. CVE-2026-108457 ist eine kritische RCE in Windows PDF (CVSS 8,1): Ein präparierter PDF-Anhang per E-Mail löst sie auf Systemen aus, die PDF-Inhalte automatisch verarbeiten, ohne dass jemand die Datei öffnet. Wer einen digitalen Posteingang mit automatischer Dokumentenerfassung betreibt, hat hier ein Thema. Und CVE-2026-108471, eine kritische Rechteausweitung in den VBS-Enklaven, betrifft laut Action1 ausschließlich Windows Server 2019 und Windows 10 1809, also genau die Server-Generation, die in Kommunen noch am längsten läuft.

Bemerkenswert sind mehrere Lücken, die nur als „wichtig“ eingestuft sind, aber CVSS 9,8 erreichen: Failover Cluster (CVE-2026-88102) und der zugehörige virtuelle Treiber (CVE-2026-96864), PowerShell (CVE-2026-83578) und OpenSSH für Windows (CVE-2026-97816). Die Einstufung „wichtig“ sagt hier wenig über das Risiko. Die SQL-Server-RCE CVE-2026-65674 (CVSS 8,8, Deserialisierung, authentifiziert) hat laut ZDI die beste Ausnutzbarkeitsbewertung aller 22 SQL-Lücken des Monats; Fachverfahren mit eigenem SQL-Backend sind damit betroffen.

Office ist diesmal selbst eine Kohorte. Fünf Outlook-RCEs erreichen CVSS 9,8 (CVE-2026-70242, CVE-2026-70291, CVE-2026-88156, CVE-2026-97016, CVE-2026-97749), und bei allen fünf reicht laut Action1 die Anzeige der Mail im Lesebereich; kein Klick, kein Anhang. Dazu kommt eine Word-RCE mit 9,8 (CVE-2026-70300), ausgelöst durch ein WordPerfect-Dokument mit verknüpfter Grafik im Vorschaufenster, und eine PowerPoint-RCE mit 9,8 (CVE-2026-88178), die über eine an Office Online Server eingereichte Präsentation zündet. Die rund zwei Dutzend kritischen Excel-RCEs mit CVSS 8,8 brauchen dagegen alle das Öffnen der Datei; das Vorschaufenster ist dort laut Microsoft kein Angriffsvektor. Zwei Dinge zum Rollout: Office Online Server bekommt KB5002928, und für Office LTSC for Mac 2021 und 2024 waren die Updates am Patchday noch nicht verfügbar. Die Office-Updates laufen separat vom kumulativen Windows-Update und werden in Verwaltungen, die Office per Click-to-Run verteilen, gern vergessen.

Tenable hebt außerdem eine Reihe als „eher wahrscheinlich“ eingestufter Rechteausweitungen hervor, darunter fünf im Windows-Update-Stack (CVE-2026-69673, CVE-2026-69718, CVE-2026-69733, CVE-2026-69783, CVE-2026-69882, jeweils 7,8), WebDAV (CVE-2026-102217, 8,8) und eine RCE im Background Intelligent Transfer Service (CVE-2026-88159, 8,8).

Abseits von Microsoft war der Oktober nicht ruhiger. Adobe hat laut ZDI 11 Bulletins mit 174 CVEs veröffentlicht; die dringendsten betreffen ColdFusion (32 CVEs, bis CVSS 10,0, Pre-Auth-RCE-Profil), Commerce und Experience Manager. Aktiv ausgenutzt wurden im Oktober Zero-Days bei Citrix NetScaler (CVE-2026-88779), Fortinet FortiMail (CVE-2026-104286), Ivanti Connect Secure und laut Action1 ein Authentifizierungs-Bypass in Cisco Identity Services Engine (CVE-2026-76460); eine kritische Atlassian-Lücke (CVE-2026-21589) und eine SonicWall-SMA1000-SSRF wurden jeweils kurz nach Veröffentlichung eines Proof-of-Concept angegriffen. SAP schließt 20 Lücken, darunter eine mit Höchstwertung im Cloud SDK für Python. Action1 bringt es auf den Punkt: Die Appliances am Netzrand gehören in denselben Patch-Plan wie Windows, nicht in den danach.

Support-Ende: Der 13. Oktober als Stichtag

Dieser Patchday ist gleichzeitig ein Lifecycle-Termin, und zwar ein umfangreicher. Microsoft hat in seinem Message Center bestätigt, dass Windows 11 24H2 in den Editionen Home und Pro sowie Windows 10 Enterprise LTSB 2016 mit dem Oktober-Update ihr letztes Sicherheitsupdate erhalten haben. Die Enterprise- und Education-Editionen von 24H2 bleiben bis zum 12. Oktober 2027 unterstützt. Microsoft empfiehlt den Umstieg auf Windows 11 26H2, das seit September 2026 als Enablement Package ausgerollt wird und für Consumer bis Oktober 2029 unterstützt ist.

Mit dem November-Patchday folgt die nächste Welle: Windows 11 23H2 Enterprise, Education und IoT Enterprise erhalten ab dann keine Sicherheitsupdates mehr. Wer in der Verwaltung noch 23H2-Geräte hat, weil der Hardware-Rollout hinterherhinkt, hat genau einen Patchday Zeit.

Auf der Server-Seite endet laut Tenable am 13. Oktober das letzte ESU-Jahr für Windows Server 2012 und 2012 R2. Die Oktober-Pakete KB5126835 und KB5126836 sind damit die letzten Updates für diese Systeme, in keinem Programm gibt es danach noch Patches. Windows Server 2022 wechselt am selben Tag vom Mainstream- in den Extended Support, der bis zum 14. Oktober 2031 läuft; Sicherheitsupdates gibt es weiterhin, Funktionsupdates nicht. Dazu fallen Office 2021, Office LTSC 2021 und Skype for Business LTSC 2021 aus dem Support. Für Verwaltungen, die Office 2021 wegen der Kaufmodell-Lizenzierung gewählt haben, ist das die ungemütlichste Nachricht des Tages.

Exchange Server: letztes Update für 2016 und 2019

Microsoft hat am Patchday das Oktober-SU für Exchange Server veröffentlicht, Details stehen im Techcommunity-Beitrag. Bereitgestellt wird es für Exchange Server Subscription Edition RTM (KB5128895), Exchange Server 2019 CU14 (KB5128897) und CU15 (KB5128896) sowie Exchange Server 2016 CU23 (KB5128898). Für 2016 und 2019 ist der Zugang weiterhin an das kostenpflichtige ESU-Programm der Phase 2 gebunden. Exchange Online ist bereits geschützt; dort beschränkt sich der Handlungsbedarf auf verbliebene On-Premises-Server und Workstations mit Exchange-Verwaltungstools. Laut Action1 erfordert das SU keinen Neustart, und bekannte Probleme sind nicht verzeichnet.

Günter Born hält in seinem Exchange-Beitrag fest, dass dies das letzte Update für Exchange Server 2016 und 2019 ist; ab November erscheinen Sicherheitsupdates nur noch für die Subscription Edition. Wer jetzt noch auf 2016 oder 2019 steht, betreibt ab dem nächsten Patchday einen Mailserver ohne Patches. Das ist keine Option, die ich in einer Verwaltung verantworten würde.

Das SU schließt die oben beschriebene RCE CVE-2026-70571 sowie laut ZDI-Liste sechs weitere Exchange-Lücken, darunter die Spoofing-Lücke CVE-2026-70279 (CVSS 9,3) und zwei Rechteausweitungen mit 8,8. Zusätzlich werden zwei Fehler behoben: Veröffentlichte Kalender im ICS-Format lieferten für Kalender-Anwendungen einen HTTP-500-Fehler (KB5126672), und die ContentEngine konnte wegen fehlender koreanischer WordBreaker-Regeldateien in einen Deadlock laufen (KB5130098). Born erwähnt bekannte Probleme des Updates, ohne sie im Detail zu nennen, Action1 verzeichnet keine; die FAQ im Techcommunity-Beitrag ist vor der Installation trotzdem Pflichtlektüre. Wie immer gilt: SU aus einer administrativen Eingabeaufforderung installieren und danach den Exchange Health Checker laufen lassen.

Handlungsempfehlungen für Ihre IT-Infrastruktur

Beginnen Sie mit den Domänencontrollern. Die AD-DS-RCE, die DHCP-Server-Lücken und die 52 DNS-Server-CVEs treffen alle dieselben Maschinen, und ein kompromittierter DC ist das Ende der Domäne. Prüfen Sie dabei zuerst, ob Ihr DHCP im Failover-Modus läuft, denn das ist die Voraussetzung für die 9,8er-Lücke. Diese Systeme gehören an den Anfang der ersten Rollout-Welle, noch vor den Clients.

Direkt danach kommt der aktiv ausgenutzte MOTW-Bypass auf die Clients. Die Lücke wird nachweislich angegriffen, Exploit-Code existiert, und der Angriffsweg ist der Dateianhang in der Mail, also der Alltag jeder Poststelle. Ich würde diesen Patch nicht bis zum regulären Client-Zyklus liegen lassen, sondern ihn als eigenen Durchlauf auf alle Geräte bringen, die externe Mails empfangen. Die Outlook-Lücken, die im Lesebereich zünden, gehören in denselben Durchlauf.

Vergessen Sie die Nebenschauplätze nicht. Exchange, SharePoint, SQL Server und Office haben eigene Updates, das .NET Framework ebenfalls. RD Gateway, NDES und Network Policy Server sind in kleinen Verwaltungen oft einzelne Server, die niemand auf dem Schirm hat, bis sie fehlen. Die ZDI-Liste mit 59 wurmfähigen Lücken ist ein guter Abgleich gegen die eigene Server-Inventur.

Führen Sie den Rollout trotz der Dringlichkeit in Wellen durch. Bei 1.400 Schwachstellen ändert sich viel Code gleichzeitig, und die September-Updates haben mit kaputten Always-On-VPN-Verbindungen, defekter Dateiversionsverlauf-Sicherung und USB-Audio-Ausfällen gezeigt, was dann passiert. Ich habe das in der Patchday-Nachlese September 2026 zusammengefasst. Testgruppe zuerst, dann die Fläche, dann prüfen, ob Anmeldung, Fernzugriff, Mail und DNS nach dem Neustart noch funktionieren.

Nutzen Sie den Stichtag für eine Inventur. Server 2012, Windows 11 24H2 Home/Pro, Office 2021, Exchange 2016/2019: Alles, was heute das letzte Update bekommen hat, muss auf eine Liste mit Ablöseterminen. Nicht in drei Monaten, sondern diese Woche.

Neuerungen abseits der Sicherheit

Die Oktober-Updates für Windows 11 bringen die Funktionen des September-Vorschauupdates KB5124010 in die Fläche. BleepingComputer hat die vollständige Liste zusammengestellt. Die aus Sicherheitssicht interessanteste Änderung betrifft ausgerechnet den Vorschaubereich des Datei-Explorers: Für aus dem Web heruntergeladene HTML-Dateien gibt es einen neuen Button „Trotzdem Vorschau anzeigen“, andere Dateitypen wie PDFs werden ab sofort automatisch in der Vorschau gerendert. Im selben Monat, in dem ein MOTW-Bypass aktiv angegriffen wird und eine Windows-PDF-RCE bei automatischer Verarbeitung zündet, finde ich das eine fragwürdige Komfortentscheidung. Wer die Vorschau per Gruppenrichtlinie abschaltet, hat dieses Thema nicht.

Darüber hinaus: Emoji 17.0, ein Tipps-Widget, eine Einstellung zum Umbelegen der Copilot-Taste auf Rechts-Strg oder Kontextmenü, die Barrierefreiheitsoption „Apps maximiert öffnen“, neue Touchpad-Gesten, ein Remote-Management-Plug-in für WinRE für MDM-Anbieter, deaktivierte Windows-Tastenkürzel im Kiosk-Modus und eine lange Liste von Bluetooth-Fixes, darunter ein Absturz mit Fehlercode 0x139 beim Streamen. Die PC-zu-PC-Migration ist entfernt worden. Als bekanntes Problem bleibt die seit September bestehende Störung bei USB-Audio-Class-1.0-Geräten; Microsoft hat sie nur teilweise behoben.

Für Windows Server 2025 bringt KB5126646 die Quick Machine Recovery, standardmäßig deaktiviert und per Gruppenrichtlinie zuschaltbar, sowie ML-KEM als Post-Quantum-Schlüsselaustausch in TLS 1.3, cURL 8.21.0 und eine Korrektur für Netlogon-Secure-Channel-Verbindungen zu älteren Domänencontrollern. Alle Server-Versionen erhalten eine ReFS-Überwachung für extern angeschlossene Datenträger (Auditing an, Erzwingung aus, Details in KB5130741) und die automatische Härtung der AD-FS-DKM-Container-ACL gegen CVE-2026-56155, abschaltbar über RemediateDkmAcl. Server 2019 und 2022 bekommen das erweiterte NTLM-Auditing, das zeigt, wer NTLM warum und wo noch verwendet. Für den anstehenden NTLMv1-Abschied ist das die Vorbereitung, die man jetzt starten sollte. Dazu kommen neue Zeitzonen für Manitoba sowie die dauerhafte Sommerzeit in British Columbia und Alberta ab November 2026. Born merkt für Server 2022 und 2025 an, dass WSUS bei Fehlern keine Details zurückmeldet.

Update-Pakete für Windows-Clients und -Server

Die folgende Übersicht fasst die kumulativen Updates dieses Patchdays für die noch unterstützten Windows-Versionen zusammen. Alle Pakete sind kumulativ und enthalten sämtliche Sicherheitsfixes bis zum Patchday.

Zu beachten: Windows 10 22H2 ist seit Oktober 2025 aus dem regulären Support; Sicherheitsupdates gibt es nur im ESU-Programm, das Microsoft für Privatanwender kostenlos bis Oktober 2027 verlängert hat. Die .NET-Framework-Updates (siehe CVE-2026-108398) sind eigene Pakete und müssen separat freigegeben werden.

Ausgewählte kritische Sicherheitsupdates vom Patch Tuesday im Oktober 2026

Die folgende Tabelle listet eine Auswahl der wichtigsten Schwachstellen dieses Monats. Die vollständige Liste aller rund 1.400 behobenen CVEs finden Sie im Microsoft Security Update Guide sowie in den Gesamtübersichten bei BleepingComputer, der Zero Day Initiative und bei Action1.

Hinweis: Diese Tabelle stellt eine kuratierte Auswahl dar und erhebt keinen Anspruch auf Vollständigkeit. Maßgeblich ist stets der offizielle Microsoft Security Update Guide.

Am 12. Oktober hat KfW Research die Rechnung für die Klimaneutralität 2045 vorgelegt: rund 6 Billionen Euro bis 2045, etwa 290 Milliarden pro Jahr. Die Zahl klingt nach Staatsbankrott. Wer weiterliest, findet das Gegenteil. Die staatliche Förderbank nennt die Aufgabe „ambitioniert, aber leistbar“ und begründet das im Fokus Volkswirtschaft Nr. 561 auf elf Seiten, mit einer 88-seitigen Prognos-Studie im Rücken.

Zehn Tage vorher hat das Bundeswirtschaftsministerium sein Referat für Wind- und Solarindustrie aufgelöst. Ohne Ankündigung. Das ist kein Zufall im Kalender, das ist das Muster dieser Regierung: Die eigene Bank rechnet vor, was zu tun wäre, und das zuständige Ministerium tut der Reihe nach das, wovon die Bank abrät.

Ich habe beide Papiere gelesen und daneben gelegt, was die Bundesregierung seit Mai 2025 beschlossen hat. Erst kommen die Zahlen, dann der Abgleich, dann meine Meinung. Die ist nicht freundlich.

Was die KfW-Studie zu den Klimaschutzinvestitionen sagt

Prognos hat für die KfW keine eigene Zukunft modelliert, sondern vier bestehende Zielszenarien nebeneinandergelegt: die Roadmap Energieeffizienz 2045 und die Langfristszenarien (beide im Auftrag des Wirtschaftsministeriums), „Klimaneutrales Deutschland“ der Agora-Thinktanks und das Ariadne-Szenario. Alle vier landen zwischen 5,7 und 6,4 Billionen Euro für 2025 bis 2045. Fast die Hälfte entfällt auf den Verkehr, ein Viertel auf Energie, gut ein Fünftel auf Gebäude, 8 Prozent auf die Industrie.

