Windows 11 aktiviert Memory Integrity ab Oktober 2026 standardmäßig
Ab Oktober 2026 aktiviert Windows 11 Memory Integrity (HVCI) auf mehr geeigneten Geräten automatisch, sofern Hardware, Treiber und Firmware die Mindestanforderungen erfüllen und keine Richtlinie widerspricht. Admins sollten Treiberkompatibilität und Hardware vorab prüfen, um Ausfälle zu vermeiden.
Ein Administrator rollt ein neues Notebook mit Intel-Core-Prozessor der 12. Generation aus, ein anderer betreibt eine Fertigungsanwendung mit einem alten, unsignierten Kerneltreiber, ein dritter verwaltet ausschließlich Secured-core-Server im Rechenzentrum. Alle drei Situationen treffen ab Oktober 2026 auf dieselbe Windows-11-Änderung, aber mit unterschiedlichen Konsequenzen. Microsoft aktiviert Memory Integrity, also den auf dem Windows-Hypervisor basierenden Kernel-Schutz HVCI, dann auf deutlich mehr Geräten automatisch als bisher, sofern Richtlinien das nicht verhindern.
Für viele Umgebungen ändert sich praktisch nichts, weil Memory Integrity dort schon heute per Secured-core-Vorgabe oder Neuinstallation aktiv ist. Für andere kann die automatische Aktivierung genau die Treiberkonflikte auf den Plan rufen, die HVCI seit Jahren begleiten. Wer jetzt nicht prüft, welche Geräte betroffen sind, riskiert nach dem nächsten Rollout überraschte Nutzer und blockierte Anwendungen.
Was ist passiert?
Laut Microsofts Dokumentation zur Memory-Integrity-Aktivierung wird der Schutzmechanismus ab Oktober 2026 auf einem breiteren Kreis geeigneter Geräte standardmäßig eingeschaltet. Memory Integrity ist die konsumentenfreundliche Bezeichnung für Hypervisor-Protected Code Integrity, kurz HVCI, ein Baustein der Virtualization Based Security (VBS). Der Windows-Hypervisor isoliert dabei die Codeintegritätsprüfung in einem eigenen, vom restlichen Betriebssystem abgeschotteten Speicherbereich. Kernelmodule, insbesondere Treiber, müssen dadurch signiert und prüfbar sein, bevor sie geladen werden. Ein kompromittierter Treiber oder manipulierter Kernelcode kann diese isolierte Prüfung nicht mehr umgehen, selbst wenn der Angreifer bereits Kernelrechte erlangt hat.
Neu ist nicht der Mechanismus selbst, den es seit Windows 10 gibt, sondern der Umfang der automatischen Aktivierung. Schon heute ist Memory Integrity bei Neuinstallationen von Windows 11 sowie auf allen Secured-core-PCs standardmäßig aktiv. Ab Oktober 2026 gilt die automatische Aktivierung für eine erweiterte Menge an Geräten, die die von Microsoft definierten Mindestanforderungen an Hardware und Treiber erfüllen, unabhängig davon, ob es sich um eine Neuinstallation handelt. Die winfuture.de-Meldung vom 1. September 2026 fasste die Änderung unter dem Titel "Windows 11 zieht im Oktober 2026 die Kernel-Schutzschraube an" zusammen, Neowin ordnete die Änderung als stärkeren Kernel-Schutz per Voreinstellung ein.
Für wen ist das relevant?
Betroffen sind alle Windows-11-Geräte, die die von Microsoft genannten Mindestanforderungen erfüllen und bei denen bislang keine Richtlinie oder Gruppenrichtlinie Memory Integrity explizit deaktiviert hat. Nicht betroffen sind Geräte, die die Hardwareschwelle nicht erreichen, etwa ältere Intel-Prozessoren vor der 8. Generation, sowie Umgebungen, in denen IT-Abteilungen die Funktion bereits per Richtlinie ausdrücklich unterbinden. Auch reine Windows-10-Systeme sind von der Oktober-2026-Änderung nicht direkt betroffen, da sie außerhalb des S-Mode nicht automatisch aktiviert werden.
Welche Hardware qualifiziert für die automatische Aktivierung?
Microsoft listet in der Dokumentation klare Mindestanforderungen an Prozessor, Arbeitsspeicher, Speicherplatz und Firmware. Die folgende Tabelle fasst die Kernwerte zusammen.
| Komponente | Mindestanforderung |
|---|---|
| Intel-Prozessor | 8. Generation oder neuer, ab Windows 11 Version 22H2 (bei Version 21H2 nur 11. Generation und neuer) |
| AMD-Prozessor | Zen-2-Architektur und neuer |
| Qualcomm-Prozessor | Snapdragon 8180 und neuer |
| Architektur | x64 mit mindestens 8 GB Arbeitsspeicher |
| Speicher | Mindestens 64 GB SSD-Speicherplatz |
| Treiber | Vollständig kompatible, signierte Treiber ohne bekannte HVCI-Konflikte |
| Firmware | Im BIOS beziehungsweise UEFI aktivierte Hardware-Virtualisierung |
Fehlt eines dieser Kriterien, bleibt Memory Integrity auf dem betreffenden Gerät ausgeschaltet oder muss manuell aktiviert werden. Damit ist die Änderung klar an Hardware- und Treiberqualität gekoppelt, nicht an ein pauschales Rollout für alle Windows-11-Geräte.
