IT-Wochenrückblick: Domänenanmeldung, Exchange-Patches und SQL-Importrechte prüfen

Die Woche vom 28. September bis zum 4. Oktober bringt drei konkrete Prüfaufträge für den IT-Betrieb: die Domänenanmeldung nach einem Windows-Funktionsupdate, den überarbeiteten Sicherheitsstand lokaler Exchange-Installationen und die Rechte von SQL-Importjobs unter Linux. Entscheidend ist jeweils der Unterschied zwischen erfolgreicher Installation und funktionierender Anwendung. Ein abgeschlossener Installer prüft weder das Vertrauensverhältnis zur Domäne noch die neueste Patchrevision oder die tatsächlich benötigten Rechte eines Dienstkontos.

Microsoft hat Windows 11, Version 26H2 am 29. September freigegeben. Die am 4. Oktober geprüfte Release-Health-Dokumentation beschreibt ein Problem mit dem Domänenvertrauen bei zuvor konfigurierter Machine Identity Isolation. Betroffene Clients können ihren sicheren Kanal zum lokalen Active Directory verlieren, während die Offlineanmeldung mit zwischengespeicherten Anmeldedaten weiter funktioniert. Die AD-Replikation und die Dienste auf den Domänencontrollern sind davon ausdrücklich nicht betroffen. Wer einen Pilot-PC nur neu startet und sich mit gespeicherten Anmeldedaten anmeldet, kann den Fehler deshalb übersehen.

Vor der nächsten Rolloutwelle sollte feststehen, ob Machine Identity Isolation konfiguriert wurde und ob die Domäne die dokumentierten Voraussetzungen erfüllt. Zur Abnahme gehören eine echte Online-Domänenanmeldung und der Zugriff auf die davon abhängigen Dienste. Trifft der beschriebene Fehler zu, ist die aktuelle Microsoft-Abhilfe über die zuständige Verwaltungsrichtlinie umzusetzen, statt einzelne Registry-Eingriffe über die Umgebung zu verteilen. Wirksame Richtlinie, Build und Testergebnis gehören zusammen in den Änderungsnachweis. Da sich die Release-Health-Hinweise ändern können, sind sie zum Wartungsfenster erneut zu prüfen.

Am 2. Oktober hat das Exchange-Team eine zweite Fassung der Sicherheitsupdates für September 2026 veröffentlicht. Sie betrifft Exchange Server Subscription Edition sowie Exchange Server 2016 und 2019 bei Teilnahme am ESU-Programm für Periode 2. Gegenüber der ursprünglichen September-Fassung kommt die Absicherung gegen CVE-2026-96940 hinzu. Ein vorhandener September-Patchnachweis genügt somit nicht als Beleg für den neuen Stand. Exchange Online ist gegen die hier behandelten Schwachstellen bereits geschützt; verbliebene lokale Exchange-Server und Arbeitsplätze mit Exchange-Verwaltungstools müssen weiterhin berücksichtigt werden.

Daraus folgt eine gezielte Bestandsprüfung: Jede lokale Installation braucht die Zuordnung zum unterstützten Versionszweig, zur Updateberechtigung und zum passenden Paket. Nach der Installation gemäß Herstelleranleitung zählen der nachgewiesene Build, funktionierender Mailtransport, Verwaltung und die tatsächlich genutzten Hybridfunktionen. Die vorherige Konfiguration und ein zum Server passender Wiederherstellungsplan bleiben Teil der Vorbereitung. Ein pauschaler Haken beim monatlichen Patchlauf ersetzt diese Abnahme nicht.

Microsoft hat am 1. Oktober die allgemeine Verfügbarkeit von bulkadmin für SQL Server unter Linux angekündigt: für SQL Server 2025 ab CU9 und SQL Server 2022 ab CU27. Die Rolle bulkadmin beziehungsweise die Berechtigung ADMINISTER BULK OPERATIONS ermöglicht Massenimporte mit engeren SQL-Rechten als sysadmin. Ältere Dokumentation beschrieb bereits die Vorschau in früheren kumulativen Updates. Neu ist deshalb die Freigabe für den allgemeinen Einsatz, nicht das erstmalige Auftauchen der Funktion. Die SQL-Berechtigung und der Linux-Dateizugriff auf die Importdatei sind weiterhin getrennt zu prüfen.

Prüfen Sie geplante Importjobs, die bislang mit weitreichenden Serverrechten laufen. Vor einer Rechteänderung muss der vollständige Ablauf bekannt sein: Quelldatei lesen, vorgesehene Tabelle befüllen, fehlerhafte Datensätze behandeln und nachgelagerte Prozeduren ausführen. Ein Test mit der künftig vorgesehenen Identität sollte sowohl den normalen Import als auch eine erwartete Verweigerung außerhalb ihres Aufgabenbereichs zeigen. Dateirechte müssen zum tatsächlich lesenden SQL-Server-Prozess passen; eine pauschale Freigabe des Dateisystems wäre keine Verbesserung. Der Entzug von sysadmin ist erst dann belastbar, wenn der Job weiter funktioniert und fremde Operationen gesperrt bleiben.

Für das nächste Wartungsfenster bleiben drei überprüfbare Ergebnisse: eine Online-Domänenanmeldung im Windows-Piloten, der zutreffende Exchange-V2-Build mit funktionierenden Mailwegen und ein SQL-Import mit überprüften Rechten. Die Änderungen haben unterschiedliche Dringlichkeit und betreffen unterschiedliche Systeme. Eine solche Zuordnung macht aus dem Wochenrückblick konkrete Arbeit, ohne jede Herstellerankündigung zum flächendeckenden Rollout zu erklären.