Fokus: Intune, Azure/Entra, Copilot, KI und Microsoft 365 für Admins und Enterprise-Teams. Die Meldungen der Vorwoche findet ihr in der Ausgabe KW 44.
Das Wichtigste in 30 Sekunden
- Windows Server 2022: Hotpatch-Server brauchen im November und Dezember einen Neustart, der nächste Hotpatch kommt erst im Februar 2027.
- Entra ID: Windows Hello for Business und macOS Platform SSO zählen ab Anfang November als eigenständiger MFA-Faktor.
- Intune & Defender: Release 2610 braucht einen neuen Push-Endpunkt in der Firewall; die alten Advanced-Hunting-APIs laufen am 1. Februar 2027 aus.
01 // Windows Server 2022: Hotpatch-Server müssen im November und Dezember neu starten
Quelle: Microsoft 365 Message Center (MC1527979) | Datum: 2026-10-27
Die Sicherheitsupdates für Windows Server 2022 im November und Dezember 2026 kommen als normale Updates statt als Hotpatch. Laut Microsoft ändern einige Sicherheitsverbesserungen Komponenten, die sich nur mit Neustart aktualisieren lassen. Januar 2027 ist ohnehin ein Baseline-Monat mit Neustart, der nächste Hotpatch wird für Februar 2027 erwartet. Windows Server 2025 und Windows 11 sind nicht betroffen, dort bleiben die Hotpatches für November und Dezember geplant.
Was heißt das für Admins? Wer Server-2022-Systeme bewusst wegen Hotpatch ohne Wartungsfenster betreibt, muss für den Patchday am 10. November und im Dezember wieder Neustarts einplanen. Die Geräte bleiben im Hotpatch-Programm, an der Konfiguration ist nichts zu ändern. Rechnet also mit drei Monaten am Stück mit Reboot. Wie Update-Ringe grundsätzlich sauber aufgebaut werden, steht in Sektion 22 zu WUfB.
02 // Entra ID: Windows Hello for Business und macOS Platform SSO zählen als eigenständiger MFA-Faktor
Quelle: Microsoft 365 Message Center (MC1450134, aktualisiert) | Datum: 2026-10-27
Ab Anfang November (bisher hieß es Anfang Oktober) bis Ende Dezember erkennt Entra ID Windows Hello for Business und macOS Platform SSO als vollwertigen MFA-Faktor an. Damit erfüllen diese Anmeldungen auch Step-up-Abfragen, Authentication-Strength-Richtlinien und Sign-in-Frequency-Prüfungen, ohne dass Nutzer zusätzlich einen Passkey registrieren müssen. Nutzer, deren einzige MFA-Methode WHfB oder PSSO ist, gelten künftig als MFA-fähig. In „Meine Sicherheitsinformationen“ tauchen die Anmeldeinformationen als automatisch registrierte Passkeys auf.
Was heißt das für Admins? Konfigurieren müsst ihr nichts, aber eure Anleitungen für Onboarding und MFA-Registrierung solltet ihr anpassen. Rechnet damit, dass Nutzer im Helpdesk nach den „neuen Passkeys“ in ihrem Profil fragen. Wer Authentication-Strength-Richtlinien nutzt, sollte prüfen, ob sich durch die Änderung ungewollt Anforderungen lockern.
03 // Entra ID: Ungenutzte SMS-Anmeldung als erster Faktor wird abgeschaltet, CAPTCHA für SMS und Anruf
Quelle: Microsoft 365 Message Center (MC1465763, MC1518029) | Datum: 2026-10-28 / 2026-10-29
Microsoft schaltet die SMS-Anmeldung als ersten Faktor in Tenants ab, in denen es in den letzten 30 Tagen keine oder nur fehlgeschlagene SMS-Anmeldungen gab. Das läuft von Mitte September bis November 2026. SMS für MFA und für die Kennwortzurücksetzung ist davon nicht betroffen. Parallel rollt Microsoft seit Mitte Oktober eine risikobasierte Anti-Bot-Prüfung (CAPTCHA) für SMS- und Sprachanmeldungen als ersten Faktor aus, die je nach Verhalten einzelnen Nutzern angezeigt wird.
Was heißt das für Admins? Prüft in den Anmeldeprotokollen, ob bei euch überhaupt jemand per SMS als erstem Faktor einsteigt, etwa an Kiosk- oder Schichtgeräten. Gebt dem Helpdesk Bescheid, dass ein CAPTCHA kein Phishing-Zeichen ist. Die bessere Antwort auf beides bleibt der Umstieg auf Passkeys.
Originalquelle lesen | CAPTCHA-Meldung
04 // Intune 2610: Neuer Push-Endpunkt für Geräteaktionen, Win32-Apps und Remediations
Quelle: Microsoft Learn – What’s new in Intune | Datum: Woche vom 2026-10-26 (Service Release 2610)
Mit dem Service Release 2610 hat Microsoft die Verbindung für Szenarien verbessert, die auf Push-Benachrichtigungen setzen: Geräteaktionen, Win32-Apps, PowerShell-Skripte und Remediations. Microsoft empfiehlt, die Firewall-Regeln um den Endpunkt *.trouter.communications.svc.cloud.microsoft zu ergänzen. Ebenfalls neu in 2610 sind zwei Einstellungen für Administrator Protection in den Kontoschutz-Richtlinien und im Settings Catalog für Windows 11 24H2 und 25H2.
