Microsoft entfernt WMIC aus Windows 11 24H2 und 25H2

Microsoft entfernt das jahrzehntealte Kommandozeilenwerkzeug WMIC endgültig aus Windows 11. Ab August 2026 ist Windows Management Instrumentation Command-line in aktuellen Builds von Windows 11 24H2 und 25H2 nicht mehr enthalten. Entscheidend für Administratoren: WMIC lässt sich künftig auch nicht mehr als optionales Feature nachinstallieren. Die zugrunde liegende Windows Management Instrumentation bleibt dagegen vollständig erhalten.

Microsoft setzt damit eine lange angekündigte Abschaffung um. WMIC galt bereits seit Windows 10 Version 21H1 als veraltet. In neueren Windows-11-Versionen wurde das Werkzeug zunächst zu einem optionalen Feature. Jetzt endet auch diese Übergangslösung. Unternehmen mit alten Batch-Dateien, Inventarisierungsskripten oder Verwaltungsprogrammen sollten prüfen, ob darin noch Aufrufe von wmic.exe stecken.

WMIC lässt sich nicht mehr als optionales Windows-Feature installieren

Die nächste Stufe der Entfernung zeigt sich aktuell im Release Preview Channel. Microsoft hat am 14. August die Builds 26100.9267 für Windows 11 24H2 und 26200.9267 für Windows 11 25H2 veröffentlicht. Beide gehören zu KB5120998. In den Release Notes erklärt Microsoft ausdrücklich, dass Windows 11 24H2 und 25H2 ab August 2026 WMIC nicht mehr enthalten.

Damit verändert sich ein wichtiger Punkt gegenüber der bisherigen Übergangsphase. Auf frischen Installationen von Windows 11 24H2 war WMIC bereits standardmäßig nicht vorhanden. Administratoren konnten das Werkzeug bei Bedarf jedoch als Feature on Demand nachinstallieren. Diese Möglichkeit fällt nun ebenfalls weg.

Auch Microsofts aktuelle Insider-Entwicklung folgt diesem Kurs. Beta Build 26220.9202 vom 17. August entfernt WMIC aus dem auf Windows 11 25H2 basierenden Beta Channel. Dasselbe gilt für den neuen 26H1-Beta-Build 28020.2731. Microsoft bezeichnet beide Änderungen als Teil der laufenden Abschaffung von WMIC.

WMI selbst wird nicht abgeschafft. Windows Management Instrumentation ist eine wesentlich größere Verwaltungsinfrastruktur des Betriebssystems. Anwendungen und Administratoren können darüber weiterhin Informationen über Hardware, Betriebssystem, Dienste, Prozesse und andere Komponenten abrufen. Nur die alte Kommandozeilenschnittstelle wmic.exe verschwindet.

Die Unterscheidung ist wichtig, da viele Unternehmensprodukte intern auf WMI zugreifen. Solche Programme funktionieren nicht automatisch nicht mehr, nur weil WMIC fehlt. Probleme entstehen vor allem bei Software und Skripten, die ausdrücklich die ausführbare Datei wmic.exe aufrufen.

Für Unternehmen mit Windows 11 24H2 kommt die Änderung zudem in einer Übergangsphase. Windows 11 24H2 Home und Pro erreichen im Oktober 2026 ihr Supportende. Unternehmen und andere verwaltete Editionen besitzen abweichende Laufzeiten. Ein Wechsel auf 25H2 löst ein bestehendes WMIC-Kompatibilitätsproblem jedoch nicht, da Microsoft das Werkzeug auch dort entfernt.

PowerShell und CIM ersetzen alte WMIC-Skripte

Microsoft empfiehlt Administratoren den Wechsel auf PowerShell und die CIM-Cmdlets. Diese können weiterhin auf Informationen aus Windows Management Instrumentation zugreifen. Für neue Skripte empfiehlt Microsoft ausdrücklich CIM statt der älteren PowerShell-WMI-Cmdlets.

Ein häufiges WMIC-Beispiel ist das Auslesen der BIOS-Seriennummer. Alte Skripte verwenden dafür häufig „wmic bios get serialnumber“. Mit PowerShell lässt sich dieselbe Information über Get-CimInstance -ClassName Win32_BIOS abrufen. Vergleichbare Umstellungen sind für Prozessorinformationen, Betriebssystemdaten, Dienste und zahlreiche weitere WMI-Klassen möglich.

Für IT-Abteilungen ist deshalb jetzt der richtige Zeitpunkt für eine Suche nach alten WMIC-Abhängigkeiten. Besonders Batch- und CMD-Dateien aus älteren Deployment-, Hardwareinventarisierungs- und Supportprozessen enthalten häufig noch WMIC-Befehle. Auch Drittanbieterprogramme können intern wmic.exe starten und nach der Entfernung mit Fehlermeldungen reagieren.

Die Umstellung besitzt zusätzlich einen Sicherheitsaspekt. WMIC ist ein legitimes und von Microsoft signiertes Windows-Werkzeug. Genau solche Programme werden von Angreifern bei sogenannten Living-off-the-Land-Angriffen genutzt. Schadsoftware muss dann nicht für jede Aktion ein eigenes verdächtiges Programm mitbringen.

Microsoft hat den Missbrauch selbst in realen Angriffskampagnen dokumentiert. Bei der Astaroth-Kampagne wurde WMIC unter anderem zum Ausführen weiterer Bestandteile einer weitgehend dateilosen Angriffskette eingesetzt. Auch in modernen Threat-Hunting-Empfehlungen führt Microsoft wmic.exe zusammen mit PowerShell und rundll32.exe als Beispiel für legitime Werkzeuge auf, deren ungewöhnliche Verwendung überwacht werden sollte.

Die Entfernung von WMIC beseitigt solche Angriffstechniken allerdings nicht vollständig. WMI bleibt vorhanden und kann ebenfalls legitim oder missbräuchlich verwendet werden. PowerShell bietet seinerseits umfangreiche Verwaltungsfunktionen. Für Unternehmen ersetzt die Entfernung deshalb keine Überwachung von verdächtigen Prozessen, WMI-Aktivitäten oder ungewöhnlichen administrativen Befehlen.

Für normale Windows-Nutzer dürfte das Verschwinden von WMIC kaum sichtbar sein. Das Werkzeug besitzt keine grafische Oberfläche und wurde vor allem von Administratoren, Entwicklern und älteren Skripten verwendet. In Unternehmensumgebungen kann die Änderung dagegen unmittelbar auffallen. Spätestens mit den August-2026-Builds sollte deshalb nicht mehr damit geplant werden, WMIC bei Bedarf einfach wieder als Feature on Demand zu installieren.

Microsoft beendet damit eine mehrjährige Übergangsphase. WMIC verschwindet, WMI bleibt. Bestehende Automatisierungen sollten auf CIM-basierte PowerShell-Befehle umgestellt werden. Die aktuellen Release-Preview- und Beta-Builds zeigen, dass Microsoft für alte WMIC-Skripte keine weitere dauerhafte Kompatibilitätsschicht vorsieht.