Die wichtigste Unterscheidung steht auf Seite 4 der Studie und geht in jeder Talkshow verloren. Die 6 Billionen sind Bruttoinvestitionen: der komplette Preis jedes E-Autos, jeder Wärmepumpe, jedes Windrads. Autos und Heizungen werden aber auch ohne Klimaschutz gekauft. Zieht man ab, was ohnehin fällig wäre, bleiben netto rund 145 Milliarden Euro im Jahr.

Davon wiederum fließen heute schon etwa 80 Milliarden. Zusätzlich aufzubringen sind laut KfW rund 65 Milliarden Euro pro Jahr, das sind 1,5 Prozent des Bruttoinlandsprodukts von 2024. Zum Vergleich aus demselben Papier: Deutschland überweist im Schnitt 81 Milliarden Euro pro Jahr für fossile Energieimporte ins Ausland. Der Vergleich der beiden Zahlen ist meiner, die Zahlen sind von der KfW.

Und der Staat? Auf die öffentliche Hand entfallen 12 Prozent, im Schnitt 33 Milliarden Euro jährlich. Der größte Teil davon läuft über Stadtwerke, Verkehrsbetriebe und Wohnungsgesellschaften, die sich über Entgelte refinanzieren. Direkt aus den öffentlichen Haushalten kommen laut KfW knapp 6 Milliarden Euro pro Jahr.

Zwei Sätze aus dem KfW-Papier sollte man sich merken, bevor es um Berlin geht. Erstens: Neuinvestitionen in Gas- und Ölheizungen seien zu vermeiden, weil Lock-in-Effekte drohen. Zweitens: Öffentliche Investitionen in Stromverteilnetze und Ladeinfrastruktur wirken als Katalysator, ohne den private Investitionen gar nicht erst stattfinden.

Warum jedes verlorene Jahr die Rechnung erhöht

Die Vorgängerstudie von 2021 kam auf 5 Billionen Euro, verteilt auf die damals verbleibenden Jahre waren das 191 Milliarden Euro pro Jahr. Heute sind es 290 Milliarden. Die KfW rechnet vor, dass die Gesamtsumme in Preisen von 2024 praktisch gleich geblieben ist. Gestiegen ist die Jahresrate, und zwar aus zwei Gründen, die das Papier ausdrücklich nennt: Preissteigerungen und Investitionsrückstände, weil in den vergangenen Jahren weniger investiert wurde als nötig.

Das ist die nüchterne Fassung von „Abwarten kostet“. Die Summe bleibt, die Zeit schrumpft. Jedes Jahr, in dem eine neue Gasheizung eingebaut wird statt einer Wärmepumpe, muss später aufgeholt werden, und die Gasheizung läuft dann noch zwanzig Jahre.

Dazu kommt eine Rechnung mit Fälligkeitsdatum. Deutschland überschreitet seine EU-Emissionszuweisungen für Gebäude und Verkehr laut KfW-Papier bis 2030 um 255 Millionen Tonnen CO₂-Äquivalente und müsste Zertifikate anderer Staaten zukaufen. Geschätzte Kosten: 15 bis 38 Milliarden Euro. Geld, für das es keine einzige Wärmepumpe gibt.

Das Klima selbst wartet auch nicht. Der jährliche Bericht „Indicators of Global Climate Change“ beziffert die menschengemachte Erwärmung für 2025 auf 1,37 Grad, bei einem Tempo von 0,27 Grad pro Jahrzehnt. Das Energieungleichgewicht der Erde hat sich gegenüber 1976 bis 1995 mehr als verdoppelt. Die 1,5-Grad-Marke dürfte laut Copernicus in etwa vier Jahren überschritten sein. Fairerweise: Das ist eine Beschleunigung, keine Exponentialkurve. Beruhigend ist es trotzdem nicht.

Kraftwerksstrategie: Katherina Reiche und die Gaskraftwerke

Jetzt zum Abgleich. Katherina Reiche war vor ihrem Amtsantritt Chefin der Eon-Tochter Westenergie, die Gasnetze betreibt, und davor Hauptgeschäftsführerin des Stadtwerkeverbands VKU. Am Tag ihres Amtsantritts stand sie laut abgeordnetenwatch noch als Interessenvertreterin von Westenergie im Lobbyregister des Bundestags.

Wenige Tage später kündigte sie Gaskraftwerke mit mindestens 20 Gigawatt an. Die EU-Kommission bremste aus beihilferechtlichen Gründen. Übrig blieben 12 Gigawatt, die 2026 ausgeschrieben werden und spätestens 2031 laufen sollen. Laut Gesetzentwurf müssen 2 Gigawatt davon 2040 auf Wasserstoff umstellen, weitere 2 im Jahr 2043. Der Rest hat Zeit bis 2045.

Reiche begründet das mit Versorgungssicherheit. „Wir brauchen dringend eine Gasversorgung auch über einen längeren Zeitraum“, sagte sie beim Tag des Familienunternehmens. Dazu passt der Rest: neue LNG-Verträge und Gasförderung vor Borkum, und 3,4 Milliarden Euro aus dem Klimafonds für die Gasspeicherumlage.

Gebäudemodernisierungsgesetz: Lock-in per Bundestagsbeschluss

Am 10. Juli 2026 hat der Bundestag mit 322 zu 272 Stimmen das Gebäudemodernisierungsgesetz beschlossen, verkündet wurde es am 28. Juli. Die 65-Prozent-Regel für neue Heizungen ist gestrichen. An ihre Stelle tritt eine „Bio-Treppe“: 10 Prozent klimafreundliche Brennstoffe ab 2029, 15 Prozent ab 2030, 30 Prozent ab 2035, 60 Prozent ab 2040. Für Bestandsheizungen kommt eine Grüngasquote, die 2028 bei einem Prozent startet.

Zur Erinnerung der Satz aus dem KfW-Papier: Gas- und Ölheizungen vermeiden, Lock-in droht. In den beiden Szenarien, die Prognos im Detail auswertet, stehen 2045 rund 15 Millionen Wärmepumpen in deutschen Wohngebäuden. Keines der Szenarien kennt eine Heizung, die 2040 zu 40 Prozent fossil läuft.

Wie stark das Gesetz die Emissionen erhöht, weiß die Bundesregierung nach eigener Auskunft nicht. Eine Abschätzung der Klimawirkung sei erst nach Abschluss des Gesetzes möglich, antwortete sie auf eine Kleine Anfrage der Grünen. Dieselbe Antwort erklärt, von Treffen mit Interessenvertretern gebe es keine Protokolle, Telefonate und elektronische Kommunikation seien nicht dokumentiert, und wegen Personalwechseln lasse sich vieles nicht mehr auflisten. Genannt werden zwei Termine der Ministerin mit dem Branchenverband BDEW. Philipp Schönberger von Frag den Staat nennt den Hinweis auf den Personalwechsel gegenüber CORRECTIV „kein Rechtfertigungsgrund, sondern ein Eingeständnis“.

EEG-Novelle 2027 und ein Referat, das es nicht mehr gibt

Am 29. Juli hat das Kabinett die EEG-Novelle und das Netzpaket beschlossen: Für neue Solaranlagen unter 25 Kilowatt entfällt ab 2027 die feste Einspeisevergütung. Dazu kommt der Redispatch-Vorbehalt. Wer in einem überlasteten Netzgebiet ein Windrad oder eine Solaranlage baut, soll zehn Jahre auf Entschädigung verzichten, wenn abgeregelt wird. Der Bundesverband Windenergie hält das für „rechtlich nicht haltbar“.

In der Prognos-Studie stehen für Dach-Photovoltaik je nach Szenario 158 bis 250 Milliarden Euro bis 2045, der größte Einzelposten der Solarenergie. Getragen von Hausbesitzern und kleinen Betrieben, also genau von denen, deren Kalkulation die Novelle gerade umwirft.

Und dann das Referat. Das Ministerium hat das Referat IVD5 „Wind-, Solar- und Transformationsindustrien“ zum 2. Oktober aufgelöst und das erst auf Anfrage bestätigt. Die Begründung laut ZfK: Sparvorgaben des Finanzministeriums und der Wunsch, „die aktuellen industriepolitischen Prioritäten bestmöglich abzubilden“. Die Aufgaben wandern in die Referate für energieintensive Industrien und für Stahl- und Metallerzeugung. Die Branchenverbände sprechen von einem Schritt zur Unzeit und verweisen auf mehr als 436.000 Beschäftigte.

Eine Richtigstellung, weil sie in sozialen Medien anders kursiert: Eine „Klimaschutzabteilung“ hat Reiche nicht geschlossen. Die Zuständigkeit für Klimaschutz ist schon im Mai 2025 per Organisationserlass ins Umweltministerium gewandert. Aufgelöst wurde das Industriereferat für Wind und Solar. Das ist schlimm genug und muss nicht größer gemacht werden.

Klima- und Transformationsfonds: der Sparstrumpf mit Loch

Die KfW nennt den Klima- und Transformationsfonds (KTF) und das Sondervermögen als die Töpfe, aus denen der öffentliche Anteil „verlässlich planbar“ finanziert werden kann. Das Kabinett hat im Juli beschlossen, 2027 Emissionshandelseinnahmen von 2,7 Milliarden Euro in den Kernhaushalt umzuleiten, bis 2030 zusammen mehr als 13 Milliarden. Noch nicht zugesagte Fördermittel sollen im Grundsatz um 30 Prozent sinken. Betroffen sind laut Deutscher Handwerks Zeitung unter anderem energetische Stadtsanierung, Energieberatung und Zuschüsse für Busse mit alternativen Antrieben.

Der Rest der Bilanz liest sich wie eine Wunschliste der Gegenrichtung. CORRECTIV hat sie zum ersten Jahrestag der Regierung zusammengetragen: Luftverkehrssteuer gesenkt, Energiesteuer auf Benzin und Diesel für zwei Monate um 17 Cent reduziert, Deutschlandticket von 49 über 58 auf 63 Euro verteuert. Das KfW-Papier schlägt im letzten Absatz vor, klimaschädliche Subventionen abzubauen, um zweistellige Milliardenbeträge freizumachen. Die Regierung hat neue erfunden.

Was der Expertenrat für Klimafragen dazu sagt

Der Expertenrat ist kein Umweltverband, sondern das gesetzlich eingesetzte Prüfgremium der Bundesregierung. Am 18. Mai hat er in seinem Prüfbericht festgestellt, dass das Emissionsbudget bis 2030 nicht knapp eingehalten, sondern um 60 bis 100 Millionen Tonnen überschritten wird. Die Emissionen sanken 2025 um 0,1 Prozent. Selbst wenn das Klimaschutzprogramm vollständig umgesetzt würde, könne laut Gutachten „keines der gesetzlichen Ziele bis 2040 erreicht werden“.

Die Reform des Heizungsgesetzes war in den Projektionen, auf die sich die Regierung stützt, noch gar nicht enthalten. Die Lücke ist seit Mai also eher größer geworden.

Die Gegenposition: Was für die Bundesregierung spricht

Der Vorwurf „die tun nichts“ wäre falsch, und ich will ihn nicht stehen lassen.

Die KTF-Ausgaben sollen 2027 auf rund 38,9 Milliarden Euro steigen, 4,1 Milliarden mehr als 2026. Aus dem Sondervermögen fließen zehn Milliarden Euro pro Jahr in den Fonds. Das Klimaschutzprogramm vom März enthält 67 Maßnahmen. Das Klimaziel für 2025 wurde eingehalten.

Auch Reiches Sachargumente sind nicht aus der Luft gegriffen. Redispatch kostete 2024 rund 2,8 Milliarden Euro. Die Prognos-Szenarien selbst enthalten wasserstofffähige Gaskraftwerke als Absicherung. Die Grundzüge der Kraftwerksstrategie stammen von Robert Habeck. Und dass Netze und Erneuerbare besser aufeinander abgestimmt werden müssen, steht sinngemäß auch im KfW-Papier.

Mein Einwand ist deshalb nicht, dass jede einzelne Maßnahme unsinnig wäre. Mein Einwand ist die Summe. Backup-Kraftwerke sind in den Szenarien ein Baustein neben 15 Millionen Wärmepumpen und einer fast vollständig elektrischen Pkw-Flotte. Die Regierung baut den Baustein und reißt den Rest ein: Vorgabe weg, Vergütung weg, Fördermittel gekürzt, Referat weg. Wer die Kosten der Abregelung senken will, baut Netze und Speicher. Wer stattdessen den Zubau unattraktiv macht, hat ein anderes Ziel.

Meine Meinung: Sparen, koste es, was es wolle

Ab hier Kommentar.

Man muss sich die Arbeitsteilung auf der Zunge zergehen lassen. Die staatliche Förderbank lässt ausrechnen, was Klimaneutralität kostet, und kommt zum Ergebnis: weniger als die Gasrechnung. Das Bundesministerium, das dafür zuständig wäre, hört sich das an und löst das Referat auf, das sich mit Wind und Solar beschäftigt. Aus Spargründen. Bei 81 Milliarden Euro Importrechnung im Jahr ist das Sparen am Radiergummi, während nebenan das Dach brennt.

Die Gasspeicherumlage aus dem Klimafonds zu bezahlen, ist ungefähr so, als würde man die Raucherentwöhnung aus der Zigarettenkasse der Kantine finanzieren und dann die Entwöhnung streichen. Ein Heizungsgesetz zu verabschieden, dessen Klimawirkung man laut eigener Auskunft erst hinterher abschätzen kann, hat einen eigenen Charme. Bei uns in der Verwaltung nennt man das „Beschaffung ohne Bedarfsermittlung“, und dafür gibt es üblicherweise Post vom Rechnungsprüfungsamt.

Am besten gefällt mir die Aktenlage. Ein Bundesministerium kann nicht sagen, wer mit der Gaswirtschaft über das Heizungsgesetz gesprochen hat, weil die Kollegen inzwischen woanders arbeiten. Ich betreue beruflich IT für eine Gemeinde. Wenn ich meinem Bürgermeister erkläre, die Dokumentation zur Serverumstellung sei mit dem Kollegen in Rente gegangen, bekomme ich kein Verständnis, sondern ein Problem. Zu Recht.

Was dabei auf dem Spiel steht, ist keine Geschmacksfrage. Eine Studie mit Beteiligung des Potsdam-Instituts sieht den Kipppunkt der atlantischen Umwälzströmung AMOC, zu der der Golfstrom gehört, in den Simulationen typischerweise in den nächsten Jahrzehnten erreicht, den Zusammenbruch selbst bei hohen Emissionen nach 2100. Andere Studien aus diesem Jahr kommen zu vorsichtigeren Einschätzungen, die Forschung ist sich über das Wann nicht einig. Über die Richtung schon. Die Klimaforscher Michael Wehner und James Kossin haben 2024 in PNAS eine Hurrikan-Kategorie 6 für Stürme über 192 Meilen pro Stunde vorgeschlagen, weil fünf Stürme zwischen 1980 und 2021 diese Schwelle überschritten haben, alle in den letzten neun Jahren des Zeitraums. Eingeführt ist die Kategorie nicht. Dass man sie braucht, sagt genug.

Die Weltbank rechnet im ungünstigsten Szenario ihres Groundswell-Berichts mit bis zu 216 Millionen Menschen, die bis 2050 innerhalb ihrer Länder vor Klimafolgen fliehen müssen. Mit entschlossenem Handeln ließen sich daraus 44 Millionen machen. Und für Deutschland hat die Bundesregierung, eine frühere, die Folgekosten des Klimawandels selbst beziffern lassen: bis 2050 zwischen 280 und 900 Milliarden Euro, nach mindestens 145 Milliarden Euro Schäden zwischen 2000 und 2021. Die Flut an Ahr und Erft allein: 40,5 Milliarden.