Was heißt das für Admins? Den Endpunkt solltet ihr zeitnah in Proxy und Firewall freigeben, sonst kommen Sync-Anstöße, Skripte und Remediations verzögert an. Wenn Apps trotz Zuweisung hängen, gehört der Endpunkt jetzt auch auf die Checkliste aus Sektion 41. Administrator Protection lässt sich jetzt zentral steuern, testet aber vorher, wie sich die Rückfrage bei Rechteerhöhung auf Support-Tools auswirkt.
05 // Intune 2610: Alte Apple-Update-Richtlinien entfallen, Setup Assistant (legacy) ist Geschichte
Quelle: Microsoft Learn – What’s new in Intune | Datum: Woche vom 2026-10-26 (Service Release 2610)
Weil Apple die zugrunde liegenden Befehle mit OS 27 eingestellt hat, entfernt Intune die alten MDM-Workloads für Softwareupdates auf iOS/iPadOS und macOS. Softwareupdates laufen künftig nur noch über Richtlinien mit Declarative Device Management (DDM). Außerdem endet die Unterstützung für Setup Assistant (legacy) bei der automatisierten Registrierung (ADE) mit Benutzeraffinität. Bestehende Profile werden automatisch auf Setup Assistant mit moderner Authentifizierung umgestellt, bereits registrierte Geräte bleiben unberührt.
Was heißt das für Admins? Schaut nach, ob noch alte Update-Richtlinien für Apple-Geräte im Einsatz sind, und baut sie als DDM-Richtlinie neu, bevor eine Lücke entsteht. Bei ADE-Profilen solltet ihr eine Testregistrierung machen, damit die moderne Anmeldung inklusive Conditional Access sauber durchläuft.
06 // Windows 11: Richtlinienbasiertes Entfernen von Inbox-Apps jetzt auch in Multi-Session-Umgebungen
Quelle: Microsoft 365 Message Center (MC1530443) | Datum: 2026-10-29
Die Richtlinie „Remove default Microsoft Store packages from the system“ funktioniert jetzt auch in Multi-Session-Umgebungen. Sie gilt für Windows 11 Enterprise und Education ab Version 24H2 und entfernt vorinstallierte Store-Apps sowie andere MSIX/APPX-Pakete. Seit April 2026 gibt es dafür bereits eine dynamische Liste der entfernbaren Apps.
Was heißt das für Admins? Wer Azure Virtual Desktop oder andere Multi-Session-Hosts betreibt, kann Bloatware jetzt per Intune oder Gruppenrichtlinie entfernen, statt eigene Skripte im Image zu pflegen. Testet die Richtlinie zuerst auf einem Host-Pool, damit keine App verschwindet, die eure Nutzer noch brauchen.
07 // Defender XDR: Advanced-Hunting-APIs laufen aus, neue Tabelle für Teams-Anrufe
Quelle: Microsoft 365 Message Center (MC1220762, aktualisiert; MC1532241) | Datum: 2026-10-26 / 2026-10-30
Microsoft hat die Ankündigung erneuert: Die Advanced-Hunting-APIs von Defender for Endpoint und Defender XDR funktionieren nach dem 1. Februar 2027 nicht mehr. Bis zum 31. Januar 2027 müssen Skripte und Integrationen auf die Microsoft Graph Security API umgestellt sein, eine automatische Migration gibt es nicht. Neu angekündigt ist außerdem die Tabelle CallActivityEvents, mit der Teams mit Defender for Office 365 Plan 2 ab November verdächtige Teams-Anrufe und Besprechungen im Advanced Hunting untersuchen können.
Was heißt das für Admins? Sucht in euren PowerShell-Skripten, Logic Apps und SIEM-Anbindungen nach den alten API-Endpunkten und plant die Umstellung jetzt, nicht im Januar. Die Abfragen selbst bleiben KQL, aber Endpunkte, Berechtigungen und Antwortformat ändern sich. Die neue Teams-Tabelle ist ein guter Anlass, Hunting-Regeln für Vishing über Teams anzulegen.
Originalquelle lesen | CallActivityEvents
08 // Copilot Studio: Kostensteuerung wandert ins Microsoft 365 Admin Center
Quelle: Microsoft 365 Message Center (MC1530368) | Datum: 2026-10-29
Die Kostensteuerung für Copilot Studio wird in die Kostenverwaltung im Microsoft 365 Admin Center erweitert und soll bis zum 20. November 2026 allgemein verfügbar sein. Admins steuern dort zentral die Ausgaben für Copilot Credits über die unterstützten nutzungsbasierten KI-Workloads. Die übrige Verwaltung von Copilot Studio bleibt im Power Platform Admin Center.
Was heißt das für Admins? Bevor ihr eine Umgebung in die neue Kostenverwaltung verschiebt, solltet ihr eure Copilot-Studio-Umgebungen, Agents und Credit-Kontingente durchgehen. Legt fest, wer Ausgaberichtlinien anlegen darf, und prüft, welche internen Berichte und Dashboards sich durch den Umzug ändern.
Admin-Fazit: Diese Woche geht es vor allem um Planung. Für den Patchday im November die Neustarts der Server-2022-Hotpatch-Systeme einplanen und den neuen Intune-Push-Endpunkt freigeben. Danach die MFA-Doku an Windows Hello und Platform SSO anpassen, alte Apple-Update-Richtlinien durch DDM ersetzen und die Migration auf die Graph Security API vor Januar erledigen.