Microsoft plant, mit dem Sicherheitsupdate für Januar 2027 die Überwachung und Sperre von ReFS-Volumes auf Wechselmedien standardmäßig einzuschalten. Anwendbare Windows-Updates, die seit dem 13. Oktober 2026 veröffentlicht wurden, aktivieren bereits die Überwachung als Voreinstellung; die Sperre ist für diese Phase nicht standardmäßig eingeschaltet. Die Microsoft-Supportmitteilung erläutert den Zeitplan und die Einstellungen für Administratoren.
Welche ReFS-Datenträger sind betroffen?
Microsofts Richtlinie betrifft Volumes des Dateisystems ReFS, die von Wechselmedien oder extern angeschlossenen Datenträgern eingebunden werden. ReFS steht für Resilient File System. Microsoft stuft ReFS auf Wechselmedien als nicht unterstützte Konfiguration ein. Die geplanten Kontrollen sollen solche Volumes sichtbar machen und Administratoren ermöglichen, ihre Einbindung zu blockieren.
Microsoft begründet die Änderung mit einer verbesserten Windows-Sicherheit: Audit-Ereignisse sollen Einblick in nicht unterstützte externe ReFS-Konfigurationen geben, und eine Sperre soll ihre Einbindung verhindern.
Welche Windows-Versionen Microsoft aufführt
Die Richtlinie gilt laut Microsoft für bestimmte Ausgaben von Windows 10 und Windows 11 sowie für mehrere Windows-Server-Versionen. Sie betrifft damit nicht allein Windows 11.
- Windows 10: Enterprise LTSB 2016, Enterprise LTSC 2019, IoT Enterprise LTSC 2021 und Version 22H2 in allen Editionen.
- Windows 11: Home und Pro 22H2, Enterprise Multi-Session 22H2, Enterprise und Education 22H2, IoT Enterprise 22H2 sowie SE 23H2, Home und Pro 23H2, Enterprise und Education 23H2 und Enterprise Multi-Session 23H2. Außerdem nennt Microsoft Windows 11 24H2, 25H2 und 26H1 in allen Editionen.
- Windows Server: 2012 ESU, 2012 R2 ESU, 2016, 2019, 2022 und 2025.
Was die Richtlinie und das Auditprotokoll zeigen
Administratoren steuern das Verhalten über RefsRemovableDeviceMountPolicy. Der Wert 1 für Audit ist in der aktuellen Phase die Standardeinstellung; mit dem Sicherheitsupdate für Januar 2027 sollen Audit und Block standardmäßig eingeschaltet sein.
| Richtlinienwert | Bedeutung |
0 | Aus |
1 | Audit: betroffene Volumes protokollieren |
2 | Block: betroffene Volumes an der Einbindung hindern |
Microsoft nennt HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Policies als Registrierungspfad für die Gruppenrichtlinieneinstellung und HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\FileSystem für den direkten Registrierungseintrag. Ist die Einstellung an beiden Stellen konfiguriert, hat die Gruppenrichtlinie Vorrang. Nach einer Änderung an einer der beiden Einstellungen muss das Gerät neu gestartet werden, damit sie wirksam wird.
Die Überwachung erzeugt im Systemprotokoll eine ReFS-Warnung mit Ereignis-ID 524. Windows protokolliert für jedes betroffene Volume ein Ereignis pro Systemstart und verfolgt bei der Überwachung bis zu 32 betroffene externe Volumes je Start. Diese Obergrenze gilt für die Audit-Erfassung, nicht für die Durchsetzung der Sperre.
Was die Sperre für gespeicherte Daten bedeutet
Microsoft warnt, dass das Blockieren den Zugriff auf Daten auf einem externen ReFS-Volume beeinträchtigen kann, und empfiehlt Administratoren, benötigte Daten auf unterstütztem Speicher bereitzuhalten. PCWorld berichtet, dass die Sperre Dateien nicht automatisch löscht, Windows aber zunächst nicht auf sie zugreifen kann. FAT32-, exFAT- und NTFS-formatierte Medien sind laut PCWorld von dieser konkreten ReFS-Einschränkung nicht betroffen.
