974 Lücken — und dann stand der Terminalserver: Der September-Patchday in der Praxis

Was macht den September-Patchday besonders?

Die Zahl allein: Microsoft hat am 8. September 2026 insgesamt 974 Sicherheitslücken geschlossen — 104 als kritisch eingestuft, 860 als wichtig. Das ist mehr als der bisherige Höchststand vom Juli und mehr als das Doppelte des August.

Bemerkenswert ist dieser Patchday aber aus einem zweiten Grund, über den deutlich weniger berichtet wurde: Er hat in ungewöhnlich vielen Umgebungen selbst Schaden angerichtet. In der Woche nach dem 8. September häuften sich Meldungen über Terminalserver, die keine Anmeldung mehr zuließen, über Clients, die die Vertrauensstellung zur Domäne verloren, und über Rechner, die nach dem Neustart gar nicht mehr hochkamen.

Beides zusammen macht die Lage unangenehm: Warten ist gefährlich, blind ausrollen aber auch.

Welche Lücken sind die wirklich dringenden?

Von 974 Einträgen sind für einen typischen Mittelstandsbetrieb vier relevant — der Rest ist Routine.

• Windows-DNS-Server (CVE-2026-69730, CVSS 9,8): Ein Angreifer kann ohne jede Anmeldung ein präpariertes Paket schicken und darüber Schadcode ausführen. Microsoft stuft eine Ausnutzung als „eher wahrscheinlich“ ein. In fast jedem Firmennetz läuft dieser Dienst auf den Domänencontrollern — das ist der Kern Ihrer Anmeldung. Bereits im August war der DNS-Dienst der kritische Punkt; im September kamen acht weitere Lücken dort hinzu.
• Kerberos (CVE-2026-69676, CVSS 8,8): Eine Umgehung der Authentifizierung. Wer bereits einen kleinen Zugang im Netz hat, kann daraus Code ausführen. Kerberos ist das Verfahren, mit dem sich Ihre Rechner am Server anmelden.
• Remotedesktop-Dienste (CVE-2026-69525, CVSS 9,8): Ausführung von Schadcode, ebenfalls als „eher wahrscheinlich“ eingestuft. Betrifft jeden, der einen Terminalserver betreibt oder Fernzugriff über RDP erlaubt.
• Zwei aktiv ausgenutzte Zero-Days: CVE-2026-81963 im Windows-Update-Stack und CVE-2026-85880 im ALPC-Dienst. Beide sind keine Fernangriffe, sondern Rechteausweitungen: Wer schon auf dem Rechner ist, wird damit zu SYSTEM. Genau der Schritt, den Angreifer nach einer Phishing-Mail als Nächstes gehen.

Dazu kommt eine Lücke in Exchange Server (CVE-2026-69380), über die ein angemeldeter Nutzer auf fremde Postfächer zugreifen und in deren Namen Mails verschicken könnte. Microsoft hält eine Ausnutzung für unwahrscheinlich — betroffen sind ohnehin nur Betriebe mit eigenem Exchange-Server. Wer in Microsoft 365 arbeitet, ist hier außen vor.

Was ist bei den Updates selbst schiefgegangen?

Das Problem mit der größten Wirkung traf die Remotedesktop-Dienste. Nach Installation der Updates auf Windows Server 2016 bis 2025 meldeten Administratoren, dass Nutzer aus ihrer Sitzung flogen und sich nicht mehr anmelden konnten. Microsoft bestätigte den Fehler, lieferte zunächst eine Rücknahme-Lösung (Known Issue Rollback) — die nicht überall griff — und stellte am 14. September außerplanmäßige Updates bereit.

Für einen Betrieb, der auf einem Terminalserver arbeitet, heißt das im Klartext: Wer am 8. September abends gepatcht hat, stand am 9. September früh ohne Arbeitsplätze da.

