LONDON (IT BOLTWISE) – Beim Microsoft-Update KB5094126 berichten Nutzer von Bluescreens und Boot-Schleifen – besonders auf vielen HP- und Dell-Geräten. Der Auslöser liegt offenbar in der Erneuerung von Secure-Boot-Zertifikaten, für die auf manchen Systemen der Speicherplatz in der EFI-Systempartition nicht ausreicht. Parallel dazu werden über desktop.ini-Dateien personalisierte Ordnersymbole aus unsicheren Quellen blockiert. Der Artikel ordnet die technischen Ursachen ein und zeigt, wie Unternehmen mit sicheren Workarounds, Notfallplänen und einem Blick auf zukünftige Restore-Funktionen reagieren können.
Mit dem Juni-Patchday steht in vielen Windows-Umgebungen ein Risiko im Raum, das IT-Teams eigentlich nur aus der Vergangenheit kennen: Das Update KB5094126 soll zwar Sicherheitslücken schließen, führt aber bei einer Teilmenge von Systemen zu massiven Folgeproblemen wie Boot-Schleifen und Bluescreens. Besonders häufig betroffen sind Business-Geräte von HP und Dell. Hinter dem Effekt steckt weniger „kaputte“ Hardware als eine konkrete Interaktion zwischen dem Secure-Boot-Mechanismus, der Verteilung neuer Zertifikate und dem verfügbaren Platz auf der EFI-Systempartition. Damit wird aus einem Wartungsfenster schnell ein Incident-Risiko, das auch die Wiederherstellungskompetenz im Unternehmen testet.
Technisch ist der Kern des Problems nachvollziehbar: Microsoft erneuert im Zuge des Juni-Patches Secure-Boot-Zertifikate, weil ältere Schlüssel in den nächsten Monaten auslaufen – der erste bereits am 24. Juni. Damit die neuen Zertifikate vom UEFI- und Firmware-Trust-Chain akzeptiert werden, müssen sie auf die EFI-Systempartition geschrieben werden. Genau an dieser Stelle zeigen sich Engpässe in der Praxis: Zahlreiche Geräte, darunter viele Modelle aus der HP- und Dell-Produktlinie, verwenden eine sehr kleine EFI-Partition von nur rund 100 MB. Wenn HP diesen Bereich zusätzlich für Wiederherstellungsdateien nutzt, bleibt schlicht nicht genug Platz, um die neuen Zertifikate störungsfrei abzulegen. Ergebnis: Der Bootvorgang scheitert, das System kann BitLocker-relevante Wiederherstellung auslösen oder abstürzen.
Ein naheliegender Workaround ist für einzelne Administratoren die Deaktivierung von Secure Boot im BIOS. Experten warnen jedoch: Das Ausschalten des Schutzmechanismus kann die Angriffsfläche vergrößern, insbesondere für Bootkits, die auf frühen Startphasen aufsetzen. Als Referenz lässt sich hier das generelle Bedrohungsmodell einordnen, das aus der Sicherheitsdebatte um Boot- und Pre-Boot-Angriffe bekannt ist. Unternehmen sollten daher nicht blind „Sicherheitsfunktion aus“ als Standardlösung verwenden, sondern die Ursache adressieren, etwa durch eine Erweiterung der EFI-Systempartition. Dieser Schritt ist zwar ein Eingriff, schafft aber die Voraussetzung dafür, dass Zertifikat-Updates ohne Firmware- oder Trust-Break ablaufen können.
Die zweite technische Schicht betrifft weniger den Bootprozess, aber dafür das Betriebssystem-„Experience“-Verhalten: Microsoft schließt eine Sicherheitslücke, die bis ins Jahr 2003 zurückreichen kann. Konkret geht es um das Einlesen und Anzeigen benutzerdefinierter Ordnersymbole und -namen, die über desktop.ini-Dateien gesteuert werden. Aus unsicheren Quellen stammende Konfigurationen werden künftig nicht mehr angezeigt – etwa wenn sie aus dem Internet, aus WebDAV-Kontexten oder aus Netzwerkpfaden außerhalb eines lokalen Intranets kommen. Hintergrund ist offenbar ein Pufferüberlauf, der Angreifern das Einschleusen von Schadcode bereits durch das reine Öffnen eines Ordners ermöglichen konnte. Für Anwender bedeutet das: Wer personalisierte Symbole nutzt, muss Quellen als vertrauenswürdig einstufen oder Gruppenrichtlinien anpassen.
