Windows 11: KB5127648 behebt Probleme mit Gruppenrichtlinien

Wer Windows 11 in einer Firmenumgebung verwaltet, kennt das unangenehme Gefühl: Ein Update soll eigentlich Sicherheit und Stabilität verbessern – und plötzlich funktionieren ausgerechnet die Gruppenrichtlinien nicht mehr sauber.

Genau so ein Problem ist zuletzt unter Windows 11 aufgetaucht. Im Zusammenhang mit der neuen Administrator Protection konnten bestimmte Updates dazu führen, dass sich Computerrichtlinien nicht mehr korrekt aktualisieren ließen. Gleichzeitig verhielten sich UAC-Abfragen ungewohnt und verlangten plötzlich Benutzername und Kennwort.

Mit dem Oktober-Update KB5127648 scheint Microsoft das Problem nun behoben zu haben.

Administrator Protection war offenbar der Auslöser

Microsoft bereitet Administrator Protection bereits seit längerer Zeit für Windows 11 vor. Die Funktion sollte ursprünglich früher kommen, wurde dann aber auf Windows 11 26H2 verschoben.

Das Ziel dahinter ist grundsätzlich sinnvoll: Administratorrechte sollen stärker geschützt und privilegierte Aktionen besser voneinander getrennt werden.

In der Praxis führte der schrittweise Rollout allerdings offenbar zu Kompatibilitätsproblemen mit Microsofts eigener Windows Security Baseline.

Besonders Administratoren bemerkten danach Probleme mit Gruppenrichtlinien.

Betroffen waren laut den vorliegenden Berichten Systeme, auf denen beispielsweise das August-Preview-Update KB5120998 oder später das September-Preview-Update KB5124010 installiert war.

Gruppenrichtlinien ließen sich teilweise nicht mehr aktualisieren

Das Fehlerbild war ziemlich unangenehm.

Auf betroffenen Windows-11-Systemen konnten Computerrichtlinien nicht mehr korrekt aktualisiert werden. Ein normales:

gpupdate /force

lief dadurch nicht mehr wie erwartet durch.

Zusätzlich änderte sich das Verhalten der Benutzerkontensteuerung.

Statt einer normalen Administratorbestätigung erschienen UAC-Abfragen, die plötzlich explizit nach Benutzername und Kennwort verlangten.

Auch die Gruppenrichtlinien-Verwaltungskonsole konnte die betreffende Einstellung offenbar nicht korrekt darstellen.

Gerade in verwalteten Unternehmensumgebungen ist das natürlich ungünstig.

Wenn Gruppenrichtlinien nicht mehr zuverlässig verarbeitet werden, betrifft das schnell nicht nur eine einzelne Einstellung, sondern unter Umständen eine ganze Reihe zentral verwalteter Konfigurationen.

KB5127648 soll das Problem beheben

Mit dem Oktober-Patchday 2026 wurde KB5127648 veröffentlicht.

Laut den bisherigen Berichten behebt dieses Update die Probleme rund um Administrator Protection und die fehlerhafte Verarbeitung von Gruppenrichtlinien.

Wer betroffen ist, sollte deshalb zunächst prüfen, ob KB5127648 bereits installiert wurde.

Gerade bei Firmenrechnern würde ich hier nicht lange mit manuellen Workarounds arbeiten, wenn Microsoft inzwischen einen regulären Fix bereitstellt.

Es gibt auch einen manuellen Workaround

Falls KB5127648 noch nicht installiert werden kann oder das System aktuell in einem Zustand steckt, in dem sich Gruppenrichtlinien nicht mehr sauber aktualisieren lassen, gibt es einen manuellen Ausweg.

Die betreffende Richtlinie lautet:

User Account Control: Configure type of Admin Approval Mode

Diese kann auf:

Legacy Admin Approval Mode

gesetzt werden.

Idealerweise erfolgt das über eine Gruppenrichtlinie, die die Windows Security Baseline überschreibt.

Das Problem dabei:

Wenn genau die Computerrichtlinien bereits nicht mehr korrekt verarbeitet werden, bringt einem die schönste GPO natürlich wenig.

Dann bleibt nur die lokale Änderung.

Registry-Wert lokal setzen

Die Einstellung kann lokal per Registry gesetzt werden.

Dazu eine Eingabeaufforderung oder ein Terminal als Administrator öffnen und folgenden Befehl ausführen:

reg add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v TypeOfAdminApprovalMode /t REG_DWORD /d 1 /f

Damit wird der Wert:

TypeOfAdminApprovalMode

auf:

1

gesetzt.

Dieser Wert steht für den Legacy Admin Approval Mode.

