Windows Server vNext Build 29683: Sicherheitsverbesserungen, Risiken und Praxis-Tipps

Microsoft hat mit dem Preview-Build 29683 von Windows Server vNext ein neues Sicherheits-Toolkit eingeführt, das zentrale Richtlinienprüfungen und -anwendungen ermöglicht. Das Tool MSHardenedPolicyEval soll Administratoren helfen, gehärtete Vorgaben schnell zu prüfen, durchzusetzen oder zurückzusetzen - gleichzeitig führt die experimentelle Post-Quanten-TLS-Implementierung X25519MLKEM768 zu bekannten Instabilitäten. Dieser Artikel fasst die wichtigsten Fakten, Risiken und Handlungsempfehlungen zusammen, die ausschließlich aus den offiziellen Release-Informationen und Fachberichten stammen.

Build 29683 im Überblick - zentrale Sicherheitsfunktionen

Der am 12. Oktober 2026 veröffentlichte Build 29683 richtet sich an Insider, die Windows Server vNext im LTSC-Preview-Modell testen. Er bietet die Installationsoptionen Desktop Experience und Server Core für die Standard- und Datacenter-Editionen. Der Fokus liegt auf gehärteten Sicherheitsvorgaben, die über das neue Kommandozeilen-Tool MSHardenedPolicyEval zentral verwaltet werden können.

Unterstützte Windows-Versionen: Server 2022 LTSC (TLS 1.3-Support seit 2022)
Geltungsdauer der Vorabversion: bis 15. Oktober 2027
End-of-Servicing-Datum für Build 29683: 1. November 2027
Mindestsystem für stabile Upgrades: Build 29531 (seit Februar 2026 als Basis empfohlen)

MSHardenedPolicyEval: Funktionsweise und CLI-Parameter

MSHardenedPolicyEval vergleicht die aktuelle Systemkonfiguration mit einem vordefinierten Richtlinienkatalog, der Registrierung, LSA-Rechte, Überwachungsunterkategorien und SAM-Einstellungen abdeckt. Das Tool arbeitet ausschließlich lokal, wodurch eine zentrale Gruppenrichtlinien-Übernahme (Active Directory) nicht möglich ist - ein Aspekt, der in großen Rechenzentren zu Management-Überlastungen führen kann.

Verfügbare Kommandozeilen-Parameter:

-v - gibt detaillierte Ergebnisse pro Gruppe aus
-ap - wendet die gehärteten Werte an
-rp - setzt das System auf die nicht gehärteten (Standard-)Werte zurück
-l - speichert die Ausgabe in einer Protokolldatei

Die Ergebnisse können über das Windows-Ereignisprotokoll oder TraceLogging an Monitoring-Systeme (z. B. Splunk, SolarWinds) weitergeleitet werden.

Integration in PowerShell und DevOps-Pipelines

MSHardenedPolicyEval lässt sich ab PowerShell 7.3+ automatisiert ansteuern. Die Integration ermöglicht das Erstellen benutzerdefinierter Richtliniensets, die je nach Server-Rolle (Audit, Network, Registry u. a.) angewendet werden können. Das Toolkit unterstützt bis zu 15 Sicherheits-Policy-Gruppen und kann in CI/CD-Pipelines eingebunden werden, um kontinuierliche Sicherheits-Scoring-Modelle zu erzeugen.

Unterstützte PowerShell-Version: 7.3+
Maximale Richtliniengruppen: 15
Einbindung in Pipeline-Operatoren ermöglicht automatisierte Prüfungen und Reporting

Durch die Kombination mit TraceLogging können Ergebnisse in Echtzeit an SIEM-Lösungen übermittelt werden, was eine proaktive Reaktion auf Abweichungen erlaubt (Quelle S1).

X25519MLKEM768 - Post-Quanten-TLS-Handshake und LSASS-Absturz

Der neue hybride Handshake-Algorithmus X25519MLKEM768 wird über den Schannel-Treiber (Windows Secure Channel) implementiert und kombiniert klassische Elliptic-Curve-Kryptografie (X25519) mit dem post-quantensicheren ML-KEM-768-Verfahren. In der aktuellen Implementierung verursacht ein Fehler im Handshake-Mechanismus Ressourcenspitzen von über 200 ms auf Kernel-Ebene, was zu LSASS-Abstürzen und damit zu erzwungenen Neustarts führen kann.

Empfohlene Gegenmaßnahme für Produktionsumgebungen:

Deaktivierung der X25519MLKEM768-Gruppe über den TLS-Stack mit dem Parameter -settls x25519
Temporärer Rückgriff auf konventionelle ECC-Methoden

Die offizielle Dokumentation (CertKit, Quelle S4) weist darauf hin, dass die aktuelle Implementierung noch nicht robust gegen Ressourcen-Spikes im Kernel ist.

