Fokus: Intune, Azure/Entra, Copilot, KI und Microsoft 365 für Admins und Enterprise-Teams.
Das Wichtigste in 30 Sekunden
- Windows: OOB-Update KB5134133 entfernt die eMudhra-Roots – wichtig für Offline-Systeme und Geräte ohne automatische CTL-Updates.
- Entra ID: Ab 30. Oktober eigener Telefonie-Anbieter (CYOT) möglich; Microsofts eigene SMS-/Sprach-MFA endet am 1. Februar 2027.
- Intune & Copilot: Neue Geräteseite braucht „Managed devices/Update“; UBB-Modelle in Copilot kommen ab Anfang November nur mit aktiviertem UBB und Credits.
01 // Windows 11: Out-of-band-Update KB5134133 entfernt eMudhra-Roots
Quelle: Microsoft Support / BleepingComputer | Datum: 2026-10-26
Microsoft hat am 26. Oktober das nicht-sicherheitsrelevante OOB-Update KB5134133 für Windows 11 24H2, 25H2 und 26H2 (Builds 26100/26200/26300.9725) veröffentlicht, für Windows 10 21H2/22H2 gibt es KB5134125. Hintergrund sind kompromittierte Schlüssel der Zertifizierungsstelle eMudhra: Das Update bringt eine aktualisierte Root-Zertifikatsliste für Geräte, die keine automatischen CTL-Updates bekommen. Laut Microsoft fliegen damit sechs eMudhra-G3-Roots und ein AAA-Certificate-Services-Cross-Sign aus dem Windows-Trust-Store.
Was heißt das für Admins? Wichtig ist das vor allem für Offline-Netze, abgeschottete Server und Clients mit deaktivierten CTL-Updates. Prüft, ob bei euch Zertifikate an diesen Roots hängen. Außerdem gilt: Hotpatch-Geräte, die das OOB installieren, bekommen erst nach der Baseline im Januar 2027 wieder Hotpatches. Die bekannten Probleme (Smart App Control, RDP-Fehler 0xC000000D mit Administrator Protection) stehen ebenfalls im KB-Artikel.
Originalquelle lesen | BleepingComputer
02 // Entra ID: Eigener Telefonie-Anbieter für SMS und Anrufe (CYOT) ab 30. Oktober
Quelle: Microsoft 365 Message Center (MC1519855) | Datum: 2026-10-21
Ab dem 30. Oktober ist „Choose Your Own Telephony Provider“ allgemein verfügbar. Organisationen können über den Microsoft Security Store einen unterstützten Drittanbieter für SMS- und Sprach-MFA wählen und den Vertrag direkt mit ihm abschließen. Gleichzeitig bestätigt Microsoft das Aus für die eigenen SMS- und Sprachanrufe: am 1. Februar 2027 für alle Nutzer, für Global Admins und externe Benutzer erst am 1. Juli 2027.
Was heißt das für Admins? Jetzt ermitteln, wer noch ausschließlich SMS oder Anruf als MFA-Methode hat. Diese Nutzer müssen nach dem Stichtag beim Anmelden zwingend einen Passkey registrieren, sofern kein eigener Telefonie-Anbieter angebunden ist. CYOT ist als Ausnahme gedacht, nicht als Dauerlösung. Für den Kauf braucht ihr ein Azure-Abo samt Ressourcengruppe.
03 // Entra ID: Content Security Policy auf der Anmeldeseite wird scharf geschaltet
Quelle: Microsoft Learn | Datum: Rollout ab Mitte/Ende Oktober 2026
Microsoft erzwingt global eine Content Security Policy auf den browserbasierten Anmeldeseiten unter login.microsoftonline.com. Skripte aus nicht vertrauenswürdigen Quellen werden damit blockiert, um XSS und ähnliche Angriffe zu erschweren. MSAL- und API-Flows sowie External ID mit eigenen Domains sind nicht betroffen.
Was heißt das für Admins? Browser-Erweiterungen oder Tools, die Code in die Entra-Anmeldung einschleusen (z. B. eigene Login-Helfer), funktionieren dann nicht mehr. Wer so etwas einsetzt, sollte es jetzt testen und ersetzen. Bei plötzlichen Login-Problemen im Browser ist CSP ein guter erster Verdacht.
