[English]Mit den am Patchday (8. Januar 2019) ausgelieferten Sicherheitsupdates für Windows 7 kam es ja in Unternehmensumgebungen zu KMS-Aktivierungsfehlern – Windows 7 wurde als 'not genuine' (Fehlercode 0xC004F200) gemeldet. Jetzt hat Microsoft die Erklärung nachgeliefert. Die Kurzfassung: Dumm gelaufen.
Anzeige
Was bisher bekannt war
Ich hatte den Sachverhalt, soweit ich den eruieren konnte, gestern früh im Blog-Beitrag Update KB971033/KB4480960/KB4480970 bricht Windows 7 Aktivierung (0xc004f200) zusammen getragen. Der Fehler trat auf, wenn die nachfolgende Bedingung erfüllt war:
- Bei Windows 7-Clients, auf denen das Aktivierungsupdate KB971033 (vom 19.4.2018) installiert war.
- Das Update konnte von Admins aus dem Microsoft Download Center heruntergeladen und auf Windows 7-Clients installiert werden.
- Die Installation war aber nicht erforderlich, da der einzige Zweck darin bestand, Fehler bei der Gültigkeitsprüfung und Aktivierungsexploits zu ermitteln.
- Laut Microsoft KB-Artikel KB971033 erkennt das Update auch mögliche Manipulationsversuche an wichtigen Windows 7-Systemdateien.
Was das Update auf Windows 7-Clients in Unternehmensumgebungen zu suchen hat, erschließt sich mir nicht.
Ergänzung: Der letzte Satz soll nicht als 'was hat der blöde Admin wieder gemacht' zu verstehen sein. Es gibt z.B. das Szenario, dass Windows 7 Pro ohne KMS gefahren wird, der Patch drauf kommt und die Maschine später per Volumenlizenzierung über KMS aktiviert wird. Wer denkt an dann an KB971033? Zudem ist der Hinweis, dass das Aktivierungsupdate nicht für KMS-Umgebungen geeignet ist, erst später im US-KB-Artikel veröffentlicht worden.
Dummerweise wurden am 8. Januar 2019 die Updates KB4480960 und KB4480970 für Windows 7 freigegeben. Dadurch schien es eine Koinzidenz zu geben, und Microsoft hatte auch entsprechende Kurzhinweise in den verlinkten KB-Artikels gegeben. Inzwischen wurde der entsprechende Text aber überarbeitet.
Die Erklärung Microsofts
Zum 10. Januar 2019 hat Microsoft am späteren Abend den Activation failures and "not genuine" notifications around January 8, 2019, on volume-licensed Windows 7 KMS clients veröffentlicht (ich habe mal die englischsprachige Fassung verlinkt, da die deutsche Maschinenübersetzung recht kryptisch ist). Dort bestätigt Microsoft, dass die KMS-Aktivierungsprobleme nur auftraten, wenn das Aktivierungsupdate KB971033 (vom 19.4.2018) auf folgenden Clients mit Volumenlizenzaktivierung installiert war:
Anzeige
- Windows 7 Professional
- Windows 7 Professional N
- Windows 7 Professional E
- Windows 7 Enterprise
- Windows 7 Enterprise N
- Windows 7 Enterprise E
In diesem Szenario konnte es vorkommen, dass die Windows 7-Clients den Fehlerdialog Windows Activation Windows is not genuine mit dem Fehlercode 0xC004F200 meldeten.
Gleichzeitig fielen die betreffenden Windows 7-Clients in den nicht aktivierten Modus, d.h. der Desktop zeigte einen schwarzen Hintergrund und es wurde in der rechten unteren Ecke das Wasserzeichen mit dem Hinweis, dass Windows nicht aktiviert sei, eingeblendet.
