Microsoft verteilt mit KB5101650 das neue Sicherheitsupdate für Windows 11 25H2 und Windows 11 24H2. Der Juli-Patchday bringt Windows 11 25H2 auf Build 26200.8875 und Windows 11 24H2 auf Build 26100.8875. Die Sicherheitslage ist ungewöhnlich groß: Im Windows-11-Kontext werden 570 Sicherheitskorrekturen gezählt, während Microsoft-weite Auswertungen auf 622 Schwachstellen kommen. Dazu kommen zwei aktiv ausgenutzte Zero-Days, neue Secure-Boot-Maßnahmen, RDP-Härtung, Bluetooth-Verbesserungen, Explorer-Korrekturen und Point-in-time restore. Für die Windows-Kategorie ist KB5101650 eines der wichtigsten Updates des Jahres, weil Privatanwender, Unternehmen, Behörden und Admins direkt betroffen sind.
| Bereich | Stand beim Juli-Patchday | Bedeutung |
|---|---|---|
| Windows 11 25H2 | Build 26200.8875 | Aktueller Hauptzweig |
| Windows 11 24H2 | Build 26100.8875 | Weiter unterstützte 24H2-Installationen |
| KB-Nummer | KB5101650 | Pflichtupdate über Windows Update |
| Sicherheitsprobleme im Windows-11-Kontext | 570 laut WindowsLatest-Zählung | Rekordnahe Patch-Menge |
| Microsoft-weite Schwachstellen | 622 laut Microsoft-weiten Auswertungen | Betrifft viele Microsoft-Produkte |
| Aktiv ausgenutzte Zero-Days | CVE-2026-56155 und CVE-2026-56164 | AD FS und SharePoint stehen im Fokus |
| Neue Wiederherstellung | Point-in-time restore | Rollback von Apps, Einstellungen und Dateien |
| Bekannte Einschränkung | Temporäre Update-Sperre für bestimmte Dell-Geräte mit Intel-CPU | Microsoft blockiert Update wegen Stabilitätsrisiken |
Microsoft verteilt KB5101650 für Windows 11 24H2 und 25H2
KB5101650 ist ein kumulatives Sicherheitsupdate. Windows Update installiert das Paket automatisch, sobald das jeweilige Gerät an der Reihe ist. Admins können das Update auch über Windows Update for Business, den Microsoft Update Catalog oder WSUS verteilen. Microsoft nennt keine allgemeinen bekannten Probleme für KB5101650. Eine wichtige Ausnahme betrifft bestimmte Dell-Geräte mit Intel-Prozessoren. Für diese Systeme kann das Update zeitweise nicht verfügbar sein, weil Dell eine Inkompatibilität mit möglichen Abschaltungen, schlechter Leistung, höherer Wärme und Akkuverbrauch gemeldet hat.
Microsoft übernimmt in KB5101650 mehrere Neuerungen aus dem Juni-Preview. Dazu gehört Point-in-time restore. Die Funktion kann einen PC inklusive Apps, Einstellungen und persönlicher Dateien auf einen jüngeren automatischen Wiederherstellungspunkt zurücksetzen. Das ist deutlich stärker als ein klassischer Treiber- oder Systemdatei-Rollback. Für Nutzer mit Update-Problemen, defekten Treibern oder falschen Systemeinstellungen kann diese Funktion ein wichtiger Sicherheitsanker werden.
Auch Windows Update bekommt mehr Kontrolle. Nutzer können Updates per Kalender bis zu 35 Tage pausieren und ein konkretes Enddatum wählen. Der Zusammenhang ist wichtig: Microsoft liefert mehr Sicherheitskorrekturen aus, erlaubt aber gleichzeitig feinere Planung. Frühere Ghacks-Artikel zu Windows 11 Updates ohne feste Pause-Grenze und Windows Update mit längeren Pausen und weniger Neustarts zeigen, wie stark Microsoft die Update-Steuerung 2026 umgebaut hat.
Der Datei-Explorer erhält mehrere Korrekturen. Microsoft nennt einen schnelleren Start, bessere Reaktionszeiten beim Einbinden von Datenträgerabbildern, stabilere Vorschläge in der Adressleiste, bessere Unterstützung für Pfade mit doppelten Backslashes und Anführungszeichen sowie Korrekturen beim Umbenennen von Dateien. Dazu kommt eine Reparatur für einen OneDrive-Shortcut im Explorer bei Start mit Administratorrechten.
Bei Bluetooth bessert Microsoft ebenfalls nach. Windows synchronisiert den Mikrofon-Stummstatus besser mit Bluetooth-Headsets, verbessert die Erkennung bestimmter Audiogeräte, beschleunigt die Anzeige von AirPods im Kopplungsmodus und erhöht die Mikrofonzuverlässigkeit bei Beats Studio Pro. LE-Audio-Zubehör soll nach Verbindungsabbrüchen stabiler weiterlaufen. Auch Telefonate über Phone Link erhalten eine klarere Audio-Weitergabe.
