SHA-2 Unterstützung für Windows Updates: Migration und wichtige Hinweise

Zum Schutz der Sicherheit des Windows-Betriebssystems wurden Updates bisher sowohl mit den SHA-1- als auch mit den SHA-2-Hash-Algorithmen signiert. Diese Signaturen dienen dazu, zu authentifizieren, dass die Updates direkt von Microsoft stammen und während der Bereitstellung nicht manipuliert wurden. Aufgrund von Schwächen im SHA-1-Algorithmus und zur Anpassung an Industriestandards hat Microsoft die Signierung von Windows-Updates dahingehend geändert, ausschließlich den sichereren SHA-2-Algorithmus zu verwenden. Diese Umstellung erfolgte phasenweise von April bis September 2019, um eine reibungslose Migration zu ermöglichen. Es ist entscheidend, dass alle Systeme, insbesondere solche, die noch ältere Windows-Versionen verwenden, auf diese Änderungen vorbereitet sind, um weiterhin Sicherheitsupdates zu erhalten und die Systemintegrität zu gewährleisten. Ein umfassendes Verständnis der Anforderungen ist unerlässlich, um Kompatibilitätsprobleme zu vermeiden und sicherzustellen, dass kritische Software, wie zum Beispiel [outlook express windows 10](https://shocknaue.com/outlook-express-windows-10/), stets aktuell und geschützt bleibt.

Kunden, die ältere Betriebssystemversionen (Windows 7 SP1, Windows Server 2008 R2 SP1 und Windows Server 2008 SP2) betreiben, müssen die SHA-2-Code-Signaturunterstützung auf ihren Geräten installiert haben, um Updates zu installieren, die ab Juli 2019 veröffentlicht wurden. Geräte ohne SHA-2-Unterstützung können ab Juli 2019 keine Windows-Updates mehr installieren. Zur Vorbereitung auf diese Änderung wurde ab März 2019 Unterstützung für die SHA-2-Signierung bereitgestellt und schrittweise verbessert. Windows Server Update Services (WSUS) 3.0 SP2 erhielt ebenfalls SHA-2-Unterstützung, um SHA-2-signierte Updates sicher bereitzustellen.

Hintergrundinformationen zur SHA-2-Migration

Der Secure Hash Algorithm 1 (SHA-1) wurde als eine irreversible Hash-Funktion entwickelt und ist weithin als Teil der Code-Signierung im Einsatz. Leider hat die Sicherheit des SHA-1-Hash-Algorithmus im Laufe der Zeit abgenommen. Dies ist auf entdeckte Schwachstellen im Algorithmus, die gestiegene Prozessorleistung und das Aufkommen von Cloud Computing zurückzuführen. Stärkere Alternativen wie der Secure Hash Algorithm 2 (SHA-2) werden heute dringend bevorzugt, da sie nicht die gleichen Probleme aufweisen. Microsoft hat sich daher entschieden, SHA-1 für Windows Updates einzustellen und vollständig auf SHA-2 umzusteigen, um die Sicherheit und Integrität der Systeme zu gewährleisten. Für weitere Informationen zur Einstellung von SHA-1 siehe Hash- und Signaturalgorithmen.

Zeitplan für Produktupdates

Anfang 2019 begann der Migrationsprozess zur SHA-2-Unterstützung in Etappen, und die Unterstützung wird in eigenständigen Updates bereitgestellt. Microsoft strebte den folgenden Zeitplan an, um die SHA-2-Unterstützung anzubieten. Bitte beachten Sie, dass der folgende Zeitplan Änderungen unterliegen kann. Diese Seite wird bei Bedarf weiterhin aktualisiert.

Beim Planen der Systemwartung und des Umstiegs auf neue Softwareversionen ist es wichtig, alle Aspekte zu berücksichtigen. Dies kann auch die Migration von Daten zwischen verschiedenen Anwendungen umfassen, beispielsweise ein [thunderbird to outlook transfer](https://shocknaue.com/thunderbird-to-outlook-transfer/) um eine konsistente Arbeitsumgebung sicherzustellen.

