Smart App Control blockiert durch Windows 11-Update KB5127648 - Ursachen, Workarounds und betroffene Systeme

Mit dem kumulativen Sicherheitsupdate KB5127648, das 13. Oktober 2026 veröffentlicht wurde, blockiert Microsoft versehentlich die erneute Aktivierung von Smart App Control (SAC) in den Windows 11-Versionen 24H2, 25H2 und 26H2. Der ausgegraute Schalter im Defender Security Center lässt Administratoren und Endanwender ohne Weiteres nicht mehr über die grafische Oberfläche den Schutz wieder einschalten. Da SAC ein zentrales Element zum Schutz von Endgeräten vor nicht vertrauenswürdigen Binärdateien darstellt, entsteht für viele Unternehmen ein akuter Sicherheits- und Verwaltungsaufwand. Der folgende Artikel fasst die Hintergründe, die technischen Ursachen und die von Microsoft empfohlenen Übergangslösungen zusammen - ausschließlich auf Basis der veröffentlichten Informationen.

Hintergrund zur Neuerung: Wegfall des Neuinstallations-Zwangs vor dem Bug

Seit der Einführung von Smart App Control in Windows 11 22H2 war das Deaktivieren der Funktion mit einer radikalen Konsequenz verbunden: Wer SAC einmal ausschaltete, musste das Betriebssystem vollständig neu installieren (Clean Install) oder zumindest einen Windows-Reset durchführen, um die Sicherheitsbarriere wieder zu aktivieren. Dieser Zwang sollte sicherstellen, dass keine schädliche Software unbemerkt im System verbleibt, bevor die Richtlinien erneut angewendet werden.

Im Lauf des Jahres 2026 entfernte Microsoft diese Restriktion schrittweise über interne Feature-Flags (Velocity). Seit April 2026 lässt sich SAC wieder einschalten, ohne das gesamte System neu aufzusetzen. Der neue Freischaltmechanismus war ein bedeutender Fortschritt für IT-Administratoren, die häufig eigene, nicht signierte Anwendungen testen müssen.

Technischer Hintergrund: Ursache im Feature-Management-System (Velocity)

Der Fehler entsteht nicht in der eigentlichen Schutz-Engine von Smart App Control, sondern in Microsofts Feature-Management-Framework, das intern als "Velocity" bezeichnet wird. Die beiden Registry-Overrides mit den IDs 2883193997 und 2850574478 steuern über DWORD-Werte (1) die Aktivierung des GUI-Schalters im Defender Security Center. Durch eine fehlerhafte Staging-Konfiguration im Update KB5127648 wurden diese Overrides wieder auf den deaktivierten Zustand zurückgesetzt, sodass der Schalter ausgegraut bleibt.

• Betroffene Feature-Flag-IDs: 2883193997, 2850574478
• Registrypfad: HKLM\SYSTEM\CurrentControlSet\Policies\Microsoft\FeatureManagement\Overrides
• Erforderlicher Wert: DWORD=1

Der Bug wirkt ausschließlich auf die Grafikebene; die zugrunde liegende Schutzfunktion bleibt aktiv, sofern SAC bereits eingeschaltet war. Wer die Funktion jedoch vorher deaktiviert hatte, sieht die grafische Aktivierungsmöglichkeit verloren - ein typisches Symptom für die fehlerhafte Feature-Flag-Konfiguration.

Support-Meilenstein: Letztes reguläres Update für Windows 11 24H2

Der Patch-Tag am 13. Oktober 2026 markierte zugleich das offizielle Ende des regulären Supports (End of Servicing) für die Home- und Pro-Editionen von Windows 11 24H2. KB5127648 ist damit das finale monatliche Sicherheitsupdate für diese Versionen. Das gleichzeitige Lebensende des 24H2-Zweigs erhöht den Druck auf Unternehmen, entweder auf neuere Versionen (25H2, 26H2) umzusteigen oder die temporären Registry- bzw. Gruppenrichtlinien-Lösungen zu implementieren.

• End of Servicing für Windows 11 24H2 (Home/Pro): 13. Oktober 2026
• OS-Build nach Patch-Installation (24H2): 26100.9711
• OS-Build nach Patch-Installation (26H2): 26300.9711

Manuelle Übergangslösungen

Bis ein offizieller Fix über nachfolgende Updates bereitgestellt wird, bietet Microsoft zwei offizielle Workarounds an:

Registry-Fix für einzelne Geräte

Durch das Anlegen der beiden DWORD-Werte im genannten Registry-Pfad lässt sich der ausgegraute Schalter wieder aktivieren. Nach einem Neustart steht die Option im Defender Security Center erneut zur Verfügung.

Gruppenrichtlinien-Lösung für Unternehmensnetzwerke

IT-Administratoren können in Firmennetzwerken die Aktivierung über zwei spezielle Gruppenrichtlinien-Pakete steuern. Die Pakete KB5074105 26101519222 Feature Preview und KB5074105 26101519221 Feature Preview ermöglichen jeweils die Aktivierung von Smart App Control und die Protokollierung für die Fehlersuche. Durch Setzen beider Richtlinien auf "Aktiviert" und einem anschließenden Neustart können mehrere Clients gleichzeitig wieder geschützt werden.

