Der CrowdStrike-Ausfall im Juli 2024 hat in vielen Unternehmen Spuren hinterlassen. In etlichen Tenants, die ich betreue, ließen sich Geräte ohne physischen Zugriff kaum wiederherstellen. Mit der Windows Resiliency Initiative hat Microsoft jetzt eine Reihe von Maßnahmen vorgestellt, die solche Szenarien künftig besser abfedern und die Administration absichern sollen. Viele IT-Teams befassen sich gerade mit diesen Ankündigungen, allerdings ist längst nicht alles sofort verfügbar. Ich ordne in diesem Beitrag ein, was zur Initiative gehört, wo man schon konkret handeln kann und wo es bisher nur eine Roadmap gibt.

Der CrowdStrike-Ausfall war für viele Admins ein Weckruf

Der Vorfall im Juli hat gezeigt, wie abhängig moderne IT von zentralen Update- und Sicherheitsmechanismen ist. Nach einem fehlerhaften Update starteten viele Windows-Geräte nicht mehr, und aus der Ferne ließ sich oft nichts reparieren. Für Admins war das ein Albtraum: Manche Geräte mussten mühsam vor Ort instand gesetzt oder neu aufgesetzt werden. Was sich aus dem Ereignis lernen lässt, habe ich im Beitrag BitLocker-Wiederherstellungsschlüssel: CrowdStrike-Ausfall als Lehrstück ausführlich beschrieben. Dass Microsoft die Windows Resiliency Initiative nur wenige Monate danach vorgestellt hat, ist kein Zufall. In jedem einzelnen Baustein erkennt man, welche Schlüsse aus dem Vorfall gezogen wurden.

Die Initiative besteht aus vier Bausteinen

Alle Bausteine sollen Windows widerstandsfähiger machen, die Wiederherstellung beschleunigen und die Administration sicherer gestalten. Microsoft stellt die Initiative als Antwort auf aktuelle Bedrohungen und als Grundlage für eine robustere Plattform dar. Laut dem offiziellen Blog und der Dokumentation gehören dazu folgende Punkte:

  • Quick Machine Recovery: Geräte sollen sich künftig direkt aus der Windows-Wiederherstellungsumgebung (WinRE) über Windows Update reparieren lassen, selbst wenn Windows nicht mehr startet. Für Windows Insider ist der Rollout 2025 geplant.
  • Antivirus außerhalb des Kernels: Sicherheitslösungen sollen künftig außerhalb des Windows-Kernels laufen können, damit sich ein katastrophaler Ausfall wie im Juli nicht wiederholt. Das startet zunächst als Private Preview, ein GA-Termin steht noch nicht fest.
  • Administrator Protection: Lokale Adminrechte werden per Just-in-Time-Elevation vergeben, was das Risiko durch kompromittierte Konten senken soll. Bisher gibt es nur die Ankündigung, Details folgen.
  • Hotpatch für Windows 11 Enterprise 24H2: Wie man es von Azure-Servern kennt, werden Sicherheitspatches ohne Neustart installiert. Für Enterprise ist das ab sofort als Preview verfügbar.

Wie die Teile zusammenhängen, zeigt das folgende Mermaid-Flussdiagramm:

flowchart TD
    Incident["CrowdStrike-Ausfall"] --> Initiative["Windows Resiliency Initiative"]
    Initiative --> Recovery["Quick Machine Recovery"]
    Initiative --> Antivirus["Antivirus außerhalb Kernel"]
    Initiative --> AdminProt["Administrator Protection"]
    Initiative --> Hotpatch["Hotpatch Windows 11 24H2"]
    Hotpatch --> Jetzt["Jetzt als Preview"]
    Recovery --> Roadmap["Ab Windows Insider 2025"]
    Antivirus --> Roadmap
    AdminProt --> Roadmap

Abbildung: Bausteine der Windows Resiliency Initiative – was ist schon verfügbar, was nur angekündigt?

Admins können sich schon jetzt gezielt vorbereiten

Von allen vorgestellten Funktionen steht nur Hotpatch für Windows 11 Enterprise 24H2 bereits als öffentliche Preview bereit. Wer Geräte mit Windows 11 Enterprise und die passenden Lizenzen hat, kann Hotpatch ausprobieren. Weil der Rollout vorerst auf Version 24H2 beschränkt ist, eignet sich das vor allem für Pilotgruppen. Gesteuert wird alles über Windows Update for Business oder Intune. Wie sich Hotpatch-Updates verwalten lassen, beschreibt Microsoft ausführlich in der Dokumentation.

Für die übrigen Neuerungen (Quick Machine Recovery, Antivirus außerhalb des Kernels, Just-in-Time-Adminrechte) gibt es noch keine Public Preview, im eigenen Tenant lässt sich also nichts testen. Wer vorbereitet sein möchte, sollte trotzdem jetzt schon einiges prüfen:

Bewährt hat sich in der Praxis, Recovery-Images und Backup-Strategien für sensible Geräte regelmäßig zu pflegen und auf dem aktuellen Stand zu halten. Bei kritischen Arbeitsplätzen lohnt es sich außerdem, die WinRE-Umgebung zu härten und dem IT-Support gezielt Zugriff darauf einzuräumen.

Auch die eingesetzte AV-Lösung, die genutzten Windows-Update-Kanäle und die Gerätebereitstellung gehören jetzt auf den Prüfstand. Wo Anwender noch mit lokalen Adminrechten arbeiten, lohnt sich Intune Endpoint Privilege Management, selbst wenn Just-in-Time-Admin noch nicht allgemein verfügbar ist.

Drei der vier Neuerungen existieren bisher nur auf der Roadmap

Gerade die auffälligsten Neuerungen sind derzeit (Stand: November 2024) nur angekündigt. Quick Machine Recovery kommt erst 2025 zu den Windows Insidern. Ob die Reparatur aus der Ferne dann zuverlässig funktioniert, muss sich zeigen, vor allem in komplexen Netzwerken mit BitLocker und strengen Vorgaben. AV-Produkte außerhalb des Kernels zu betreiben, wäre ein großer Schritt, doch zu Integration und Kompatibilität fehlen bislang die Details. Bei der Just-in-Time-Adminfunktion ist die Richtung zwar klar, umgesetzt ist davon aber noch nichts. Wer lokale Adminrechte schon heute nur bei Bedarf vergeben will, kann Intune Endpoint Privilege Management oder andere Lösungen einsetzen, wie ich sie in diesem Beitrag beschrieben habe.

Solange vieles noch fehlt, sollte man die weiteren Neuigkeiten rund um Windows Security verfolgen und die eigene Gerätelandschaft nach und nach auf Recovery-Szenarien und minimale Rechte ausrichten.

Resilienz entsteht nicht allein durch neue Features

Die Windows Resiliency Initiative setzt einen längst fälligen Impuls, ein durchdachtes Sicherheitskonzept ersetzt sie aber nicht. Der CrowdStrike-Vorfall hat offengelegt, wie viele Lücken es bei Disaster Recovery und beim Abbau lokaler Adminrechte noch gibt. Viele Unternehmen verlassen sich zu sehr auf Standardmechanismen und testen ihre Wiederherstellungsprozesse nie unter realistischen Bedingungen. Wer jetzt selbst handelt, statt auf Microsofts Roadmap zu warten, ist beim nächsten Vorfall deutlich besser aufgestellt. Ich behalte die Entwicklung genau im Auge und berichte, sobald die neuen Funktionen in der Praxis angekommen sind.