Gegen diese Größenordnungen wirken 65 Milliarden Euro zusätzliche Investitionen pro Jahr wie ein Sonderangebot. Investitionen wohlgemerkt, mit Gegenwert: Netze, Anlagen, gedämmte Gebäude, niedrigere Energierechnungen. Die Alternative hat keinen Gegenwert. Sie hat nur eine Rechnung.

Was das für Kommunen und Stadtwerke bedeutet

Für alle, die in oder für Kommunen arbeiten, steht die eigentliche Nachricht in Kapitel 5.1 der Prognos-Studie. Von den öffentlichen Klimaschutzinvestitionen bis 2045 entfallen 500 bis 600 Milliarden Euro auf die kommunale Ebene, überwiegend über Stadtwerke, Verkehrsbetriebe und Wohnungsgesellschaften. Fernwärme rechnet die Studie zu 100 Prozent den Kommunen zu, die Stromverteilnetze zu gut 39 Prozent der öffentlichen Hand, die öffentlichen Nichtwohngebäude zu knapp drei Vierteln den Kommunen.

Gleichzeitig schieben die Kommunen laut KfW einen Investitionsrückstand von über 230 Milliarden Euro vor sich her, knapp 70 Milliarden davon bei Schulen. Die KfW schreibt dazu, viele Kommunen stützten ihre Stadtwerke heute über Bürgschaften und Gewinnverzicht, und dieser Spielraum sei begrenzt.

In diese Lage hinein kürzt der Bund die Förderung für energetische Stadtsanierung und für Busse mit alternativen Antrieben. Die Pflicht zur kommunalen Wärmeplanung bis 2026 beziehungsweise 2028 bleibt, während das neue Heizungsgesetz den Eigentümern freie Wahl lässt. Ein Fernwärmenetz rechnet sich über Anschlussquoten. Wer plant ein Netz für ein Quartier, in dem jeder zweite Haushalt gerade eine neue Gasheizung mit „Bio-Treppe“ eingebaut hat?

Die Kommune soll also planen, bauen und vorfinanzieren, während der Bund die Geschäftsgrundlage verändert. Das Risiko landet beim Stadtwerk, die Schlagzeile beim Ministerium.

Fazit

Die KfW-Studie räumt mit dem bequemsten Argument gegen Klimaschutz auf, dem der Unbezahlbarkeit. Zusätzlich 1,5 Prozent der Wirtschaftsleistung, überwiegend privat getragen, bei einem direkten Haushaltsanteil von knapp 6 Milliarden Euro im Jahr: Das ist eine Frage des Wollens. Die Bundesregierung beantwortet sie seit anderthalb Jahren mit Gaskraftwerken, gestrichenen Vorgaben, gekürzten Fördertöpfen und einem Aktenschrank, in dem zufällig nichts liegt.

Was Sie tun können: Schreiben Sie Ihrem Wahlkreisabgeordneten, solange EEG-Novelle und Netzpaket im Bundestag liegen, und fragen Sie konkret nach dem Redispatch-Vorbehalt und der Klimawirkungsabschätzung zum Heizungsgesetz. Wer im Gemeinderat sitzt oder für ein Stadtwerk arbeitet, sollte Kapitel 5.1 der Prognos-Studie zur nächsten Haushaltsberatung mitbringen. Und fragen Sie Ihr Ministerium ruhig einmal nach einem Protokoll. Vielleicht findet sich ja eins.

Quellen:

Studien und amtliche Dokumente

• KfW Research, Fokus Volkswirtschaft Nr. 561: „Deutschland auf dem Weg zur Klimaneutralität – rund 6 Bio. EUR sind zu investieren“ (12.10.2026)
• Prognos AG: „Investitionen für Klimaschutz“, Endbericht im Auftrag der KfW (Juni 2026)
• Deutscher Bundestag, Drucksache 21/7982: Antwort auf die Kleine Anfrage der Grünen zu Lobbykontakten beim Heizungsgesetz (2026)
• Deutscher Bundestag, hib 646/2026: „Etat 2027: KTF-Ausgaben steigen auf 38,9 Milliarden Euro“ (17.08.2026)
• Bundesregierung: „Die Kosten des Klimawandels“, Studie von IÖW, Prognos und GWS (2023)
• Wärmeplanungsgesetz (WPG)

Klimawissenschaft

• Forster et al.: Indicators of Global Climate Change 2025, Earth System Science Data 18 (2026)
• Copernicus Climate Change Service: „Global warming reached 1.37°C in 2025“ (2026)
• PIK via idw: Studie zum AMOC-Kollaps nach 2100 (2025)
• MS-Aktuell: Überblick über AMOC-Studien 2026 (Sekundärquelle)
• Berkeley Lab zu Wehner/Kossin, PNAS: Kategorie 6 für Hurrikane (05.02.2024)
• Astrobiology.com: fünf Stürme über der Kategorie-6-Schwelle (06.02.2024)
• Weltbank, Groundswell Part 2, dokumentiert in den „Blättern“ (13.09.2021)

Berichterstattung zur Regierungspolitik

• ZDFheute/dpa: Prüfbericht des Expertenrats für Klimafragen (18.05.2026)
• Berliner Zeitung: Expertenrat warnt vor Verfehlung der Klimaziele (Mai 2026)
• ZfK: Ministerium begründet Auflösung des Referats IVD5 (08.10.2026)
• ZfK: Kraftwerksgesetz, Mengen und Wasserstoff-Umstellung (2026)
• ZfK: Kritik am Redispatch-Vorbehalt (2026)
• CORRECTIV: „Ministerin Reiche lässt Lobbytreffen im Dunkeln“ (16.09.2026)
• CORRECTIV: „Mehr Gas, weniger Tempo: Ein Jahr Klimapolitik der Bundesregierung“ (06.05.2026)
• CORRECTIV: „Gasspeicherumlage wurde nicht auf Klimaziele geprüft“ (26.01.2026)
• abgeordnetenwatch: Lobby-Unterlagen zu Katherina Reiche (21.08.2025)
• Deutsche Handwerks Zeitung/dpa: Kürzungen im Klimafonds (15.07.2026)
• Gleiss Lutz: Überblick über das Gebäudemodernisierungsgesetz (2026)
• energiezukunft: Bundestag beschließt GModG (10.07.2026)
• t-online/dpa: Was sich beim Heizen ändert (10.07.2026)
• t-online/dpa: Reiche zum Redispatch-Vorbehalt beim BDEW-Kongress (10.06.2026)
• Solarserver: Grundsatzeinigung zur Kraftwerksstrategie (16.01.2026)
• web.de: Reiches Gaskraft-Pläne geschrumpft (2025)
• Schwäbische/dpa: Reiche verteidigt Gaskraftwerke (2025)
• Boerse-Express: Kabinettsbeschluss EEG-Novelle und Netzpaket (2026, Sekundärquelle)
• Tagesspiegel Background: Organisationserlass, Klimaschutz wandert ins Umweltministerium (Mai 2025)
• DevelopmentAid: KfW-Mitteilung zur Vorgängerstudie von 2021

Der Deutschland-Stack soll die „nationale souveräne Technologie-Plattform“ für die Verwaltung werden. Am 12. Oktober 2026 hat der Deutsche Städte- und Gemeindebund über ein Webinar mit dem Digitalministerium berichtet, an dem am 3. Juli mehr als 400 Vertreter aus Städten, Gemeinden und Landesverbänden teilgenommen haben. Erste Lösungen sollen ab Beginn 2028 verfügbar sein.

Ich betreue die IT einer hessischen Gemeinde, und meine Frage an so ein Vorhaben ist schlicht: Hilft mir das, aus der Microsoft-Abhängigkeit herauszukommen? Windows 11 auf den Laptops, Windows Server 2019 und 2025 als virtuelle Maschinen, Active Directory, eine RDS-Farm, AD FS, AD LDS, SQL Server, Exchange, Office 2024, Sternberg SD.NET, die eAkte, ein Stapel Fachverfahren der ekom21 und im Bürgerservice die Geräte der Bundesdruckerei. Das ist kein Sonderfall, so sieht eine normale Kommune aus.

Ich habe die Webseiten des Stacks, den Beschluss des IT-Planungsrats samt Anlagen und die Sachstandspräsentation des Ministeriums durchgearbeitet. Die kurze Antwort: Der Deutschland-Stack löst dieses Problem nicht, und er will es auch gar nicht lösen. Er setzt Standards, die es mittelfristig lösbar machen. Bis dahin kommt er obendrauf.

Was der Deutschland-Stack ist und was beschlossen wurde

Verbindlich ist bisher ein Dokument: der Beschluss B-2026/03-IT des IT-Planungsrats vom 18. März 2026. Darin steht, dass der Bund den Stack federführend aufbaut und dass der einheitliche Plattformkern in erster Fassung aus fünf Basisdiensten besteht: Identität und Vertrauen, Datenaustausch, Datenabruf, Zahlungsabwicklung und Postfach.

Die Anlage „Portfolio“ nennt dazu die Produkte. Für Identität sind es eID und EUDI-Wallet, für das Postfach ZaPuK, für den Datenaustausch FIT-Connect, für den Datenabruf NOOTS, für Zahlungen ZBDS einschließlich ePayBL. Dazu kommen KIPITZ als KI-Plattform, Low-Code für Workflows, der Marktplatz Deutschland Digital, openCode für die Entwicklung und die Deutsche Verwaltungscloud als Betriebsumgebung. Als Zugang sind Bundesportal und Deutschland-App vorgesehen.

Zwei Formulierungen sollte man genau lesen. Bund, Länder und Kommunen „streben“ die Nutzung dieser Lösungen bei Neu- und Weiterentwicklungen „an“. Das ist kein Anschlusszwang. Und die Standards sind verbindliche Grundlage „der Lösungen des Deutschland-Stacks“, also der Bausteine selbst, nicht der IT im Rathaus.

Struktur des D-Stacks: sieben Schichten

Die Seite zur Struktur des Stacks ordnet alles in sieben Schichten: Infrastruktur, DevSecOps (Entwicklung, Sicherheit, Betrieb), Plattform, Basisdienst, Anwendungen und Dienstleistungen, Oberfläche und Zugang sowie Strategie, Architektur und Governance.

Wichtig ist die Trennung zwischen fachagnostisch und fachspezifisch. Fachagnostische Schichten gehören zum Stack, fachspezifische bauen nur darauf auf. Fachanwendungen stehen in der Schicht „Anwendungen und Dienstleistungen“ und sind damit ausdrücklich nicht Teil des Kerns. Ein Einwohnermeldeverfahren, ein Finanzwesen oder ein Sitzungsdienst bleibt Sache der Hersteller und der kommunalen IT-Dienstleister.

Das Zielbild in der Sachstandspräsentation zeigt dasselbe von oben: Portale wie ein „Digitales Rathaus“ sitzen auf Plattformdiensten, darunter liegen fachagnostische Plattformen, Basisdienste und Betriebsplattformen. Ein Verwaltungsarbeitsplatz kommt in diesem Bild nicht vor.

D-Stack Standards: was verbindlich festgelegt ist

Die beschlossenen Standards verteilen sich auf sieben Technologiefelder. Für Admins sind diese relevant:

• KI: Model Context Protocol (MCP), Agent2Agent (A2A), Agent Network Protocol (ANP), AG-UI
• Daten und Dokumente: RDF, OWL, SPARQL, DCAT, JSON, XML, CSV, ODF und PDF/UA als Dokumentenformate, SQL mit ODBC und JDBC
• Infrastruktur: MEF 70 für SD-WAN, Network Function Virtualization
• DevSecOps und Schnittstellen: Git, CI/CD, Infrastructure as Code, SBOM, OWASP, Kubernetes, REST, gRPC, GraphQL, MQTT, OpenAPI
• Cloud: Standards der Deutschen Verwaltungscloud, OpenStack, Sovereign Cloud Stack, EVB-IT
• IT-Sicherheit: BSI IT-Grundschutz, Technische Richtlinien, C5, AES, RSA, ECC, ML-KEM für Post-Quanten-Kryptografie, OAuth, OpenID Connect, JWT, OTP für MFA
• Workflowautomatisierung: kein Standard festgelegt

Auffällig ist, was fehlt. Es gibt keinen Standard für Betriebssysteme, keinen für Verzeichnisdienste, keinen für Laufzeitumgebungen. Weder Linux noch Windows, weder LDAP noch Kerberos, weder Java noch .NET werden genannt. Für die Verwaltung virtueller Maschinen ist ausdrücklich noch „Festlegungsbedarf“ vermerkt.

Drei Punkte aus der Liste wirken trotzdem bis in den Serverraum. ODF ist das Dokumentenformat, nicht OOXML. OAuth und OpenID Connect sind die Anmeldeprotokolle, nicht NTLM oder Kerberos. Und Kubernetes ist die Betriebsplattform, was faktisch Linux-Container bedeutet.

Tech-Stack Landkarte und Kriterien: Orientierung, keine Pflicht

Neben den Standards gibt es die Tech-Stack Landkarte, methodisch von der CNCF Landscape übernommen. Die Präsentation spricht von mehr als 100 Technologien und Standards. Das Ministerium schreibt selbst, die Zusammenstellung sei „aktuell keine rechtliche oder vertragliche Grundlage“.

Ähnlich steht es um die sechs Kriterien: digitale Souveränität, Interoperabilität, Zukunftsfähigkeit, Marktrelevanz, Vertrauenswürdigkeit, Nachhaltigkeit. Das geplante Reifegradmodell wurde nach Kritik aus der ersten Konsultation zurückgestellt, die Kriterien sind nur Orientierung. Als Mindestmaß für Souveränität nennt die Seite die Wechselfähigkeit zwischen Betreibern und Anbietern.

Unter den zehn Architekturprinzipien im Gesamtbild stehen „Made in EU first“, „Prefer Buy over Make“ und „Managed Services only“. Das letzte Prinzip sagt viel über das Betriebsmodell: Stack-Elemente sollen als Dienst bezogen werden, nicht im eigenen Keller laufen.

Was noch offen ist

Laut Sachstandspräsentation wird die Finanzierung der investiven und konsumtiven Kosten des Plattformkerns „aktuell geprüft“, ebenso die rechtssicheren Beauftragungs- und Bezugswege. Der Meilensteinplan soll erst auf der 52. Sitzung des IT-Planungsrats im März 2027 vorgestellt werden, so steht es auf der Zeitplan-Seite.

Das heißt: Eine Kommune weiß heute weder, was die Nutzung kostet, noch auf welchem Vertragsweg sie die Dienste bezieht, noch wann welcher Baustein fertig ist. Die im Webinar gestellten Fragen der Kommunen hat der DStGB gesammelt ans Ministerium gegeben, die Antworten sollen auf der BMDS-Seite erscheinen.

Die Gegenposition: Wem der Stack nicht weit genug geht

Die Open Source Business Alliance hat im Februar 2026 zur zweiten Konsultation Stellung genommen. Nach Bericht von heise kritisiert sie, dass „Lösungen europäisch souveräner Anbieter“ mit Open Source gleichgestellt werden, und nennt die Gefahr „Sovereignty Washing“. Ihr Vorstandsvorsitzender Peter Ganten sagt laut it-daily, ohne durchgängige Open-Source-Strategie „bleibt echte digitale Souveränität unerreichbar“.

Der Verein D64 fragte schon 2025 gegenüber netzpolitik.org, wer den Stack betreibt, finanziert und dafür haftet. Die DIHK verlangt in ihrer Stellungnahme vor allem Klarheit und Verbindlichkeit.

Fairerweise: Das Ministerium hat einen Punkt. Wer alles auf einmal vorschreibt, bekommt nichts fertig. Ein kleiner Plattformkern mit fünf Basisdiensten, der 2028 tatsächlich läuft, wäre mehr, als das Onlinezugangsgesetz in Jahren geliefert hat. Und das Ministerium betont, dass vorhandene Einzellösungen nicht verworfen werden müssen. Nur darf man dann nicht „Souveränität“ über das Ganze schreiben und den Arbeitsplatz ausklammern, an dem die Abhängigkeit jeden Morgen hochfährt.