Auf der Marktebene zeigt sich ein typisches Muster nach Patch-Tagen: Neben dem „harten“ Bootproblem tauchen in mehreren Setups zusätzliche Funktionsstörungen auf, unter anderem im Zusammenspiel mit Cloud-Clients im Datei-Explorer. Berichte deuten darauf hin, dass OneDrive, Dropbox und iCloud betroffen sein können, insbesondere in Konstellationen mit lokalen Administratorkonten und deaktivierter Benutzerkontensteuerung. Parallel dazu meldet sich auch der Serverkontext: Das Update KB5087537 kann Active-Directory-Funktionalität stören, allerdings nur unter einer sehr spezifischen Bedingung, nämlich wenn der Hostname exakt 15 Zeichen lang ist. In der Praxis wird damit klar, dass Tests nicht nur nach „Update kommt durch“, sondern nach „kritische Rollen funktionieren“ laufen sollten – besonders bei Enterprise-Software, die stark von Identität, Authentifizierung und Dateisystemzugriffen abhängt.
Ein Sicherheitsforscher bringt die Priorisierung auf den Punkt, indem er sinngemäß betont: „Wenn ein Update die Boot-Trust-Kette berührt, ist die Planbarkeit des Rollouts wichtiger als die Geschwindigkeit des Fixes.“ Diese Einschätzung spiegelt die Reaktion vieler Enterprise-IT-Abteilungen: Statt sofortiger Breitenverteilung wird zunehmend auf gestaffelte Rollouts, definierte Racks/OU-Gruppen und Wiederanlaufpläne gesetzt. Gleichzeitig sollte das Patch-Management die Wechselwirkungen mit Verschlüsselung stärker berücksichtigen: Wenn BitLocker-Wiederherstellungsschlüssel für den Notbetrieb gebraucht werden, müssen diese im Incident-Fall verfügbar und pro Gerät auffindbar sein. Für Administratoren zählt dann nicht nur die technische „Machbarkeit“, sondern auch die organisatorische Wiederherstellungsfähigkeit.
Für die Zukunft liefert Microsoft ebenfalls Signale, die in die strategische Sicherheits- und Betriebsplanung einzahlen. In aktuellen Insider-Builds wird eine Point-in-Time-Wiederherstellungsfunktion getestet, die lokale Wiederherstellungspunkte erzeugen soll, indem der Volumenschattenkopie-Dienst genutzt wird. Damit sollen sich nach fehlgeschlagenen Updates oder Treiberinstallationen Apps, Einstellungen und lokale Dateien zurücksetzen lassen, bevor ein Problem in eine produktive Ausfallkette mündet. Voraussetzung ist allerdings mindestens zwei Gigabyte freier Speicher, und die Wiederherstellungspunkte bleiben maximal 72 Stunden erhalten. Für Unternehmen bedeutet das: Wer künftig standardisierte Restore-Mechanismen auf der Windows-Ebene einplanen kann, reduziert die „Zeit bis zur Stabilität“ nach Patch-Fehlern – vorausgesetzt, Prozesse, Rechte und Storage-Policies passen.
Unterm Strich sollten IT-Teams KB5094126 und die Secure-Boot-Zertifikatsänderung nicht isoliert betrachten, sondern als Testfall für moderne Update-Disziplin. Praktisch empfiehlt sich, die EFI-Partitionen in einer Bestandsaufnahme zu prüfen, Engpässe zu identifizieren und die Erweiterung nach einem dokumentierten Notfallplan vorzubereiten. Secure Boot nur als letzte Option und mit Sicherheitsbewertung zu deaktivieren, bleibt dabei meist die konservativere Linie. Ergänzend sollten Gruppenrichtlinien für desktop.ini-Quellen überprüft und Cloud-Client-Workflows im Datei-Explorer in typischen Admin-/Non-Admin-Konfigurationen gegengeprüft werden. Wer das Zusammenspiel aus Firmware, Zertifikatsmanagement, Verschlüsselung und Dateizugriffen jetzt strukturiert, verbessert nicht nur die Patch-Resilienz, sondern auch die langfristige Enterprise-Sicherheit.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "KB5094126 verursacht Bootfehler bei HP und Dell durch Secure-Boot-Zertifikate" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "KB5094126 verursacht Bootfehler bei HP und Dell durch Secure-Boot-Zertifikate" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »KB5094126 verursacht Bootfehler bei HP und Dell durch Secure-Boot-Zertifikate« bei Google Deutschland suchen, bei Bing oder Google News!