Mobile-Menu

Zero Trust, Verschlüsselung und Telemetrie Das sind die neuen Funktionen für Windows Server 2025 in 2026

Von Thomas Joos 6 min Lesedauer

Windows Server 2025 erhält im Jahr 2026 Erweiterungen in Kernel-nahen Pfaden für Storage, in der Tooling-Schicht für Hyper-V-Verwaltung und in der Plattform für lokale KI. Viele Funktionen laufen zuerst über Insider Builds und bleiben im Testkanal. Parallel entstehen opt-in Funktionen in der freigegebenen Version, die nach kumulativen Paketen aktivierbar sind.

Windows Server 2025 erhält 2026 neue Funktionen wie Zero Trust, Verschlüsselung und Telemetrie, einschließlich Erweiterungen für Storage, Hyper-V-Verwaltung und lokale KI, die zunächst über Insider Builds getestet werden und eine verbesserte Sicherheit sowie neue Netzwerk- und Zugriffssteuerungen bieten.(Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert)
Windows Server 2025 erhält 2026 neue Funktionen wie Zero Trust, Verschlüsselung und Telemetrie, einschließlich Erweiterungen für Storage, Hyper-V-Verwaltung und lokale KI, die zunächst über Insider Builds getestet werden und eine verbesserte Sicherheit sowie neue Netzwerk- und Zugriffssteuerungen bieten.
(Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert)

Am 1. November 2024 wurde Windows Server 2025 veröffentlicht. In diesem Jahr bringt Micro­soft zahlreiche neue Funktionen. Der Insider-Zweig liefert neue Funktionen in kurzen Ab­stän­den und aktiviert sie im Preview-Umfeld. Flighting bringt Insider Builds direkt über Windows Update in der Settings-App auf Systeme mit Desktop Experience. Diese Verteilung ergänzt ISO-Installationen und reduziert den Aufwand, da In-Place-Upgrades zwischen Build-Ständen ohne manuelles Mounten von Medien ablaufen. Die Kontrolle über Installation und Timing verbleibt bei Administratoren, automatische Installation setzt eine explizite Konfiguration voraus. Insider Builds dienen Tests, Validierung von Upgrade-Pfaden, Treiber-Interoperabilität und Feedback. Produktiver Einsatz bleibt ausgeschlossen, weil Funktionsumfang, UI-Elemente und Schnitt­stel­len zwischen Builds schwanken und Fehler in Setup, OOBE oder Nebenkomponenten auf­tre­ten können. Dazu kommen Neuerungen in Windows 11, die zusammen mit Windows Server 2025 mehr Sicherheit ermöglichen. Auch darauf gehen wir in diesem Beitrag ein.

Bildergalerie
Bildergalerie mit 5 Bildern

Zero Trust DNS als Netzwerkdurchsetzung auf Systemebene

Ein zentraler Baustein der sicherheitsorientierten Weiterentwicklung in Microsoft-Netzwerken ist Zero Trust DNS. Der Mechanismus erweitert den Windows-DNS-Client um eine Durch­setz­ungs­logik, die ausgehenden Netzwerkverkehr konsequent an eine vertrauenswürdige Namens­auflösung bindet. Der gesamte ausgehende IPv4- und IPv6-Datenverkehr bleibt standardmäßig blockiert. Eine Freigabe erfolgt ausschließlich für IP-Adressen, die durch einen explizit zuge­las­sen­en Protective DNS-Server aufgelöst wurden oder durch administrativ definierte Ausnahmen gedeckt sind. Direkte IP-Verbindungen ohne vorherige Namens­auflösung bleiben damit unte­rbun­den.

Die technische Umsetzung integriert den DNS-Client in die Windows Filtering Platform und verschiebt die Durchsetzung von Netzwerkzugriffen direkt auf das Betriebssystem. Zero Trust DNS erzwingt ver­schlüsselte Namensauflösung über DNS over HTTPS oder DNS over TLS und akzeptiert ausschließlich Antworten der konfigurierten Resolver. Die Lösung verzichtet bewusst auf Paketinspektion, Klartext-DNS oder SNI-Auswertung und bleibt auch bei vollständig ver­schlüsseltem Transport wirksam. Der Ansatz folgt einem Default-Deny-Modell und erlaubt Verbindungen nur zeitlich begrenzt auf Basis gültiger DNS-Antworten.