Microsoft ablösen in der Kommune: Komponente für Komponente

Hier die Beispielkommune gegen den Stack gehalten. Die mittlere Spalte gibt wieder, was Beschluss und Standards hergeben, die rechte ist meine Einschätzung.

Hyper-V, VMware, Proxmox: Der Hypervisor lässt sich tauschen

Unter den Windows-Servern liegt die Virtualisierung, und auch dort sitzt in den meisten Kommunen vermutlich ein proprietäres Produkt: Hyper-V, weil es bei Windows Server dabei ist, oder VMware. Zahlen dazu kenne ich nicht, das ist mein Eindruck. Wer VMware betreibt, hat seit der Übernahme durch Broadcom ein zusätzliches Problem. Um die neuen Lizenzbedingungen gibt es so viel Streit, dass sich laut Bericht von computing.co.uk die EU eingeschaltet hat.

Die freie Alternative heißt Proxmox VE, eine Open-Source-Plattform, die den KVM-Hypervisor und Linux-Container (LXC) zusammenführt. Der Hersteller, die 2005 gegründete Proxmox Server Solutions GmbH, verlangt nach eigener Angabe keine Lizenzkosten und bietet Subskriptionen optional an. Ich betreibe selbst einen Proxmox-Cluster und würde nicht zurückwechseln. Von allen Schritten in diesem Artikel ist das der, den eine Kommune am ehesten allein schafft.

Nur sollte niemand glauben, damit sei die Microsoft-Frage erledigt. Auf dem freien Hypervisor laufen weiter Windows-Server, und für die gilt Microsofts Lizenzmodell unverändert. Antworten in Microsofts eigenem Q&A-Forum sagen es ausdrücklich: Die Lizenz hängt an der physischen Hardware, nicht am Hypervisor, ob Hyper-V, VMware oder Proxmox.

Microsoft-Lizenzkosten: Die Rechnung läuft pro Benutzer

Wer über Microsoft-Kosten redet, denkt zuerst an die Serverlizenzen. In der Praxis sind sie der kleinere Posten. Laut Microsofts Lizenzleitfaden für Windows Server 2025 müssen alle physischen Kerne eines Hosts lizenziert werden, mindestens 16 pro Server. Die Standard-Edition deckt damit zwei virtuelle Maschinen ab, Datacenter beliebig viele. Datacenter rechnet sich deshalb erst, wenn genügend Windows-VMs auf dem Host laufen. Dann aber kosten die Windows-Betriebssysteme der Gäste nichts extra, und das einzelne Serverbetriebssystem ist kein Kostentreiber mehr.

Der große Posten sind die Lizenzen je Benutzer. Der Leitfaden verlangt für jeden Benutzer oder jedes Gerät, das auf einen lizenzierten Server zugreift, eine Windows-Server-CAL. CAL steht für Client Access License, also eine Zugriffslizenz. Für die RDS-Farm kommt je Benutzer eine RDS-CAL obendrauf, für das Postfach eine Exchange-CAL, dazu die Office-Lizenz. In einer typischen Kommune, die zentral in der RDS-Farm arbeitet, sind das vier Lizenzen pro Kopf, und jede neue Stelle bringt alle vier mit.

Dazu kommt, dass diese Lizenzen altern. Eine CAL erlaubt laut Leitfaden den Zugriff auf „the same version, or earlier versions“ der Serversoftware. Wer seine Server von 2019 auf 2025 hebt, braucht also für alle Benutzer neue CALs, auch wenn sich an deren Arbeit nichts ändert. Bei Exchange ist der Kauf auf Vorrat ganz vorbei: Für die Exchange Server Subscription Edition müssen nach den Product Terms, wie sie im Microsoft-Q&A zitiert werden, auch die CALs als Abonnement oder mit aktiver Software Assurance vorliegen. Office LTSC 2024 läuft im Oktober 2029 aus dem Support.

Das ist der Kern der Abhängigkeit, und er hat mit dem Hypervisor nichts zu tun. Eine Kommune kann Proxmox einführen, Datacenter-Lizenzen sauber ausnutzen und alle Infrastrukturdienste auf Linux ziehen. Solange die Beschäftigten sich an einer Windows-Domäne anmelden, in einer RDS-Sitzung arbeiten, ein Exchange-Postfach haben und Word öffnen, zahlt sie für jeden von ihnen weiter, und bei jedem Versionswechsel wieder.

Sparen lässt sich daher nur, indem man ganze Dienste ablöst: Fällt Exchange weg, fallen die Exchange-CALs weg. Fällt die RDS-Farm weg, fallen die RDS-CALs weg. Die Server-CAL verschwindet erst, wenn kein Benutzer mehr auf einen Windows-Server zugreift, also praktisch zuletzt. Der Deutschland-Stack sagt zu alledem nichts.

Active Directory, AD FS und AD LDS

Für AD FS gibt es die sauberste Antwort. Der Stack legt OAuth und OpenID Connect fest, und Keycloak spricht OpenID Connect, OAuth 2.0 und SAML, bindet LDAP und Active Directory als Benutzerquelle ein und hat eine Kerberos-Brücke. Man kann Keycloak also vor ein bestehendes AD stellen und AD FS ablösen, ohne die Domäne anzufassen. Das ist der eine Schritt, den ich jeder Kommune schon heute empfehlen würde.

Das Active Directory selbst ist schwieriger. Univention dokumentiert für UCS einen AD Takeover: Benutzer, Gruppen, Computerobjekte und Gruppenrichtlinien werden übernommen, die Windows-Clients müssen der Domäne nicht neu beitreten. Die Grenzen stehen ebenfalls im Handbuch: Microsoft-Domänencontroller können einer Samba-Domäne nicht beitreten. Samba bietet die Funktionsebene 2016 seit Version 4.20 nur als Option an, die laut Release Notes noch neu und nicht voreingestellt ist.

Schleswig-Holstein, das am weitesten ist, beschreibt den Microsoft-Verzeichnisdienst auf seiner Projektseite als Instanz, ohne die die Arbeitsfähigkeit der Behörden nicht sicherzustellen ist, und arbeitet an einer Teststellung für die Ablösung. Wenn ein Land mit Dataport im Rücken dafür Jahre braucht, sollte eine Gemeinde mit einer IT-Stelle das nicht als Wochenendprojekt planen. Ob Produkte wie eine Kennwortrichtlinien-Erweiterung oder eine Smartcard-Anmeldung an Samba-AD funktionieren, habe ich nicht getestet.

Windows Server und die RDS-Farm

Hier gibt es einen Termin, der unabhängig vom Deutschland-Stack läuft: Der erweiterte Support für Windows Server 2019 endet im Januar 2029. Windows Server 2025 läuft bis November 2034. Jede Kommune mit 2019er-Servern muss also bis Ende 2028 entscheiden, was neu aufgebaut wird, und das ist der Moment, an dem man Dienste trennen kann. Es ist auch der Moment, an dem die neuen CALs fällig werden.

Datei-, Druck-, DNS- und DHCP-Dienste brauchen kein Windows. Die RDS-Farm braucht es, solange die Anwendungen darauf Windows-Programme sind. Ich halte sie deshalb nicht für das Problem, sondern für die Brücke: Wenn die Fachanwendung zentral auf einem Session Host läuft, ist dem Endgerät das Betriebssystem egal. Schleswig-Holstein plant genau so und will Fachverfahren, die nicht betriebssystemunabhängig laufen, ersetzen oder über einen Remote-Dienst bereitstellen.

Die Brücke hat ihren Preis: Jeder Nutzer, der sie betritt, braucht Server-CAL und RDS-CAL. Wer den Laptop auf Linux umstellt und die Fachverfahren per RDS liefert, spart die Windows-Lizenz am Client und zahlt den Rest weiter.

MS SQL Server

Der Stack nennt SQL, ODBC und JDBC, also Schnittstellen und keine Produkte. SQL Server läuft laut Microsoft-Dokumentation seit Version 2017 auf Linux, mit derselben Datenbank-Engine, unterstützt auf Red Hat und Ubuntu bis einschließlich SQL Server 2025. SUSE wird ab 2025 nicht mehr unterstützt.

Das nimmt Windows aus der Gleichung, nicht Microsoft. Der Wechsel auf PostgreSQL hängt allein am Hersteller der Anwendung. Solange ein Fachverfahren nur für SQL Server freigegeben ist, verliert man mit einer anderen Datenbank den Support.

Exchange, Office 2024 und openDesk

Office LTSC 2024 wird bis Oktober 2029 unterstützt, einen erweiterten Support gibt es nicht. Der Stack setzt ODF und PDF/UA als Dokumentenformate.

Die Alternative des Bundes heißt openDesk, entwickelt vom ZenDiS, einer GmbH des Bundes. Aktuell ist Version 1.19.1 vom 6. Oktober 2026. Das ist eine Web-Suite mit E-Mail, Kalender, Dateien, Dokumentenbearbeitung, Chat, Videokonferenz, Projekten und Identitätsmanagement; laut einer Pressemitteilung vom Juli sind 100.000 Verwaltungsarbeitsplätze damit ausgestattet. openDesk ersetzt Exchange, SharePoint und Teams, aber kein Betriebssystem und kein Client-Management. Im beschlossenen Portfolio des Deutschland-Stacks taucht openDesk nicht auf.

Für die Lizenzrechnung ist Exchange der lohnendste Kandidat, weil mit dem Dienst eine ganze CAL-Schicht verschwindet und E-Mail am wenigsten an Fachverfahren hängt. Bei Office ist es umgekehrt. Die eAkte-Broschüre der ekom21 wirbt mit der Integration von Microsoft-Office-Werkzeugen, das Modul „eAkte Office“ übergibt Dokumente aus Word per Knopfdruck. Bei SD.NET sind die Dokumentvorlagen laut ekom21-Broschüre Word-Dateien, dazu kommt eine Outlook-Schnittstelle.

Schleswig-Holstein hat für seine E-Akte eine LibreOffice-Erweiterung beauftragt und arbeitet nach eigenen Angaben mit fast 80 Prozent der Arbeitsplätze auf LibreOffice. Dort hat das Land die Anpassung bezahlt. In Hessen müsste das jemand bei der ekom21 bestellen.

Bürgerservice: Die Geräte der Bundesdruckerei laufen nur an Windows-PCs

Ein Punkt fehlt in fast jeder Linux-Debatte, und er wiegt schwerer als Office. Im Bürgerservice stehen Geräte der Bundesdruckerei: das Lesegerät, mit dem Personalausweise geprüft werden, das Änderungsterminal, an dem Bürger ihre PIN setzen oder ändern, und der Fingerabdruckscanner für Pass und Ausweis. Ohne diese Geräte stellt eine Kommune kein einziges Ausweisdokument aus.

Aus meiner Praxis: Diese Geräte laufen ausnahmslos an einem Windows-PC, und zwar direkt am Arbeitsplatzrechner. Das ist keine Bequemlichkeit der Kommune, sondern Vorgabe der Bundesdruckerei. Ein Linux-Client scheidet damit aus, und die Brücke über die RDS-Farm, die bei anderen Fachverfahren trägt, hilft hier nicht, weil die Hardware lokal am Windows-Gerät hängen muss. Eine öffentlich zugängliche Systemanforderung der Bundesdruckerei, die das schwarz auf weiß zeigt, habe ich nicht gefunden; der Produktkatalog der Bundesdruckerei-Gruppe nennt die Geräte, aber keine Betriebssysteme.

Das Unangenehme daran ist der Absender. Die Bundesdruckerei gehört dem Bund. Derselbe Bund schreibt mit dem Deutschland-Stack „Souveränität“ über sein größtes Digitalvorhaben und macht die EUDI-Wallet zum Basisdienst für Identität. An der Stelle, an der diese Identität im Rathaus entsteht, schreibt ein Bundesunternehmen den Kommunen Windows vor.

Solange das so bleibt, gibt es in jeder Kommune mit Pass- und Ausweisbehörde Windows-Arbeitsplätze, egal was mit dem Rest passiert. Man kann sie auf den Bürgerservice begrenzen. Abschaffen kann man sie nicht.

.NET Framework unter Linux: warum die alte Abhängigkeit bleibt

Sie fragen sich vielleicht, warum man die Windows-Programme nicht einfach unter Linux startet. Die Antwort steckt in der Unterscheidung zwischen zwei Dingen, die beide „.NET“ heißen.

Das alte .NET Framework 4 ist laut Microsoft eine reine Windows-Version und gilt als Bestandteil des Betriebssystems. Das moderne .NET ist plattformübergreifend und läuft auf Linux. Eine Serveranwendung auf ASP.NET Core lässt sich also in einen Linux-Container packen und passt damit zum Kubernetes-Standard des Stacks.

Bei Desktop-Programmen hilft das nicht. Windows Forms ist auch in der modernen Fassung ein Framework für Windows-Desktop-Anwendungen. Und beim Portieren fallen Techniken weg, die ältere Fachverfahren gern benutzen: Microsoft listet unter den nicht verfügbaren Technologien Application Domains, .NET Remoting, COM+ über System.EnterpriseServices und Workflow Foundation. WCF-Server gibt es nur noch über das Community-Projekt CoreWCF.

Der frühere Ausweg hieß Mono, eine freie Nachbildung des .NET Framework samt Windows Forms für Linux. Microsoft hat das Projekt im August 2024 an WineHQ abgegeben. Das letzte große Release stammt vom Juli 2019, und Microsoft empfiehlt den Umstieg auf das moderne .NET. Für ein Fachverfahren mit Herstellersupport ist das keine Grundlage.

Für SD.NET heißt das konkret: Die ekom21 bietet den Betrieb im Rechenzentrum über Citrix an, alternativ den autonomen Betrieb im eigenen Haus. Welche Laufzeit und Datenbank der Client genau verlangt, steht in der Broschüre nicht, die Systemvoraussetzungen gibt es auf Anfrage. Dass es sich um einen Windows-Client auf .NET handelt, legen Name und Bereitstellung nahe, belegt habe ich es nicht. Der Citrix-Weg zeigt aber die Richtung: Citrix liefert eine Workspace-App für Linux, derzeit nur für X11 und nicht für Wayland.

Ein Linux-Arbeitsplatz in der Kommune funktioniert also dann, wenn jedes Fachverfahren entweder im Browser läuft oder aus dem Rechenzentrum gestreamt wird. An der Abhängigkeit von Windows ändert das auf dem Server nichts. Sie zieht nur vom Laptop ins Rechenzentrum um, samt Lizenzen. Und im Bürgerservice zieht sie nicht einmal um.

Die größte Hürde: die Menschen am Arbeitsplatz

Bis hierher ging es um Technik und Lizenzen. Wenn Microsoft wirklich ersetzt werden soll, liegt die größte Hürde woanders, nämlich bei den Mitarbeitenden. Viele in der Verwaltung kommen mit Word und Excel gerade so zurecht und nutzen Outlook für ihre E-Mails. Mehr haben sie nie gebraucht, und mehr hat ihnen meist auch niemand beigebracht. Das ist kein Vorwurf. Eine Sachbearbeiterin im Ordnungsamt ist für Ordnungsrecht eingestellt, nicht für Software.

Für diese Kolleginnen und Kollegen ist der Wechsel auf LibreOffice, ein anderes Mailprogramm oder gar einen Linux-Desktop kein Detail. Jeder Handgriff, der seit Jahren sitzt, liegt plötzlich woanders. Die Serienbrief-Vorlage sieht anders aus, die Excel-Tabelle mit den Makros des Vorgängers rechnet nicht mehr, der Kalender lässt sich nicht mehr so freigeben wie gewohnt. Was die IT als gleichwertigen Ersatz verbucht, kommt am Schreibtisch als Störung an, und zwar mitten in der laufenden Arbeit mit Fristen und Publikumsverkehr.

Deshalb braucht eine Ablösung erheblich mehr Schulung, als in den meisten Projektplänen steht. Schleswig-Holstein hat das erkannt: Die Projektseite des Landes nennt ein eigenes Schulungspaket und Schulungen für die Beschäftigten als festen Teil der LibreOffice-Einführung, und das Land stellt nach eigenen Angaben für 2026 neun Millionen Euro an einmaligen Investitionen für Migration und Weiterentwicklung den eingesparten Lizenzkosten gegenüber. Eine Gemeinde hat dafür weder ein Budget noch eine Fortbildungsabteilung.

