Windows 11 aktiviert Speicherintegrität ab dem 13. Oktober standardmäßig

Microsoft schaltet den Speicherintegritätsschutz von Windows 11 künftig standardmäßig ein. Den Anfang macht das Patchday-Update am 13. Oktober 2026. Windows Latest berichtet, dass die Änderung geeignete PCs automatisch und schrittweise erreicht. Wer Kernel-Treiber ausliefert oder Virtualisierungswerkzeuge einsetzt, bemerkt am ehesten, dass etwas nicht mehr läuft.

Die Speicherintegrität ist eine Sicherheitsfunktion, die den Kern von Windows schützt. Bisher mussten die meisten Nutzer sie selbst einschalten.

Was die Speicherintegrität tatsächlich tut

Die Speicherintegrität prüft Code im Kernelmodus, bevor er laufen darf. Der Kernelmodus ist die höchste Rechtestufe in Windows. Code dort kann jeden Speicherbereich der Maschine lesen und schreiben. Ein einziger schlechter Treiber kann deshalb das ganze System übernehmen.

Microsofts Dokumentation beschreibt die Funktion als Teil der virtualisierungsbasierten Sicherheit, kurz VBS. VBS nutzt die Virtualisierungshardware des Prozessors, um eine kleine, getrennte Umgebung abzuteilen. Windows führt die Code-Integritätsprüfung dann in diesem isolierten Bereich aus. Schadsoftware im normalen Betriebssystem kann nicht hineingreifen und die Prüfung manipulieren.

Das Ergebnis ist eine kurze Positivliste. Nur vertrauenswürdige, korrekt signierte Treiber werden geladen. Alles andere wird abgewiesen.

Die Funktion selbst ist nicht neu, und sie trägt mehrere Namen. "Die Speicherintegrität wird manchmal als hypervisor-protected code integrity (HVCI) oder hypervisor enforced code integrity bezeichnet und wurde ursprünglich als Teil von Device Guard veröffentlicht", heißt es in Microsofts Dokumentation. Was sich im Oktober ändert, ist die Voreinstellung, nicht die Technik.

Windows Latest verbindet den Zeitpunkt mit einer Verschiebung bei der Suche nach Kernel-Fehlern. Dem Bericht zufolge hat KI-gestützte Schwachstellenforschung das Auffinden von Exploits auf Kernel-Ebene beschleunigt.

Welche PCs die Funktion eingeschaltet bekommen

Nicht jede Maschine ist geeignet. Windows prüft zuerst die Hardware, und Windows Latest listet auf, worauf es dabei ankommt.

Anforderung	Was ein Gerät braucht
Prozessor	Intel 8. Generation oder neuer, AMD Zen 2 oder neuer, oder Qualcomm Snapdragon 8180 oder neuer
Arbeitsspeicher	Mindestens 8 GB RAM auf x64-Systemen
Speicher	Mindestens eine 64-GB-SSD
Firmware	Virtualisierung in den Firmware-Einstellungen aktiviert
Treiber	Bereits installierte, kompatible Treiber

Microsofts eigene Dokumentation ergänzt diese Liste um einen Hinweis zur Leistung. Prozessoren ab Intels Kabylake-Generation enthalten eine Funktion namens Mode-Based Execution Control. AMDs Zen-2-Chips und neuer tragen ein Gegenstück mit dem Namen Guest Mode Execute Trap. Auf diesen Chips läuft die Speicherintegrität am besten. Ältere Prozessoren fallen auf einen Emulationsmodus namens Restricted User Mode zurück. Microsoft schreibt, dieser Weg koste spürbar mehr Leistung.

Windows Latest berichtet außerdem, dass Microsoft vor der Aktivierung eine Bereitschaftsprüfung auf dem Gerät durchführt.

Es gibt eine dokumentierte Lücke in der Cloud. Microsofts Dokumentation schreibt, dass Azure-VMs die Speicherintegrität nicht unterstützen, wenn Secure Boot mit DMA gewählt ist. In dieser Konfiguration meldet sich VBS als aktiviert, läuft aber nicht wirklich.

Wie man sie ausgeschaltet lässt, wenn es sein muss

Die Ausrollung ist ein Opt-out, keine erzwungene Übersteuerung.

Windows Latest berichtet, dass Windows eine bewusst getroffene Entscheidung respektiert. Ist die Speicherintegrität bereits über Gruppenrichtlinien, über Intune oder über einen Registry-Eingriff ausgeschaltet, lässt das Update sie ausgeschaltet. Der automatische Schalter kippt nur Maschinen, die nie eine Entscheidung getroffen haben.

Microsofts Dokumentation listet jeden Ort auf, an dem die Einstellung liegt: die App "Windows-Sicherheit", Intune und CSP, Gruppenrichtlinien, die Registry und App Control for Business. Seit Windows 11 22H2 zeigt die App "Windows-Sicherheit" eine Warnung an, wenn die Speicherintegrität ausgeschaltet ist.

Was das für Entwickler bedeutet

Testen Sie Ihren Treiber jetzt gegen die Speicherintegrität, nicht am 14. Oktober. Microsofts Dokumentation ist beim Fehlerbild deutlich. Inkompatible Anwendungen und Treiber können sich falsch verhalten. Sie können auch Bluescreen-Abstürze beim Start auslösen. Ein Treiber, der heute sauber lädt, kann sich schlicht verweigern, sobald die Prüfung aktiv ist.

Der Test ist klein. Schalten Sie die Funktion auf einer Ersatzmaschine von Hand ein, starten Sie neu und schauen Sie, was lädt. Hängt ein Treiber daran, der von Dritten stammt und nicht mehr gepflegt wird, klären Sie noch diesen Monat, ob es überhaupt einen signierten Ersatz gibt.

Virtualisierungswerkzeuge verdienen einen eigenen Durchgang. Die Speicherintegrität beansprucht die Virtualisierungshardware des Prozessors für ihre isolierte Umgebung. Läuft in Ihrem Build- oder Test-Setup ebenfalls ein Hypervisor oder ein Geräte-Emulator, testen Sie genau diese Kombination. Nehmen Sie nicht an, dass sie überlebt. Prüfen Sie die Version, die Ihr Team installiert, und die Version auf Ihren CI-Runnern.

Support-Teams sollten sich auf ein Muster einstellen, nicht auf einen Einzelfall. Die Ausrollung erfolgt schrittweise. Zwei baugleiche Laptops können deshalb wochenlang in unterschiedlichen Zuständen sein. Fragen Sie nach, ob die Speicherintegrität an ist, bevor Sie eine Stunde in die Reproduktion eines Fehlerberichts stecken. Diese eine Zeile in Ihrem bestehenden Diagnoseskript zahlt sich aus.

Eine Entscheidung zur Dokumentation lohnt sich bewusst zu treffen. Steht in Ihrer Installationsanleitung derzeit, Nutzer sollten die Speicherintegrität abschalten, altert dieser Hinweis gerade schlecht. Schreiben Sie ihn jetzt um. Oder nehmen Sie hin, dass Ihre eigenen Nutzer im Oktober die Bluescreen-Berichte einreichen.