Seit dem Patch Tuesday im Juni 2026 häufen sich Berichte über Bluescreens und Secure-Boot-Konflikte nach den kumulativen Updates KB5094126 und KB5101650, besonders auf Business-Laptops von HP, Dell und Lenovo. Der Fehlercode 0xc0430001 erscheint dabei am häufigsten, teils direkt beim Systemstart, teils nach dem ersten Neustart nach der Installation. In einigen dokumentierten Fällen kam es zu Boot-Loops, BitLocker-Recovery-Anforderungen und sogar Datenverlust.
Was steckt dahinter, und wie lösen Sie das Problem schnell und sicher? Die folgenden Abschnitte gehen vom einfachsten Workaround bis zur tiefergehenden Lösung, Schritt für Schritt, getestet unter Windows 11 25H2.
Was ist KB5094126, und warum verursacht das Update Bluescreens?
KB5094126 ist das kumulative Update für Windows 11 vom Patch Tuesday im Juni 2026. Es enthält Sicherheits-Patches sowie eine Aktualisierung der Secure-Boot-Zertifikate (DBX-Datenbank), die verhindern soll, dass kompromittierte Bootloader gestartet werden können.
Das Problem: Die Aktualisierung der DBX-Datenbank schreibt neue Zertifikatsdaten in die EFI-Systempartition (ESP). Auf vielen OEM-Geräten, vor allem älteren HP- und Dell-Modellen, ist diese Partition mit nur 100 MB angelegt. Das reicht für die neuen Zertifikatsdaten schlicht nicht aus. Windows schreibt dann entweder unvollständig oder gar nicht, was beim nächsten Bootvorgang zum Fehlercode 0xc0430001 führt.
Berichte aus der MSP-Community bestätigen dieses Muster auf breiter Front. Der Fehler tritt nicht bei allen Installationen auf, entscheidend ist die Größe der EFI-Partition und der aktuelle Zustand der Firmware.
KB5094126 und KB5101650, wie hängen die beiden Updates zusammen?
KB5101650 ist das kumulative Update vom Juli 2026 und baut direkt auf KB5094126 auf. Es enthält weitere Sicherheitskorrekturen, aber keine eigenständige Lösung für die Secure-Boot-Problematik aus dem Vormonat.
Wer KB5094126 ohne Probleme installiert hat, wird KB5101650 in der Regel ebenfalls problemlos installieren. Wer aber bereits nach KB5094126 einen Bluescreen oder Boot-Fehler hatte und das System nur notdürftig repariert hat, etwa durch Deaktivierung von Secure Boot ohne Behebung der EFI-Partition, riskiert, dass KB5101650 denselben Konflikt erneut auslöst.
⚠️ Wichtig: Installieren Sie KB5101650 erst, nachdem Sie die EFI-Partition auf mindestens 250 MB erweitert oder ein Firmware-Update Ihres Herstellers eingespielt haben. Andernfalls wiederholt sich das Problem.
Typische Fehlercodes und Symptome nach diesen Updates
Die häufigsten Symptome nach der Installation von KB5094126 oder KB5101650 sind klar erkennbar. Hier eine Übersicht der dokumentierten Fehlercodes und Begleiterscheinungen:
| Fehlercode / Symptom | Ursache | Häufigkeit |
|---|---|---|
| 0xc0430001 | Secure-Boot-Zertifikat konnte nicht geschrieben werden (ESP zu klein) | Sehr häufig |
| 0xC0000428 | Digitale Signatur des Bootloaders ungültig | Häufig |
| Boot-Loop | Unvollständige DBX-Aktualisierung, System startet nicht durch | Häufig |
| BitLocker-Recovery | Secure-Boot-Statusänderung löst TPM-Sperre aus | Mittel |
| Schwarzer Bildschirm nach POST | Bootloader wird durch neue DBX-Einträge blockiert | Mittel |
| Datenverlust (dokumentiert) | Erzwungenes Zurücksetzen nach Boot-Fehler | Selten, aber belegt |
Besonders kritisch: In der Microsoft Tech Community sind Fälle dokumentiert, in denen das System nach dem Fehler nicht mehr normal gestartet werden konnte und Nutzer zum Zurücksetzen gezwungen wurden, mit Datenverlust als Folge.
Welche Geräte und Windows-Versionen sind betroffen?
Die Probleme treten vorrangig auf Laptops und Business-Geräten mit kleiner EFI-Partition auf. Desktop-Systeme mit neuerer Mainboard-Firmware und größerer ESP sind deutlich seltener betroffen.
