Windows RDP-Probleme nach September-Update 2026: Microsoft veröffentlicht OOB-Fix

Stand: 15. September 2026

Die Microsoft-Sicherheitsupdates vom September 2026 sorgen auf verschiedenen Windows-Server-Systemen für erhebliche Probleme mit den Remote Desktop Services (RDS).

Besonders relevant ist das Problem für Unternehmen, die Windows Server als Terminalserver beziehungsweise Remote Desktop Session Host einsetzen. Nach der Installation der September-Updates können RDP-Verbindungen abbrechen, Benutzeranmeldungen fehlschlagen oder komplette Server während der Remotedesktopkonfiguration nicht mehr reagieren.

Microsoft hat das Problem inzwischen offiziell bestätigt und am 14. September 2026 außerplanmäßige Out-of-Band-Updates veröffentlicht, welche die bekannten Probleme beheben sollen.

Welche Probleme treten nach den September-Updates auf?

Das Fehlerbild kann sich je nach eingesetzter Windows-Version und Umgebung unterscheiden.

Zu den beobachteten beziehungsweise von Microsoft beschriebenen Problemen gehören unter anderem:

• RDP-Verbindungen brechen nach kurzer Zeit ab.
• Benutzer können sich nicht mehr über Remote Desktop anmelden.
• RDP-Anmeldungen schlagen sporadisch oder vollständig fehl.
• Server bleiben bei der Meldung „Bitte warten Sie auf die Remotedesktopkonfiguration“ hängen.
• Die Microsoft Management Console kann nicht mehr reagieren.
• Der RDS-Lizenzierungsdiagnose-Assistent kann hängen bleiben.
• Der Windows Explorer kann nicht mehr reagieren.
• Die Windows-Update-Oberfläche lädt dauerhaft.
• Administrative Arbeiten auf dem Server können erheblich beeinträchtigt werden.

Besonders kritisch ist dies bei produktiven Terminalservern.

Fällt dort der Remote Desktop Service aus oder arbeitet instabil, können innerhalb kurzer Zeit zahlreiche Mitarbeiter keinen Zugriff mehr auf ihre Arbeitsumgebung erhalten.

Welche Windows-Server-Versionen sind betroffen?

Für Unternehmen sind insbesondere folgende Server-Versionen relevant:

• Windows Server 2025
• Windows Server 2022
• Windows Server 2019
• Windows Server 2016

Auch ältere, noch über entsprechende Support- oder ESU-Programme versorgte Windows-Server-Versionen sollten hinsichtlich der September-Updates überprüft werden.

Welche September-Updates stehen mit dem Problem in Verbindung?

Für die wichtigsten Windows-Server-Versionen sind insbesondere folgende September-Updates relevant:

Wer eines dieser Updates installiert hat und anschließend Probleme mit RDP oder den Remote Desktop Services feststellt, sollte den Patchstand des Systems überprüfen.

Microsoft veröffentlicht korrigierte Out-of-Band-Updates

Microsoft hat am 14. September 2026 außerplanmäßige Out-of-Band-Updates für die betroffenen Windows-Server-Versionen veröffentlicht. Die neuen Updates enthalten die bisherigen September-Korrekturen und ergänzen diese um gezielte Fehlerbehebungen.

Für Terminalserver- und RDS-Umgebungen ist insbesondere wichtig, dass Microsoft mit den neuen Updates die bekannten Probleme mit den Remote Desktop Services (RDS) korrigiert.

Was ist der Unterschied zu den ursprünglichen September-Updates?

Die Out-of-Band-Updates ersetzen nicht die sicherheitsrelevanten Korrekturen der ursprünglichen September-Updates. Sie bauen vielmehr auf dem vorhandenen Stand auf und ergänzen Fehlerbehebungen für Probleme, die erst nach Veröffentlichung der September-Patches bekannt wurden.

Für Windows-Server- und Terminalserver-Umgebungen ist die wichtigste Änderung die Korrektur der Remote Desktop Services. Nach Installation der ursprünglichen September-Updates konnten unter anderem folgende Symptome auftreten:

• RDP-Anmeldungen schlagen fehl.
• RDP-Verbindungen werden unerwartet getrennt.
• Bestehende Sitzungen werden instabil.
• Remote Desktop Services reagieren nicht mehr zuverlässig.
• Server bleiben bei der Remotedesktopkonfiguration hängen.
• Die Microsoft Management Console kann nicht mehr reagieren.
• Der RDS-Lizenzierungsdiagnose-Assistent kann hängen bleiben.
• Der Windows Explorer oder Windows Update können nicht mehr reagieren.