Der Registry-Fix und die Gruppenrichtlinien-Pakete stellen jeweils zwei Pakete bzw. zwei Registry-Einträge bereit, die in der IT-Administration koordiniert werden sollten.

Das der Fehler ausgerechnet bei der Reaktivierung von Smart App Control auftritt, birgt eine gewisse Ironie: Über Jahre hinweg galt die Funktion als Einbahnstraße. Wer den Schutz einmal manuell deaktivierte - etwa um nicht signierte Eigenentwicklungen auszuführen -, musste Windows 11 komplett neu aufsetzen, um die Sicherheitsbarriere wieder einzuschalten. Erst im Lauf des Jahres 2026 beseitigte Microsoft diese Hürde über interne Feature-Management-Flags. Ein genauer Blick auf den aktuellen Workaround zeigt nun, dass KB5127648 genau diese Freischalt-Flags ('Velocity') im System fälschlicherweise wieder abgedreht hat (Bleeping Computer, 2026). Zusätzlich kommt das Update für Nutzer älterer Windows-11-Zweige zu einem kritischen Zeitpunkt: Mit dem Release von KB5127648 am 13. Oktober 2026 endete der reguläre Support für die Editionen Windows 11 24H2 Home und Pro planmäßig (Neowin, 2026). Für viele Unternehmen und IT-Administratoren bedeutet dies doppelte Herausforderungen: Einerseits die Reaktivierung gesperrter Sicherheitsfeatures durch Registry- oder Gruppenrichtlinien-Workarounds, andererseits der unumgängliche Wechsel hin zu aktuelleren Systemversionen wie 25H2 oder 26H2.

Welche PCs betrifft der SAC-Fehler?

• Betroffene Windows-Versionen: 24H2 (Build 26100.9711), 25H2 (Build 26200.9711), 26H2 (Build 26300.9711)
• Voraussetzung: Smart App Control muss vor dem Update deaktiviert sein
• Systeme, bei denen SAC bereits aktiv war, bleiben unverändert geschützt

Wie aktiviere ich SAC per Registry?

Der Vorgang kann über die Eingabeaufforderung mit Administratorrechten durchgeführt werden:

reg add HKLM\SYSTEM\CurrentControlSet\Policies\Microsoft\FeatureManagement\Overrides /v 2883193997 /t REGDWORD /d 1 /f reg add HKLM\SYSTEM\CurrentControlSet\Policies\Microsoft\FeatureManagement\Overrides /v 2850574478 /t REGDWORD /d 1 /f

Nach Eingabe beider Befehle ist ein Neustart des PCs erforderlich. Anschließend ist der Schalter für Smart App Control wieder aktiv.

Wie aktivieren Admins die SAC über Gruppenrichtlinien?

Für Geräte, die zentral verwaltet werden, stellt Microsoft die folgenden Gruppenrichtlinien-Pakete bereit:

• KB5074105 26101519222 Feature Preview - Aktivierung von Smart App Control
• KB5074105 26101519221 Feature Preview - Protokollierung für die Fehlersuche

Beide Richtlinien müssen auf "Aktiviert" gesetzt und die Clients anschließend neu gestartet werden. Damit lässt sich SAC in Unternehmensumgebungen wieder einschalten, ohne einzelne Registrierungen manuell vorzunehmen.

FAQ zum Smart App Control-Problem

Warum war der Schalter für Smart App Control früher nach dem Ausschalten dauerhaft gesperrt?Microsoft verlangte bis Anfang 2026 eine saubere Windows-Neuinstallation (Clean Install), um sicherzustellen, dass sich vor Aktivierung der Richtlinien keine bösartige Software unbemerkt im System eingenistet hatte. (Quelle: Neowin, 2026)Was passiert, wenn ich den Registry-Workaround eingetragen habe und Microsoft den offiziellen Patch nachliefert?Sobald Microsoft ein fehlerbereinigtes kumulatives Update ausrollt, werden die Feature-Flags über die Windows-Servicing-Pipeline regulär überschrieben; die manuellen Overrides müssen in der Regel nicht zwingend entfernt werden. (Quelle: Bleeping Computer, 2026)

Fazit

Das Sicherheitsupdate KB5127648 löst ein unerwartetes Problem aus, das die Reaktivierung von Smart App Control in den Windows-11-Versionen 24H2, 25H2 und 26H2 verhindert. Während Microsoft bereits an einem endgültigen Patch arbeitet, ermöglichen die bereitgestellten Registry-Overrides und Gruppenrichtlinien-Pakete eine kurzfristige Umgehung. IT-Administratoren sollten dabei insbesondere die Gefahr von Fehleingaben in der Registry berücksichtigen und vor Änderungen einen Wiederherstellungspunkt anlegen. Gleichzeitig bleibt zu beachten, dass SAC nur funktioniert, wenn optionale Diagnosedaten an Microsoft übertragen werden und der Entwicklermodus deaktiviert ist. Angesichts des Endes des regulären Supports für Windows 11 24H2 am 13. Oktober 2026 ist ein Umstieg auf neuere Versionen (25H2, 26H2) in Kombination mit den beschriebenen Workarounds die sicherste Vorgehensweise.