Windows 11: KB5127648 blockiert Einschalten von Smart App Control

Microsoft hat das Oktober-Sicherheitsupdate KB5127648 für Windows 11 um ein neues bekanntes Problem ergänzt: Nach der Installation lässt sich Smart App Control auf manchen Geräten nicht mehr einschalten, wenn die Funktion zuvor deaktiviert war. Der Schalter in der App „Windows-Sicherheit“ erscheint ausgegraut. Geräte, auf denen Smart App Control bereits aktiv ist, sind laut Microsoft nicht betroffen und bleiben geschützt.

Relevant ist das für Windows 11 24H2, 25H2 und 26H2, also die Zweige, für die KB5127648 am 13. Oktober 2026 erschienen ist. Praktisch betrifft es vor allem kleine Umgebungen und nicht zentral verwaltete Rechner, die Smart App Control als Schutz vor unbekannter Software einschalten wollen. Eine Sicherheitslücke ist das nicht, das Update sollte deshalb nicht zurückgehalten werden. Wer Smart App Control gezielt aktivieren will, braucht bis zum Fix einen der beiden Workarounds.

Was ist passiert?

KB5127648 hebt Windows 11 auf die Builds 26300.9711 (26H2), 26200.9711 (25H2) und 26100.9711 (24H2). Im Abschnitt „Known issues“ des Support-Artikels, der laut Seitenmetadaten am 16. Oktober aktualisiert wurde, beschreibt Microsoft das Smart-App-Control-Problem samt Übergangslösung. BleepingComputer berichtete am selben Tag. Einen endgültigen Fix gibt es noch nicht, Microsoft kündigt ihn für ein kommendes Update an.

Smart App Control ist eine Funktion von Windows 11, die Microsofts App-Intelligenz in der Cloud mit den Codeintegritätsfunktionen von Windows kombiniert. Programme laufen nur, wenn der Clouddienst sie als sicher einstuft oder wenn sie mit einem Zertifikat einer vertrauenswürdigen Zertifizierungsstelle signiert sind. Schadsoftware, potenziell unerwünschte Programme und unbekannter, unsignierter Code werden blockiert. Die Funktion arbeitet zusätzlich zu Microsoft Defender oder anderen Virenscannern.

Wer betroffen ist und wer nicht

• Betroffen: Geräte mit Windows 11 24H2, 25H2 oder 26H2 und installiertem KB5127648, auf denen Smart App Control ausgeschaltet ist und nun wieder eingeschaltet werden soll.
• Nicht betroffen: Geräte, auf denen Smart App Control bereits aktiv ist. Laut Microsoft bleiben sie geschützt.
• Nicht betroffen: Windows 10, denn Smart App Control gibt es laut Microsoft nur unter Windows 11, sowie Windows-11-Zweige, für die KB5127648 nicht gilt.
• In der Regel kaum relevant: zentral verwaltete Unternehmensgeräte. Microsoft nennt Unternehmensverwaltung selbst als einen der Gründe, warum Smart App Control ausgeschaltet ist. Dort übernimmt üblicherweise App Control for Business die Anwendungskontrolle.

Der Fehler betrifft also vor allem Einzelplätze und kleine Büros ohne zentrale Verwaltung, in denen Smart App Control eine einfache Form der Anwendungskontrolle darstellt. Lange ließ sich die Funktion nach dem Ausschalten nur über eine Neuinstallation zurückholen. Erst neuere Updates erlauben das Wiedereinschalten in der App „Windows-Sicherheit“, und genau dieser Weg ist jetzt gestört.

Wie kritisch ist das?

Das Problem ist ein Funktionsfehler, keine ausnutzbare Schwachstelle. Es öffnet Angreifern keinen neuen Weg, verhindert aber, dass eine zusätzliche Schutzschicht aktiviert wird. Für Geräte, die gerade auf Smart App Control umgestellt werden sollen, bleibt die Lücke im Schutz bestehen, bis einer der Workarounds angewendet ist. Wartungsfenster und Patchplanung müssen deshalb nicht umgestellt werden. KB5127648 enthält die Oktober-Sicherheitskorrekturen und sollte unabhängig davon verteilt werden.

Gesichert ist die Beschreibung durch Microsofts eigenes Known-Issue-Dokument. Offen ist, wie viele Geräte betroffen sind, denn Microsoft spricht von „some devices“ und nennt keine weiteren Bedingungen. Ebenfalls offen ist der Termin für den endgültigen Fix.

Die beiden Workarounds

Microsoft beschreibt zwei Wege. Für Einzelgeräte genügt ein Eingriff in die Registrierung, der eine Sicherung der Registry voraussetzt. In einer Eingabeaufforderung mit Administratorrechten werden zwei Werte gesetzt, danach ist ein Neustart nötig:

reg add "HKLM\SYSTEM\CurrentControlSet\Policies\Microsoft\FeatureManagement\Overrides" /v 2883193997 /t REG_DWORD /d 1 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Policies\Microsoft\FeatureManagement\Overrides" /v 2850574478 /t REG_DWORD /d 1 /f

Für verwaltete Umgebungen stellt Microsoft zwei spezielle Gruppenrichtlinienpakete bereit: „KB5074105 261015_19222 Feature Preview“ und „KB5074105 261015_19221 Feature Preview“. Beide müssen installiert werden. Die erste Richtlinie ermöglicht das Einschalten von Smart App Control, die zweite sorgt dafür, dass Protokollierung für die Fehlersuche verfügbar ist. Die Richtlinien liegen anschließend unter Computerkonfiguration, Administrative Vorlagen, beim jeweiligen Richtliniennamen, und werden auf „Aktiviert“ gesetzt. Ein Neustart wendet sie an.

Was Admins jetzt tun sollten

• Bestand prüfen: Welche Windows-11-Geräte haben KB5127648 installiert, und wo soll Smart App Control künftig aktiv sein? Der Status steht unter Windows-Sicherheit, App- und Browsersteuerung.
• Geräte mit bereits aktivem Smart App Control unverändert lassen. Dort ist kein Eingriff nötig.
• Für einzelne Rechner den Registry-Workaround nutzen, vorher die Registrierung sichern und den Neustart einplanen.
• In Umgebungen mit Gruppenrichtlinien die beiden Richtlinienpakete testen, statt Registry-Werte per Skript zu verteilen. So bleibt die Änderung dokumentiert und rückgängig zu machen.
• KB5127648 trotz des Fehlers weiter verteilen. Die enthaltenen Sicherheitskorrekturen wiegen schwerer als der Bedienfehler.
• Die Workarounds nach dem angekündigten Fix wieder entfernen, sobald Microsoft das Problem im Known-Issue-Dokument als gelöst markiert.

Passende Anleitungen auf S-EDV

• Windows 11 Oktober-Update KB5127648: VPN- und Explorer-Fehler behoben
• Gruppenrichtlinien in der Praxis: Grundlagen für Admins
• Windows 11 aktiviert Speicherintegrität standardmäßig

Quellen

• Microsoft Support: KB5127648 (OS Builds 26300.9711, 26200.9711 und 26100.9711), bekannte Probleme, Stand 16.10.2026
• BleepingComputer: Microsoft: October Windows update may break Smart App Control (16.10.2026)
• Microsoft Support: Smart App Control Frequently Asked Questions
• Microsoft Learn: Smart App Control overview