Microsoft aktiviert seit Sicherheitsupdates vom 13. Oktober 2026 standardmäßig die Überwachung von ReFS-Volumes auf Wechseldatenträgern und extern angeschlossenen Laufwerken. Mit dem Sicherheitsupdate für Januar 2027 soll auch das standardmäßige Blockieren dieser Volumes hinzukommen. Die Regelung gilt für bestimmte Versionen von Windows 10, Windows 11 und Windows Server. Microsoft beschreibt Zeitplan, Geltungsbereich und Einstellungen in seinem Support-Hinweis.
Welche Windows-Versionen betroffen sind
Microsoft zählt ReFS-Volumes auf Wechseldatenträgern und extern angeschlossenen Geräten zu einer nicht unterstützten Konfiguration. Betroffen sind die in der Mitteilung aufgeführten Versionen und Editionen:
- Windows 10: Enterprise LTSB 2016, Enterprise LTSC 2019, IoT Enterprise LTSC 2021 sowie Version 22H2 in allen Editionen.
- Windows 11: Version 22H2 in den Editionen Home, Pro, Enterprise Multi-Session, Enterprise, Education und IoT Enterprise; Version 23H2 in den Editionen SE, Home, Pro, Enterprise und Education sowie Enterprise Multi-Session; außerdem die Versionen 24H2, 25H2 und 26H1 in allen Editionen.
- Windows Server: 2012 ESU, 2012 R2 ESU, 2016, 2019, 2022 und 2025.
Damit beschränkt sich die Regelung weder auf Windows 11 noch auf USB-Sticks. Sie betrifft die genannten Windows-Systeme, wenn sie ein ReFS-Volume auf einem Wechseldatenträger oder einem extern angeschlossenen Gerät erkennen.
Erst Überwachung, dann standardmäßiges Blockieren
In der ersten Phase aktivieren die betreffenden Sicherheitsupdates die Überwachung standardmäßig. Das standardmäßige Blockieren ist für das Sicherheitsupdate im Januar 2027 geplant. Administratoren können die Einstellung ändern.
Im Modus „Blockieren“ wird ein betroffenes ReFS-Volume am Einbinden gehindert. Dadurch kann der Zugriff auf die darauf gespeicherten Daten beeinträchtigt sein. Microsoft nennt als Ziele der Maßnahme, die Sichtbarkeit nicht unterstützter externer ReFS-Konfigurationen zu verbessern und die damit verbundene Gefährdung zu verringern.
Was das Audit protokolliert
Im Überwachungsmodus schreibt ReFS eine Warnung mit der Ereignis-ID 524 in das Systemprotokoll. Pro betroffenem Volume erscheint der Eintrag einmal je Systemstart. Pro Start erfasst die Audit-Überwachung höchstens 32 betroffene externe Volumes. Diese Grenze betrifft die Überwachung, nicht die Durchsetzung der Sperre.
RefsRemovableDeviceMountPolicy verwalten
Die Richtlinie RefsRemovableDeviceMountPolicy bietet drei Werte:
| Wert | Bedeutung |
0 | Aus |
1 | Überwachung |
2 | Blockieren |
Wenn die Richtlinie sowohl über die Gruppenrichtlinie als auch in der Registrierung gesetzt ist, hat die Gruppenrichtlinie Vorrang. Microsoft nennt als Speicherorte HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Policies für die Gruppenrichtlinieneinstellung und HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\FileSystem für die Registrierung. Nach einer Änderung muss das Gerät neu gestartet werden.
Microsoft empfiehlt Administratoren, die Audit-Ereignisse auszuwerten, abhängige Arbeitsabläufe zu ermitteln, benötigte Daten oder Workloads auf unterstützte Speicherlösungen zu migrieren und das Blockieren zunächst in einer kontrollierten Umgebung zu testen.