Ich halte diesen Punkt für entscheidender als jede Frage nach Samba oder Kubernetes. Eine technisch saubere Migration scheitert, wenn nach drei Wochen der halbe Fachbereich beim Bürgermeister steht und Word zurückverlangt. Wer Microsoft ablösen will, muss die Schulung von Anfang an mitfinanzieren, mit Zeit für die Beschäftigten, mit Ansprechpartnern im Haus und mit Geduld über Monate. Im Deutschland-Stack kommt das Thema nicht vor, bei den Festlegungsbedarfen zur IT-Sicherheit steht lediglich ein „Format zu Sensibilisierung von Nutzenden“.

Der Stack kommt obendrauf: Kosten und Kubernetes-Know-how

Aus alledem folgt etwas, das in keiner Präsentation des Ministeriums steht. Der Deutschland-Stack ersetzt in einer Kommune zumindest derzeit keine einzige Microsoft-Komponente. Er liefert Identität, Postfach, Datenaustausch, Registerabruf und Bezahlen für Bürgerdienste. Domäne, RDS-Farm, Exchange, Office und die Fachverfahren laufen daneben unverändert weiter, mit allen Lizenzen.

Für den Haushalt heißt das: Was die Stack-Dienste kosten werden, kommt zu den Microsoft-Lizenzen hinzu, nicht an ihre Stelle. Wie viel das ist, weiß niemand, die Finanzierung wird ja noch geprüft. Vielleicht trägt der Bund den Plattformkern, vielleicht landet ein Teil über Umlagen und Entgelte der IT-Dienstleister bei den Kommunen. Sicher ist nur die Richtung der Rechnung. Wer im Gemeindevorstand „Souveränität“ hört und Einsparungen erwartet, sollte das vorher wissen.

Der zweite Punkt betrifft die Technik. Der Stack setzt auf Kubernetes, CI/CD-Pipelines und Infrastructure as Code. Das ist Stand der Technik und für eine zentrale Plattform richtig. Nur hat nach meinem Eindruck kaum eine Kommune jemanden, der Kubernetes betreibt oder auch nur nutzt. Die IT-Abteilung einer Gemeinde besteht oft aus ein oder zwei Leuten, die Windows-Server, Netzwerk, Telefonie und den Drucker im Standesamt betreuen. Zahlen dazu habe ich nicht, aber ich kenne kein Rathaus dieser Größe mit einem Kubernetes-Cluster.

Das Ministerium hat darauf eine Antwort, und sie steht in den Architekturprinzipien: „Managed Services only“. Die Kommune soll den Stack gar nicht selbst betreiben, sondern Dienste beziehen. Das ist ehrlich, hat aber zwei Folgen. Erstens entsteht eine neue Abhängigkeit, diesmal vom Betreiber der Plattform und vom IT-Dienstleister, der sie vermittelt. Zweitens bleibt das Wissen dort. Wechselfähigkeit, das Mindestmaß an Souveränität laut Kriterienkatalog, setzt voraus, dass jemand im Haus beurteilen kann, was er da bezieht.

Ich halte das nicht für ein Argument gegen den Stack. Eine Gemeinde mit 12.000 Einwohnern soll keinen Cluster betreiben. Aber es zeigt, für wen er gebaut ist: für Länder, IT-Dienstleister und Softwarehersteller, die darauf Dienste entwickeln. Die Kommune ist Kundin, nicht Betreiberin, und sie zahlt künftig an zwei Stellen.

Was Sie als Admin jetzt tun können

Ich würde nicht auf 2028 warten, und ich würde auch nicht den großen Umstieg ausrufen. Diese Schritte kosten wenig und passen zu dem, was der Stack festlegt:

1. Fachverfahren inventarisieren: Client-Typ, Laufzeit, Datenbank, Office-Kopplung, Anmeldeverfahren, angeschlossene Hardware. Ohne diese Liste ist jede Linux-Diskussion Meinung.
2. Die Lizenzen pro Benutzer aufschreiben: Server-CAL, RDS-CAL, Exchange-CAL, Office. Dann sieht man, welcher Dienst welche Schicht verursacht und wo eine Ablösung sich rechnet.
3. Neue Anmeldungen nur noch über OpenID Connect oder SAML bauen und AD FS durch Keycloak ersetzen.
4. Bei jeder Beschaffung drei Fragen stellen: Gibt es einen Web-Client? Läuft der Serverteil auf Linux und PostgreSQL? Kann das Verfahren ODF?
5. Den Neuaufbau der 2019er-Server bis Ende 2028 nutzen, um Infrastrukturdienste von Windows zu lösen, und vorher klären, welche CALs dabei neu fällig werden.
6. Den Hypervisor prüfen. Der Wechsel von VMware zu Proxmox spart die VMware-Kosten, an der Microsoft-Rechnung ändert er nichts.
7. ODF intern als Ablageformat einführen, soweit die Fachverfahren es zulassen.
8. Schulung als eigenen Posten planen, bevor irgendetwas am Arbeitsplatz ersetzt wird: Zeit für die Beschäftigten, feste Ansprechpartner je Fachbereich, und zuerst eine Pilotgruppe, die freiwillig mitmacht.
9. Linux- und Container-Wissen im eigenen Haus aufbauen, in kleinen Schritten. Ein paar Dienste in LXC-Containern oder mit Docker reichen, um mitreden zu können. Einen eigenen Kubernetes-Cluster braucht dafür niemand.
10. Im Haushalt keine Einsparung durch den Stack einplanen und den IT-Dienstleister fragen, welche Entgelte für Stack-Dienste zu erwarten sind.
11. Die ekom21 schriftlich fragen, welche Verfahren wann ohne Windows-Client und ohne Microsoft Office nutzbar sein werden.
12. Den Bürgerservice als eigene Geräteklasse planen: Diese Arbeitsplätze bleiben auf Windows. Und die Frage nach Linux-Unterstützung der Bundesdruckerei gehört in die Feedbackrunden zum Deutschland-Stack.

Punkt 11 und 12 entscheiden darüber, ob eine Ablösung überhaupt möglich wird, Punkt 8 darüber, ob sie gelingt. Die ersten beiden liegen nicht im Rathaus, sondern bei den Herstellern der Fachverfahren, beim kommunalen IT-Dienstleister und bei einem Unternehmen des Bundes.

Fazit

Der Deutschland-Stack ist ein Plattformkern für Bürgerdienste: Anmeldung, Postfach, Datenaustausch, Registerabruf, Bezahlen. Beschlossen sind dafür fünf Basisdienste und eine Liste offener Standards. Betriebssystem, Verzeichnisdienst, Virtualisierung, Terminalserver und Fachverfahren kommen darin nicht vor, und Finanzierung, Bezugswege und Meilensteine sind offen bis mindestens März 2027.

Für die Microsoft-Ablösung liefert er trotzdem etwas Brauchbares, nämlich Argumente für Ausschreibungen. ODF, OpenID Connect, offene Schnittstellen und Kubernetes sind vom IT-Planungsrat beschlossen. Wer das in Leistungsbeschreibungen schreibt, zwingt Hersteller in die richtige Richtung.

Was die Kommune selbst tun kann, ist überschaubar: Proxmox statt VMware oder Hyper-V, Keycloak statt AD FS, Linux für die Infrastrukturdienste. Das ist richtig, aber es ändert an der Microsoft-Rechnung wenig. Die läuft pro Benutzer, über Server-, RDS- und Exchange-CALs und über Office, und sie wird mit jeder neuen Version neu gestellt. Solange Fachverfahren eine Windows-Domäne, eine RDS-Sitzung und Word verlangen, bleibt jeder Beschäftigte ein Lizenzfall.

Der Stack kommt deshalb vorerst obendrauf, als zweite Rechnung neben der ersten, gebaut auf einer Technik, die im Rathaus kaum jemand beherrscht. Das spricht nicht gegen ihn. Es spricht dagegen, ihn den Kommunen als Entlastung zu verkaufen.

Und selbst wenn Hersteller und Bund morgen alle technischen Hürden abräumten, säße die größte noch am Schreibtisch. Menschen, die seit zwanzig Jahren mit Word, Excel und Outlook arbeiten, wechseln nicht per Beschluss. Ohne Geld und Zeit für Schulung bleibt jede Ablösung ein Papier.

Was fehlt, ist ein Baustein für den Verwaltungsarbeitsplatz samt Verzeichnisdienst und eine Pflicht für Fachverfahrenshersteller, betriebssystemunabhängige Clients zu liefern. Anfangen könnte der Bund bei sich selbst: Solange die Geräte der Bundesdruckerei nur an Windows-PCs laufen, bleibt jede Pass- und Ausweisbehörde im Land an Microsoft gebunden. Das halte ich für die eigentliche Lücke im Stack, und ich finde, die Kommunen sollten sie in den angekündigten Feedbackrunden benennen.

Das Exchange 2016/2019 ESU läuft mit dem Oktober 2026 aus. Danach gibt es für beide Versionen keine Sicherheitsupdates mehr, auch nicht gegen Bezahlung. Bis zum 31. Oktober sind es von heute an noch 19 Tage.

Dieser Beitrag stellt zusammen, was Microsoft dazu selbst veröffentlicht hat: Fristen, Umfang des ESU und die unterstützten Wege zu Exchange Server SE. Anlass ist ein Beitrag bei „Der Windows Papst“ vom 12. Oktober, dessen Angaben ich gegen die Microsoft-Quellen geprüft habe.

Was Microsoft zum Ende des ESU sagt

Am 20. Juli 2026 hat das Exchange-Team den Beitrag „Reminder: Exchange 2016 and 2019 ESU Program Ends in October 2026“ veröffentlicht. Der Kernsatz lautet: „There will be no further extension of Exchange 2016/2019 ESU program timeline.“ Das gilt nach Microsofts Angaben auch für Kunden, die aktuell ein Period-2-ESU haben.

Im selben Beitrag räumt das Team ein, dass es schon beim ersten ESU eine Verlängerung ausgeschlossen und dann doch eine zweite Periode aufgelegt hatte. Diesmal bleibt es laut Microsoft dabei.

Die Supportdaten im Überblick

Die Daten stammen aus den Lifecycle-Seiten für Exchange Server 2016 und Exchange Server 2019 sowie aus den Beiträgen des Exchange-Teams.

Der letzte reguläre Patchday innerhalb der ESU-Laufzeit ist der 13. Oktober 2026, also morgen. Ob Microsoft an diesem Tag Exchange-Updates veröffentlicht, steht vorab nicht fest.

Was ESU Period 2 abdeckt

In den monatlichen Update-Beiträgen, zuletzt im August 2026, schreibt Microsoft: „Exchange Server 2016 and 2019 are out of support.“ Sicherheitsupdates für diese Versionen erhalten nur Organisationen, die im Period-2-ESU eingeschrieben sind.

Abgedeckt sind Exchange Server 2016 CU23 sowie Exchange Server 2019 CU14 und CU15. Allen anderen Kunden empfiehlt Microsoft, so schnell wie möglich auf Exchange Server SE zu wechseln.

Die Details stehen in der Ankündigung von Period 2 vom April 2026. Fachmedien geben sie übereinstimmend so wieder:

• Updates gibt es nur für Schwachstellen der Stufen „Critical“ und „Important“.
• Die Updates werden privat verteilt, nicht über das Download Center oder Windows Update.
• Supportfälle sind nur möglich, wenn sie ein ESU-Update selbst betreffen.
• Der Kauf läuft über das Microsoft-Account-Team; Period-1-Kunden mussten Period 2 neu erwerben.

Von Exchange 2019 per In-Place-Upgrade zu Exchange Server SE

Microsoft beschreibt in der Upgrade-Dokumentation zwei Wege. Für Exchange 2019 CU14 oder CU15 ist ein In-Place-Upgrade unterstützt. Exchange SE wird dabei über die bestehende Installation gesetzt, vergleichbar mit einem kumulativen Update.

Exchange SE RTM ist laut der Seite „What’s new in Exchange Server SE“ codegleich mit Exchange 2019 CU15. Unterschiede gibt es nur bei Lizenzvertrag, Produktname und Buildnummer. Neue Funktionen kommen ab CU1.

Zum Product Key: SE RTM verlangt keinen neuen Schlüssel. Microsoft kündigt aber an, dass ein künftiges kumulatives Update einen neuen Product Key voraussetzen wird.

Von Exchange 2016 nur per Migration

Für Exchange 2016 gibt es kein In-Place-Upgrade. Microsoft verlangt ein „Legacy Upgrade“: neue Server in die Organisation aufnehmen, Postfächer und Ressourcen verschieben, alte Server deinstallieren. Das Ziel kann Exchange SE direkt sein oder zunächst Exchange 2019 CU14/CU15 mit anschließendem In-Place-Upgrade.

Dasselbe gilt bei einem Wechsel der Hardware oder der Windows-Server-Version. Ein In-Place-Upgrade des Betriebssystems mit installiertem Exchange unterstützt Microsoft nicht.

Exchange SE CU2 blockiert die Koexistenz

Die Upgrade-Dokumentation nennt zwei Einschränkungen. Das Setup von Exchange SE RTM verhindert die Koexistenz mit Exchange 2013. Das Setup von Exchange SE CU2 wird die Koexistenz mit jeder Exchange-Version unterbinden, die zum Veröffentlichungszeitpunkt nicht mehr unterstützt ist. Das betrifft Exchange 2016 und 2019.

Wer noch migriert, muss die alten Server also vor der Installation von CU2 aus der Organisation entfernt haben. Ein Veröffentlichungsdatum für CU2 konnte ich bei Microsoft nicht verifizieren.

Windows Server 2016 läuft im Januar 2027 aus

Die Supportability Matrix listet für Exchange SE Windows Server 2019, 2022 und 2025. Exchange 2016 läuft höchstens auf Windows Server 2016. Dessen Extended Support endet im Januar 2027.

Ein Exchange 2016 auf Windows Server 2016 verliert damit innerhalb von drei Monaten die Updates für Anwendung und Betriebssystem. Exchange SE selbst fällt unter die Modern Lifecycle Policy und ist seit dem 1. Juli 2025 im Support.

Fazit

Mit dem Oktober 2026 endet die Update-Versorgung für Exchange 2016 und 2019 vollständig, und Microsoft hat eine dritte ESU-Periode ausgeschlossen. Für Exchange 2019 CU14/CU15 ist das In-Place-Upgrade auf Exchange SE der unterstützte Weg. Für Exchange 2016 bleibt nur die Migration auf neue Server.

Prüfen Sie diese Woche Build-Stand und Betriebssystem jedes Exchange-Servers, auch der Maschinen, die nur noch für Relay oder Hybrid-Verwaltung laufen. Gleichen Sie das Ergebnis mit der Supportability Matrix ab und legen Sie danach den Upgrade-Pfad fest.

Wer RD Web Access betreibt, also das Webportal der Remotedesktopdienste von Windows Server, bekommt Mitte November ein Problem. Google will XSLT mit Chrome 158 für alle Nutzer der Stable-Version abschalten, geplant ist der 17. November 2026. Das Portal braucht genau diese Browserfunktion, um seine Oberfläche aufzubauen. Ohne sie sehen Ihre Nutzer eine Fehlermeldung statt ihrer RemoteApps.

Microsoft hat dazu am 6. Oktober den Supportartikel KB5130994 veröffentlicht und zwei Tage später über das Message Center nachgelegt. Einen Fix gibt es noch nicht, nur drei Umgehungen. Ich gehe sie hier durch und sage, welche ich nehmen würde.

Was Microsoft in KB5130994 und im Message Center mitteilt

Der Supportartikel KB5130994 gilt für Windows Server 2016, 2019, 2022 und 2025. Betroffen ist damit jede noch unterstützte RDS-Umgebung, in der das mitgelieferte Webportal läuft. Die Fehlermeldung im Browser lautet Unable to display RD Web Access.

