Ablaufende Zertifikate, Härtungen mit Durchsetzungsphase, abgekündigte Protokolle und Dienste, Ende des Supports – mit Datum, Countdown und wann wir den Termin zuletzt geprüft haben.
Termine werden oft verschoben. Wir prüfen jeden Stichtag 90, 30 und 7 Tage vorher erneut bei der Quelle. Microsoft nennt Zeiten in Pacific Time – angezeigt ist der Kalendertag.
Microsoft plant, die Compliance-Auswertung der Windows Health Attestation in Intune im ersten Halbjahr 2027 automatisch vom Dienst Device Health Attestation (DHA) zu Microsoft Azure Attestation (MAA) zu migrieren. Betroffen sind mit Intune verwaltete Windows-11-Geräte. Netzwerk-, Firewall-, Proxy- und Endpunktzugriffe müssen die neuen Endpunkte zulassen, um Unterbrechungen zu vermeiden. Ein genaues Datum wurde nicht genannt.
Ab dem 15. Januar 2027 unterstützt Microsoft Intune bei der Windows-MDM-only-Registrierung die automatische Erkennung des Registrierungsdienstes über den DNS-CNAME-Eintrag EnterpriseEnrollment nicht mehr. Benutzer müssen dann eventuell die URL des Registrierungsservers manuell eingeben. Die Windows-MDM-only-Registrierung bleibt unterstützt, bereits registrierte Geräte sind nicht betroffen.
Am 2027-02-10 stellt Let's Encrypt alle Abonnenten standardmässig auf Zertifikate mit 64 Tagen Laufzeit um. Betroffen sind Zertifikate, die ab diesem Datum ausgestellt oder erneuert werden; gültige Zertifikate werden nicht widerrufen. Erneuerungsjobs mit fest einprogrammierten Zeitpunkten könnten nicht rechtzeitig erneuern.
Let's Encrypt verkürzt die Gültigkeit seiner Zertifikate in Stufen, wie es die Baseline Requirements des CA/Browser Forum verlangen. Am 2027-02-10 wechselt das Standardprofil classic auf Zertifikate mit 64 Tagen Gültigkeit. Die kürzere Gültigkeit zeigt sich bei der ersten Erneuerung nach dem jeweiligen Datum. Änderungen in der Staging-Umgebung folgen etwa einen Monat früher.
Microsoft plant, am 31. März 2027 strengere Anmeldeanforderungen für das Exchange-Online-PowerShell-Modul durchzusetzen. Modulversionen älter als 3.10.1 können in bestimmten interaktiven Szenarien bei der Authentifizierung scheitern. Version 3.10.1 und neuer funktionieren weiterhin normal.
Microsoft · ExchangeOnlineManagement PowerShell module
Microsoft deaktiviert Exchange Web Services (EWS) in Exchange Online schrittweise ab Oktober 2026 und vollständig im April 2027. Betroffen sind Free/Busy und MailTips von einer Exchange-Server-Organisation zum Exchange-Online-Tenant einer anderen Organisation über eine von EWS abhängige Organization Relationship. Microsoft prüft noch einen Ersatzweg und bittet um Feedback.
Zertifikate für vertrauenswürdige Verbindungen zu Windows Update laufen am 17. Mai 2027 und am 19. Juni 2027 ab. Geräte ohne die Ersatzzertifikate verlieren den Zugriff auf Windows Update. Die meisten aktuellen, unterstützten Geräte benötigen keine Massnahme. Geräte, die Updates über WSUS (Windows Server Update Services) beziehen, sind nicht betroffen.
Microsoft hat die Abkündigung von Exchange Web Services (EWS) in Exchange Online begonnen. In der Multi-Tenant-Cloud (WW) genügt EWSEnabled = True allein nicht mehr; eine AppID-Zulassungsliste (EWSAllowedAppIDs) ist erforderlich. Microsoft deaktiviert EWS in Mandanten, in denen beide Einstellungen leer sind. Mandanten, die bereits auf EWSEnabled = True stehen, werden bis April 2027 nicht geändert.
Canonical hat die CA-Zertifikate im Paket nss aktualisiert (USN-8947-1, veröffentlicht am 2026-10-21). Das Update entfernt die Root-Zertifikate "emSign ECC Root CA - G3" und "Comodo AAA Services root", weil Zwischenzertifizierungsstellen kompromittiert wurden. Ein normales System-Update übernimmt die Änderung.
Canonical hat das Paket ca-certificates aktualisiert. Das CA-Zertifikat "emSign ECC Root CA - G3" wird entfernt, da Zwischenzertifikate kompromittiert wurden. Unter Ubuntu 22.04, 24.04 und 26.04 LTS werden die Zertifikate zudem auf die Version 2.90 des Mozilla-CA-Bundles aktualisiert. Ein normales System-Update übernimmt die Änderungen.