Aus sicherheitstechnischer Sicht reduziert dieser Mechanismus mehrere Angriffsklassen gleich­zeitig. DNS-Hijacking über manipulierte Resolver verliert seine Wirkung, da nur ge­neh­migte Server akzeptiert werden. Schadsoftware kann keine Command-and-Control-Infra­struk­tur erreichen, wenn deren Zieladressen nicht über den Protective DNS freigegeben sind. Daten­exfiltration über verschlüsselte Kanäle bleibt blockiert, sofern keine legitime Namensauflösung existiert. Gleichzeitig entsteht ein vollständiges Protokoll aller Verbindungs­ver­suche, das sich für Analyse und Fehlerdiagnose nutzen lässt.

Der restriktive Charakter von Zero Trust DNS bringt operative Auswirkungen mit sich. Alter­native Namensauflösungen über mDNS, LLMNR, NetBIOS oder UPnP funktionieren nicht mehr. WebRTC-basierte Anwendungen, Peer-to-Peer-Mechanismen wie Delivery Optimization und Captive Portals erfordern gezielte Ausnahmen oder alternative Architekturen. Für die Ein­führ­ung sieht Microsoft einen Audit-Modus vor, der sichtbar macht, welche Verbindungen im Erzwingungsmodus blockiert wären. Diese Phase dient der Anpassung von Ausnahmen, ersetzt jedoch keine sorgfältige Vorabprüfung der betroffenen Workloads. Hinzu kommt, dass der Windows-Server-DNS-Dienst selbst aktuell keine DoH- oder DoT-Unterstützung bietet und damit nicht als lokaler Protective DNS fungiert, was die Integration in reine On-Premises-Umgebungen erschwert.

Hardwarebeschleunigtes BitLocker und Schlüsselisolation

Neben der Absicherung des Netzwerkpfads erfährt auch die Datenträgerverschlüsselung eine strukturelle Erweiterung. Hardwarebeschleunigtes BitLocker verlagert kryptografische I/O-Operationen von der CPU auf dedizierte Crypto-Engines in SoC oder CPU. Diese Architektur reduziert nicht nur den Rechenaufwand bei hohen I/O-Raten, sondern verringert zugleich die Angriffsfläche, da zentrale Schlüsselmaterialien nicht mehr dauerhaft im CPU-Kontext oder im Arbeitsspeicher verbleiben.

BitLocker nutzt bei kompatibler Hardware standardmäßig XTS-AES-256 und ergänzt das be­stehende TPM-Modell um hardwarebasiertes Key-Wrapping. Volumenschlüssel liegen damit geschützt in der Hardware vor und werden nur in kontrollierten Pfaden verwendet. Die Um­setz­ung hängt von den Fähigkeiten der jeweiligen Plattform ab und setzt unterstützte Algorithmen sowie passende Treiber voraus. Richtlinien über MDM oder GPO können die Nutzung der Hard­warebeschleunigung einschränken, etwa durch nicht unterstützte Algorithmen oder aktivierte FIPS-Vorgaben. Der aktive Verschlüsselungsmodus lässt sich über „manage-bde -status“ prü­fen, wodurch sich Hardware- und Softwarepfade eindeutig unterscheiden lassen.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Die enge Verzahnung von Storage-Stack und Security-Stack zeigt, dass die Verschlüsselung nicht als isolierte Funktion betrachtet wird, sondern als integraler Bestandteil der I/O-Archi­tektur. In Verbindung mit NVMe-basierten Systemen adressiert dieser Ansatz sowohl Leis­tungs- als auch Sicherheitsanforderungen und verschiebt kryptografische Operationen näher an die Hardwaregrenze.

Native Sysmon-Telemetrie im Betriebssystem

Eine weitere sicherheitsrelevante Änderung betrifft die Laufzeitüberwachung und forensische Sichtbarkeit. Sysmon-Funktionalität wird nativ Bestandteil von Windows Server 2025. Die bis­her notwendige manuelle Verteilung, Aktualisierung und Pflege externer Sysmon-Binaries entfällt. Stattdessen liefert das Betriebssystem die bekannten Ereignistypen direkt über den regulären Windows-Update-Zyklus aus und schreibt sie in das Ereignisprotokoll unter „Micro­soft\Windows\Sysmon\Operational“.