Die korrigierten OOB-Updates sind deshalb gegenüber einer vollständigen Deinstallation der September-Sicherheitsupdates in der Regel die sinnvollere Lösung: Die Sicherheitskorrekturen bleiben erhalten, während Microsoft die bekannten RDS-Probleme nachbessert.

Empfehlung für produktive Server

1. Aktuelles und überprüftes Backup erstellen.
2. Installierten Patchstand kontrollieren.
3. Passende Microsoft-KB-Seite prüfen.
4. OOB-Update zunächst auf einem Testsystem installieren.
5. Server neu starten.
6. RDP-Anmeldungen und bestehende Sitzungen testen.
7. RDS-Lizenzierung und Gruppenrichtlinien kontrollieren.
8. Geschäftskritische Anwendungen überprüfen.
9. Erst anschließend weitere Produktivsysteme aktualisieren.

Muss zuerst das problematische September-Update installiert werden?

Nein.

Es sollte nicht absichtlich zunächst das bekannte problematische Update installiert werden, nur um anschließend das korrigierte Update einzuspielen.

Die korrigierten Out-of-Band-Updates enthalten die relevanten vorherigen Änderungen und können entsprechend des vorhandenen Patchstands eingesetzt werden.

Vor der Installation sollte trotzdem immer die jeweilige Microsoft-Dokumentation für die eingesetzte Windows-Version geprüft werden.

Installierte Windows-Updates mit PowerShell prüfen

Administratoren können zunächst kontrollieren, welche Updates zuletzt auf dem Server installiert wurden.

Get-HotFix |
Sort-Object InstalledOn -Descending |
Select-Object -First 20

Windows Server 2025

Problematisches September-Update:

Get-HotFix -Id KB5122871

Korrigiertes Update:

Get-HotFix -Id KB5129235

Windows Server 2022

Get-HotFix -Id KB5129237

Windows Server 2019

Get-HotFix -Id KB5129238

Windows Server 2016

Get-HotFix -Id KB5129239

Alternativ kann auch DISM verwendet werden:

dism /online /get-packages /format:table

Was sollten Administratoren jetzt tun?

Bei produktiven Windows-Server-Systemen sollte derzeit besonders kontrolliert vorgegangen werden.

Vor jeder weiteren Änderung sollte zunächst geprüft werden, welche Windows-Version eingesetzt wird und welche September-Updates bereits installiert wurden.

Anschließend sollte sichergestellt werden, dass ein aktuelles und überprüftes Backup vorhanden ist.

Danach kann das passende korrigierte Out-of-Band-Update zunächst auf einem Testsystem oder einem einzelnen weniger kritischen Server installiert werden.

Nach dem Neustart sollten insbesondere folgende Bereiche geprüft werden:

• RDP-Anmeldung
• Abmeldung und erneute Anmeldung
• bestehende RDP-Sitzungen
• RDS-Lizenzierung
• Gruppenrichtlinien
• Windows Explorer
• Drucker
• Netzlaufwerke
• Fachanwendungen
• Microsoft Management Console
• Windows Update
• Ereignisanzeige

Erst wenn das System stabil arbeitet, sollte das Update auf weitere produktive Server verteilt werden.

Terminalserver-Farmen gestaffelt aktualisieren

Bei einer größeren RDS- beziehungsweise Terminalserver-Farm sollte nicht die komplette Umgebung gleichzeitig aktualisiert werden.

Ein sinnvoller Ansatz besteht darin, zunächst einen einzelnen Session Host aus der produktiven Verteilung herauszunehmen.

Dieser Server kann anschließend aktualisiert und ausführlich getestet werden.

Erst wenn dort keine Auffälligkeiten auftreten, sollten weitere Session Hosts folgen.

Dadurch reduziert sich das Risiko, dass ein fehlerhaftes Update gleichzeitig die gesamte Terminalserver-Infrastruktur beeinträchtigt.