Debian hat festgestellt, dass mehrere eMudhra-Zwischenzertifizierungsstellen kompromittiert wurden. Die Sicherheitsmeldung DSA-6572-1 (veröffentlicht am 2026-10-20) liefert aktualisierte ca-certificates-Pakete, die die Stammzertifikate "emSign ECC Root CA - G3" und "Comodo AAA Services root" entfernen. Nach der Installation des Updates wird Zertifikaten, die auf diese Stammzertifikate zurückgehen, nicht mehr vertraut.
Seit dem Sicherheitsupdate vom Oktober 2026 (veröffentlicht am 2026-10-13) blockieren Windows 11 (26H2, 26H1, 25H2, 24H2) und Windows Server 2025 standardmässig das Erzeugen von aus NTLMv1 abgeleiteten Anmeldedaten für Single Sign-On. Dies gilt nur für Geräte mit deaktiviertem Credential Guard und nicht gesetztem Registrywert BlockNtlmv1SSO. Laut Microsoft ist dies eine geplante Härtung und kein bekanntes Problem. Die Änderung ist nun aktiv.
Mit dem Windows-Sicherheitsupdate vom 13. Oktober 2026 hat Microsoft die ACL-Härtung (Zugriffssteuerungsliste) des AD FS Distributed Key Manager (DKM) Containers in den Enforcement-Modus überführt. Sie behebt die Schwachstelle CVE-2026-56155 (Erhöhung von Berechtigungen). Auf unterstützten Windows-Server-Versionen behebt AD FS unsichere ACLs automatisch, sofern Administratoren nicht widersprochen haben. Windows Server 2012 und 2012 R2 erfordern eine manuelle Behebung. Die Änderung ist aktiv.
Die Änderungen an Exchange Web Services (EWS) in Exchange Online beginnen zwischen Oktober 2026 und April 2027. Betroffen sind zwei On-Premises-Szenarien: Hybridumgebungen mit lokalen Postfächern, die Online-Archive haben, und lokale Organisationen mit Rich Coexistence zu einer anderen Exchange-Online-Organisation. EWS wird On-Premises nicht abgekündigt.
Wenn Ihre Organisation Windows-Sicherheitsbaselines verwendet, wurde Administrator protection mit dem Windows-Sicherheitsupdate vom Oktober 2026 standardmässig aktiviert. Dies betrifft Windows 11 in den Versionen 26H2, 25H2 und 24H2. Microsoft empfiehlt, die Baseline-Konfiguration zu prüfen und zu testen.
Da EWS in Exchange Online ab 2026-10-01 abgekündigt wird, müssen cross-tenant Free/Busy, MailTips und Kalenderfreigaben mit anderen Microsoft 365-Organisationen auf die Microsoft 365 Cross-Tenant Access Policy umgestellt werden (Message Center MC1446796). Betroffen sind nur Tenants, die solche Freigaben eingerichtet haben. Laut Update des Herstellers vom 2026-10-29 ist die Funktion noch nicht vollständig verfügbar; die Rollout-Termine stehen in einer Tabelle im Blogbeitrag.
Wir lesen laufend die offiziellen Quellen der Hersteller, Meldungen aus der Community und Fachmedien und fassen die Angaben in eigenen Worten zusammen, mit Link zur Quelle:
Microsoft: Windows Release Health (Windows 10/11, Server 2016 bis 2025), Windows Message Center, bekannte Probleme von Microsoft 365 Apps (Outlook, Excel, Word, PowerPoint), Edge, Intune, Autopilot, Windows 365 und Entra Connect, Microsoft-KB mit Zeitplänen, Exchange- und Windows-IT-Pro-Blog, optional Microsoft 365 Dienststatus und Message Center
weitere Hersteller: Veeam KB, Citrix (bekannte Probleme), Ubuntu und Debian (Regressionen), Broadcom (VMware), Fortinet, Cisco, Mozilla, Let’s Encrypt
Community (nur Titel, kurzer Auszug und Link, ohne Namen der Verfasser): Microsoft Q&A, Microsoft Tech Community (Diskussionen), Veeam R&D Forums, Eleven Forum
gezielte Websuche mit AI (Claude), z. B. zu den Updates des Monats – findet auch Diskussionen auf Reddit und in Foren; solche Einträge sind als Community-Meldung gekennzeichnet, bis der Hersteller sie bestätigt
Frühwarnung aus Fachmedien (nur Titel und Link): Borns IT- und Windows-Blog, BleepingComputer, AskWoody, Windows Latest, Windows Central, gHacks, The Windows Club, Deskmodder, Dr. Windows, WindowsArea, Frankys Web, heise online
Zusammenfassung und Übersetzung mit AI (Claude von Anthropic) – ohne Daten von Besucherinnen und Besuchern.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, setzen Workarounds sauber um und planen Stichtage rechtzeitig ein.
