Abkündigung der Windows Deployment Services (WDS) - Was Systemadministratoren jetzt wissen müssen

Microsoft hat angekündigt, dass die Windows Deployment Services (WDS) mit der nächsten Windows-Server-Generation als veraltet eingestuft werden. Für Unternehmen, Behörden und Bildungseinrichtungen bedeutet das, dass bewährte PXE-Starts und Multicast-Verteilungen langfristig entfallen. Gleichzeitig greift bereits ein Sicherheitsmechanismus, der die unbeaufsichtigte (hands-free) Bereitstellung seit dem 14. April 2026 standardmäßig deaktiviert. Dieser Artikel fasst die wichtigsten Fakten, technischen Hintergründe und Migrationspfade zusammen - ausschließlich basierend auf den veröffentlichten Microsoft-Dokumenten und ergänzenden Fachartikeln.

Warum Microsoft die WDS-Rolle ausmustert

Die offizielle Support-Mitteilung (KB 5129631) erklärt, dass die gesamte Serverrolle - einschließlich zugehöriger Dienste, Verwaltungswerkzeuge und der integrierten PXE-Startfunktion - in der nächsten Windows-Server-Version als veraltet gilt. Die Entscheidung ist nicht nur ein Produkt-Lifecycle-Schritt, sondern wird durch ein konkretes Sicherheitsrisiko ausgelöst.

Rückbau in Etappen

• Stufe 1 - Hardening-Hinweise (13. Januar 2026): Microsoft führte Event-Log-Warnungen und Registry-Schlüssel ein, um Administratoren auf die bevorstehende Abschaltung vorzubereiten (Quelle S2).
• Stufe 2 - Standard-Abschaltung (14. April 2026): Hands-free Deployment wurde ohne weitere Konfiguration blockiert. Der Betrieb kann nur noch über den Registry-Eintrag AllowHandsFreeFunctionality=1 wieder aktiviert werden (Quelle S2).

Durch diese gestufte Vorgehensweise erhalten Administratoren Zeit, ihre Infrastruktur zu prüfen und alternative Lösungen zu implementieren.

Technische Hintergründe: CVE-2026-0386

Der Auslöser für die schrittweise Deaktivierung war die Sicherheitslücke CVE-2026-0386. WDS übertrug die unbeaufsichtigte Antwortdatei unattend.xml über einen ungesicherten, unauthentifizierten RPC-Kanal. Angreifer im gleichen Subnetz konnten dadurch Domänen- und lokale Administrator-Passwörter im Klartext auslesen. Die Schwachstelle wurde am 13. Januar 2026 in einer Hardening-Guidance veröffentlicht (Quelle S2). Die Abschaltung von Hands-free Deployment am 14. April 2026 stellt die direkte Gegenmaßnahme dar.

Migrationspfade für den Microsoft Configuration Manager

Der Configuration Manager (MCM/SCCM) bleibt weiterhin funktionsfähig, jedoch müssen Administratoren den Verteilungspunkt (Distribution Point) auf den integrierten PXE-Responder umstellen, der keine WDS-Abhängigkeit mehr hat. Dieser Responder ist seit Version 1806 (2018) verfügbar und ermöglicht PXE-Boots für Client- und Server-Betriebssysteme ohne Installation der WDS-Rolle (Quelle S1).

• Vorteil: Keine Notwendigkeit, die WDS-Rolle zu installieren.
• Nachteil: Der responderlose Modus unterstützt ausschließlich Unicast. Multicast-Verteilungen, die bislang Bandbreite gespart haben, entfallen.

Organisationen mit hohem Parallelisierungsbedarf - etwa Schulen oder große Niederlassungen - sollten daher frühzeitig alternative PXE-Frameworks oder moderne HTTP(S)-Boot-Konzepte evaluieren, um Netzwerküberlastungen zu vermeiden.

Rechtssicherheit und Supportfristen

Die formale Abkündigung betrifft erst die OS-Version nach Windows Server 2025. Windows Server 2025 erhält regulär einen 10-Jahres-LTSC-Support, der bis November 2034 läuft. Damit bleiben bestehende WDS-Installationen auf diesem Server bis zu diesem Datum technisch verfügbar und erhalten Sicherheits- und Qualitätsupdates (Quelle S1). Die offizielle KB-Nummer der Ankündigung lautet 5129631 (Quelle S1).

• Extended Support Windows Server 2025: November 2034.
• Lebenszyklus-Supportende: 2034-11 (Jahr-Monat).

Damit ist die unmittelbare Gefahr einer abrupten Funktionsunterbrechung reduziert - die Übergangsfrist erstreckt sich über mehrere Jahre.

Risiken und Gegenmaßnahmen

• Verlust von Multicast-Verteilungen: Ohne WDS-abhängige Multicast-Transportmechanismen können Netzwerk-Engpässe bei gleichzeitigen Masseninstallationen entstehen. Empfehlung: Einsatz von Drittanbieter-Tools oder HTTP(S)-Boot-Lösungen.
• Sicherheitsrisiko bei Umgehung: Wer die Deaktivierung per Registry aushebelt, setzt das Netzwerk erneut dem Diebstahl von Anmeldedaten via CVE-2026-0386 aus. Empfehlung: Keine Registry-Umgehungen, stattdessen Nutzung des gesicherten PXE-Responders.

Häufig gestellte Fragen (FAQ)

Was war der genaue Auslöser für das Abschalten der unbeaufsichtigten WDS-Bereitstellung im April 2026?Verantwortlich war die Sicherheitslücke CVE-2026-0386. Sie ermöglichte das Abfangen der Datei unattend.xml über einen ungesicherten RPC-Kanal, wodurch Domänen- und lokale Administrator-Passwörter im Klartext ausgelesen werden konnten.Kann Microsoft Configuration Manager weiterhin ohne WDS per PXE starten?Ja. Der Configuration Manager stellt einen eigenen PXE-Responder bereit, der keine WDS-Installation voraussetzt. Allerdings entfällt die Multicast-Funktion; PXE-Bereitstellungen laufen dann ausschließlich über Unicast.Wie lange können bestehende WDS-Installationen auf Windows Server 2025 noch genutzt werden?WDS bleibt auf Windows Server 2025 bis zum Ende des Supports im November 2034 technisch verfügbar und funktionsfähig.

Fazit

Die Abkündigung der Windows Deployment Services ist ein klarer Schritt von Microsoft, der sowohl aus sicherheitstechnischer Sicht (CVE-2026-0386) als auch aus einer strategischen Neuausrichtung der Bereitstellungstechnologien resultiert. Für Administratoren bedeutet das, dass bestehende WDS-Installationen noch lange unterstützt werden, jedoch ein geplanter Umstieg auf WDS-unabhängige Lösungen unvermeidlich ist. Der Microsoft Configuration Manager bietet bereits einen PXE-Responder, jedoch nur im Unicast-Modus - damit geht die bandbreitenschonende Multicast-Option verloren. Unternehmen sollten daher jetzt ihre Infrastruktur prüfen, die Risiken der Weiterverwendung alter Workflows adressieren und alternative Boot- und Verteilungsmechanismen planen, um die kommenden Änderungen reibungslos zu meistern.