September-Update nicht vorschnell vollständig deinstallieren

Eine vollständige Deinstallation des September-Sicherheitsupdates kann in einer akuten Störungssituation möglicherweise dazu führen, dass die RDP-Funktionalität wiederhergestellt wird.

Diese Vorgehensweise sollte inzwischen jedoch möglichst nur noch als Notfallmaßnahme betrachtet werden.

Die kumulativen September-Updates enthalten zahlreiche sicherheitsrelevante Korrekturen.

Wird das komplette Update entfernt, können dadurch bereits geschlossene Sicherheitslücken erneut vorhanden sein.

Da Microsoft inzwischen korrigierte Out-of-Band-Updates bereitgestellt hat, sollte bevorzugt geprüft werden, ob das jeweilige OOB-Update eingesetzt werden kann.

Was tun, wenn der Server nicht mehr über RDP erreichbar ist?

Ist ein Server nach der Installation eines Updates nicht mehr über Remote Desktop erreichbar, wird ein alternativer administrativer Zugriff benötigt.

Bei virtuellen Maschinen sollte deshalb grundsätzlich eine virtuelle Konsole unabhängig von RDP verfügbar sein.

Bei Hyper-V kann beispielsweise der Hyper-V-Manager beziehungsweise VMConnect eingesetzt werden.

Bei VMware oder Proxmox stehen ebenfalls direkte virtuelle Konsolen zur Verfügung.

Bei physischen Servern können Out-of-Band-Management-Lösungen eingesetzt werden, beispielsweise:

• HPE iLO
• Dell iDRAC
• Lenovo XClarity

Über die Konsole können anschließend der Patchstand kontrolliert, Dienste geprüft oder weitere Reparaturmaßnahmen durchgeführt werden.

Was ist mit dem Known Issue Rollback?

Zwischenzeitlich spielte auch der sogenannte Known Issue Rollback, kurz KIR, eine wichtige Rolle.

Mit einem Known Issue Rollback kann eine problematische Änderung eines Windows-Updates gezielt zurückgenommen werden, ohne das gesamte Sicherheitsupdate entfernen zu müssen.

Da inzwischen korrigierte Out-of-Band-Updates zur Verfügung stehen, sollte jedoch bevorzugt die offizielle korrigierte Aktualisierung eingesetzt werden.

Wer bereits einen KIR oder eine entsprechende Gruppenrichtlinie verwendet, sollte diesen nicht unkontrolliert entfernen.

Zunächst sollte das korrigierte Update installiert und die Stabilität der Umgebung überprüft werden.

Warum Sicherheitsupdates trotzdem wichtig bleiben

Die Probleme mit den September-Updates zeigen nicht, dass Windows-Sicherheitsupdates grundsätzlich vermieden werden sollten.

Sicherheitsupdates schließen teilweise schwerwiegende Schwachstellen und sind ein wesentlicher Bestandteil des Schutzes einer IT-Infrastruktur.

Gleichzeitig kann aber auch ein fehlerhaftes Update ein erhebliches Betriebsrisiko darstellen.

Professionelles Patchmanagement muss deshalb sowohl das Sicherheitsrisiko als auch das Ausfallrisiko berücksichtigen.

Warum der CVSS-Wert allein nicht ausreicht

Bei der Bewertung einer Sicherheitslücke wird häufig zunächst auf den CVSS-Wert geschaut.

Dieser Wert ist wichtig, sollte aber nicht allein darüber entscheiden, wie schnell ein Update produktiv installiert wird.

Für eine praktische Risikobewertung sind zusätzliche Fragen entscheidend:

• Wird die Schwachstelle bereits aktiv ausgenutzt?
• Existiert ein öffentlicher Proof-of-Concept?
• Gibt es bereits funktionierenden Exploit-Code?
• Ist der betroffene Dienst auf dem eigenen System aktiviert?
• Ist der Dienst aus dem Internet erreichbar?
• Ist eine Authentifizierung erforderlich?
• Ist eine Benutzerinteraktion notwendig?
• Welche Rechte erhält ein Angreifer?
• Gibt es funktionierende Mitigations?
• Welche bekannten Probleme verursacht das Sicherheitsupdate?

Eine Schwachstelle mit einem sehr hohen CVSS-Wert kann für ein bestimmtes System deutlich weniger relevant sein, wenn der betroffene Dienst dort überhaupt nicht eingesetzt wird.

