Windows-Update-Nebenwirkungen: OWA, RDP und Smart App Control

Die Oktober-2026-Sicherheitsupdates für Windows und Windows Server haben drei bestätigte Nebenwirkungen: Auf On-Premises-Exchange-Servern brechen die Anmeldung an Outlook on the Web und der Mailflow ein, Nicht-Admin-Konten kommen per RDP nicht mehr auf Remote-Desktop-Hosts mit aktivem Administratorschutz, und unter Windows 11 lässt sich Smart App Control nicht mehr aktivieren. Diese Windows-Update-Nebenwirkungen treffen unterschiedliche Umgebungen, haben aber eines gemeinsam: Für alle drei sind Gegenmaßnahmen dokumentiert, und in keinem Fall ist die Deinstallation der Updates die Lösung.

Windows-Update-Nebenwirkungen: die drei Fehlerbilder im Überblick

Fehlerbild	Typisches Symptom	Betroffen	Gegenmaßnahme
Exchange / OWA	OWA-Anmeldung scheitert, Mails bleiben im Postausgang, Queues wachsen; Event-ID 1006 mit `MapiExceptionMdbOffline (hr=0x80004005, ec=1142)`	On-Premises-Exchange auf Windows Server 2016 bis 2025	`EpmapSavedContextCap` auf 65536 setzen, Server neu starten
RDP	Verbindung scheitert mit `0xC000000D` („The token that was passed to the function is invalid.")	Nicht-Admin-Konten auf Remote-Desktop-Hosts mit aktivem Administratorschutz	Administratorschutz temporär per Richtlinie deaktivieren
Smart App Control	Aktivierung nicht möglich, auch nicht nach vorheriger Deaktivierung	Windows-11-Desktops	Zwei DWORD-Werte unter `FeatureManagement\Overrides` setzen, Neustart

Für die Fehlersuche ist eine zeitliche Unterscheidung wichtig: Nur zwei der drei Probleme gehen auf den Oktober-Patchday zurück. Die RDP-Einschränkung tritt bereits seit den Vorschau-Updates von Ende September auf.

Exchange Server: OWA-Anmeldung und Mailflow brechen ein

Auf einigen On-Premises-Exchange-Systemen können sich Nutzer nicht bei Outlook on the Web anmelden. Aus Outlook versendete Mails bleiben im Postausgang hängen, der Mailbox-Zugriff stockt während der Replikation, und die Mail-Queues wachsen teils stark an. Im Anwendungsprotokoll steht dann Event-ID 1006 mit MapiExceptionMdbOffline: Unable to make connection to the server. (hr=0x80004005, ec=1142).

Betroffen sind Windows Server 2016, 2019, 2022 und 2025 sowie Exchange Server 2016, 2019 und die Subscription Edition. Nicht jeder dieser Server zeigt das Problem: Schwere und Geschwindigkeit hängen von der Last ab, manche Systeme sehen nie einen Fehler. Belastbare Zahlen zum Betroffenheitsgrad gibt es nicht – die kursierenden Wochenend-Anekdoten stammen aus einzelnen Admin-Kommentaren, nicht aus einer Erhebung.

Wichtig zur Abgrenzung: Die Störungen stehen nicht im Zusammenhang mit den Oktober-Sicherheitsupdates für Exchange Server selbst, sondern mit den Windows-Server-Updates desselben Monats.

Endpoint-Mapper-Limit anheben: der Registry-Workaround

Ursache ist ein neues Default-Limit für den Speicher, den der Endpoint Mapper für Endpoint-Lookup-Aufrufe nutzt. Die 512 gleichzeitigen Aufrufe, die seit dem Update Standard sind, reichen unter schwerer Last für Workloads wie Exchange Server nicht aus. Der Eingriff erfolgt in einer administrativen Eingabeaufforderung auf dem Exchange-Host, anschließend ist ein Neustart des Servers erforderlich:

reg add "HKLM\SOFTWARE\Microsoft\Rpc" /v EpmapSavedContextCap /t REG_DWORD /d 65536 /f

Ein Neustart allein kann das Problem vorübergehend beheben – der Registry-Eintrag ist derzeit der einzige dauerhaftere Workaround. Ein Out-of-Band-Update ist bislang nicht zugesagt; die Untersuchung läuft weiter, und für betroffene Admins kann der Support zusätzliche Gegenmaßnahmen bereitstellen.