Am 8. Oktober folgte die Message-Center-Meldung MC1491832, eingestuft als „Major change“ mit Auswirkung für Admins. Sie sagt im Kern dasselbe: Nutzer könnten nicht mehr auf ihre Remote-Ressourcen zugreifen, Organisationen sollen sich vorbereiten. Einen Termin nennt Microsoft nicht, in der Meldung steht nur „in the short term“.

Unter „Lösung“ steht im Supportartikel, Microsoft arbeite daran und werde sich melden. Im selben Artikel heißt es aber auch, die Symptome seien kein Problem, das gelöst werden müsse, sondern eine notwendige Folge der branchenweiten Härtung. Beides zusammen passt nicht recht. Ich lese es so: Der Fix kommt irgendwann, einen Termin sollte man nicht einplanen.

Warum RD Web Access ohne XSLT nicht lädt

XSLT ist eine Sprache, die XML-Daten in andere Formate umwandelt, im Browser meist in HTML. RD Web Access liefert seine Inhalte als XML aus und überlässt die Umwandlung dem XSLT-Prozessor des Browsers. Fehlt der, bleibt es bei der Fehlermeldung.

Dass der Prozessor verschwindet, hat einen guten Grund. Google begründet den Schritt in seiner Ankündigung zur XSLT-Entfernung vom 29. Oktober 2025 mit der Bibliothek libxslt, einer alten C-Codebasis mit wiederholt schweren Speicherfehlern. Als Beispiele nennt Google CVE-2025-7425 und CVE-2022-22834. Genutzt werde XSLT nur noch bei etwa 0,02 Prozent aller Seitenaufrufe. Laut Google haben auch die Firefox- und WebKit-Projekte angekündigt, XSLT zu entfernen.

Fairerweise: Aus Sicht eines Browserherstellers ist das die richtige Entscheidung. Eine kaum genutzte Funktion, die regelmäßig Lücken für Codeausführung liefert, gehört nicht in ein Programm, das ungeprüfte Inhalte aus dem Internet verarbeitet. Nur stecken in den 0,02 Prozent eben auch Portale, über die ganze Belegschaften an ihre Arbeitsumgebung kommen.

Der Zeitplan: XSLT in Chrome 158 und Edge

Google hat den Ablauf früh veröffentlicht. Die Stationen laut Chrome-Dokumentation:

• Chrome 142 (28. Oktober 2025): erste Warnungen in der Konsole
• Chrome 143 (2. Dezember 2025): offizielle Abkündigung
• Chrome 146 (10. März 2026): Unternehmensrichtlinie XSLTEnabled verfügbar
• Chrome 152 (25. August 2026): Origin Trial für Websites startet
• Chrome 158 (17. November 2026): XSLT in Stable aus, außer mit Richtlinie oder Origin Trial
• Chrome 176 (17. August 2027): Richtlinie und Origin Trial enden

Für Edge gibt es keine eigene Zusage. Laut Edge-Veröffentlichungsplan ist Version 158 für die Woche des 19. November 2026 im Stable-Kanal vorgesehen, und Edge-Hauptversionen folgen dem jeweiligen Chromium-Release. Dass Edge 158 XSLT abschaltet, ist deshalb naheliegend, von Microsoft aber nicht ausdrücklich bestätigt.

Bei der Laufzeit der Richtlinie widersprechen sich Googles eigene Seiten. Die Entwicklerdokumentation nennt Chrome 176, die Richtlinienbeschreibung bei Chrome Enterprise dagegen eine Entfernung in M164. Microsoft schreibt zur Edge-Richtlinie nur, sie sei temporär. Ich plane mit dem früheren Wert.

Drei Workarounds für RD Web Access im Vergleich

XSLT per Richtlinie XSLTEnabled wieder einschalten

Das ist der schnellste Weg. Die Richtlinie XSLTEnabled mit dem Wert 1 hält XSLT am Leben, unabhängig vom Standard des Browsers. Microsoft nennt im Supportartikel diese Befehle für eine Eingabeaufforderung mit erhöhten Rechten:

reg add "HKLM\SOFTWARE\Policies\Microsoft\Edge" /v XSLTEnabled /t REG_DWORD /d 1 /f
reg add "HKLM\SOFTWARE\Policies\Google\Chrome" /v XSLTEnabled /t REG_DWORD /d 1 /f

In der Domäne setzen Sie das besser per Gruppenrichtlinie. Die Edge-Richtlinie XSLTEnabled liegt unter „Administrative Templates/Microsoft Edge“ und wird ab Edge 147 unterstützt. Danach den Browser neu starten.

Die Richtlinie hat zwei Schwächen. Sie schaltet XSLT für alle Websites wieder ein, nicht nur für Ihr Portal, und damit auch die Angriffsfläche, die Google gerade entfernen will. Und sie erreicht nur verwaltete Geräte. Der private Rechner im Homeoffice oder das Notebook eines externen Dienstleisters bekommt Ihre GPO nicht.

Der HTML5-Webclient als Ersatz

Der Remotedesktop-Webclient ist eine eigene Webanwendung auf dem RD-Web-Access-Server und kommt ohne XSLT aus. Er liegt unter https://<Server-FQDN>/RDWeb/webclient/index.html. Nutzer starten ihre Sitzung dort direkt im Browser oder laden die RDP-Datei herunter.

Installiert wird er per PowerShell aus der PowerShell Gallery, die Schritte stehen in Microsofts Anleitung zum Remotedesktop-Webclient. Die Voraussetzungen sind nicht in jeder Umgebung erfüllt: RD-Gateway, Verbindungsbroker und RD Web Access, Lizenzierung pro Benutzer statt pro Gerät sowie öffentlich vertrauenswürdige Zertifikate für Gateway und Web Access. Hinter einem Web Application Proxy wird der Client laut Microsoft nicht unterstützt.

Wer seinen Nutzern weiter RDP-Dateien geben will, kann das erzwingen:

Set-RDWebClientDeploymentSetting -Name "LaunchResourceInBrowser" $false

Edge im Internet-Explorer-Modus

Der dritte Weg: die Portal-URL in Edge in die Liste der Seiten für den IE-Modus aufnehmen. Beim ersten Aufruf fragt Edge laut Microsoft nach der Erlaubnis für ActiveX, damit das einmalige Anmelden funktioniert.

Ich halte das für die schwächste der drei Optionen. Eine Sicherheitshärtung mit dem Internet-Explorer-Modus und ActiveX zu umgehen, ist ein seltsamer Tausch. Chrome-Nutzern hilft es ohnehin nicht.

Was das für Kommunen und kleine IT-Abteilungen bedeutet

RD Web Access ist in vielen Verwaltungen der Einstieg für alle, die nicht am Büroarbeitsplatz sitzen: Homeoffice, Außenstellen, Bereitschaftsdienste, externe Dienstleister. Fällt das Portal aus, landen die Anrufe bei Ihnen, und zwar am Morgen nach dem Browserupdate. Browser aktualisieren sich gestaffelt, die Meldungen kommen also über Tage verteilt.

Das Verhalten lässt sich schon heute nachstellen. Setzen Sie XSLTEnabled auf einem Testrechner auf 0, dann ist XSLT dort abgeschaltet und Sie sehen, was Ihre Nutzer im November sehen. Prüfen Sie dabei auch, wer von unverwalteten Geräten kommt, denn für diese Gruppe scheidet die Richtlinie aus.

Meine Reihenfolge wäre: jetzt den Webclient einrichten und testen, die Richtlinie als Überbrückung für verwaltete Geräte verteilen und den Nutzern die neue Adresse rechtzeitig mitteilen. Die Richtlinie allein verschiebt das Problem nur. Ob der Webfeed für „RemoteApp- und Desktopverbindungen“ ebenfalls betroffen ist, sagt Microsoft nicht. Ich habe es nicht getestet.

Ein Wort zu Microsoft. Google hat die Abschaltung am 29. Oktober 2025 angekündigt, der Supportartikel erschien am 6. Oktober 2026. Zwischen dem Artikel und dem Stichtag in Chrome liegen sechs Wochen. Für eine Komponente, die seit Server 2016 in jedem RDS-Deployment steckt, ist das zu knapp, zumal das Ergebnis drei Notlösungen sind und kein Update.

Fazit

RD Web Access hängt an einer Browserfunktion, die Chrome am 17. November 2026 abschaltet und Edge voraussichtlich in derselben Woche. Die Abschaltung ist sicherheitstechnisch begründet, wurde früh angekündigt und kommt trotzdem für viele überraschend, weil Microsoft erst im Oktober reagiert hat. Die Richtlinie XSLTEnabled verschafft Zeit, der HTML5-Webclient löst das Problem.

Stellen Sie diese Woche auf einem Testclient XSLTEnabled auf 0 und rufen Sie Ihr Portal auf. Danach wissen Sie, wie viel Arbeit bis zum 17. November vor Ihnen liegt.

Quellen:

• Microsoft Support, KB5130994 (06.10.2026),
• Microsoft 365 Message Center, MC1491832, über das Archiv mc.merill.net (08.10.2026),
• Chrome for Developers, „Removing XSLT for a more secure browser“ (29.10.2025),
• Chrome Enterprise, Richtlinie XSLTEnabled (abgerufen 12.10.2026),
• Microsoft Learn, Edge-Richtlinie XSLTEnabled (Stand 22.05.2026),
• Microsoft Learn, Edge-Veröffentlichungsplan (Stand 25.09.2026),
• Microsoft Learn, Remotedesktop-Webclient einrichten (Stand 15.04.2025)

Ein Windows 11, modular aufgebaut, bei dem jede Zusatzfunktion installierbar und wieder entfernbar ist: Das fordere ich seit Januar. Jetzt liefert Microsofts Designchef die Begründung, warum es angeblich so schwer ist, es allen recht zu machen. Diego Baca, Vice President of Design bei Windows, schrieb auf X, ein Betriebssystem für mehr als eine Milliarde Menschen zu gestalten sei eine der größten Herausforderungen: „Everyone has different preferences and workflows.” Windows Latest machte daraus die Schlagzeile, Windows 11 könne nicht alle Nutzer zufriedenstellen.

Ich halte das für eine Ausrede. Und zwar für eine, die Microsoft mit dem eigenen Produkt widerlegt.

Fairerweise vorweg: Der Satz „geht nicht” stammt in dieser Schärfe aus der Überschrift, nicht aus Bacas Mund. Er antwortete einem Nutzer, der sich wünschte, die neue Windows-Suche möge das Startmenü ablösen, und kündigte im selben Beitrag mehr Anpassbarkeit an. Nur ändert das nichts am Kern. Wer unterschiedliche Vorlieben als Problem beschreibt, hat die Lösung schon benannt. Er müsste sie nur bauen.

Unterschiedliche Vorlieben sind ein Argument für Windows Features, nicht dagegen

Wenn eine Milliarde Menschen Verschiedenes wollen, gibt es zwei Wege. Entweder man liefert allen alles und lässt sie hinterher aufräumen. Oder man liefert ein Grundsystem und lässt jeden dazunehmen, was er braucht. Microsoft hat sich für den ersten Weg entschieden und erklärt die Folgen dann zur Naturgewalt.

Dabei existiert der zweite Weg in Windows seit Jahren. Der Dialog „Windows-Features aktivieren oder deaktivieren” schaltet Komponenten wie Hyper-V oder die Sandbox ein und aus. Daneben gibt es die Features on Demand: Funktionspakete, die sich laut Microsofts eigener Dokumentation jederzeit hinzufügen lassen, bei Bedarf über Windows Update nachgeladen und per DISM wieder entfernt werden. Der Mechanismus ist da, dokumentiert und im Einsatz.

Meine Forderung aus dem Beitrag vom Januar bleibt deshalb dieselbe: Jede neue Funktion, jede Ergänzung, jedes Extra muss vollständig über diesen Weg installierbar und deinstallierbar sein. Ohne Ausnahme.

Microsoft beweist selbst, dass es geht – viermal

Recall. Die umstrittenste Funktion der letzten Jahre ist eine optionale Komponente. Auf verwalteten Geräten ist Recall standardmäßig deaktiviert und entfernt, und Microsoft nennt in der Dokumentation selbst den PowerShell-Befehl, mit dem die Binärdateien vom Gerät verschwinden. Was bei Recall geht, geht technisch auch bei Copilot, Widgets und dem Nachrichten-Feed.

Dann Edge. Microsofts Support erklärt, der Browser sei ein wesentlicher Bestandteil des Betriebssystems und lasse sich deshalb nicht deinstallieren. Im Europäischen Wirtschaftsraum lässt er sich seit der Umsetzung des Digital Markets Act deinstallieren, ebenso die Bing-Websuche. Derselbe Browser, dasselbe Windows, nur eine andere Region im Setup. „Wesentlicher Bestandteil” ist also eine Frage der Rechtslage und keine der Technik.

Drittens die vorinstallierten Apps. Seit Version 25H2 können Administratoren ausgewählte Store-Apps per Richtlinie entfernen, allerdings nur unter Windows 11 Enterprise und Education. Wer Pro oder Home einsetzt, geht leer aus. Die Funktion existiert, sie wird nur nach Lizenz zugeteilt.

Und viertens, mein Lieblingsbeispiel: Windows Server. Dort fragt der Setup-Assistent, ob Sie Server Core oder die Variante mit Desktop Experience installieren wollen, und Microsoft empfiehlt ausdrücklich die schlanke Fassung, unter anderem wegen der deutlich kleineren Angriffsfläche. Microsoft baut also längst ein Windows mit Auswahlmenü bei der Installation und rät den eigenen Kunden zur Minimalversion. Nur eben nicht auf dem Client.

Linux macht die Auswahl bei der Installation seit Jahrzehnten vor

Der Vergleich mit Linux ist unbequem, weil er so simpel ist. Der Debian-Installer richtet zuerst ein Basissystem ein und bietet danach vordefinierte Aufgabenpakete an, etwa Desktop-Umgebung, Webserver oder SSH-Server. Man kann jede Vorauswahl abwählen und sogar gar kein Paket installieren; dasselbe Werkzeug lässt sich später jederzeit erneut starten.

Genau das beschreibe ich für Windows: zurück auf ein absolutes Basissystem, im Setup ein Menü mit Zusatzfunktionen und Anwendungen, und alles Weitere später nachinstallierbar. Andere Distributionen legen dafür eigene Oberflächen oder Software-Center obendrauf. Das ist keine Raketenwissenschaft, und es wird von Freiwilligenprojekten gepflegt, nicht von einem der wertvollsten Konzerne der Welt.

Was für Microsofts Sicht spricht

Es gibt Gegenargumente, und sie sind nicht dumm. Jede abwählbare Komponente vervielfacht die Kombinationen, die getestet und gepatcht werden müssen. Abhängigkeiten sind real: DISM verweigert das Entfernen einer Komponente, von der andere Pakete abhängen, und selbst bei Windows Server lässt sich nach der Installation nicht mehr zwischen Core und Desktop Experience wechseln. Viele Anwendungen setzen auf die Web-Plattform, die mit Edge kommt. Und ein Laie, der im Setup zwanzig Häkchen sieht, ist damit nicht glücklicher.

Dazu kommt: Microsoft hat seit März geliefert. Die Taskleiste lässt sich wieder nach oben oder an die Seite schieben, der Empfohlen-Bereich im Startmenü ist ausblendbar, Web-Ergebnisse in der Suche sind abschaltbar.

Nur: Keines dieser Argumente trägt die Behauptung, es ginge nicht. Abhängigkeiten löst jeder Paketmanager seit dreißig Jahren automatisch auf. Die Testmatrix beherrscht Microsoft beim Server und bei den EWR-Varianten bereits. Und für Laien gibt es eine Vorauswahl namens „Standard”. Was übrig bleibt, ist ein Schalter zum Ausblenden hier und einer dort. Ausblenden ist aber nicht Deinstallieren.