Wie kritisch ist das?
Es handelt sich nicht um eine Sicherheitslücke oder einen aktiven Vorfall, sondern um eine Verschärfung einer bestehenden Schutzfunktion per Standardeinstellung. Für Sicherheitsniveau und Angriffsfläche ist die Änderung ausschließlich positiv, weil Rootkits und kernelbasierte Malware durch die Codeintegritätsprüfung im Hypervisor deutlich erschwert werden. Das operative Risiko liegt an anderer Stelle: Memory Integrity ist historisch für Kompatibilitätsprobleme mit älteren, unsignierten oder schlecht gewarteten Kernel-Treibern bekannt, etwa bei Sicherheitssoftware, Kopierschutzsystemen, VPN-Clients oder spezialisierter Industriehardware. Wird die Funktion automatisch aktiviert, ohne dass vorher ein Treiberinventar gepflegt wurde, kann das zu Bluescreens, fehlerhaften Gerätetreibern oder blockierten Anwendungen führen.
Für Unternehmen mit aktueller, gut gepflegter Treiberlandschaft ist das Risiko gering. Für Umgebungen mit langlebiger Spezialhardware, älteren Fertigungssteuerungen oder selten aktualisierten Treibern ist eine Prüfung vor Oktober 2026 sinnvoll, um Ausfälle zu vermeiden.
Was sollten Admins jetzt tun?
- Zunächst prüfen, welche Geräte im eigenen Bestand die genannten Mindestanforderungen an Prozessor, Arbeitsspeicher, Speicherplatz und Firmware erfüllen und damit für die automatische Aktivierung infrage kommen.
- Den aktuellen Memory-Integrity-Status auf repräsentativen Geräten prüfen, etwa über die Windows-Sicherheit-App unter Gerätesicherheit und Kernisolierung.
- Ein Treiberinventar erstellen und besonders alte, unsignierte oder herstellerseitig nicht mehr gepflegte Kernel-Treiber identifizieren, bevor sie durch HVCI blockiert werden.
- Sicherheitssoftware, VPN-Clients und Industrietreiber gezielt auf HVCI-Kompatibilität beim jeweiligen Hersteller prüfen.
- Bei kritischen Altsystemen mit inkompatiblen Treibern rechtzeitig per Gruppenrichtlinie oder Mobile Device Management festlegen, ob Memory Integrity bewusst deaktiviert bleiben soll.
- Testrollouts auf einer kleinen Gerätegruppe durchführen, bevor die automatische Aktivierung flächendeckend im Unternehmen wirksam wird.
- Dokumentieren, welche Geräte bewusst ausgenommen wurden und warum, um spätere Audits und Sicherheitsbewertungen nachvollziehbar zu halten.
- Notfallpläne für den Fall vorbereiten, dass ein kritischer Treiber nach der Aktivierung Probleme verursacht, inklusive schnellem Rollback-Weg über die Sicherheitsrichtlinien.
- Prüfen, ob vorhandene BIOS- beziehungsweise UEFI-Einstellungen die Hardware-Virtualisierung bereits aktiviert haben, da sonst auch qualifizierte Hardware nicht automatisch aktiviert wird.
- Nutzer über mögliche kurzzeitige Leistungsänderungen informieren, da Codeintegritätsprüfungen im Hypervisor je nach Workload einen geringen Overhead verursachen können.
Einordnung für Unternehmen
Für kleine und mittlere Unternehmen ohne dediziertes Sicherheitsteam ist die Änderung grundsätzlich eine gute Nachricht, weil ein zusätzlicher Schutzmechanismus ohne zusätzliche Lizenzkosten oder Konfigurationsaufwand aktiv wird. Die IT-Abteilung behält dabei vollständige Kontrolle: Memory Integrity lässt sich weiterhin per Gruppenrichtlinie, Intune oder anderen MDM-Lösungen gezielt steuern, deaktivieren oder erzwingen. Wichtig ist, die Aktivierung nicht überraschend geschehen zu lassen, sondern aktiv zu planen, insbesondere wenn im Unternehmen ältere Fachanwendungen mit exotischen Treibern im Einsatz sind.
Wer ohnehin gerade eine Migration von Windows 10 auf Windows 11 plant, sollte die Hardwareanforderungen für Memory Integrity direkt in die Beschaffungs- und Migrationsplanung einbeziehen. Neue Geräte profitieren automatisch, während Bestandsgeräte gezielt gegen die Tabelle oben geprüft werden sollten.
Passende Anleitungen auf S-EDV
- Windows 10 EOL: Migration auf Windows 11 für KMU, ESU und alte Hardware - relevant für Unternehmen, die im Zuge der Migration gleich die Hardwareanforderungen für Memory Integrity mitplanen wollen.
- WMIC verschwindet aus Windows 11: So migrieren Admins ihre Skripte - zeigt weitere Windows-11-Umstellungen, die Admins parallel zur Kernel-Schutzänderung einplanen sollten.
- BTR Reforged: Defender-Treiber btr.sys für Kernel-Missbrauch - zeigt, warum signierte, geprüfte Kernel-Treiber und Schutzmechanismen wie HVCI gerade für Endpoint-Sicherheit wichtig sind.
