Windows 11 26H2 ist verfügbar: Neuerungen, Verteilung und sicherer Rollout

Fachlich geprüft von Robin Roeder, Geschäftsführer der SCREENUS GmbH · zuletzt geprüft am 30.09.2026.

Microsoft hat Windows 11 Version 26H2 am 29. September 2026 allgemein freigegeben. Für geeignete Geräte mit 24H2 oder 25H2 ist der Wechsel kein klassisches großes Betriebssystem-Upgrade: Ein kleines Enablement Package schaltet bereits über monatliche Updates gelieferte Komponenten frei. Unternehmen sollten trotzdem nicht alle PCs gleichzeitig aktualisieren, sondern Anwendungen, Treiber und Arbeitsabläufe in gestuften Ringen prüfen.

Was Microsoft tatsächlich veröffentlicht hat

26H2 ist das reguläre Windows-11-Funktionsupdate für die zweite Jahreshälfte 2026. Es darf nicht mit Windows 11 26H1 verwechselt werden: 26H1 war für ausgewählte neue Hardwareplattformen vorgesehen und wurde nicht als Funktionsupdate für vorhandene Geräte angeboten. 26H2 richtet sich dagegen ausdrücklich auch an geeignete bestehende Geräte mit Windows 11 24H2 oder 25H2.

Microsoft verwendet erneut eine gemeinsame Servicing-Basis. Viele Systemdateien und Funktionen wurden bereits durch monatliche Qualitätsupdates verteilt, blieben aber teilweise inaktiv. Das Enablement Package KB5121794 wirkt wie ein kleiner Freigabeschalter. Dadurch sind Download, Installationszeit und Ausfall üblicherweise geringer als bei einem vollständigen In-Place-Upgrade.

Die wichtigsten Neuerungen für Unternehmen

26H2 bündelt Funktionen, die im Verlauf des vergangenen Jahres über die kontinuierliche Windows-Weiterentwicklung eingeführt wurden. Deshalb werden manche Anwender einzelne Änderungen bereits von aktualisierten 24H2- oder 25H2-Geräten kennen. Der Versionswechsel schafft vor allem einen einheitlichen, unterstützten Stand und aktiviert bestimmte bisher kontrollierte Funktionen standardmäßig.

Administrator Protection

Administrator Protection soll dauerhaft mit Administratorrechten angemeldete Konten besser absichern. Administrative Aufgaben erhalten bei Bedarf zeitlich begrenzte erhöhte Rechte, während der normale Arbeitskontext ohne diese Privilegien läuft. Microsoft nennt Intune und Gruppenrichtlinien als Verwaltungswege. Vor einer Aktivierung müssen Installations-, Support- und Fernwartungsabläufe geprüft werden, weil sie bisher möglicherweise auf ständig erhöhte Rechte vertrauen.

Integriertes Sysmon

Sysmon steht als optionale Windows-Funktion bereit und kann detaillierte Systemereignisse für Erkennung und Forensik erfassen. Es ist nicht automatisch aktiv und erzeugt ohne Konfiguration keine sinnvolle Sicherheitsüberwachung. Besonders wichtig: Das integrierte Sysmon darf laut Microsoft nicht parallel mit einer vorhandenen eigenständigen Sysmon-Installation betrieben werden. Vor dem Einsatz müssen Ereignisfilter, Datenvolumen, zentrale Sammlung und die Auswertung im SIEM oder Monitoring geklärt sein.

Smart App Control und Anwendungskontrolle

Microsoft nennt für 26H2 die Möglichkeit, Smart App Control ohne saubere Neuinstallation ein- oder auszuschalten. In verwalteten Unternehmensumgebungen bleibt jedoch App Control for Business das gezieltere Instrument. Ein pauschales Einschalten ohne Test kann Fachsoftware, Skripte oder unsignierte Hilfsprogramme blockieren. Deshalb gehört die Änderung in denselben Pilot wie das Funktionsupdate selbst.