- Stark betroffen: HP EliteBook, HP ProBook, Dell Latitude, Dell OptiPlex (ältere Modelle), Lenovo ThinkPad mit ESP ≤ 100 MB
- Teilweise betroffen: Surface-Geräte (je nach Firmware-Stand), ältere Lenovo IdeaPad-Modelle
- Kaum betroffen: Selbstgebaute Systeme mit aktueller UEFI-Firmware, Geräte mit ESP ≥ 250 MB
Betroffene Windows-Versionen sind primär Windows 11 22H2, 23H2 und 24H2. Unter Windows 10 sind vereinzelt ähnliche Probleme aufgetreten, aber deutlich seltener, da dort die DBX-Aktualisierung weniger aggressiv durchgesetzt wird.
Sofortmaßnahme: Secure Boot vorübergehend deaktivieren
Wenn das System nach KB5094126 oder KB5101650 nicht mehr startet, ist die schnellste Sofortmaßnahme die vorübergehende Deaktivierung von Secure Boot im UEFI/BIOS. Das ermöglicht den Systemstart und gibt Zeit für die eigentliche Reparatur.
⚠️ Achtung: Secure Boot schützt den Bootvorgang vor manipulierten Bootloadern. Lassen Sie es nur so lange deaktiviert, wie für die Reparatur notwendig. Aktivieren Sie es danach sofort wieder.
So deaktivieren Sie Secure Boot:
- PC neu starten und beim Hochfahren die BIOS-Taste drücken (je nach Hersteller: F2, F10, Entf oder Esc)
- Im UEFI-Menü den Bereich Security oder Boot aufrufen
- Option Secure Boot auf Disabled setzen
- Änderungen speichern (meist F10) und neu starten
Danach sollte Windows wieder starten. Wenn BitLocker aktiv war und eine Recovery-Anforderung erscheint: Den 48-stelligen BitLocker-Wiederherstellungsschlüssel aus dem Microsoft-Konto oder der Active-Directory-Sicherung verwenden.
KB5094126 deinstallieren, Schritt für Schritt
Wenn der PC noch startet, ist die Deinstallation des Updates der direkteste Weg. Startet das System nicht mehr, muss die Windows-Wiederherstellungsumgebung (WinRE) genutzt werden.
Option A, Windows startet noch:
- Einstellungen → Windows Update → Updateverlauf → Updates deinstallieren aufrufen
- KB5094126 (bzw. KB5101650) in der Liste suchen und deinstallieren
- System neu starten und prüfen, ob das Problem behoben ist
Option B, Über die Eingabeaufforderung (als Administrator):
wusa /uninstall /kb:5094126 /quiet /norestartOption C, Über WinRE (System startet nicht mehr):
- PC dreimal erzwungen ausschalten (Stromtaste halten), bis WinRE automatisch startet, oder Installations-USB verwenden
- In WinRE: Problembehandlung → Erweiterte Optionen → Updates deinstallieren → Letztes kumulative Update deinstallieren
Nach der Deinstallation empfiehlt es sich, das Update in Windows Update vorübergehend zu pausieren (bis zu 5 Wochen möglich), um Zeit für die dauerhafte Lösung zu gewinnen.
Die dauerhafte Lösung: EFI-Partition erweitern
Die eigentliche Ursache ist eine zu kleine EFI-Systempartition. Microsoft empfiehlt für Windows 11 mindestens 250 MB, viele OEM-Systeme haben aber nur 100 MB. Die Erweiterung erfordert einen Eingriff in die Partitionierung.
⚠️ Achtung: Partitionsänderungen können bei Fehlern zu Datenverlust führen. Erstellen Sie vor diesem Eingriff ein vollständiges System-Backup, z. B. mit Macrium Reflect Free oder dem Windows-eigenen Sicherungstool.
Microsoft hat für diesen Fall ein offizielles PowerShell-Skript veröffentlicht, das die ESP automatisch auf 250 MB erweitert. Das Skript ist über die Microsoft-Dokumentation abrufbar und führt die notwendigen Partitionsoperationen mit diskpart durch.
Alternativ kann die Erweiterung manuell über diskpart in der WinRE-Eingabeaufforderung erfolgen, das setzt aber Erfahrung mit Partitionierungswerkzeugen voraus. Für die meisten Nutzer ist das automatische Skript der sicherere Weg.
Nach der Erweiterung: Secure Boot wieder aktivieren, System neu starten, und KB5094126 bzw. KB5101650 erneut installieren. In den meisten Fällen läuft die Installation danach fehlerfrei durch.
Kann ich KB5094126 oder KB5101650 dauerhaft überspringen?
Technisch ist es möglich, kumulative Updates über die Windows Update-Einstellungen zu pausieren oder über Gruppenrichtlinien zu blockieren. Dauerhaft überspringen ist aber keine empfohlene Strategie, beide Updates enthalten kritische Sicherheits-Patches, die bekannte Schwachstellen schließen.
