Microsoft: Neuer BitLocker-Bug in aktuellen Windows-Updates bestätigt

Das Microsoft-Update vom April 2026 löst auf einigen Geräten mit Windows Server 2025 die BitLocker-Wiederherstellung aus. Administratoren werden beim ersten Neustart nach der Installation von KB5082063 ausgesperrt. Microsoft hat das Problem bestätigt und Workarounds bereitgestellt, während eine dauerhafte Lösung entwickelt wird.

Microsoft bestätigte am 15. April 2026, dass einige Windows Server 2025-Geräte nach der Installation des am 14. April veröffentlichten Sicherheitsupdates KB5082063 in den BitLocker-Wiederherstellungsmodus wechseln. Das Problem betrifft unter denselben Bedingungen auch Windows 11-Geräte, auf denen die Updates KB5083769 und KB5082052 installiert wurden.

Wenn ein Gerät die BitLocker-Wiederherstellung einleitet, ist die Eingabe eines 48-stelligen Wiederherstellungsschlüssels erforderlich, bevor das Betriebssystem den Ladevorgang abschließen kann. Laut Microsoft erscheint die Wiederherstellungsabfrage nur beim ersten Neustart nach dem Update. Nachfolgende Neustarts lösen den Vorgang nicht erneut aus, sofern keine weiteren Änderungen an den Gruppenrichtlinien vorgenommen werden.

Wer betroffen ist

Laut Microsoft ist es unwahrscheinlich, dass Privatgeräte betroffen sind. Das Problem tritt nur auf, wenn alle fünf folgenden spezifischen Bedingungen gleichzeitig erfüllt sind: BitLocker muss auf dem Betriebssystem-Laufwerk aktiviert sein. Die Gruppenrichtlinieneinstellung für die TPM-Plattformvalidierung (Trusted Platform Module) muss so konfiguriert sein, dass sie PCR7 einschließt.

Das Systeminformationstool msinfo32.exe meldet den Secure-Boot-Status für PCR7-Bindung als „Not Possible“. Das Zertifikat „Windows UEFI CA 2023“ muss in der Secure Boot Signature Database vorhanden sein. Zudem darf auf dem Gerät noch nicht der mit 2023 signierte Windows Boot Manager laufen. Diese Konfigurationen finden sich typischerweise nur in unternehmensverwalteten Systemen.

Empfehlungen von Microsoft

Microsoft empfiehlt, die PCR7-Gruppenrichtlinienkonfiguration vor der Bereitstellung des Updates KB5082063 zu entfernen. Administratoren sollten zudem sicherstellen, dass die BitLocker-Bindungen das PCR7-Profil verwenden. Für Fälle, in denen die Richtlinie vor der Installation nicht entfernt werden kann, hat Microsoft einen „Known Issue Rollback“ (KIR) über seine Business-Support-Kanäle verfügbar gemacht.

Der KIR verhindert den automatischen Wechsel zum 2023er Boot Manager und unterbindet das Auslösen des BitLocker-Wiederherstellungsbildschirms. Eine dauerhafte Fehlerbehebung befindet sich in der Entwicklung und wird mit einem künftigen Windows-Update bereitgestellt.

Unabhängig davon wies Microsoft darauf hin, dass bei einigen Windows Server 2025-Geräten die Installation des April-Updates vollständig fehlschlägt, wobei der Fehlercode 800F0983 während der Installation erscheint. Das Unternehmen untersucht derzeit die Ursache hierfür.

Ein wiederkehrendes Problem

Dies ist das vierte Mal innerhalb von vier Jahren, dass ein Patch-Tuesday-Update unerwartete BitLocker-Wiederherstellungsabfragen auslöst. Dasselbe Problem trat bereits im August 2022 mit KB5012170, im Juli 2024 über alle unterstützten Windows-Versionen hinweg und zuletzt im Mai 2025 auf Windows 10-Systemen auf.

Trotz des bekannten Problems rät Microsoft Administratoren nicht dazu, das April-Update zu überspringen. Das Release behebt 167 Sicherheitslücken, darunter zwei Zero-Day-Schwachstellen, von denen eine bereits vor Verfügbarkeit des Patches aktiv ausgenutzt wurde.