Aktueller Status und erforderliche Schritte

Windows 7 SP1 und Windows Server 2008 R2 SP1

Die folgenden erforderlichen Updates müssen installiert und das Gerät anschließend neu gestartet werden, bevor Updates vom 13. August 2019 oder später installiert werden. Die erforderlichen Updates können in beliebiger Reihenfolge installiert werden und müssen nicht neu installiert werden, es sei denn, es gibt eine neue Version des erforderlichen Updates.

Wichtig: Sie müssen Ihr Gerät nach der Installation aller erforderlichen Updates neu starten, bevor Sie ein monatliches Rollup, ein Nur-Sicherheitsupdate, eine Vorschau des monatlichen Rollups oder ein eigenständiges Update installieren.

Es ist ratsam, vor größeren Systemänderungen, wie dem Einspielen von Updates, eine umfassende Sicherung des Systems zu erstellen. Ein [mozilla backup windows 10](https://shocknaue.com/mozilla-backup-windows-10/) kann dabei helfen, Datenverluste zu vermeiden und einen schnellen Wiederherstellungspunkt zu schaffen.

Windows Server 2008 SP2

Die folgenden Updates müssen installiert und das Gerät anschließend neu gestartet werden, bevor Rollups vom 10. September 2019 oder später installiert werden. Die erforderlichen Updates können in beliebiger Reihenfolge installiert werden und müssen nicht neu installiert werden, es sei denn, es gibt eine neue Version des erforderlichen Updates.

Wichtig: Sie müssen Ihr Gerät nach der Installation aller erforderlichen Updates neu starten, bevor Sie ein monatliches Rollup, ein Nur-Sicherheitsupdate, eine Vorschau des monatlichen Rollups oder ein eigenständiges Update installieren.

Häufig gestellte Fragen (FAQ)

Allgemeine Informationen, Planung und Fehlervermeidung

Die SHA-2-Code-Signaturunterstützung wurde frühzeitig ausgeliefert, um sicherzustellen, dass die meisten Kunden die Unterstützung lange vor der Umstellung von Microsoft auf die SHA-2-Signierung für Updates auf diesen Systemen hatten. Die eigenständigen Updates enthalten einige zusätzliche Korrekturen und werden bereitgestellt, um sicherzustellen, dass alle SHA-2-Updates in einer kleinen Anzahl von leicht identifizierbaren Updates enthalten sind. Microsoft empfiehlt Kunden, die Systemimages für diese Betriebssysteme pflegen, diese Updates auf die Images anzuwenden.

Ab WSUS 4.0 auf Windows Server 2012 unterstützt WSUS bereits SHA-2-signierte Updates, und für diese Versionen ist keine Kundenaktion erforderlich.

Nur WSUS 3.0 SP2 benötigt KB4484071, um ausschließlich SHA-2-signierte Updates zu unterstützen.

Angenommen, Sie verwenden Windows Server 2008 SP2. Wenn Sie Dual-Boot mit Windows Server 2008 R2 SP1/Windows 7 SP1 verwenden, stammt der Bootmanager für diesen Systemtyp vom Windows Server 2008 R2/Windows 7 System. Um beide Systeme erfolgreich auf SHA-2-Unterstützung zu aktualisieren, müssen Sie zuerst das Windows Server 2008 R2/Windows 7 System aktualisieren, damit der Bootmanager auf die Version aktualisiert wird, die SHA-2 unterstützt. Anschließend aktualisieren Sie das Windows Server 2008 SP2 System mit SHA-2-Unterstützung.

Ähnlich dem Dual-Boot-Szenario muss die Windows 7 PE-Umgebung auf SHA-2-Unterstützung aktualisiert werden. Anschließend muss das Windows Server 2008 SP2 System auf SHA-2-Unterstützung aktualisiert werden.

1. Führen Sie die Windows-Installation vollständig durch und starten Sie Windows, bevor Sie Updates vom 13. August 2019 oder später installieren.