Danach muss der Rechner neu gestartet werden.

Anschließend sollte:

gpupdate /force

wieder normal funktionieren.

Warum das Problem gerade für Admins ärgerlich war

Ich finde den Fehler vor allem deshalb bemerkenswert, weil hier gleich mehrere Dinge zusammenkommen.

Microsoft führt eine neue Sicherheitsfunktion ein.

Die Funktion soll Administratorrechte besser schützen.

Dann kollidiert sie offenbar mit einer ebenfalls von Microsoft bereitgestellten Security Baseline.

Und am Ende funktionieren ausgerechnet die Gruppenrichtlinien nicht mehr richtig.

Das ist genau die Art von Fehler, bei der man als Administrator erstmal ziemlich lange an der eigenen Umgebung zweifelt.

Man prüft GPO-Vererbung.

Man schaut nach Berechtigungen.

Man kontrolliert SYSVOL und Replikation.

Und irgendwann stellt sich heraus:

Nein, diesmal war es tatsächlich Windows selbst.

Administrator Protection bleibt trotzdem interessant

Trotz des Fehlers halte ich Administrator Protection grundsätzlich für einen sinnvollen Ansatz.

Microsoft versucht schon länger, privilegierte Konten stärker abzusichern und Administratorrechte nicht permanent verfügbar zu halten.

Das Problem ist weniger die Idee.

Das Problem ist, wenn solche Funktionen während eines gestaffelten Rollouts mit bestehenden Unternehmensrichtlinien kollidieren.

Gerade bei sicherheitsrelevanten Änderungen sollte die Kompatibilität mit den eigenen Baselines eigentlich besonders gut getestet sein.

Was ich in einer Unternehmensumgebung tun würde

Wenn ich auf einem betroffenen System solche Symptome sehen würde, würde ich relativ strukturiert vorgehen:

• prüfen, ob KB5127648 installiert ist
• kontrollieren, ob die Probleme danach verschwinden
• bei weiterhin gestörtem gpupdate die UAC-Richtlinie prüfen
• nur falls nötig den Registry-Workaround verwenden
• anschließend neu starten
• danach gpupdate /force erneut testen

Wichtig wäre mir außerdem, den Workaround nicht einfach blind auf hunderte Rechner zu verteilen.

Wenn das Microsoft-Update den Fehler bereits sauber behebt, sollte der reguläre Fix die bevorzugte Lösung bleiben.

Mein Eindruck

Der Fall zeigt wieder einmal, warum Preview-Updates in produktiven Umgebungen mit etwas Vorsicht behandelt werden sollten.

Natürlich sind Vorschau-Updates wichtig, weil Microsoft dort kommende Änderungen testet und Fehler früh sichtbar werden.

Auf produktiven Rechnern möchte ich aber ungern feststellen, dass eine neue Sicherheitsfunktion ausgerechnet die Gruppenrichtlinien-Verarbeitung beschädigt.

Gerade bei zentral verwalteten Windows-Systemen gilt für mich deshalb weiterhin:

Erst Pilotgruppe, dann breiter Rollout.

Nicht weil jedes Update schlecht wäre.

Sondern weil ein einzelner Fehler in einer zentralen Komponente schnell viele Systeme gleichzeitig betrifft.

Fazit

Die Windows-11-Updates KB5120998 und KB5124010 konnten offenbar im Zusammenhang mit Administrator Protection Probleme bei der Verarbeitung von Gruppenrichtlinien verursachen.

Typische Symptome waren unter anderem:

• fehlgeschlagene Aktualisierung von Computerrichtlinien
• ungewöhnliche UAC-Abfragen nach Benutzername und Kennwort
• fehlerhafte Darstellung der betreffenden Richtlinie in der Gruppenrichtlinien-Verwaltung

Mit KB5127648 scheint Microsoft das Problem nun behoben zu haben.

Wer betroffen ist, sollte daher zuerst das Oktober-Update installieren beziehungsweise prüfen.

Falls das nicht möglich ist, kann der Legacy Admin Approval Mode vorübergehend lokal per Registry aktiviert werden.

Für mich ist das wieder ein schönes Beispiel dafür, dass neue Sicherheitsfunktionen zwar wichtig sind – aber mindestens genauso wichtig ist, dass sie bestehende Verwaltungsmechanismen nicht gleich mit absichern, indem sie sie unbenutzbar machen.

Quellen

Neowin:
Windows 11 KB5127648 fixes Group policy fails from buggy Admin Protection
https://www.neowin.net/news/windows-11-kb5127648-fixes-group-policy-fails-from-buggy-admin-protection/