RDP-Verbindungen scheitern mit 0xC000000D

Seit den Vorschau-Updates von Ende September können Nicht-Admin-Konten keine RDP-Verbindung mehr zu entfernten Geräten aufbauen, auf denen der Administratorschutz aktiv ist. Die Verbindung bricht mit 0xC000000D und der Meldung „The token that was passed to the function is invalid." ab. Betroffen sind in der Regel Geräte, die in Enterprise-Umgebungen als Remote-Desktop-Hosts dienen.

Der Administratorschutz ist unter Windows 11 24H2, 25H2 und 26H2 standardmäßig aktiv, sobald eine Organisation die Security Baseline umsetzt und die entsprechende Richtlinie nicht umkonfiguriert hat. Den Schutz temporär per Richtlinie zu deaktivieren, ist die empfohlene Gegenmaßnahme. Das ist ein pragmatischer, aber kein harmloser Schritt: Die Maßnahme nimmt genau den Schutz weg, der die Token-Problematik auslöst, und öffnet in dieser Zeit Angriffsflächen für Rechteausweitung. Wer sie umsetzt, sollte sie befristen, im Änderungslog dokumentieren und anschließend aktiv zurücknehmen – statt sie bis zum nächsten Patchday stehen zu lassen.

Smart App Control lässt sich nicht mehr aktivieren

Auf Windows-11-Desktops führt das Oktober-Update dazu, dass sich Smart App Control nicht mehr einschalten lässt. War die Funktion bisher nicht aktiv, bleibt sie aus; hat ein Administrator sie zuvor deaktiviert, lässt sie sich nicht erneut aktivieren. Der Fehler ist inzwischen als bekanntes Problem zu KB5127648 erfasst. Zwei DWORD-Werte schaffen Abhilfe, gesetzt in einer administrativen Eingabeaufforderung, gefolgt von einem Neustart:

reg add "HKLM\SYSTEM\CurrentControlSet\Policies\Microsoft\FeatureManagement\Overrides" /v 2883193997 /t REG_DWORD /d 1 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Policies\Microsoft\FeatureManagement\Overrides" /v 2850574478 /t REG_DWORD /d 1 /f

Welche Wirkung die beiden Werte im Einzelnen entfalten, ist nicht offiziell dokumentiert; sie werden einer Aktivierungs- und einer Protokollierungsfunktion zugeordnet. Alternativ stehen Gruppenrichtlinien zur Verfügung, die Admins in Unternehmen installieren und nutzen sollen – für verwaltete Flotten ist das der sauberere Weg als ein manueller Registry-Eintrag pro Rechner.

Warum Deinstallieren keine Option ist

Der naheliegende Reflex – Update runter, Problem weg – ist hier der falsche Weg. Von einer Deinstallation der Oktober-Sicherheitsupdates wird ausdrücklich abgeraten, weil sie unter anderem eine bereits in freier Wildbahn angegriffene Lücke schließen. Wer den Patch zurückrollt, tauscht einen Funktionsfehler gegen eine offene Angriffsfläche.

Sauber getrennt gehört auch die zweite Warnung: Die Empfehlung, die Updates nicht zu entfernen, bezieht sich auf die Oktober-Sicherheitsupdates für Windows Server – nicht auf die Exchange-Sicherheitsupdates, die von den OWA-Störungen gar nicht betroffen sind. Wer beides vermischt, rollt am Ende das falsche Paket zurück und lässt das eigentliche Problem stehen.

Fazit: Reihenfolge für den nächsten Patchday

Wer noch nicht gepatcht hat, sollte die Updates nicht dauerhaft zurückhalten, sondern den Rollout begleiten: Exchange-Hosts zuerst, mit Blick auf Anwendungsprotokoll und Mail-Queues, dann die RDP-Hosts, dann die Windows-11-Desktops. Wer bereits gepatcht hat und eines der drei Fehlerbilder sieht, greift zuerst zur passenden Gegenmaßnahme und prüft danach, ob ein Neustart das Problem ohnehin temporär löst.

Für Exchange-Admins bleibt eine offene Flanke: Solange kein Out-of-Band-Update existiert, ist der Registry-Eintrag eine Dauerlösung auf Zeit. Er sollte dokumentiert werden – sonst steht die nächste Admin-Generation beim nächsten Endpoint-Mapper-Limit vor demselben Rätsel.

Quellen