Mobile-Menu

WPP schließt eine jahrzehntealte Drucker-Sicherheitslücke IT-Teams sollten Windows Protected Print jetzt aktiv einplanen

Ein Gastbeitrag von Henning Volkmer 5 min Lesedauer

Anbieter zum Thema

ThinPrint GmbH
cidaas by Widas ID GmbH

Der klassische Windows-Print-Stack ist über Jahrzehnte gewachsen, mit Treibern und Berechtigungen, die längst zur Angriffsfläche wurden. Print­Nightmare zeigte 2021, wie weit das reichen kann. Microsofts Windows Protected Print (WPP) setzt deshalb an der Architektur selbst an, statt nur einzelne Treiber nachzubessern. Für IT-Teams wird die Einführung damit zur dringenden Aufgabe.

Jahrzehntealte Druckertreiber gelten als unterschätztes Sicherheitsrisiko in Unternehmensnetzwerken. Windows Protected Print ersetzt sie durch einen einzigen, von Microsoft kontrollierten Treiberpfad.(Bild: © H_Ko - stock.adobe.com)
Jahrzehntealte Druckertreiber gelten als unterschätztes Sicherheitsrisiko in Unternehmensnetzwerken. Windows Protected Print ersetzt sie durch einen einzigen, von Microsoft kontrollierten Treiberpfad.
(Bild: © H_Ko - stock.adobe.com)

Drucken gehört zu den Bereichen, die in vielen IT-Organisationen selten wirklich grundsätzlich hinterfragt werden. Solange die Ausgabe am Gerät funktioniert, bleibt die Infrastruktur im Hintergrund. Doch genau diese Unsichtbarkeit ist riskant. Der Windows-Print-Stack verbindet seit Jahrzehnten Spooler, Treibermodelle, Herstellerlogiken und Berechtigungen. Daraus ist eine Umgebung entstanden, die schon allein aus Sicherheitsgründen mehr Aufmerksamkeit verdient.

Das seit langem verfügbare, aber bis jetzt selten beachtete Windows Protected Print, kurz WPP, ist deshalb kein kosmetisches Update. Als eine Art Sicherheits-Policy zwingt WPP das Drucksystem, ausschließlich den Microsoft IPP Class-Treiber zu verwenden und verbannt klassische Druckertreiber vom System. Für IT-Teams heißt das, dem Drucken etwas Aufmerksamkeit zu schenken, damit alle Abläufe wie gewohnt funktionieren. Im Gegenzug wird eine massive Sicherheitslücke geschlossen.

Bildergalerie

Was PrintNightmare offengelegt hat

Der Wendepunkt kam 2021. Bei PrintNightmare (CVE-2021-34527) reichte ein authentifizierter Domänenbenutzer mit minimalen Rechten, um über eine Spooler-Funktion zum Hinzufügen von Druckertreibern fremden Code einzuschleusen. Der Spooler konnte eine manipulierte DLL laden und im Systemkontext ausführen. Damit lag das Problem nicht nur bei einzelnen schlecht gepflegten Druckern, sondern in einer zentralen Windows-Komponente.

Microsoft reagierte mit mehreren Notfall-Patches und Point-and-Print-Hardening. Seither benötigen viele Druckerinstallationen administrative Rechte. Das reduzierte das Risiko, änderte aber nichts an der grundlegenden Schwachstelle. Solange herstellerspezifischer Code im sensiblen Print Stack ausgeführt wird, bleibt die Architektur schwer beherrschbar.

Der Kern von WPP ist einfach. In einer aktivierten WPP-Umgebung darf nur noch der Microsoft IPP Class Driver genutzt werden. V3- und V4-Treiber werden ausgesperrt. Point and Print installiert keine Drittanbieter-Treiber mehr. Der alte Angriffsweg, bei dem der Spooler fremde DLLs im Systemkontext laden konnte, verschwindet damit aus der Druckarchitektur.

IPP und Mopria als neue Grundlage

Die technische Basis ist IPP, das Internet Printing Protocol. IPP definiert, wie Client und Drucker miteinander kommunizieren, wie Geräte gefunden werden, welche Fähigkeiten ein Drucker meldet und wie Druckaufträge übertragen werden. Darauf bauen auch verschiedene andere moderne Druckansätze auf, wie etwa AirPrint im Apple-Ökosystem oder IPP Everywhere in ChromeOS und Linux.

Für Windows spielt Mopria eine besondere Rolle. Die Mopria Print Specification wurde zusammen mit Druckerherstellern entwickelt und setzt auf Laborzertifizierung. Microsoft nutzt diese Spezifikation als Grundlage für den IPP Class Driver. Windows Protected Print (WPP) liegt darüber wie eine Sicherheitsrichtlinie. Es erzwingt, dass nur dieser eine von Microsoft bereitgestellte Treiberpfad verwendet wird.

Für Anwenderinnen und Anwender soll der Ablauf vertraut bleiben. Sie wählen weiterhin „Drucken“. Windows erkennt den Drucker, fragt seine Fähigkeiten ab, rendert den Auftrag und überträgt ihn, idealerweise verschlüsselt, an das Gerät. Der wichtige Unterschied passiert im Hintergrund. Es läuft kein herstellerspezifischer Rendering-Code mehr im Print Stack.

Warum der Wechsel nicht nur technisch ist

WPP lässt sich technisch leicht aktivieren, etwa über die Windows-Oberfläche, Gruppenrichtlinien, Intune oder andere Management-Werkzeuge. Was Arbeit macht: Viele Unternehmen haben über Jahre Drucker, Printserver, Spezialgeräte und Workarounds aufgebaut. Nicht alles passt sofort in eine WPP-Welt.