Umgekehrt kann eine Schwachstelle mit niedrigerem CVSS-Wert eine hohe Priorität bekommen, wenn sie bereits aktiv von Angreifern ausgenutzt wird.

Welche Rolle spielen öffentliche Proof-of-Concept-Exploits?

Die Veröffentlichung eines funktionierenden Proof-of-Concept-Exploits ist ein wichtiger Faktor für die Patch-Priorisierung.

Sobald funktionierender Exploit-Code öffentlich verfügbar ist, reduziert sich die technische Einstiegshürde für Angreifer erheblich.

Eine bislang theoretische Schwachstelle kann dadurch innerhalb kurzer Zeit praktisch ausnutzbar werden.

Das Fehlen eines öffentlichen PoC bedeutet allerdings nicht automatisch, dass keine Gefahr besteht.

Wenn eine Schwachstelle bereits aktiv ausgenutzt wird, existiert offensichtlich eine funktionierende Angriffsmethode, auch wenn diese noch nicht öffentlich verfügbar ist.

Risikobasiertes Patchmanagement

Bei geschäftskritischen Servern sollte nicht ausschließlich nach dem Grundsatz „Patch verfügbar = sofort installieren“ gearbeitet werden.

Stattdessen sollte eine risikobasierte Bewertung erfolgen.

Sehr hohe Priorität

Eine sehr hohe Priorität besteht insbesondere dann, wenn:

• eine Schwachstelle bereits aktiv ausgenutzt wird,
• eine Remote Code Execution ohne Authentifizierung möglich ist,
• ein öffentlich erreichbarer Dienst betroffen ist,
• zuverlässiger Exploit-Code veröffentlicht wurde,
• besonders kritische Systeme betroffen sind.

Kontrollierte Test- und Beobachtungsphase

Eine kurze Test- und Beobachtungsphase kann sinnvoll sein, wenn:

• keine aktive Ausnutzung bekannt ist,
• noch kein funktionierender öffentlicher Exploit verfügbar ist,
• der Dienst ausschließlich intern erreichbar ist,
• kompensierende Sicherheitsmaßnahmen vorhanden sind,
• erhebliche Auswirkungen durch bekannte Update-Probleme zu erwarten sind.

Die Entscheidung sollte immer anhand der konkreten Infrastruktur getroffen werden.

Warum ein gestaffelter Rollout sinnvoll ist

Die September-Probleme zeigen erneut, warum produktive Server nicht zwingend unmittelbar nach Patch Tuesday gleichzeitig aktualisiert werden sollten.

Ein mögliches Vorgehen ist:

Stufe 1 – Testsysteme

Neue Updates werden zunächst auf einem Testsystem beziehungsweise einer repräsentativen Test-VM installiert.

Stufe 2 – weniger kritische Systeme

Wenn keine Probleme auftreten, folgen interne Systeme mit geringeren Anforderungen an die Verfügbarkeit.

Stufe 3 – einzelne produktive Systeme

Anschließend werden einzelne produktive Server aktualisiert und überwacht.

Stufe 4 – breiter produktiver Rollout

Erst nach erfolgreicher Validierung erfolgt die Verteilung auf die restlichen Systeme.

Dieses Vorgehen bietet keine absolute Sicherheit, reduziert aber die Wahrscheinlichkeit, dass ein fehlerhaftes Update gleichzeitig einen großen Teil der IT-Infrastruktur beeinträchtigt.

Besonders kritische Infrastrukturkomponenten

Bei bestimmten Systemen ist ein besonders vorsichtiges Vorgehen sinnvoll.

Dazu gehören beispielsweise:

• Domain Controller
• Hyper-V-Hosts
• Terminalserver
• Remote Desktop Session Hosts
• Exchange-Server
• SQL-Server
• File Server
• Backup-Server
• Management-Server
• zentrale Netzwerk- und Sicherheitskomponenten

Ein Ausfall eines solchen Systems kann zahlreiche nachgelagerte Dienste beeinträchtigen.

Updates auf diesen Systemen sollten bevorzugt innerhalb eines definierten Wartungsfensters durchgeführt werden.

Backups gehören zum Patchmanagement

Vor Änderungen an produktiven Servern sollte ein aktuelles Backup vorhanden sein.