Standardmäßig aktivierte Bedienungsfunktionen

Windows-Einstellungsbackup, anwendungsspezifische Aktionen aus der Taskleiste und Verbesserungen im Datei-Explorer werden laut Microsoft in 26H2 für mehr Geräte standardmäßig aktiv. Bestehende Administrationsrichtlinien sollen weiterhin berücksichtigt werden. Zusätzlich nennt Microsoft Verbesserungen an Bildschirmlupe, Sprachausgabe, Braille-Unterstützung und Sprachsteuerung. Einzelne sprach- oder KI-gestützte Funktionen setzen passende Region, Sprache oder Copilot+-Hardware voraus.

So wird Windows 11 26H2 derzeit verteilt

Microsoft verteilt 26H2 bewusst nicht gleichzeitig an jedes Gerät. Wer in Windows Update die frühzeitige Bereitstellung neuer Aktualisierungen aktiviert hat, kann das Angebot früher sehen. Kompatibilitätsprobleme können zu einem Safeguard Hold führen. Dann bleibt das Update zurückgehalten, bis Microsoft oder ein beteiligter Hersteller das Problem gelöst hat.

Für Unternehmen ist 26H2 über die üblichen Verwaltungswege verfügbar. Microsoft nennt Windows Autopatch und das Microsoft-365-Admin-Center; dort kann die Anzeige zeitverzögert erfolgen. Intune-Featureupdate-Richtlinien können Geräte auf einer bestimmten Version halten oder gezielt auf 26H2 setzen. Update-Ringe bestimmen zusätzlich Fristen, Neustartverhalten und Benutzererfahrung. In WSUS erscheint das Funktionsupdate als „Windows 11, version 26H2“.

Technische Voraussetzung für das Enablement Package

KB5121794 gilt für unterstützte Ausgaben von Windows 11 24H2 und 25H2. Microsoft nennt als Voraussetzung das Vorschauupdate KB5124010 vom 22. September 2026 mit OS Build 26100.9546 beziehungsweise ein späteres kumulatives Update. Das heißt nicht, dass Unternehmen zwingend ein Vorschauupdate breit ausrollen müssen: Ein späteres reguläres kumulatives Update erfüllt die genannte Voraussetzung ebenfalls.

Geräte auf älteren Windows-Versionen können diesen kurzen Aktivierungspfad nicht verwenden. Für sie ist zunächst ein eigener, vollständiger Upgradepfad einschließlich Hardware-, Treiber- und Anwendungskompatibilität zu planen. Auch Sondereditionen und LTSC-Systeme dürfen nicht allein anhand der Bezeichnung „Windows 11“ in denselben Rollout aufgenommen werden.

Ein sicherer Rollout in sechs Schritten

1. Bestand und Zielgruppe bereinigen. Version, Edition, Build, Hardwaremodell, Verschlüsselung, freier Speicher, Treiberstand und Gerätezweck werden aus dem Inventar geprüft.
2. Wiederherstellung absichern. Aktuelle Datensicherung, BitLocker-Wiederherstellungsschlüssel, lokale Notfallanmeldung und ein getesteter Supportweg müssen vor dem ersten Pilotgerät verfügbar sein.
3. Repräsentativen Pilot auswählen. Der Pilot enthält nicht nur IT-Geräte, sondern typische Fachanwendungen, Drucker, Scanner, VPN, Dockingstationen, Sicherheitssoftware und unterschiedliche Hardwaregenerationen.
4. Geschäftsabläufe testen. Anmeldung, Domänen- beziehungsweise Entra-Verbindung, Fachsoftware, Office, Browser, Dateiablage, Druck, Remotezugriff, EDR und Backup werden nach dem Neustart praktisch geprüft.
5. In Ringen erweitern. Nach einer definierten Beobachtungszeit folgen weitere Gruppen. Kritische Einzelplätze und technisch gebundene Systeme kommen bewusst später.
6. Gesundheit und Ausnahmen überwachen. Installationsstatus, Fehler, Safeguard Holds, Helpdesk-Meldungen und die offizielle Windows Release Health werden während des gesamten Rollouts beobachtet.