2. Öffnen Sie ein als Administrator ausgeführtes Eingabeaufforderungsfenster und führen Sie bcdboot.exe aus. Dies kopiert die Startdateien aus dem Windows-Verzeichnis und richtet die Startumgebung ein. Weitere Details finden Sie unter BCDBoot Command-Line Options.

3. Installieren Sie vor der Installation weiterer Updates die am 13. August 2019 erneut veröffentlichten Updates KB4474419 und KB4490628 für Windows 7 SP1 und Windows Server 2008 R2 SP1.

4. Starten Sie das Betriebssystem neu. Dieser Neustart ist erforderlich.

5. Installieren Sie alle verbleibenden Updates.

6. Installieren Sie das Image auf der Festplatte und starten Sie Windows.

7. Führen Sie an der Eingabeaufforderung bcdboot.exe aus. Dies kopiert die Startdateien aus dem Windows-Verzeichnis und richtet die Startumgebung ein. Weitere Details finden Sie unter BCDBoot Command-Line Options.

8. Installieren Sie vor der Installation weiterer Updates die am 23. September 2019 erneut veröffentlichten Updates KB4474419 und KB4490628 für Windows 7 SP1 und Windows Server 2008 R2 SP1.

9. Starten Sie das Betriebssystem neu. Dieser Neustart ist erforderlich.

10. Installieren Sie alle verbleibenden Updates.

Ja, Sie müssen die erforderlichen Updates installieren, bevor Sie fortfahren: SSU (KB4490628) und SHA-2-Update (KB4474419). Außerdem müssen Sie Ihr Gerät nach der Installation der erforderlichen Updates neu starten, bevor Sie weitere Updates installieren.

Windows 10, Version 1903, unterstützt SHA-2 seit seiner Veröffentlichung, und alle Updates sind bereits ausschließlich SHA-2-signiert. Für diese Windows-Version sind keine Maßnahmen erforderlich.

Für Administratoren ist es manchmal notwendig, das System in einem speziellen Zustand zu starten, um Wartungsaufgaben durchzuführen oder Fehler zu beheben. Dies kann auch bedeuten, dass Anwendungen wie [outlook offline starten](https://shocknaue.com/outlook-offline-starten/) müssen, um Netzwerkabhängigkeiten zu umgehen oder spezifische Konfigurationen zu testen.

Windows 7 SP1 und Windows Server 2008 R2 SP1

1. Starten Sie Windows, bevor Sie Updates vom 13. August 2019 oder später installieren.
2. Installieren Sie vor der Installation weiterer Updates die am 23. September 2019 erneut veröffentlichten Updates KB4474419 und KB4490628 für Windows 7 SP1 und Windows Server 2008 R2 SP1.
3. Starten Sie das Betriebssystem neu. Dieser Neustart ist erforderlich.
4. Installieren Sie alle verbleibenden Updates.

Windows Server 2008 SP2

1. Starten Sie Windows, bevor Sie Updates vom 9. Juli 2019 oder später installieren.
2. Installieren Sie vor der Installation weiterer Updates die am 23. September 2019 erneut veröffentlichten Updates KB4474419 und KB4493730 für Windows Server 2008 SP2.
3. Starten Sie das Betriebssystem neu. Dieser Neustart ist erforderlich.
4. Installieren Sie alle verbleibenden Updates.

Fehlerbehebung

Wenn Sie den Fehler 0xc0000428 mit der Meldung „Windows kann die digitale Signatur für diese Datei nicht überprüfen. Eine kürzlich vorgenommene Hardware- oder Softwareänderung hat möglicherweise eine falsch signierte oder beschädigte Datei installiert, oder es handelt sich möglicherweise um bösartige Software aus einer unbekannten Quelle.“ sehen, befolgen Sie bitte diese Schritte zur Wiederherstellung.

1. Starten Sie das Betriebssystem mithilfe von Wiederherstellungsmedien.
2. Installieren Sie vor der Installation weiterer Updates das Update KB4474419 vom 23. September 2019 oder einem späteren Datum mithilfe von Deployment Image Servicing and Management (DISM) für Windows 7 SP1