Daneben wurden gemeldet:

• Hyper-V: Freigegebene Host-Ordner waren in Linux-VMs nicht mehr erreichbar — ebenfalls per außerplanmäßigem Update am 14. September korrigiert.
• Secure Boot: Ist die WinRE-Wiederherstellungspartition zu klein, scheitert das mitgelieferte Secure-Boot-Update — im ungünstigen Fall startet der Rechner nicht mehr.
• Domänen-Vertrauensstellung: Einzelne Clients verloren die Verbindung zur Domäne und mussten neu aufgenommen werden.
• Schwarze Bildschirme nach dem Neustart, teils weil der Grafiktreiber durch einen Windows-Standardtreiber ersetzt wurde.

Heißt das, man sollte lieber nicht patchen?

Nein — und dieser Schluss wäre der gefährlichste, den man aus diesem Monat ziehen kann. Eine ungepatchte DNS-Lücke, die sich ohne Anmeldung ausnutzen lässt, ist ein dauerhaftes Risiko. Ein Update-Fehler ist ein ärgerlicher, aber reparierbarer Zwischenfall: Der Terminalserver war einen Tag später wieder da, die verschlüsselten Daten nach einem Ransomware-Angriff sind es nicht.

Die Lehre ist eine andere, und sie ist unspektakulär: Reihenfolge und Staffelung statt Alles-auf-einmal. Genau dafür gibt es das Ring-Prinzip — eine kleine Testgruppe zuerst, dann die breite Masse, kritische Server zu einem geplanten Zeitpunkt mit Rückfallweg.

Ein fehlerhaftes Update kostet einen Tag. Eine offene DNS-Lücke kann den Betrieb kosten.

Wie patchen Sie schnell und trotzdem sicher?

In dieser Reihenfolge — sie beantwortet beide Anforderungen gleichzeitig:

• Domänencontroller mit DNS-Rolle zuerst, aber nicht alle gleichzeitig: einen patchen, Anmeldung und Namensauflösung prüfen, dann den nächsten. Hier liegt das größte Risiko, und hier gibt es keinen Aufschub.
• Testgruppe vor dem Rollout: fünf bis zehn Arbeitsplätze, die stellvertretend für den Bestand stehen — inklusive eines Geräts mit Ihrer wichtigsten Fachanwendung.
• Terminalserver und Hyper-V-Hosts zuletzt, und in diesem Monat ausdrücklich mit den Nachbesserungen vom 14. September. Wer noch nicht gepatcht hat, spart sich den Zwischenschritt.
• WinRE-Partition vorher prüfen, wenn Sie Windows 11 im Einsatz haben — rund 750 MB sind die Empfehlung. Das ist ein Zweizeiler, der Ihnen den Boot-Fehler erspart.
• Rückfallweg festlegen: Wer darf ein Update zurücknehmen, und wie kommen Sie an einen Server, dessen Fernzugriff gerade nicht funktioniert?

Das klingt nach Aufwand, ist aber im Wesentlichen eine Frage von Werkzeug und Zuständigkeit. Wir erledigen das im Patch-Management in Ringen, prüfen vorab die bekannten Problemmeldungen und sehen über das Monitoring, wenn ein System nach dem Neustart nicht sauber zurückkommt.

Was sollten Sie jetzt tun?

Drei Fragen, die in wenigen Minuten klären, wo Sie stehen: Sind die September-Updates auf unseren Domänencontrollern eingespielt — mit Datum? Betreiben wir einen Terminalserver, und hat er die Nachbesserung vom 14. September bekommen? Und wer entscheidet bei uns über ein außerplanmäßiges Wartungsfenster?

Dass solche Monate keine Ausnahme mehr sind, zeigt der Blick zurück: vom Juli-Patchday über den August mit der wurmfähigen DNS-Lücke bis heute. Wie ein belastbarer Prozess dahinter aussieht, steht in Warum ist Patch-Management so wichtig?.

Und wenn Sie beim Prüfen feststellen, dass niemand im Haus verbindlich sagen kann, welche Server welchen Update-Stand haben: Das ist kein Patch-Problem mehr, sondern eine Frage der Zuständigkeit.