15. April 2026

Windows‑11‑Sicherheitsupdate April 2026

Mit dem Sicherheitsupdate vom 14. April 2026 für Windows 11 (KB5083769) hat Microsoft das Verhalten von Remote‑Desktop‑Verbindungen (RDP) gezielt angepasst. Hintergrund dieser Maßnahme ist eine deutliche Zunahme von Phishing‑ und Spoofing‑Angriffen, bei denen manipulierte .rdp‑Dateien verwendet wurden, um Benutzer unbemerkt mit fremden oder kompromittierten Systemen zu verbinden und dabei lokale Ressourcen abzugreifen. Das Update gilt für Windows 11 Version 24H2 und 25H2 und verändert bewusst nicht das RDP‑Protokoll selbst, sondern den Sicherheitsdialog beim Start von RDP‑Verbindungen über RDP‑Dateien.

Nach der Installation fällt Anwendern sofort auf, dass beim Start einer RDP‑Verbindung – insbesondere beim Öffnen einer .rdp‑Datei - nun immer eine Sicherheitsabfrage erscheint. Diese neue Abfrage informiert vor dem eigentlichen Verbindungsaufbau detailliert darüber, welche lokalen Ressourcen der entfernte Server verwenden möchte. Dazu zählen unter anderem lokale Laufwerke, die Zwischenablage, Drucker, Smartcards, Windows‑Hello‑Anmeldeinformationen sowie weitere Geräte‑Umleitungen. Anders als früher sind alle diese Ressourcen standardmäßig deaktiviert und müssen manuell bestätigt werden, bevor sie in der Sitzung verfügbar sind.

Microsoft beschreibt diese Änderung ausdrücklich als Schutzmaßnahme gegen RDP‑Phishing. In solchen Angriffen wurden RDP‑Dateien per E‑Mail oder Download verteilt, die beim Öffnen automatisch lokale Laufwerke oder Anmeldeinformationen eingebunden haben. Der Benutzer hatte davon häufig keine Kenntnis, da die Verbindung sofort aufgebaut wurde. Genau dieses „stille Weiterreichen“ von Ressourcen verhindert das neue Verhalten. Ab April 2026 zeigt Windows vor jeder Verbindung alle angeforderten Einstellungen transparent und sichtbar an und überlässt die Entscheidung bewusst dem Benutzer.

Was Anwender bei einer Verbindung zu Servern jetzt tun müssen

Für den täglichen Betrieb bedeutet dies eine klar definierte neue Vorgehensweise. Wird eine RDP‑Verbindung zu einem Server gestartet – beispielsweise zu einem Terminalserver, Jump‑Server oder Administrationssystem – erscheint zunächst ein Verbindungssicherheitsdialog. In diesem Dialog listet Windows:

den Namen oder die Adresse des Zielservers
den Herausgeber der RDP‑Datei (sofern sie digital signiert ist)
jede einzelne lokale Ressource, auf die der Server zugreifen möchte

Alle diese Optionen sind zunächst deaktiviert. Soll beispielsweise auf lokale Drucker zugegriffen, eine Smartcard zur Authentifizierung verwendet oder ein lokales Laufwerk eingebunden werden, muss die entsprechende Option explizit aktiviert werden. Erst nach dieser bewussten Auswahl kann die Verbindung gestartet werden.

Besonders wichtig ist hierbei: Diese Abfrage ist kein Fehlerzustand, sondern ein beabsichtigter Sicherheitsmechanismus. Wird keine Ressource ausgewählt, funktioniert die RDP‑Verbindung weiterhin, allerdings ohne die entsprechenden Umleitungen. Dies erklärt auch häufige Rückmeldungen nach dem Update wie „Drucker fehlen“ oder „Smartcard wird nicht erkannt“. In diesen Fällen wurde die Ressource im Sicherheitsdialog schlicht nicht freigegeben.

Besondere Dringlichkeit für Steuerkanzleien mit DATEV

Für Steuerkanzleien ist die bewusste Auswahl der Smartcard‑Option bei RDP‑Verbindungen nach dem April‑2026‑Update besonders wichtig, da der Zugriff auf DATEV‑Server und DATEV‑Anwendungen zwingend eine Smartcard‑basierte Authentifizierung voraussetzt. Wird die Smartcard‑Umleitung im neuen RDP‑Sicherheitsdialog nicht aktiv ausgewählt, steht die Smartcard in der Sitzung nicht zur Verfügung. In der Folge schlägt die Anmeldung an DATEV‑Systemen fehl, Fachanwendungen lassen sich nicht starten und produktives Arbeiten ist nicht möglich. Deshalb müssen Mitarbeitende bei jeder Verbindung gezielt darauf achten, die Option für Smartcards zu aktivieren. Dies ist kein optionaler Komfort, sondern eine betriebsnotwendige Voraussetzung, um die gesetzlichen Sicherheitsanforderungen, den Schutz sensibler Mandantendaten und den reibungslosen Kanzleibetrieb sicherzustellen.

Einmaliger Aufklärungsdialog beim ersten Start

Zusätzlich zur eigentlichen Abfrage zeigt Windows beim ersten Öffnen einer RDP‑Datei auf einem Gerät einen einmaligen Informationsdialog. Dieser erläutert, was RDP‑Dateien sind und warum sie ein Sicherheitsrisiko darstellen können. Dieser Hinweis dient der Schulung des Benutzers und erscheint danach nicht erneut, sofern er bestätigt wurde. Die eigentliche Ressourcenabfrage hingegen erscheint bei jeder einzelnen Verbindung erneut, da sie verbindungsspezifisch ist.

Auswirkungen auf Unternehmen und Server‑Umgebungen

Für Server‑Umgebungen bedeutet diese Änderung, dass bisher implizit genutzte Funktionen nun aktiv bestätigt werden müssen. Bestehende RDP‑Dateien funktionieren weiterhin, jedoch ohne automatische Ressourcenfreigabe. Microsoft empfiehlt Administratoren ausdrücklich, Anwender darüber zu informieren und RDP‑Verbindungen sauber zu dokumentieren. Besonders in Umgebungen mit Smartcard‑Anmeldung, lokalem Druck oder Administrationszugriff auf lokale Laufwerke sollte klar beschrieben sein, welche Optionen vor jeder Sitzung aktiviert werden müssen.

Wichtig ist auch: Manuell gestartete RDP‑Verbindungen, bei denen Servername oder IP direkt in der Remotedesktop‑App eingegeben werden, sind von dieser Änderung nicht im gleichen Maße betroffen. Die neuen Sicherheitsdialoge greifen vor allem bei .rdp‑Dateien, da diese ein höheres Missbrauchspotenzial besitzen.

Fazit

Das Sicherheitsupdate April 2026 für Windows 11 stellt keine Einschränkung, sondern eine bewusste Sicherheitsverbesserung dar. Microsoft zwingt Anwender und Administratoren dazu, sich aktiv mit den Folgen einer RDP‑Verbindung auseinanderzusetzen und lokale Ressourcen nur dann freizugeben, wenn sie tatsächlich benötigt werden. Für den sicheren Betrieb von Servern bedeutet dies eine kleine Umstellung im Ablauf, langfristig jedoch einen deutlichen Gewinn an Transparenz und Schutz vor Missbrauch. Wer die neuen Dialoge versteht und korrekt nutzt, kann weiterhin stabil und sicher per RDP arbeiten – nun jedoch mit klarer Kontrolle über alle eingebundenen lokalen Ressourcen.