Der Wandel erfolgt schrittweise. WPP ist weiterhin optional. Für Windows 11 werden keine neuen V3- oder V4-Druckertreiber mehr über Windows Update bereitgestellt, bestehende Treiber erhalten keine funktionalen Updates mehr. Windows Ready Print – so das neue Schlagwort – bevorzugt seit Juli 2026 bei Neuinstallationen von Druckern automatisch den IPP Class Driver, sofern der Drucker ihn unterstützt. Langfristig soll dieser IPP-Treiber der einzig verwendbare Weg werden.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Gerade deshalb sollten IT-Teams nicht warten, bis ein harter Termin Druck erzeugt. Wer jetzt prüft, welche Drucker Mopria-fähig sind, welche Anwendungen drucken und welche Sonderfunktionen benötigt werden, kann die Migration gezielt planen. Wer erst reagiert, wenn alte Treiber endgültig auslaufen, muss unter Zeitdruck handeln.

In Unternehmensumgebungen geht es außerdem nicht nur darum, ob ein Drucker gefunden wird. Nicht alle Geräte sollen alle Drucker sehen, Netzwerksegmente müssen getrennt bleiben, und Drucker verarbeiten oft sensible Daten. Printserver können deshalb weiterhin relevant sein, nicht mehr primär als Treiberverteiler, sondern als Steuerungs- und Kontrollpunkt für Druckerzuordnung, Vorgaben, Segmentierung und Logging.

Wo Grenzen und Sonderfälle liegen

Wie jede neue Architektur bringt auch WPP-Einschränkungen mit. Secure Pull Printing gehört nicht nativ zu WPP oder IPP. Wer Druckaufträge erst nach Authentifizierung am Gerät ausgeben will, braucht dafür weiterhin eine passende Lösung. Auch Etikettendrucker, Plotter, Spezialgeräte oder VDI-Szenarien können zusätzliche Anforderungen stellen.

Wird WPP aktiviert, verschwinden außerdem virtuelle Drucker wie OneNote, PDF Creator oder XPS Writer. Microsoft Print to PDF bleibt erhalten, weil es in Windows integriert ist. Für gerätespezifische Funktionen setzt Microsoft auf Print Support Apps. Diese Apps erweitern den IPP Class Driver und laufen in einer Sandbox. So sollen Funktionen wie Heften, Sortieren oder besondere Geräteeinstellungen nutzbar bleiben, ohne Hersteller-Code wieder direkt in den Print Stack zu bringen.

WPP als Chance für einen Reset

IT-Abteilungen sollte klar sein: Windows Protected Print ist ein wichtiges und dringendes Sicherheitsprojekt. Es ist aber auch eine Gelegenheit, die Druckumgebung neu zu bewerten. Wer druckt was, aus welchen Systemen wird gedruckt? Welche Standorte haben besondere Anforderungen und welche Drucker wirklich gebraucht werden.

Zur Bestandsaufnahme gehören: Nutzergruppen, Anwendungen, Druckertypen, Standorte und Sonderfälle. Danach lässt sich entscheiden, wo WPP sofort aktiviert werden kann, wo Tests nötig sind, wo Übergangslösungen gebraucht werden. Dazu gehören auch einfache Sofortmaßnahmen. Standardpasswörter auf Druckern ändern, ungenutzte Druckprotokolle deaktivieren und Drucker in eigene Netzwerksegmente verschieben.

Für Organisationen, die bestehende Hardware weiter nutzen müssen, können cloudbasierte Druckplattformen eine Brücke bilden, sofern sie tatsächlich in der Cloud rendern. n Will man Geräte, die nicht Mopria-zertifiziert sind, weiter nutzen, hilft eine Lösung, die WPP nativ nutzt und Druckaufträge in der Cloud rendert. Dadurch lassen sich auch nicht Mopria-zertifizierte Drucker, Secure Pull Printing, Etikettendruck, ERP-Druck, Gastdruck oder VDI-Szenarien abbilden, ohne dass Treiber auf Endgeräten oder Session Hosts installiert werden müssen.

Jetzt planen statt später reagieren

Drucken wird nicht verschwinden, nur weil es alt wirkt. In vielen Organisationen bleibt es Teil kritischer Prozesse, vom Etikettendruck bis zum vertraulichen Vertragsdokument. WPP gibt IT-Teams die Chance, eine historisch gewachsene Angriffsfläche zu reduzieren und gleichzeitig eine modernere Druckarchitektur aufzubauen.

Der beste Einstieg ist ein kontrollierter Plan. Bestand aufnehmen, Risiken reduzieren, Mopria-Fähigkeit prüfen, Sonderfälle identifizieren und WPP dort pilotieren, wo die Voraussetzungen gut sind. So wird aus einem Sicherheitsthema ein Modernisierungsprojekt, das Druck einfacher, kontrollierter und zukunftsfähiger macht.

Über den Autor: Henning Volkmer, Chief Evangelist von ThinPrints Cloudprinting-Lösung ezeep, beschäftigt sich seit mehr als 20 Jahren mit Druckinfrastrukturen in Unternehmen. In seiner Arbeit verbindet er strategische Geschäftsperspektive mit technischem Praxiswissen aus Enterprise-IT, Mittelstand und Managed-Services-Umgebungen. Sein Schwerpunkt liegt auf sicherem, zuverlässigem und einfach administrierbarem Drucken.

(ID:50920427)

Weiterführende Inhalte