Bekannte Fehler und Risiken beim Einsatz von Build 29683

ProblemAuswirkungEmpfohlene MaßnahmeFehlende Active Directory-UnterstützungKeine zentrale, gruppenweite Policy-Anwendung möglichManuelle Verwaltung per Server-lokalem ToolPost-Quanten-TLS-Handshake (X25519MLKEM768)LSASS-Abstürze im ProduktivbetriebDeaktivierung via -settls x25519 oder vollständiges Abschalten des HandshakesKernele-Performance-Einbruch (>200 ms)Erhöhte CPU-Last und beeinträchtigte KPI-Werte unter LastMonitoring der Ressourcen, ggf. Rückgriff auf klassische TLS-Methoden

Zusätzlich blockiert das Installationsprogramm Upgrades von Systemen, die älter als Build 29531 sind. Wird versucht, von Build 29500 auf 29683 zu migrieren, schlägt das Upgrade in der Regel fehl oder verhindert den Serverstart. Microsoft fordert daher ein "sauberes Upgrade-Setup" ab Build 29531.

Langfristige Stabilitäts- und Rollout-Konzepte für vNext LTSC

Die LTSC-Modellierung von Windows Server vNext sieht ein kontrolliertes Rollout-Modell vor: Builds bis 2027 dienen als Testversionen, während der offizielle LTSC-Release voraussichtlich im November 2027 veröffentlicht wird. Administratoren sollten bereits jetzt eine kontrollierte Testumgebung aufbauen, um die Migration vor dem End-of-Servicing-Tag (01.11.2027) zu planen.

End-of-Servicing-Tag für Build 29683: 1. November 2027
Letzter offizieller Testzeitraum: 15. Oktober 2027
Empfohlene Basis für stabile Virtualisierungsarchitekturen: sauberes Upgrade ab Build 29531

Durch frühzeitige Tests und die Nutzung von PowerShell-Automatisierung kann die Migration reibungslos gestaltet und die Verfügbarkeit kritischer Dienste gewährleistet werden.

FAQ zu MSHardenedPolicyEval und Build 29683

Funktioniert MSHardenedPolicyEval auch als Teil eines PowerShell-Skripts?

Ja, das Tool kann innerhalb von PowerShell 7.x automatisiert angesteuert werden und unterstützt Pipeline-Operatoren. Administratoren können benutzerdefinierte Filter in PowerShell-Dateien einsetzen, um Batch-Testmanagement zu realisieren.

Wie deaktiviere ich die X25519MLKEM768-Handshake-Gruppe, um LSASS-Abstürze zu vermeiden?

Im TLS-Stack unter Schannel nutzen Sie den Parameter -settls x25519, um auf ein klassisches Elliptic-Curve-Verfahren zurückzufallen und potenzielle Abstürze zu umgehen.

Was passiert, wenn ich ein System mit Build 29500 auf 29683 upgrade?

Das Upgrade wird in der Regel fehlschlagen oder den Server nicht wieder starten. Microsoft fordert ausdrücklich, mit Build 29531 als Minimum zu starten oder einen frischen Installationspfad zu verwenden.

Wird Windows Server vNext Build 29683 jenseits des End-of-Servicing-Tags weiter unterstützt?

Nein. Nach dem 1. November 2027 erhält Build 29683 keine Updates mehr. Administratoren sollten sich spätestens bis zu diesem Datum auf die finale LTSC-Fassung ausrichten.

Fazit

Build 29683 von Windows Server vNext liefert mit MSHardenedPolicyEval ein mächtiges Werkzeug zur zentralen Prüfung und Durchsetzung gehärteter Sicherheitsrichtlinien. Die Möglichkeit, das Tool via PowerShell und CI/CD-Pipelines zu automatisieren, erhöht die Flexibilität von IT-Teams beträchtlich. Gleichzeitig birgt die Integration des experimentellen Post-Quanten-TLS-Handshakes X25519MLKEM768 signifikante Risiken: LSASS-Abstürze, Kernel-Performance-Spikes und fehlende AD-Unterstützung können den Betrieb destabilisieren. Für eine sichere Nutzung sollten Administratoren die empfohlenen Gegenmaßnahmen (Deaktivierung des Handshakes, Nutzung von Build 29531 als Upgrade-Basis) konsequent umsetzen und bis zum End-of-Servicing-Datum die Migration zur finalen LTSC-Version planen.