Was vor der breiten Freigabe getestet werden sollte

Das Enablement Package ist klein, die aktivierten Verhaltensänderungen können trotzdem relevant sein. Besonders zu prüfen sind Fachanwendungen mit erhöhten Rechten, Anmeldeskripte, Gruppenrichtlinien, VPN- und Netzwerkfilter, Endpoint-Security, Smartcard- oder Zertifikatsanmeldung, Druck- und Scanlösungen, Dockingstationen sowie branchenspezifische USB- oder serielle Geräte.

Wer Sysmon bereits als eigenständiges Werkzeug betreibt, muss die neue integrierte Option gesondert bewerten und darf nicht beide Varianten parallel aktivieren. Wer App Control, WDAC-Regeln oder andere Anwendungskontrollen nutzt, sollte neue Standardfunktionen gegen die vorhandenen Richtlinien prüfen. Auch Windows-Einstellungsbackup kann organisatorische Fragen auslösen, wenn Wiederherstellung und Geräteaustausch bisher anders geregelt sind.

Intune, Autopatch und WSUS sinnvoll einsetzen

In Intune wird die Zielversion über eine Featureupdate-Richtlinie festgelegt. Microsoft unterscheidet zwischen verpflichtender und – bei entsprechender Autopatch-Berechtigung – optionaler Bereitstellung. Zielgruppen sollten mit bestehenden Update-Ringen abgestimmt werden, damit Freigabe, Frist und Neustart nicht gegeneinander arbeiten. Safeguard Holds werden auch hier berücksichtigt.

In Windows Autopatch können vorhandene Gruppen und Rolloutphasen weiterverwendet werden. Bei WSUS muss das Produkt „Windows 11“ mit der Klassifizierung „Upgrades“ synchronisiert sein; anschließend wird das Update wie andere Funktionsupgrades zunächst nur für die Pilotgruppe genehmigt. Unabhängig vom Werkzeug sollte das Ergebnis am Gerät kontrolliert werden – nicht nur der Status „bereitgestellt“ in der Konsole.

Supportzeitraum und Zeitpunkt der Umstellung

Mit 26H2 beginnt für Home und Pro ein neuer Supportzeitraum von 24 Monaten, für Enterprise und Education von 36 Monaten. Gleichzeitig endet Windows 11 24H2 Home und Pro nach Microsofts aktuellem Zeitplan bereits am 13. Oktober 2026. Für diese Geräte ist die Upgradeplanung daher besonders zeitkritisch. Enterprise- und Education-Ausgaben von 24H2 besitzen einen längeren Lebenszyklus, sollten aber ebenfalls bewusst einer Zielversion zugeordnet werden.

„Verfügbar“ bedeutet dennoch nicht „heute überall installieren“. Bei einem neuen Release ist ein kurzer, sauber beobachteter Pilot wertvoller als ein schneller Vollrollout. Weil 26H2 dieselbe Servicing-Basis verwendet, kann die technische Installation unkompliziert sein; Anwendungskompatibilität, Richtlinien und Benutzerabläufe bleiben trotzdem prüfpflichtig.

Häufige Fragen

Wie SCREENUS beim Rollout unterstützt

SCREENUS unterstützt bei Geräteinventar, Update-Bereitschaft, Pilotgruppen, Datensicherung, Richtlinien, Anwendungstests, gestuftem Rollout und technischer Nachkontrolle. Ziel ist nicht die schnellste Versionsnummer, sondern ein nachvollziehbar unterstützter und arbeitsfähiger Gerätestand.

Managed IT-Service ansehen 26H2-Rollout besprechen

Keine Rechtsberatung: Dieser Beitrag dient der allgemeinen technischen Information. Er ersetzt keine Rechts-, Lizenz-, Vertrags- oder Einzelfallberatung. Verfügbarkeit, Funktionsumfang und Kompatibilität können sich während des kontrollierten Rollouts ändern; vor einer Bereitstellung sind die aktuellen Microsoft-Hinweise und die konkret eingesetzte Umgebung zu prüfen.