Woran es tatsächlich liegt: 100-mal „Agent”, dreimal Windows 11

Wo die Prioritäten liegen, hat Microsoft am 7. Oktober selbst vorgeführt. Beim ersten großen Windows-Event seit zwei Jahren fielen laut einer Zählung von Windows Latest in rund 70 Minuten 100-mal „agent”, „agents” oder „agentic”, 71-mal „models”, 36-mal „Copilot”, 31-mal „AI” und 24-mal „hybrid intelligence”. „Windows 11″ kam dreimal vor. „Fix”, „bug”, „reliability”, „stability” und „feedback”: kein einziges Mal. Zusammengerechnet sind das 262 KI-Begriffe, Windows Latest rundet auf knapp 300.

Im März klang das anders. Windows-Chef Pavan Davuluri versprach, unnötige Copilot-Einstiegspunkte zu reduzieren, und stellte KI in Windows unter das Motto „transparency, choice and control”. Die zugesagte Optimierung für Geräte mit 8 GB Arbeitsspeicher ist nach derselben Auswertung erneut angekündigt, aber nicht ausgeliefert.

Hier liegt meine Bewertung, und ich trenne sie bewusst von den Fakten oben: Ein deinstallierbarer Copilot wäre ein Copilot, den viele deinstallieren. Ein abwählbarer Nachrichten-Feed bringt keine Reichweite. Modularität scheitert bei Microsoft nicht an der Technik, sie kollidiert mit dem Geschäftsmodell. Das ist legitim, aber dann soll man es so sagen und nicht eine Milliarde Nutzer vorschieben.

Was Sie als Admin heute schon tun können

Warten müssen Sie nicht auf alles. Recall entfernen Sie mit Disable-WindowsOptionalFeature -Online -FeatureName "Recall" -Remove. Auf Enterprise- und Education-Geräten ab 25H2 räumen Sie Store-Apps über die Richtlinie „Remove default Microsoft Store packages from the system” ab. Und weil Deutschland zum EWR gehört, lassen sich Edge und die Bing-Websuche regulär deinstallieren. Achten Sie beim Betanken auf die Region: Sie wird im Setup festgelegt und lässt sich für diese Zwecke nur durch Zurücksetzen des Geräts ändern.

Für kleine Verwaltungen mit Pro-Lizenzen bleibt es bei Skripten, die nach jedem Funktionsupdate nachgepflegt werden müssen. Genau diese Arbeit ließe sich mit einer sauberen Feature-Liste ersparen.

Fazit

Baca hat recht damit, dass eine Milliarde Menschen Verschiedenes wollen. Daraus folgt aber das Gegenteil dessen, was Microsoft ausliefert: ein Grundsystem und eine Liste zum Ankreuzen, so wie beim eigenen Server, bei Recall und im EWR. Die Werkzeuge liegen im Produkt. Es fehlt die Entscheidung, sie für alles zu verwenden.

Schreiben Sie das in den Feedback Hub, den Microsoft im März eigens überarbeitet hat, und zwar konkret: jede neue Funktion als Windows-Feature, abwählbar im Setup. Und prüfen Sie diese Woche Ihr Referenzimage darauf, was Sie mit den vier Mechanismen oben heute schon loswerden.

Nicht möglich? Doch. Nicht gewollt.

Quellen:

• Microsoft Windows Insider Blog: Our commitment to Windows quality (20.03.2026),
• Microsoft Windows Insider Blog: DMA-Änderungen im EWR (16.11.2023, aktualisiert 29.02.2024),
• Microsoft Learn: Manage Recall (Stand 10.12.2025),
• Microsoft Learn: Server Core vs Server with Desktop Experience (15.04.2025),
• Microsoft Learn: Features On Demand (2022),
• Microsoft Support: Why can’t I uninstall Microsoft Edge?,
• Microsoft Tech Community: Policy-based removal of pre-installed Microsoft Store apps (Oktober 2025),
• Debian Installation Guide, Abschnitt 6.3.6.2,
• Windows Latest: Microsoft design boss … (11.10.2026),
• Windows Latest: “We didn’t ask for more Microslop” (12.10.2026),
• Grams IT Blog: Warum Microsoft jetzt radikal umdenken muss (04.01.2026)

Darstellung der 15 Jahre mit zusätzlichen Großereignisse:

Am Freitag hat Donald Trump auf Truth Social einen Diesel-Deal mit Wladimir Putin verkündet. Russland soll sofort mehr als 300.000 Tonnen Diesel auf den amerikanischen und den Weltmarkt bringen, im November weitere 500.000 Tonnen, danach eine Million. Später sollen noch einmal drei Millionen Tonnen folgen, abhängig vom Zustand der russischen Raffinerien. Die Preise, schreibt Trump, würden in Rekordtempo fallen.

Ich habe nachgerechnet. Das Ergebnis ist ernüchternd, und der Preis für diese Ankündigung ist höher, als die Zahl vermuten lässt. Warum sie trotzdem kommt, verrät der Kalender.

Was Trump und Putin beim Diesel vereinbart haben

Die vier Tranchen ergeben zusammen 4,8 Millionen Tonnen; diese Summe nennt laut Newsweek auch das Weiße Haus. Der Kreml bestätigte das Telefonat und erklärte die Bereitschaft, Öl und Ölprodukte zu liefern. Vizepremier Alexander Nowak sprach nach Agenturberichten von 300.000 Tonnen ab Oktober, 500.000 im November und einer Million im Dezember. Die drei Millionen Tonnen obendrauf tauchen in der russischen Darstellung so nicht auf.

Der Hintergrund: Diesel kostet in den USA laut AAA im Schnitt 6,28 Dollar je Gallone. Vor einem Jahr waren es 3,68 Dollar, ein Plus von rund 71 Prozent (eigene Rechnung). Der Rekord vom 22. September lag bei 6,53 Dollar, berichtet CBS News. Am 3. November sind Kongresswahlen.

Wie viel russischer Diesel das wirklich ist

Für den Vergleich braucht es zwei Zahlen. Eine Tonne Diesel entspricht nach dem gängigen Umrechnungsfaktor etwa 7,46 Barrel. Und die USA verbrauchten im Vier-Wochen-Schnitt bis zum 2. Oktober 3,769 Millionen Barrel Destillat pro Tag, so der Wochenbericht der EIA.

Das ist meine eigene Rechnung: Tonnen mal 7,46, geteilt durch den Tagesverbrauch. Mit dem etwas niedrigeren Faktor der UN-Statistik (7,23) wären es 9,2 Tage.

Zwei Vergleiche machen die Größenordnung noch deutlicher. Die USA exportieren selbst etwa 1,5 Millionen Barrel Diesel am Tag, sagt der Ökonom Ed Hirs von der University of Houston bei Newsweek. Die Sofortlieferung entspricht also anderthalb Tagen amerikanischer Diesel-Ausfuhr. Und Russland hat 2024 nach Branchenangaben bei Reuters rund 31 Millionen Tonnen Diesel exportiert. Die 4,8 Millionen Tonnen sind keine acht Wochen dessen, was früher Normalbetrieb war.

Warum der Dieselpreis trotzdem reagiert hat

Fairerweise: Wirkungslos ist die Ankündigung nicht. Die Diesel-Futures gaben am Freitag um etwa vier Prozent nach, meldet RFE/RL. In einem knappen Markt bewegt jedes zusätzliche Fass den Preis stärker als in normalen Zeiten, und die US-Destillatlager liegen mit 105,1 Millionen Barrel deutlich unter dem Vorjahr (121,6 Millionen). Wer den Deal verteidigt, argumentiert genau so: Angebot ist Angebot, und Farmer in der Ernte fragen nicht nach der Herkunft.

Nur liegen die Futures weiterhin mehr als 110 Prozent über dem Jahresanfang. Tom Kloza, Marktberater bei Gulf Oil, nannte die Ankündigung bei Newsweek „more noise from Truth Social“. Zum Vergleich: Die G7 haben eine Woche zuvor die Freigabe von 100 Millionen Barrel Öl und Diesel beschlossen, berichtet Al Jazeera. Der gesamte Russland-Deal entspricht gut einem Drittel davon.

Kann Russland überhaupt liefern?

Hier wird es dünn. Russland hat das Exportverbot für Diesel-Hersteller erst am 30. September bis zum 31. Oktober verlängert; für Händler gilt es bis 31. Januar 2027, so Interfax. Ende August war nach Schätzung von S&P Global fast die Hälfte der russischen Raffineriekapazität wegen ukrainischer Drohnenangriffe außer Betrieb. Im Juli hat Moskau sogar Subventionen für Diesel-Importe vorbereitet.

Putin selbst sagte am 1. Oktober auf dem Waldai-Forum, Russland habe genug Diesel, er erreiche die Weltmärkte nur wegen der Sanktionen nicht. Das dokumentiert S&P Global. Acht Tage später ist die Sanktion weg. Ob der Diesel kommt, weiß ich nicht. Dass Trump die größte Tranche selbst an den Zustand der Raffinerien knüpft, ist jedenfalls kein Zeichen von Zuversicht.

General License 135: der eigentliche Preis

Die Lieferung ist unsicher, die Gegenleistung nicht. Das US-Finanzministerium hat noch am Freitag die General License 135 erlassen. Sie erlaubt Verkauf, Lieferung, Entladung und Import von Diesel russischer Herkunft, ausdrücklich auch in die USA, bis zum 7. April 2027. Ausgenommen sind nur Abbuchungen von US-Konten der russischen Zentralbank, des Wohlfahrtsfonds und des Finanzministeriums. Eine Mengengrenze oder einen Preisdeckel enthält der Text nicht.

Das Datum ist bemerkenswert. Am 18. September, 21 Tage vorher, hatte Trump den Lindsey O. Graham Sanctioning Russia and Iran Act unterzeichnet, der Zölle von bis zu 500 Prozent auf russische Waren vorsieht, wie King & Spalding zusammenfasst. Wolodymyr Selenskyj nannte die Lockerung ein Geschenk an Putin und sagte Axios, von einem Diesel-Deal sei in den Gesprächen mit den US-Unterhändlern nie die Rede gewesen. Die tagten zur selben Zeit in Miami mit Ukrainern und Europäern. Auch Republikaner wie Don Bacon kritisieren den Schritt.

Für höchstens 9,5 Tage Verbrauch, von denen fast zwei Drittel unter Vorbehalt stehen, bekommt Moskau ein halbes Jahr Sanktionsfreiheit für sein wichtigstes Ölprodukt. Das ist ein schlechtes Geschäft, auch wenn der Preis an der Zapfsäule kurz nachgibt.

Ein Verzweiflungsakt vor den Midterms 2026

Ich halte den Diesel-Deal für einen Verzweiflungsakt. Das ist meine Wertung, aber sie stützt sich auf den Kalender. Zwischen der Ankündigung am 9. Oktober und den Kongresswahlen am 3. November liegen 25 Tage (eigene Rechnung).

Es ist außerdem der dritte Versuch in kurzer Folge. Eine Woche zuvor gaben die G7 auf Druck aus Washington ihre Reserven frei. In dieser Woche erlaubte Trump per Dekret steuerbefreiten, rot gefärbten Agrardiesel auf der Straße. Jetzt kommt der Anruf bei Putin. Laut Newsweek erwarten Branchenkreise als Nächstes eine Anweisung auf Basis des Defense Production Act. Wer einen Plan hat, braucht nicht jede Woche einen neuen.

Dazu passt die Schuldfrage. Trump macht seit Wochen ukrainische Angriffe auf russische Raffinerien für die Preise verantwortlich. Der ukrainische Sanktionsbeauftragte Wladyslaw Wlasjuk dreht das Argument bei RFE/RL um: Wenn eine gelockerte Sanktion den Markt entlastet, war der Iran-Krieg der Hauptgrund für die Knappheit und nicht die ukrainischen Drohnen. Die Preise stiegen, seit die USA und Israel im Februar den Iran angriffen.

Am deutlichsten wird es beim Zeitplan. Ed Hirs rechnet damit, dass Verbraucher an der Zapfsäule frühestens deutlich nach der Wahl etwas merken, und auch dann nur vorübergehend. Für den Wahlkampf zählt also die Schlagzeile vom Freitag und nicht der Diesel. Dafür reicht eine Ankündigung, für eine Versorgungslage reicht sie nicht.

Was das für Kommunen und Verwaltungs-IT heißt

Für Unternehmen in der EU ändert die US-Lizenz nichts; sie setzt nur amerikanisches Sanktionsrecht aus. Eine Reaktion aus Brüssel oder Berlin auf den Deal habe ich bis Samstagvormittag nicht gefunden.

An der deutschen Zapfsäule kostet Diesel laut ADAC im Schnitt 2,233 Euro (Stand 7. Oktober), 17,6 Cent weniger als in der Vorwoche. Das liegt am Tankrabatt, der seit 1. Oktober gilt und Ende Dezember ausläuft. Wer gerade den Haushalt 2027 plant, hat damit zwei Daten, an denen sich der Dieselpreis politisch und nicht am Markt entscheidet: den 31. Dezember und den 7. April.

Wer wie ich Verwaltungs-IT betreibt, denkt bei Diesel zuerst an Notstrom. Das BBK empfiehlt Behörden, den Betrieb für mindestens 72 Stunden ohne Nachtanken halten zu können. Drei Dinge würde ich in dieser Lage prüfen:

• Wie viele Stunden läuft das Aggregat mit dem Tankinhalt, der heute tatsächlich drin ist?
• Wie alt ist der Kraftstoff, und wann wurde zuletzt unter Last getestet?
• Gibt es mit dem Lieferanten eine Zusage für den Krisenfall, oder nur eine Telefonnummer?

Dazu kommen Bauhof, Feuerwehr und Winterdienst, deren Verbrauch im Haushaltsansatz oft noch mit Vorjahrespreisen steht.

Fazit

Trump hat 25 Tage vor der Wahl eine Schlagzeile gebraucht und sie bekommen. Sie klingt nach Millionen Tonnen und ist doch nur gut eine Woche amerikanischer Verbrauch, verteilt über Monate, geliefert von einem Land, das seinen eigenen Export gerade verboten hat. Sicher ist allein die Sanktionspause bis April 2027.

Verlassen Sie sich bei der Planung nicht auf Truth Social. Messen Sie den Tankinhalt Ihres Aggregats nach, rechnen Sie den Haushaltsansatz für Kraftstoff mit dem Preis ohne Tankrabatt durch, und klären Sie die Lieferzusage, bevor der Winter beginnt.

Quellen:

• OFAC, General License No. 135 (09.10.2026);
• EIA, Weekly Petroleum Status Report, Highlights (Daten bis 02.10.2026);
• Interfax, Verlängerung des Diesel-Exportverbots (30.09.2026);
• S&P Global Energy, Nowak und Putin zu Diesel-Exporten (02.10.2026);
• ADAC, Kraftstoffpreise im Wochenvergleich (07.10.2026);
• BBK, Leitfaden Notstromversorgung in Unternehmen und Behörden (2024);
• King & Spalding, Graham Act (22.09.2026);
• CBS News (09.10.2026);
• Al Jazeera mit AFP/Reuters (09.10.2026);
• RFE/RL (10.10.2026);
• Axios (09.10.2026);
• TRT World (09.10.2026);
• Reuters via Baird Maritime, russische Diesel-Mengen 2024 (2025);
• Newsweek (09.10.2026, laut Redaktion mit KI-Assistenz erstellt, Zitate dort gegen CBS und RFE/RL abgeglichen)

Wer das September-Sicherheitsupdate für Exchange Server SE installiert hat, hat sich damit womöglich ein neues Problem eingehandelt. Auf dem Server fehlen danach zwei Dateien, und Microsoft nennt als mögliche Folgen fehlende Suchergebnisse, verzögerte Zustellung und hängende Outlook-Verbindungen. Die Neuauflage Exchange SE SU10V2 vom 2. Oktober schließt eine weitere Sicherheitslücke, bringt die beiden Dateien aber nicht mit.

Die Reparatur überlässt Microsoft den Admins. Wer sich an die offizielle Anleitung hält, lädt ein SQL-Server-Paket von rund 714 MB herunter, um zwei Dateien mit zusammen 773.924 Bytes herauszuholen. Frank Carius hat das auf MSXFAQ auseinandergenommen und kommt zu dem Satz: „Das wirkt alles wie mit der heißen Nadel gestrickt.“ Ich habe die Primärquellen nachgelesen und sehe das genauso.