Die Funktionalität bleibt konfigurierbar und erlaubt weiterhin den Einsatz granularer Filter­re­geln. Erfasst werden sicherheitskritische Vorgänge wie Prozessstarts, Netzwerkverbindungen, Prozesszugriffe, Datei-Erstellungen, Prozessmanipulationen und WMI-basierte Persistenz. Diese Signale eignen sich für SIEM-Anbindungen, Threat Hunting und forensische Analysen, ohne zusätzliche Agenten installieren zu müssen. Die Integration reduziert operative Risiken durch veraltete Versionen und bringt offiziellen Support für produktionsnahe Szenarien.

Microsoft ordnet die native Sysmon-Integration in die Secure Future Initiative ein und posi­tio­niert sie als Maßnahme zur Reduktion von Komplexität und zur Bereitstellung sicherheits­rele­van­ter Telemetrie ab Werk. Perspektivisch deutet sich eine stärkere Verzahnung mit zentralem Management und KI-gestützter Auswertung an, wodurch Laufzeitdaten direkt auf dem System für Mustererkennung und Korrelation genutzt werden können.

Insider Builds als Sicherheits-Testkanal

Die Sicherheitsfunktionen erscheinen zunächst in Insider Builds. Flighting verteilt diese Versionen direkt über Windows Update auf Systeme mit Desktop Experience und erlaubt In-Place-Upgrades zwischen Build-Ständen. Dieser Mechanismus dient der frühen Validierung von Sicherheitsarchitekturen, Treiberpfaden und Upgrade-Szenarien. Funktionsumfang und Schnittstellen bleiben im Fluss, weshalb Insider Builds ausschließlich Tests und Evaluierung dienen. Produktiver Einsatz bleibt ausgeschlossen, da Fehler in Setup, OOBE oder sicherheits­nahen Komponenten auftreten können.

Netzwerk- und Zugriffskontrollen im Edge-Umfeld

Ergänzend zu Zero Trust DNS erweitern neue Insider Builds Netzwerkfunktionen für Edge-nahe Sze­na­rien. Aktiviertes WLAN und erweiterte Bluetooth-Unterstützung ermöglichen neue Ein­satz­felder, erhöhen aber zugleich die Bedeutung klarer Zugriffskontrollen und Treiber­prüfung. Im Account-Bereich erlaubt die Integration von Microsoft- und Work-Konten zusätzliche Iden­titätsmodelle, ohne klassische Domänenstrukturen zu ersetzen. Diese Kombination ver­deut­licht, dass neue Konnektivitätsoptionen stets mit erhöhter Aufmerksamkeit für Authen­ti­fi­zier­ung und Zugriffsschutz einhergehen.

SMB over QUIC erhält die Möglichkeit, alternative UDP-Ports zu nutzen. Diese Flexibilität er­leich­tert den Betrieb in restriktiven Netzsegmenten und erlaubt eine präzisere Steuerung von Firewall-Regeln. Die Änderung bleibt auf QUIC beschränkt und betrifft damit vor allem Sze­na­rien, in denen verschlüsselter Datei-Zugriff über unsichere Netze erfolgt.

Storage-Architektur mit Sicherheitsimplikationen

Native NVMe verändert den I/O-Pfad grundlegend und entfernt die SCSI-Abstraktion für NVMe-Geräte. Neben Leistungsgewinnen hat diese Änderung auch sicherheitsrelevante Aus­wir­kun­gen, da der I/O-Pfad kürzer und deterministischer ausfällt. Die Aktivierung über Feature-Over­rides erlaubt eine kontrollierte Einführung und erleichtert Tests auf kompatibler Hardware mit StorNVMe.sys. In Kombination mit hardwarebeschleunigtem BitLocker entsteht ein Storage-Subsystem, das hohe Parallelität mit reduzierter Angriffsfläche verbindet.

Lokale KI und isolierte Ausführung

Microsoft Foundry on Windows und Windows ML erweitern die Plattform um lokale KI-Funk­tionen, die auch unter Sicherheitsaspekten relevant sind. Die Ausführung von Inference auf eigener Infrastruktur adressiert Anforderungen an Datenhoheit und regulatorische Vor­gaben. Windows ML erkennt verfügbare CPU- und GPU-Ressourcen und nutzt ONNX Runtime, Foundry Local übernimmt Orchestrierung und Modellverwaltung. GPU-P und Discrete Device Assignment ermöglichen eine isolierte Nutzung von Beschleunigern in virtuellen Maschinen, wodurch Inference-Workloads klar voneinander getrennt bleiben.

(ID:50674371)

Weiterführende Inhalte