Sinnvoller ist es, die Updates zu pausieren, die EFI-Partition zu reparieren, und sie danach zu installieren. Wer in einer verwalteten Unternehmensumgebung arbeitet, kann die Updates über WSUS oder Intune gezielt zurückhalten, bis ein Firmware-Update des Herstellers verfügbar ist.
HP, Dell und Lenovo haben im Juli 2026 begonnen, aktualisierte BIOS/UEFI-Versionen auszurollen, die das Problem auf Firmware-Ebene adressieren. Ein Blick in die Support-Seite des jeweiligen Herstellers lohnt sich also vor der nächsten Update-Runde.
Gibt es bereits einen offiziellen Fix von Microsoft?
Microsoft hat das Problem mit KB5094126 offiziell anerkannt und empfiehlt die Erweiterung der EFI-Partition als primäre Lösung. Ein automatischer Patch, der das Problem ohne manuellen Eingriff behebt, war zum Zeitpunkt der Erstellung dieses Artikels (August 2026) noch nicht verfügbar.
KB5101650 enthält keine Korrekturen für die ESP-Problematik. Es ist davon auszugehen, dass Microsoft in einem der nächsten kumulativen Updates eine automatische Prüfung der ESP-Größe vor der DBX-Aktualisierung einbaut, das ist aber bislang nicht offiziell bestätigt.
Für Administratoren in größeren Umgebungen: Die Schadensfälle mit Datenverlust, die in der Microsoft Tech Community dokumentiert wurden, unterstreichen, wie wichtig ein geregeltes Update-Staging mit Testgruppen ist, bevor Patches auf breiter Front ausgerollt werden.
Fazit
Die Bluescreens und Secure-Boot-Konflikte nach den kumulativen Updates KB5094126 und KB5101650 sind ein klassisches Beispiel dafür, wie ein sicherheitsrelevanter Patch auf Systemen mit veralteter Partitionierung zum Problem wird. Die Ursache ist klar: zu kleine EFI-Systempartition, zu wenig Platz für die neuen Secure-Boot-Zertifikate.
Der Weg aus dem Problem ist ebenfalls klar, auch wenn er etwas Aufwand erfordert. Secure Boot vorübergehend deaktivieren, um wieder ins System zu kommen. Update deinstallieren, wenn nötig. EFI-Partition auf 250 MB erweitern. Firmware-Update des Herstellers einspielen. Dann das Update erneut installieren.
Bei mir hat sich gezeigt, dass die meisten Probleme mit diesem Fehlercode nach der ESP-Erweiterung dauerhaft behoben sind, und das System danach auch zukünftige DBX-Updates problemlos verarbeitet. Wer das einmal sauber gemacht hat, hat Ruhe.
Häufig gestellte Fragen
Was bedeutet der Fehlercode 0xc0430001 nach dem Update KB5094126?
Der Fehlercode 0xc0430001 zeigt an, dass Windows das Secure-Boot-Zertifikat (DBX-Eintrag) nicht in die EFI-Systempartition schreiben konnte, in der Regel weil die ESP zu klein ist (unter 100 MB). Das System startet dann nicht mehr normal durch.
Kann KB5094126 Datenverlust verursachen?
Ja, in dokumentierten Einzelfällen kam es zu Datenverlust, wenn das System nach dem Bluescreen nicht mehr gestartet werden konnte und ein Zurücksetzen notwendig war. Ein aktuelles Backup vor jedem kumulativen Update ist daher keine Vorsichtsmaßnahme, sondern Pflicht.
Muss Secure Boot für KB5101650 aktiviert sein?
Secure Boot muss nicht zwingend aktiviert sein, damit KB5101650 installiert wird. Allerdings ist Secure Boot für Windows 11 offiziell vorausgesetzt, und die DBX-Aktualisierung entfaltet ihren Sicherheitsnutzen nur bei aktiviertem Secure Boot. Nach der Reparatur sollte Secure Boot wieder eingeschaltet werden.
Welche HP-Modelle sind von KB5094126 besonders betroffen?
Besonders häufig betroffen sind HP EliteBook- und ProBook-Modelle mit einer EFI-Partition von 100 MB, die vor 2020 ausgeliefert wurden. HP hat im Juli 2026 aktualisierte BIOS-Versionen für mehrere betroffene Modellreihen veröffentlicht.
Wie prüfe ich die Größe meiner EFI-Partition?
Öffnen Sie eine Eingabeaufforderung als Administrator und führen Sie ‚diskpart‘ aus. Dann: ‚list disk‘, ’select disk 0′, ‚list partition‘. Die EFI-Partition ist als ‚Typ: System‘ gekennzeichnet. Die Größe in der Spalte ‚Größe‘ zeigt den aktuellen Wert, unter 200 MB ist eine Erweiterung empfehlenswert.
Zuletzt aktualisiert: August 2026 | Autor: Vangelis | 25+ Jahre IT-Erfahrung | Gründer von windows-forum.com
