KB5082063:
Domain Controller im Crash nach dem April-Patch

Was ist passiert

Nach der Installation des Microsoft-Updates KB5082063, ausgeliefert mit dem Patch Tuesday vom April 2026, geraten einige Windows Server Domain Controller aufgrund eines Fehlers in LSASS (Local Security Authority Subsystem Service) in eine endlose Neustart-Schleife. Microsoft hat das Problem als bekanntes Problem im Release Health des Produkts anerkannt und weist darauf hin, dass es vor allem Domain Controller betrifft, die keine Global Catalogs sind und in Umgebungen mit aktivem Privileged Access Management (PAM) arbeiten. Betroffen sind Windows Server 2016, 2019, 2022, 23H2 und 2025.

Microsoft hat auch ein zweites verwandtes Problem anerkannt: Auf einigen Windows Server 2025 lässt sich das Update nicht korrekt installieren, und auf anderen Systemen kann nach dem Installations-Neustart eine unerwartete BitLocker-Wiederherstellungsschlüssel-Abfrage erscheinen — ein Ereignis, das, wenn der Schlüssel nicht korrekt archiviert wurde, einen Server unzugänglich machen kann. Die endgültige Lösung ist in Arbeit; in der Zwischenzeit bietet Microsoft Workarounds über den Enterprise-Support.

Wie das Problem zu erkennen ist

Die Symptome sind konkret und innerhalb weniger Stunden nach der Installation von KB5082063 sichtbar. Wenn eines der folgenden direkt nach dem Patch-Zyklus April 2026 auftritt, ist es sehr wahrscheinlich das bekannte Microsoft-Problem:

• Domain Controller im Dauer-Neustart — der Server startet in Schleife neu, oft ohne den Dienststart abzuschließen. Im Ereignisprotokoll erscheinen LSASS-Abstürze (Event ID 1000), 4625-Fehler bei der Authentifizierung und Application-Log-Einträge zum Sicherheitssubsystem.
• Active Directory nicht erreichbar — die Clients können sich nicht anmelden, Gruppenrichtlinien werden nicht angewendet, Kerberos/NTLM-Aufrufe scheitern. Wenn der betroffene DC der einzige für eine Niederlassung erreichbare ist, geht der ganze Standort offline.
• BitLocker-Recovery-Abfrage nach Neustart — einige Server zeigen nach dem Neustart die Abfrage des BitLocker-Wiederherstellungsschlüssels. Wenn der Schlüssel nicht in Active Directory oder Microsoft Entra ID archiviert ist, bleibt das System gesperrt.
• Fehlschlag der Installation auf Windows Server 2025 — das Paket lässt sich auf einigen 2025-Systemen nicht korrekt anwenden und hinterlässt den Server in einem Teil-Patch-Zustand, der bis zum nächsten kumulativen Update zu abnormalem Verhalten führen kann.

Operative Mitigationen

Während die Microsoft-Korrektur erwartet wird, hier die Maßnahmen mit sofortiger Wirkung in der Produktion:

• 1KB5082063 auf noch nicht aktualisierten DCs aussetzen — über WSUS, Windows Update for Business oder SCCM/Intune-Richtlinien die Verteilung von KB5082063 auf den Domain Controllern bis zur Korrektur pausieren, den Patch jedoch auf Workstations, File-Servern und Anwendungsservern weiter ausrollen.
• 2Pre-Patch-Snapshot auf betroffenen DCs wiederherstellen — wenn ein konsistenter Snapshot vor der Installation existiert, ist der Rollback der schnellste Weg. Auf einem DC muss der Rollback immer mit der Active-Directory-Replikation koordiniert werden, um unbeabsichtigte USN-Rollbacks zu vermeiden. Backup und Disaster Recovery.
• 3Den abstürzenden DC isolieren und Authentifizierungen umleiten — wenn mehrere DCs vorhanden sind, den betroffenen vorübergehend aus der Client-DNS-Auflösung ausschließen (durch Entfernen aus den SRV-Records oder Herunterfahren) und die Authentifizierungen auf die gesunden DCs leiten, mit Priorität auf den Global Catalog.
• 4BitLocker-Schlüssel der Server bereitstellen — vorab prüfen, ob die Wiederherstellungsschlüssel der Server in Active Directory oder Microsoft Entra ID archiviert sind. Für Umgebungen, in denen das nicht vorgesehen ist, ist jetzt der Moment, das automatische Schlüssel-Escrow zu aktivieren, um nicht mit einem verschlüsselten Server und keinem Schlüssel zur Hand dazustehen. Microsoft 365 und Identität.
• 5Enterprise-Fall mit Microsoft eröffnen — die offiziellen Workarounds für den LSASS-Crash werden derzeit über den Enterprise-Support bereitgestellt. Wenn das Problem blockierend ist, ist dies der schnellste und nachvollziehbarste offizielle Weg.

Strukturiertes Patch-Management als Prävention

KB5082063 ist nicht das erste Microsoft-Update, das Probleme in den Kernkomponenten der Domain Controller verursacht, und wird nicht das letzte sein. Derselbe April-Zyklus 2026 brachte auch das Thema Kerberos-Enforcement und RC4 auf Active Directory. Für KMU lautet die operative Lehre: Microsoft-Updates werden nicht «im Vorbeigehen» auf kritischen Systemen installiert. Es braucht kontrollierte Fenster, Pre-Patch-Snapshots, einen Pilotring und eine dokumentierte Rollback-Matrix.

AtWorkStudio verwaltet das Patch-Management der kritischen Systeme der Kunden mit Verteilungsringen, Pre-Production-Tests, konsistenten Snapshots und vereinbarten Fenstern für risikoreiche Installationen. Wir arbeiten seit 2000 von Piacenza (Italien) aus. Wir sind nach ISO/IEC 27001, 27017, 27018 und ISO 9001 zertifiziert, ACN-qualifiziert für SaaS-Cloud-Dienste, Mitglied von Clusit (italienischer Verband für Informationssicherheit) und assoziiert mit Confindustria Piacenza im RICT-Cluster.