Eine Sicherheitslücke in Windows-Updates, die die Installation von Treibern auf eingeschränkten Geräten ermöglichte, wurde behoben.

Microsoft hat ein Problem mit Windows Update behoben, das dazu führte, dass Treiberaktualisierungen auf verwalteten Computern installiert wurden, obwohl Administratoren automatische Updates blockiert hatten. Das Unternehmen führte dieses Verhalten auf eine Fehlkonfiguration des Windows Update-Caching-Dienstes zurück. Dadurch gingen kurzzeitig Geräteregistrierungsdaten verloren, was dazu führte, dass einige Geräte so behandelt wurden, als wären sie nie registriert worden. Ohne diesen Registrierungskontext funktionierten die üblichen Treiberfreigabemechanismen nicht mehr, und Updates, die hätten blockiert werden sollen, wurden installiert.

✅ Kurze Antwort: Das Problem wurde behoben. Microsoft hat den Cache des betroffenen Dienstes aktualisiert und den Registrierungsstatus auf den betroffenen Geräten wiederhergestellt. Daher sind keine Aktualisierungen oder manuelle Maßnahmen seitens des Kunden erforderlich, um die Installation unerwünschter Treiber zu verhindern.

Was hat der Treiberfehler bei Windows Update bewirkt?

Ein Fehler in einem Windows-Update-Treiber führte dazu, dass betroffene Geräte ohne Vorwarnung Treiberaktualisierungen erhielten, obwohl Richtlinien eingerichtet waren, die automatische Updates ausdrücklich verhindern sollten. Microsoft bestätigte, dass die ausgelieferten Treiber von Microsoft zertifiziert und signiert waren und keine Sicherheitsbedrohung darstellten. Diese Kennzeichnung ist zwar wichtig für die Sicherheit, verhinderte aber dennoch Störungen im IT-Betrieb.

Windows-Administratoren berichten von zehntausenden Geräten, die unerwartet BIOS- und Treiberaktualisierungen heruntergeladen haben. In einigen Fällen führten diese plötzlichen Installationen zu Hardwarefehlfunktionen; so funktionierten Audio- und Videogeräte beispielsweise nicht mehr, nachdem der falsche Treiber installiert worden war. In Umgebungen mit strenger Änderungskontrolle ist ein ungeplantes BIOS- oder Treiberupdate genau das Ereignis, das diese präventiven Richtlinien verhindern sollen.

Grund: Der Cache-Dienst hat die Registrierungsdaten verloren.

Das Kernproblem liegt im Windows Update-Caching-Dienst. Laut dem Vorfallbericht des Microsoft Administration Centers (MO1332784) gingen die Geräteregistrierungsinformationen des Dienstes vorübergehend verloren. Dadurch wurden die betroffenen Geräte bei Windows Update als nicht registriert angezeigt, sodass die von Administratoren konfigurierten Treibergenehmigungsregeln nicht überprüft werden konnten.

Microsoft bestätigte dieses Verhalten erstmals am Dienstagnachmittag, dem 2. Juni, und beschrieb Berichte über Windows-Geräte, die trotz aktivierter Richtlinien zur Verhinderung automatischer Updates Treiber installierten. Auch das Intune-Supportteam äußerte sich öffentlich zu dem Problem und erklärte, dass das Unternehmen an einer Lösung arbeite.

Wie hat Microsoft das Problem gelöst?

Die Korrektur erfolgte serverseitig, sodass keine Installation durch Benutzer oder Administratoren erforderlich war. Microsoft aktualisierte den Cache des betroffenen Dienstes, stellte den Registrierungsstatus der betroffenen Geräte wieder her und aktivierte die Treibergenehmigungskontrollen erneut.

Am Mittwoch, dem 3. Juni, bestätigte das Unternehmen, dass das Problem behoben sei, nachdem die Korrektur an einer Stichprobe zuvor betroffener Nutzer verifiziert worden war. Microsoft gab außerdem bekannt, dass es die Funktionsweise des Caching-Dienstes beim Löschen von Registrierungsinformationen untersucht, um ähnliche serverseitige Fehler künftig schneller zu erkennen, zu verhindern und darauf zu reagieren.

🔎Falls ein fehlerhafter Treiber bereits installiert ist und eine Gerätefehlfunktion verursacht, stellt das Zurücksetzen dieses Treibers im Geräte-Manager die vorherige Version wieder her. Die Servicereparatur verhindert unerwünschte Neuinstallationen, deinstalliert jedoch nicht automatisch bereits installierte Treiber.

Wie sollen Treiberaktualisierungssteuerungen in Intune funktionieren?

Die Treiberupdate-Richtlinien von Microsoft Intune für Windows legen fest , welche Treiber auf verwalteten Geräten installiert werden dürfen. Dieser Fehler umgeht diese Richtlinien. Normalerweise kann man zwischen zwei Genehmigungsmodi wählen, und es können nur genehmigte Treiber installiert werden. Windows Update installiert dann ausschließlich die neueste genehmigte Version, die neuer ist als die bereits auf dem Gerät installierte.

Es gibt zwei Einstellungen, die besonders wichtig sind, wenn Sie verhindern möchten, dass Treiber in Qualitätsupdates enthalten sind. In den Update-Ring-Richtlinien sollte die Windows- Treibereinstellung auf „Nur zulassen , wenn Treiber bereitgestellt werden sollen“ gesetzt werden. Im Einstellungskatalog steuert die Option „Windows Update -Treiber von Qualitätsupdates ausschließen“ unter der Kategorie „Windows Update-Clientrichtlinien“, ob Treiber in Qualitätsupdates enthalten sind . Die vollständigen Konfigurationsschritte sind im Microsoft- Leitfaden zu Windows-Treiberupdaterichtlinien dokumentiert.

Hinweis: Microsoft weist außerdem darauf hin, dass die Richtlinien für Treiberaktualisierungen nicht die von den Originalgeräteherstellern (OEMs) angegebene Computer Hardware ID (CHID) als Ziel erzwingen. Daher kann es vorkommen, dass verwaltete Geräte einen neueren empfohlenen Treiber anstelle des CHID-basierten Treibers erhalten, selbst wenn alles korrekt konfiguriert ist.

Ein wiederkehrendes Muster unerwarteter Treiberinstallationen im Jahr 2026

Aktuelle Ereignisse deuten auf ein besorgniserregendes Muster unerwarteter Treiberinstallationen auf eingeschränkten Computern hin. Vor einem Monat behob Microsoft einen Fehler in Windows Autopatch, der dazu führte, dass eingeschränkte Treiberupdates auf einer begrenzten Anzahl von Geräten in der Europäischen Union, die von Autopatch verwaltet wurden, installiert wurden – selbst wenn die Verwaltungsrichtlinien eine manuelle Genehmigung vorschrieben. Dieses Problem betraf Kundenplattformen wie Windows 11 23H2, 24H2 und 25H2. Je nach betroffenem Treiber kam es bei einigen Geräten zu unerwarteten Neustarts oder Abstürzen. Wie der Caching-Fehler wurde auch dieser Fehler serverseitig behoben, ohne dass Kunden etwas unternehmen mussten.

Dieses Muster wiederholt sich: Der Auslieferungsprozess der Fahrer kann administrative Kontrollen umgehen , wenn der zugehörige Dienst ausfällt, selbst wenn die Fahrer selbst als vertrauenswürdig und sicher gelten. Beide Vorfälle scheinen inzwischen behoben zu sein, und Microsoft bestätigt, dass man daran arbeitet, die Verarbeitung von Registrierungs- und Einwilligungsdaten durch diese Dienste zukünftig zu verbessern.