04 // Intune: Neue Geräteseite wird Standard, RBAC-Rechte prüfen
Quelle: Microsoft 365 Message Center (MC1456780, aktualisiert) | Datum: 2026-10-23
Mit Release 2609 ersetzt die neue Einzelgeräteseite unter Geräte > Alle Geräte die alte Ansicht endgültig. Am 23. Oktober hat Microsoft die Meldung um eine wichtige Klarstellung ergänzt: Für Geräteaktionen braucht man künftig zusätzlich die Berechtigung „Managed devices/Update“. Ein Beispiel ist das Ändern des primären Benutzers, das „Managed devices/Update“ und „Managed devices/Set primary user“ voraussetzt.
Was heißt das für Admins? Eigene RBAC-Rollen für Helpdesk und Support prüfen, sonst schlagen Aktionen wie das Umbenennen eines Geräts plötzlich fehl. Interne Dokus und Screenshots an die neue Oberfläche anpassen.
05 // Intune: VPP-Apps mit unbegrenzten Lizenzen zuweisen
Quelle: Microsoft Learn – What’s new in Intune | Datum: Woche vom 2026-10-19
Intune kann jetzt Apps aus Apple Business und Apple School Manager zuweisen, die mit unbegrenzten Lizenzen erworben wurden. Lizenzmengen müssen dafür nicht mehr gepflegt werden. Das gilt für iOS/iPadOS und macOS.
Was heißt das für Admins? Weniger Lizenz-Pflege und keine fehlgeschlagenen Installationen mehr, nur weil das Kontingent aufgebraucht ist. Ein Blick in die VPP-App-Übersicht lohnt sich, um zu sehen, welche Apps davon profitieren.
06 // Copilot: Modelle mit nutzungsbasierter Abrechnung in Chat, Word, Excel und PowerPoint
Quelle: Microsoft 365 Message Center (MC1519122) | Datum: 2026-10-21
Ab Anfang November, mit Abschluss bis Mitte November, landen Modelle mit nutzungsbasierter Abrechnung (UBB) im Modellwähler von Copilot Chat sowie in Word, Excel und PowerPoint. Laut Microsoft sind GPT-6 Astra und Claude Fable 5.1 dabei. Voraussetzung sind eine Microsoft-365-Copilot-Lizenz, aktiviertes UBB und vom Admin zugewiesene Credits.
Was heißt das für Admins? Ohne aktiviertes UBB sehen Nutzer die Modelle nicht, ihr behaltet also die Kontrolle. Vor der Freigabe solltet ihr Budget, Credit-Verteilung und einen Prozess für Nachforderungen festlegen. Die Kostensteuerung läuft über Agent 365 im Microsoft 365 Admin Center.
07 // Defender for Cloud: Plan-Verwaltung im Defender-Portal und neue Abrechnung nach Workload Units
Quelle: Microsoft Learn – What’s new in Defender for Cloud | Datum: 2026-10-20
Seit dem 20. Oktober lässt sich die Verwaltung der Cloud-Security-Pläne im Microsoft Defender Portal als Public Preview testen. Abos und Management Groups werden dort angebunden, Pläne aktiviert und Kosten geschätzt. Migrierte Abos werden nach Defender Workload Units (DWU) abgerechnet, im Azure-Portal ist die Plan-Konfiguration dann nur noch lesbar. Ebenfalls neu ist ein erweitertes Onboarding für Azure- und On-Prem-Server.
Was heißt das für Admins? Vor einer Migration mit FinOps klären, wie sich das DWU-Modell auf eure Kosten auswirkt. Außerdem müssen Automatisierungen, die Pläne über das Azure-Portal setzen, überprüft werden.
Admin-Fazit: Diese Woche drängen vor allem Identität und Zertifikate. Am 3. November endet der MemberOf-Operator in dynamischen Gruppen, ab dem 30. Oktober steht CYOT bereit, und auf isolierten Windows-Systemen sollte das eMudhra-OOB installiert werden. Danach Intune-RBAC prüfen und das Copilot-Budget planen.