Seit dem 13. Oktober 2026 ist bei einschlägigen Windows-Sicherheitsupdates die Überwachung externer ReFS-Volumes standardmäßig aktiv. Microsoft plant, sie mit dem Sicherheitsupdate für Januar 2027 standardmäßig für betroffene Laufwerke zu sperren. Die Richtlinie gilt für bestimmte Versionen von Windows 10, Windows 11 und Windows Server.
Welche Windows-Versionen sind betroffen?
Microsofts Richtlinie erfasst ReFS-Volumes auf Wechselmedien oder extern angeschlossenen Datenträgern. ReFS steht für Resilient File System, ein Dateisystem von Microsoft. Die vollständige Liste nennt folgende Windows-Versionen und Editionen:
| Windows-Familie | Von Microsoft aufgeführte Versionen und Editionen |
| Windows 10 | Enterprise LTSB 2016; Enterprise LTSC 2019; IoT Enterprise LTSC 2021; Version 22H2 in allen Editionen |
| Windows 11 | Home und Pro 22H2; Enterprise Multi-Session 22H2; Enterprise und Education 22H2; IoT Enterprise 22H2; SE 23H2; Home und Pro 23H2; Enterprise und Education 23H2; Enterprise Multi-Session 23H2; Versionen 24H2, 25H2 und 26H1 in allen Editionen |
| Windows Server | 2012 ESU; 2012 R2 ESU; 2016; 2019; 2022; 2025 |
Die Liste umfasst also mehr als Windows 11, aber nicht pauschal jede Windows-Version. Entscheidend ist außerdem das Dateisystem: Die Richtlinie betrifft die genannten externen ReFS-Volumes, nicht allgemein USB-Laufwerke oder NTFS-Datenträger. Microsoft stuft ReFS auf Wechselmedien als nicht unterstützte Konfiguration ein.
Audit ab Oktober, Standardsperre ab Januar
Die beiden Phasen unterscheiden sich darin, ob Windows betroffene Volumes zunächst protokolliert oder standardmäßig am Einbinden hindert.
| Phase und Zeitpunkt | Standardverhalten | Folge für betroffene ReFS-Volumes |
| Anwendbare Sicherheitsupdates vom 13. Oktober 2026 an | Überwachung aktiv; Blockieren nicht standardmäßig aktiv | Windows protokolliert erkannte Volumes. |
| Sicherheitsupdate für Januar 2027, geplant | Überwachung und Blockieren standardmäßig aktiv | Betroffene Volumes werden nicht eingebunden, sofern die zuständige Einstellung nicht geändert wird. |
Ein Überwachungsereignis erscheint als ReFS-Warnung mit der Ereignis-ID 524 im Systemprotokoll. Windows protokolliert es einmal je betroffenem Volume und Systemstart. Der Audit-Tracker erfasst bis zu 32 betroffene externe Volumes pro Start; diese Grenze beschränkt nur die Überwachung, nicht die spätere Durchsetzung der Sperre.
Was bedeutet die Sperre für Dateien auf dem Laufwerk?
Die Richtlinie setzt beim Einbinden des Volumes an. Wird ein betroffenes ReFS-Laufwerk blockiert, kann Windows es nicht einbinden und der Zugriff auf seine Daten ist dadurch beeinträchtigt. Microsoft rät Administratoren, benötigte Daten vor der Durchsetzung auf unterstütztem Speicher verfügbar zu machen.
Microsoft nennt als Ziele, nicht unterstützte externe ReFS-Konfigurationen besser sichtbar zu machen, die Angriffsfläche zu verringern und Organisationen mit einer Auditphase Zeit zu geben, betroffene Arbeitsabläufe zu erkennen. In der Supportmitteilung zu ReFS auf Wechselmedien beschreibt das Unternehmen diese Sicherheitsziele, ohne eine konkrete Schwachstelle oder Angriffsmethode zu benennen.
Welche Einstellungen können Administratoren ändern?
Microsoft dokumentiert die Richtlinie RefsRemovableDeviceMountPolicy mit drei Werten:
0: Aus1: Überwachung; Standardwert2: Blockieren
Administratoren können die Einstellung per Gruppenrichtlinie oder Registry konfigurieren. Microsoft nennt dafür die Registry-Pfade HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Policies für die Gruppenrichtlinie und HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\FileSystem für die Registry-Einstellung. Sind beide Werte gesetzt, hat die Gruppenrichtlinie Vorrang. Nach einer Änderung ist ein Neustart erforderlich.