Dieser Artikel sortiert, was passiert ist, wo Microsofts eigene Dokumente sich widersprechen und was Sie jetzt tun sollten. Am Ende steht ein PowerShell-Skript, das den Server prüft und die Reparatur Schritt für Schritt mit Rückfragen durchführt.

Was das Exchange-Sicherheitsupdate vom September 2026 schließt

Am 8. September 2026 hat Microsoft das Sicherheitsupdate SU10 für Exchange Server SE veröffentlicht (KB5121608, Build 15.2.2562.49). Der KB-Artikel nennt acht CVEs. Darunter ist CVE-2026-69356, eine Spoofing-Lücke mit CVSS 9.3: Ein Angreifer ohne Anmeldung schickt eine präparierte Kalendereinladung, und wenn das Opfer den Join-Link anklickt, kann Skriptcode in dessen angemeldeter OWA-Sitzung laufen. Dazu kommt mit CVE-2026-69641 eine Rechteausweitung mit CVSS 9.1. Liegenlassen kann man dieses Update nicht.

Am 2. Oktober folgte SU10V2 (KB5129955, Build 15.2.2562.53). Laut dem Blogpost des Exchange-Teams unterscheidet sich die zweite Fassung von der ersten in genau einer zusätzlichen Lücke: CVE-2026-96940, eine Rechteausweitung mit CVSS 8.8. Ein angemeldeter Angreifer könnte damit auf Postfächer anderer Benutzer derselben Organisation zugreifen und Mails samt Anhängen lesen. Microsoft stuft die Ausnutzung als „Exploitation More Likely“ ein. Angriffe sind laut Microsoft bisher nicht bekannt, die Lücke wurde intern gefunden.

Für Exchange 2016 und 2019 gibt es beide Fassungen nur im ESU-Programm. Den Dateifehler, um den es hier geht, dokumentiert Microsoft nur für Exchange Server SE.

KB5130098: Zwei fehlende Dateien und ein ContentEngine-Deadlock

Die Ursache steht in KB5130098 in einem Satz: Das September-Update installiert die Dateien nicht, die der aktualisierte koreanische WordBreaker braucht. Ein WordBreaker zerlegt Text für den Suchindex in Wörter, für jede Sprache gibt es einen eigenen. Es fehlen ko.token.rule.bin und ko.complex.rule.bin im Verzeichnis Bin\Search\Ceres\Native.

Betroffen sind laut Microsoft Umgebungen, die Mails mit koreanischem Text verarbeiten. Dort kann die ContentEngine in einen Deadlock laufen, also der Teil der Exchange-Suche, der Inhalte verarbeitet. Microsoft nennt drei Symptome: Suchergebnisse fehlen, die Zustellung verzögert sich, und MAPI- oder Outlook-Clients reagieren nicht mehr oder verlieren die Verbindung.

„Koreanisch haben wir nicht“ ist als Entwarnung zu dünn. Microsoft knüpft den Fehler an den Inhalt der Mails und nicht an die Sprache der Benutzer. Ob eine einzelne koreanische Spam-Mail genügt, sagt der KB-Artikel nicht. Ausschließen würde ich es nicht.

Dass der Fehler hierzulande ankommt, legen die Kommentare unter dem Borncity-Beitrag zum September-Update nahe. Am 15. September meldet dort ein Leser „extreme Performanceprobleme“ nach dem Patch, am 23. September beschreibt ein anderer ein zähes Outlook und eine Suche, die nicht mehr funktioniert. Am 30. September verlinkt der erste Leser KB5130098 als Lösung. Carius berichtet von mehreren Kunden mit sporadischen Problemen bei Suche, Versand und Outlook-Verbindungen. Ob jede dieser Meldungen auf die fehlenden Dateien zurückgeht, lässt sich von außen nicht sagen.

Unangenehm ist das Fehlerbild. Der Server fällt nicht aus, er wird unzuverlässig. Wer so etwas sieht, sucht zuerst im Netzwerk, am Client, am Proxy oder in der Virtualisierung, und darauf weist auch Carius hin.

Wo SU10V2 nach heißer Nadel aussieht

Erst die Befunde, dann meine Bewertung.

Microsoft kannte den Fehler vor der Neuauflage. Der Blogpost zum September-Update führt ihn seit dem 24. September als bekanntes Problem. SU10V2 erschien acht Tage später und listet denselben Fehler wieder als bekannt, mit dem Vermerk, er werde in einem künftigen Update behoben. Zwischen erster und zweiter Fassung lagen 24 Tage.

Die Neuauflage tauchte auf, bevor es Informationen gab. Am Vormittag des 2. Oktober wunderten sich Leser bei Borncity über ein Exchange-Update im Microsoft Update Catalog, zu dem sie auf Microsofts Seiten nichts fanden. Das Exchange-Team hat die Frage nach der seltsamen Veröffentlichungsreihenfolge in die FAQ seines Blogposts aufgenommen und antwortet dort, das Update sei „published ahead of its intended schedule“.

Die Dokumente passen nicht zusammen. Der KB-Artikel zu SU10V2 nennt für das Installationspaket denselben SHA256-Wert wie der Artikel zur ersten Fassung, obwohl es zwei verschiedene Dateien mit verschiedenen Builds sind (Stand 10. Oktober). Außerdem führt das Exchange-Team den Free/Busy-Fehler aus KB5127092 in seinem Blogpost unter den behobenen Problemen. Der KB-Artikel zu SU10V2 listet denselben Fehler unter den bekannten Problemen, und KB5127092 selbst nennt weiterhin nur einen Workaround.

Dann der Workaround. Microsoft verlangt, SQL Server 2025 Express herunterzuladen (748.772.024 Bytes), Signatur und Hash zu prüfen, das Paket im Extract-Modus zu entpacken, daraus SQL_FULLTEXT.MSI als administratives Image auszupacken, die zwei Dateien herauszusuchen und wieder die Hashes zu prüfen. Danach geht es auf dem Exchange-Server weiter: Build und DLL prüfen, kopieren, Hashes prüfen, Dienst neu starten. Carius hat nachgemessen, dass das entpackte Paket 1,67 GB belegt. Die beiden gesuchten Dateien machen rund ein Tausendstel des Downloads aus.

Und der HealthChecker, den Microsoft nach jedem Update empfiehlt, hilft hier nicht. In den Änderungen des Release vom 2. Oktober stehen die neue CVE und die neuen Build-Nummern. Eine Prüfung auf die fehlenden Dateien finde ich dort nicht, und Carius schreibt ebenfalls, dass der HealthChecker den Fehler noch nicht erkennt.

Jeder dieser Punkte ist für sich klein. Zusammen lese ich daraus, dass hier ein Paket unter Zeitdruck hinausgeschoben und die Dokumentation hinterhergetragen wurde. Den doppelten Hash halte ich für einen Kopierfehler, belegen kann ich das nicht. Mehr ärgert mich der Workaround. Zwei Dateien von zusammen keinen 800 KB hätte Microsoft als signierten Download oder als Hotfix anbieten können. Stattdessen bekommen Admins eine Anleitung mit Abbruchbedingungen an fast jedem Schritt und dem Hinweis, im Zweifel den Support anzurufen.

Was für Microsofts Vorgehen spricht

Fairerweise: Es gibt gute Gründe, ein Sicherheitsupdate lieber früh als vollständig auszuliefern. CVE-2026-96940 erlaubt den Zugriff auf fremde Postfächer, und Microsoft hält eine Ausnutzung für wahrscheinlich. Wer so eine Lücke kennt, soll den Fix nicht zurückhalten, bis ein Problem im Suchindex gelöst ist. Die fehlenden Dateien nachzuliefern hätte neue Tests gebraucht und den Sicherheitspatch verzögert.

Das Exchange-Team hat außerdem Mitte August erklärt, warum die Schlagzahl gestiegen ist. Microsoft sucht konzernweit mit KI-Werkzeugen nach Schwachstellen, die Teams arbeiten die Funde ab, und seit Mai kam für Exchange jeden Monat ein Update. Sicherheit habe Vorrang vor allem anderen, deshalb lässt auch CU1 auf sich warten.

Auch der umständliche Workaround hat eine Logik. Die Dateien stammen aus einem signierten Microsoft-Paket, und jede Prüfung in der Anleitung verhindert, dass jemand die falsche Datei in ein produktives Exchange kopiert.

Mein Einwand bleibt. Das erklärt die Reihenfolge, die Qualität erklärt es nicht. Wer Admins auffordert, ein Update bei erster Gelegenheit einzuspielen, muss Pakete liefern, die vollständig installieren.

Was das für Kommunen und kleine IT-Abteilungen bedeutet

Ich schreibe das als jemand, der die IT einer Gemeinde betreut. In Verwaltungen dieser Größe gibt es selten einen Exchange-Spezialisten. Das Update läuft nach Feierabend, und wenn am nächsten Morgen Outlook hakt, beginnt die Fehlersuche bei null. Ein Fehler, der nur manchmal auftritt und nach Netzwerk aussieht, kostet dort Tage.

Meine Reihenfolge wäre diese:

1. SU10V2 trotzdem installieren. Die Sicherheitslücken wiegen schwerer als der Dateifehler, und der lässt sich beheben.
2. Danach prüfen, ob die beiden Dateien fehlen. Das dauert Sekunden und ändert nichts am System.
3. Wenn sie fehlen, die Reparatur einplanen. Maßgeblich sind laut Microsoft Build, DLL-Version und die fehlenden Dateien. Symptome allein reichen als Begründung nicht.
4. Den Neustart des Dienstes in ein Wartungsfenster legen und bei mehreren Servern einzeln vorgehen.
5. Nach dem Patchday am 13. Oktober erneut prüfen. Ob das nächste Update die Dateien mitbringt und wie es mit bereits kopierten Dateien umgeht, hat Microsoft nicht gesagt.

Skript: fehlende WordBreaker-Dateien prüfen und reparieren

Frank Carius bietet auf MSXFAQ ein Prüfskript und ein ZIP mit den beiden Dateien an. Ich wollte einen Schritt weitergehen und den ganzen Workaround aus KB5130098 in ein Skript packen, das vor jedem Eingriff fragt. Repair-ExchangeKoreanWordBreaker.ps1 arbeitet in neun Schritten:

1. Exchange-Installation und Build prüfen (nur 15.02.2562.049 und 15.02.2562.053)
2. Installierte korwbrkr.dll prüfen: Version, Größe, SHA256
3. Prüfen, ob die beiden Regeldateien fehlen
4. Regeldateien beschaffen
5. Beschaffte Dateien gegen Microsofts Hashes prüfen und in einen Staging-Ordner legen
6. Dateien in das Exchange-Verzeichnis kopieren
7. Kopien am Zielort verifizieren: SHA256, Größe, vererbte Berechtigungen
8. Dienst HostControllerService neu starten
9. Wiederanlauf des ContentEngine-Prozesses kontrollieren

Die Schritte 1 bis 3 lesen nur. Vor dem Download, vor dem Kopieren und vor dem Dienstneustart erklärt das Skript, was es vorhat, und macht ohne ein J nichts. Weicht ein Wert von Microsofts Angaben ab, bricht es ab und ändert nichts – so verlangt es auch der KB-Artikel, der in diesen Fällen an den Support verweist. Ist nur eine der beiden Dateien vorhanden, gilt dasselbe.

Woher die Dateien kommen, wählen Sie selbst. Sie können einen lokalen Ordner angeben, das ZIP von MSXFAQ laden lassen oder den offiziellen Weg über das SQL-Paket gehen, den das Skript dann komplett abwickelt. In allen drei Fällen verwendet es nur Dateien, die in Größe und SHA256 exakt Microsofts Angaben entsprechen. Dem ZIP muss man deshalb nicht blind vertrauen.

Microsoft empfiehlt, Download und Entpacken auf einer Admin-Workstation zu erledigen und nicht auf dem Exchange-Server. Dafür gibt es den Schalter -PrepareOnly.

powershell

# Nur prüfen, nichts ändern (Exit-Code 10 = Server ist betroffen)
.\Repair-ExchangeKoreanWordBreaker.ps1 -CheckOnly

# Prüfen und interaktiv reparieren, die Quelle der Dateien wird abgefragt
.\Repair-ExchangeKoreanWordBreaker.ps1

# Auf der Admin-Workstation: Dateien aus dem ZIP-Archiv von MSXFAQ holen und prüfen
.\Repair-ExchangeKoreanWordBreaker.ps1 -PrepareOnly -Source MSXFAQ

# Auf der Admin-Workstation: Dateien aus dem Microsoft-Paket holen und prüfen
.\Repair-ExchangeKoreanWordBreaker.ps1 -PrepareOnly -Source Microsoft

# Auf dem Exchange-Server: die übertragenen Dateien verwenden
.\Repair-ExchangeKoreanWordBreaker.ps1 -Source Local -SourcePath D:\Transfer\KoreanRules

Gestartet wird in einer Windows PowerShell 5.1 mit Administratorrechten. Jeder Lauf schreibt ein Protokoll nach C:\Temp\KoreanRules\Lauf-<Zeitstempel>\Protokoll.log. Die Meldungen sind absichtlich ohne Umlaute geschrieben, damit das Skript unabhängig von der Dateikodierung läuft.

Das Skript kommt ohne Gewähr. Fangen Sie mit -CheckOnly an und lassen Sie die Reparatur zuerst auf einem einzelnen Server laufen. Die Sollwerte stammen aus KB5130098 mit Stand 6. Oktober. Ändert Microsoft den Artikel oder liefert ein Update die Dateien nach, ist das Skript überholt.

Ein laufender Prozess beweist noch keine Erholung, das betont auch Microsoft. Stellen Sie nach dem Neustart über OWA eine normale Mail und eine mit koreanischem Text zu, suchen Sie danach und behalten Sie den Rückstau der Indizierung im Auge.

Fazit

Das Sicherheitsupdate gehört auf den Server, in der zweiten Fassung. Der Dateifehler ist kein Grund, eine Lücke offen zu lassen, über die jemand fremde Postfächer lesen könnte. Er ist aber ein Grund, nach der Installation ein paar Minuten zu investieren, bevor sich die ersten Kollegen über die Outlook-Suche beschweren.

Von Microsoft erwarte ich mehr als den Hinweis auf ein künftiges Update. Zwei Dateien nachzuliefern kann nicht so schwer sein, und eine Anleitung, die einen SQL-Server-Download voraussetzt, ist für kleine IT-Abteilungen eine Zumutung.

Prüfen Sie Ihren Exchange-Server heute mit -CheckOnly. Wenn die Dateien fehlen, planen Sie die Reparatur für das nächste Wartungsfenster ein. Und wenn Sie einen Supportvertrag haben, machen Sie ein Ticket auf. Je mehr Kunden nachfragen, desto eher bekommt das künftige Update ein Datum.

Quellen:

• Microsoft Support, KB5130098 (Stand 06.10.2026),
• KB5129955, SU10V2 (02.10.2026),
• KB5121608, SU10 (08.09.2026),
• KB5127092 (Stand 16.09.2026),
• Exchange Team Blog: September 2026 V2 Security Updates (02.10.2026),
• Exchange Team Blog: September 2026 Security Updates (08.09.2026, aktualisiert 24.09.2026),
• Exchange Team Blog: Where is Exchange SE CU1 anyway? (13.08.2026),
• MSRC: CVE-2026-96940 (02.10.2026),
• MSRC: CVE-2026-69356 (08.09.2026),
• MSRC: CVE-2026-69641 (08.09.2026),
• Microsoft Learn: Exchange Server build numbers (Stand 02.10.2026),
• GitHub, microsoft/CSS-Exchange: Release v26.10.02.1939 (02.10.2026),
• MSXFAQ, Frank Carius: Exchange SE SU10/SU10V2 Bugs (09.10.2026),
• Borns IT- und Windows-Blog: Exchange Server: Sicherheitsupdates 8. September 2026, Leserkommentare bis 02.10.2026 (09.09.2026)