April 2026 Windows Server-Patch verursacht Neustartschleifen auf PAM-Domain-Controllern

Wenn Sie eine Windows-Server-Umgebung verwalten, haben Sie einen weiteren Grund, sorgfältig auf Updates im April 2026 zu achten: Einige Domänentreiber geben nach dem Anwenden des Sicherheits-Patches in diesem Monat Neustartschleifen ein, und die offensichtliche Ursache ist ein Ausfall im Prozess der Local Security Authority SubService (LSASS) während des Bootes.

LSASS ist die Systemkomponente, die für die Validierung von Anmeldeinformationen und die Verwaltung von Sicherheit auf Domänenebene verantwortlich ist. Wenn dieser Dienst im Startvorgang sehr früh scheitert, kann der Server wiederholt neu starten, bevor die Verzeichnis-Dienste betriebsbereit sind, so dass Netzwerk-Ausrüstung ohne Authentifizierungskapazität und kann dazu führen, dass die Domain nutzlos wird, bis das Problem gelöst ist. Das Problem, laut Microsoft, betrifft hauptsächlich Domain-Controller, die nicht Global Katalog sind und in Umgebungen mit Privileged Access Management (PAM) arbeiten.

Microsoft identifiziert das betroffene Update mit dem April 2026 Label (KB5082063) und stellt fest, dass die betroffenen Versionen Windows Server 2016, 2019, 2022, 23H2 und Server 2025 enthalten. Das Unternehmen hat Informationen zu seinem Startstatus-Panel veröffentlicht und empfiehlt, dass Manager ihre kommerzielle Unterstützung kontaktieren, um Hinweise und palliative Maßnahmen zu erhalten, die angewendet werden können, auch wenn das Update bereits installiert wurde. Sie können die offiziellen Informationen über den Status der Versionen auf dem Microsoft Release Health Portal überprüfen: https: / / learn.microsoft.com / en-us / windows / releases /, und überprüfen Sie den Update Guide in der Microsoft Security Update Guide: https: / / msrc.microsoft.com / update-guide.

Es ist wichtig zu beachten, dass Dieser Rückschlag ist nicht allgemein für persönliche Geräte aber ist auf verwaltete Umgebungen beschränkt, die Privileged Access Management für Active Directory verwenden. Wenn Sie das, was PAM ist und wie es den Authentifizierungsfluss in Active Directory ändert, vertiefen möchten, hat Microsoft technische Dokumentation zum Thema: Advanced Access Management für Active Directory.

Neben dem Neustart-Problem hat Microsoft von anderen Nebenwirkungen gewarnt, die mit dem gleichen Update verbunden sind: auf einigen Servern mit Windows Server 2025 könnte die Patch-Installation ausfallen, und auf bestimmten Geräten kann eine BitLocker Recovery-Key-Anfrage nach dem Update erscheinen. Wenn Ihre Organisation BitLocker verwendet, wird empfohlen, die Wiederherstellungsschlüssel zur Hand zu haben und die offiziellen Anleitungen auf ihrer Verwaltung zu überprüfen: BitLocker Recovery Guide.

Die Sorge ist verständlich: in den letzten Jahren Microsoft musste sich mehrmals mit Problemen im Zusammenhang mit Updates befassen, die Domaintreiber und die Authentifizierung in Windows Server beeinflussten. In den Jahren 2025 und 2025 waren bereits Vorkommnisse aufgetreten, die außerzyklische Korrekturen oder vorübergehende Warnungen und Lösungen erzwungen hatten. Diese Wiederholung zeigt, wie wichtig es ist, die Anwendung von Patches in der aktiven Verzeichnis-Infrastruktur sorgfältig zu planen.

Was können Administratoren tun, während Microsoft eine endgültige Lösung veröffentlicht? Am schwierigsten ist es, mit Vorsicht zu handeln: vermeiden Sie Neustart oder Aktualisierung aller Domain-Treiber gleichzeitig, priorisieren Sie Patch-Tests in Vorproduktionsumgebungen, und pflegen identifizierte Recovery-Prozeduren (virtual machine Snapshots, Systemstatus-Backups, BitLocker-Schlüsseldokumentation). Wenn Sie das Problem bereits erfüllt haben, fordert Microsoft Sie auf, einen Fall mit seinem Business-Support zu öffnen, um bestimmte Anweisungen und Abmilderung nach der Installation zu erhalten: Kontakt Microsoft Unterstützung für Unternehmen.

Es ist auch angebracht, Systemaufzeichnungen auf der Suche nach LSASS-Fehlersignalen und wiederkehrenden Wiederangriffen zu überwachen und die betroffenen Treiber vorübergehend zu isolieren, um den Betrieb der Domain zu verhindern. Vermeiden Sie eine Extrapolation des Vorfalls auf Arbeitsplätze, die nicht von einem IT-Team verwaltet werden, können unnötige Alarme sparen: Der Fokus auf MAP-Umgebungen und Nicht-GC-Controllern begrenzt den Umfang des Problems außerhalb der Unternehmensinfrastruktur.

Die Situation ist eine Erinnerung, dass in kritischer Infrastruktur wie Active Directory, Patch-Management muss Geschwindigkeit kombinieren - um Schwachstellenvektoren zu schließen - mit Vorsicht, Tests und Umkehrpläne. Bleiben Sie wachsam auf Microsofts Status- und Sicherheits-Panel-Updates und, wenn Sie Verantwortung gegenüber Produktions-Domains haben, priorisieren Sie die Kommunikation mit Support-Anbietern, um die operativen Auswirkungen zu minimieren.

Wenn Sie wollen, dass ich die interne Kommunikation, die Sie an Ihr IT-Team senden, überprüfen oder Ihnen helfen, eine Checkliste zu schreiben, um diesen Patch auf Ihre Server anzuwenden, sagen Sie mir und ich bereite ihn vor.