Microsoft setzt den Secure-Boot-Umbau fort. KB5101650 erweitert die Geräteabdeckung für neue Secure-Boot-Zertifikate. Das passt zu früheren Stichtagen rund um Secure-Boot-Zertifikate für Admins und den Ablauf alter Secure-Boot-Zertifikate. Zusätzlich ergänzt Microsoft RDP-Schutz durch SHA-2-Zertifikat-Fingerabdrücke für vertrauenswürdige RDP-Herausgeber. SHA-1 bleibt vorerst nur aus Kompatibilitätsgründen erhalten.
Zwei Zero-Days und 622 Microsoft-Schwachstellen erhöhen den Patchdruck
Der Juli-Patchday ist nicht nur wegen Windows 11 groß. Sicherheitsauswertungen zählen Microsoft-weit 622 Schwachstellen. Zwei Lücken wurden laut mehreren Sicherheitsanalysen bereits aktiv ausgenutzt. CVE-2026-56155 betrifft Active Directory Federation Services und kann zur Rechteausweitung führen. CVE-2026-56164 betrifft Microsoft SharePoint Server. Für Unternehmen und Behörden in Deutschland ist dieser Teil besonders wichtig, weil AD FS und SharePoint häufig in Identitäts-, Intranet- und Dokumentenprozessen stecken.
Für Windows-Nutzer stehen zusätzlich viele Kernkomponenten im Fokus. Sicherheitsberichte nennen unter anderem Kernel, Win32k, NTFS, Remote Desktop, DHCP, TCP/IP, Hyper-V, Secure Boot, BitLocker, File Explorer, Print Spooler, Media Foundation, USB-Treiber, SMB und Windows Installer. Das erklärt, warum KB5101650 nicht wie ein kleines Monatsupdate wirkt. Der Patchday betrifft zentrale Schichten von Windows und mehrere Unternehmensdienste.
Ein weiterer Punkt ist BitLocker. CVE-2026-50661 wird als öffentlich bekannt beschriebene BitLocker-Sicherheitsumgehung eingeordnet. Der Angriff benötigt physischen Zugriff auf das Zielgerät. Trotzdem ist die Lücke für Unternehmen relevant, weil gestohlene Notebooks, Außendienstgeräte und Behördenhardware genau in diese Risikoklasse fallen. Frühere Probleme wie Windows 11 Update KB5083769 mit BitLocker-Recovery zeigen, wie schnell Verschlüsselung und Update-Zyklen zum Supportthema werden.
Windows 11 erhält durch KB5101650 auch die Speicher-Korrektur für CapabilityAccessManager.db-wal. Dieser Fehler konnte laut Berichten enorme Mengen Speicherplatz belegen. Der Punkt passt zu Update-Problemen aus den vergangenen Monaten. Auch Windows 11 Juni-Update mit Performance- und Komfortänderungen hatte bereits gezeigt, dass Microsoft Sicherheitsupdates, Qualitätsfixes und neue Funktionen enger bündelt.
Für Privatanwender ist die Empfehlung klar: Windows Update öffnen, nach Updates suchen, Installation abschließen und den PC neu starten. Nach dem Neustart sollte Windows 11 25H2 die Buildnummer 26200.8875 anzeigen. Windows 11 24H2 sollte 26100.8875 anzeigen. Nutzer mit Dell-Geräten und Intel-Prozessor sollten prüfen, ob Microsoft das Update auf ihrem Modell bewusst blockiert.
Für Admins ist der Ablauf komplizierter. Zuerst sollten AD FS, SharePoint, Windows-Clients, Windows-Server, RDP-Dateien, BitLocker-Geräte, Secure-Boot-Zertifikate und Drittanbieter-TDI-Transporte geprüft werden. Microsoft warnt, dass Anwendungen mit Sockets über nicht registrierte TDI-Transporte nach dem Update ausfallen können. Testgruppen, Wartungsfenster und schnelle Rollback-Pläne bleiben deshalb wichtig.
Der große Patchday trifft auch auf eine laufende Windows-Migration. Windows 11 24H2 Home und Pro erreichen im Oktober 2026 ihr Supportende. Der automatische Umstieg auf neuere Versionen bleibt deshalb ein zusätzliches Thema. Der Artikel zu Windows 11 25H2 und automatischem Rollout für Home und Pro bleibt in diesem Kontext relevant. Nutzer mit Windows 10 müssen zusätzlich ihre ESU-Strategie prüfen, wie die Windows 10 ESU-Entscheidungshilfe für Privatnutzer und kleine Firmen zeigt.
KB5101650 ist damit mehr als ein normaler Monats-Patch. Microsoft kombiniert eine sehr große Sicherheitsrunde mit Wiederherstellung, Bluetooth-Fixes, Explorer-Korrekturen, Secure-Boot-Umstellung und Admin-relevanten Härtungen. Der wichtigste Schritt bleibt der Neustart nach der Installation. Erst danach laufen Windows 11 24H2 und 25H2 mit den neuen Sicherheitskorrekturen.