Dabei reicht es nicht aus, ausschließlich zu kontrollieren, ob der Backup-Job erfolgreich abgeschlossen wurde.

Entscheidend ist, ob die gesicherten Systeme und Daten im Ernstfall tatsächlich wiederhergestellt werden können.

Regelmäßige Restore-Tests gehören deshalb zu einer professionellen Backup-Strategie.

Bei besonders wichtigen Systemen sollten außerdem dokumentierte Wiederanlauf- und Wiederherstellungsverfahren vorhanden sein.

Windows Update nicht dauerhaft deaktivieren

Auch nach den aktuellen Problemen sollte Windows Update nicht dauerhaft abgeschaltet werden.

Nicht geschlossene Sicherheitslücken können insbesondere bei öffentlich erreichbaren oder geschäftskritischen Systemen erhebliche Risiken verursachen.

Stattdessen sollte ein strukturierter Prozess etabliert werden.

Dazu gehören:

• regelmäßige Prüfung neuer Microsoft-Sicherheitsupdates
• Prüfung veröffentlichter CVEs
• Kontrolle auf aktive Ausnutzung
• Prüfung verfügbarer Proof-of-Concept-Exploits
• Prüfung bekannter Update-Probleme
• aktuelle und überprüfte Backups
• Testinstallation
• gestaffelte Verteilung
• Monitoring nach der Installation
• dokumentierte Recovery-Prozesse

Fazit

Die Windows-Sicherheitsupdates vom September 2026 zeigen deutlich, dass auch wichtige Sicherheitsupdates erhebliche Auswirkungen auf produktive IT-Umgebungen haben können.

Insbesondere bei Windows Server und den Remote Desktop Services kam es nach der Installation der September-Updates zu instabilen RDP-Verbindungen, fehlgeschlagenen Anmeldungen und teilweise nicht mehr reagierenden Systemen.

Microsoft hat das Problem inzwischen bestätigt und am 14. September 2026 korrigierte Out-of-Band-Updates veröffentlicht.

Die korrigierten Updates für die einzelnen Windows-Server-Versionen sind im Abschnitt „Microsoft veröffentlicht korrigierte Out-of-Band-Updates“ übersichtlich aufgeführt und direkt mit den offiziellen Microsoft-Seiten verlinkt.

Administratoren sollten bei betroffenen Systemen zunächst den installierten Patchstand prüfen und anschließend kontrolliert das für die jeweilige Windows-Version vorgesehene korrigierte Update einsetzen.

Eine vollständige Deinstallation des September-Sicherheitsupdates sollte aufgrund der darin enthaltenen Sicherheitskorrekturen möglichst nur als letzte Notfallmaßnahme betrachtet werden.

Der Vorfall zeigt außerdem, wie wichtig ein strukturiertes und risikobasiertes Patchmanagement ist.

Das Ziel sollte nicht darin bestehen, jedes verfügbare Update möglichst schnell auf jedem Server zu installieren.

Das Ziel besteht darin, das Gesamtrisiko für das Unternehmen so gering wie möglich zu halten.

Dazu müssen Sicherheitsrisiko, Exploitbarkeit, Exposition des Systems, bekannte Update-Probleme, Verfügbarkeit, Backup und Wiederherstellbarkeit gemeinsam betrachtet werden.

Unterstützung bei Windows Server, RDP und Patchmanagement

Sie haben nach einem Windows-Update Probleme mit einem Terminalserver, Remote Desktop oder Ihrer Windows-Server-Umgebung?

Systemhaus Schulz unterstützt Unternehmen bei der Analyse, Absicherung und Betreuung moderner IT-Infrastrukturen.

Zu unseren Leistungen gehören unter anderem:

• Windows Server und Active Directory
• Remote Desktop Services und Terminalserver
• Hyper-V und Virtualisierung
• Microsoft 365
• Netzwerk- und Firewall-Sicherheit
• Backup und Wiederherstellung
• Patchmanagement
• IT-Security
• laufende Betreuung Ihrer IT-Infrastruktur

Eine stabile IT-Infrastruktur benötigt nicht nur aktuelle Systeme, sondern auch kontrollierte Änderungen, funktionierende Backups und ein Patchmanagement, das sich am tatsächlichen Risiko orientiert.