Eine Abfrage mit dem Befehl slmgr /dlv lieferte den Fehler 0xC004F200. Ein neuer Aktivierungsversuch mit slmgr /ato scheiterte, da Microsoft eine ungültige Windows 7-Kopie meldete. Soweit alles bekannt. Neu am Microsoft-Artikel ist der Hinweis auf Ereigniseinträge, die der Fehler verursachte. Die eigentliche Ursache verrät Microsoft in diesem Abschnitt:
A recent update to the Microsoft Activation and Validation unintentionally caused a "not genuine" error on volume-licensed Windows 7 clients that had KB971033 installed. The change was introduced at 10:00:00 UTC on January 8, 2019, and was reverted at 4:30:00 UTC on January 9, 2019.
Im Klartext: Microsoft hat am 8. Januar 2019 um 10:00:00 Uhr UTC ein Update der Microsoft-Aktivierung und –Validierung [auf seinen Aktivierungsservern] installiert. Das führte unbeabsichtigt dazu, dass alle volumenlizenzierten Windows 7-Clients, die den Aktivierungsstatus überprüfen wollten und auf denen KB971033 installiert war, den Fehler 0xC004F200 lieferten und die Aktivierung verloren. Microsoft hat die Änderung an den Aktivierungsservern am 9. Januar 2019 um 4:30:00 Uhr UTC zurückgenommen.
Im KB-Artikel gibt Microsoft Unternehmenskunden dann noch den Ratschlag, auf Clients, die eine Key Management Service (KMS) oder Multiple Activation Key (MAK) Volumenaktivierung verwenden, ein eventuell installiertes KB971033 dringend zu deinstallieren. Dieses Update sei für Endanwender gedacht gewesen.
Im KB-Artikel finden sich dann noch Hinweise, wie Administratoren auf den Clients prüfen können, ob KB971033 installiert sei (z.B. mit wmic qfe where HotFixID="KB971033") und wie sich das deinstallieren lässt (z.B. mit wusa /uninstall /kb:971033). Nachdem Update KB971033 auf den betroffenen Windows 7-Clients deinstalliert wurde, muss die Aktivierung erneut durchgeführt werden. Dazu hat Microsoft folgende Befehlsfolge bereitgestellt, die in einer mit administrativen Berechtigungen laufenden Eingabeaufforderung auszuführen ist.
net stop sppuinotify sc config sppuinotify start= disabled net stop sppsvc del %windir%\system32\7B296FB0-376B-497e-B012-9C450E1B7327-5P-0.C7483456-A289-439d-8115-601632D005A0 /ah del %windir%\system32\7B296FB0-376B-497e-B012-9C450E1B7327-5P-1.C7483456-A289-439d-8115-601632D005A0 /ah del %windir%\ServiceProfiles\NetworkService\AppData\Roaming\Microsoft\SoftwareProtectionPlatform\tokens.dat del %windir%\ServiceProfiles\NetworkService\AppData\Roaming\Microsoft\SoftwareProtectionPlatform\cache\cache.dat net start sppsvc cscript c:\windows\system32\slmgr.vbs /ipk [KMS Client-Key] cscript c:\windows\system32\slmgr.vbs /ato sc config sppuinotify start= demand
Hier empfiehlt es sich imho, die obigen Befehle in eine .bat-Datei einzufügen und diese über Als Administrator ausführen zu starten. Wichtig ist, dass der Platzhalter [KMS Client-Key] durch den Client-spezifischen Schlüssel ersetzt wird. Microsoft gibt die KMS Client Setup-Keys für die einzelnen Windows 7-Editionen in diesem Dokument an. Details lest ihr im Zweifelsfall im Microsoft KB-Beitrag nach.
Unter dem Strich: Da hat Mc Murphy mal wieder an zwei Stellen zugeschlagen. Administratoren in Unternehmensumgebungen mit KMS-Aktivierung hätten das Update KB971033 niemals auf den Windows 7-Clients installieren dürfen. Dumm, dass Microsoft dort eine 'Sollbruchstelle' eingebaut hat. Es ist wohlfeil, sich hinzustellen 'hätte ein Administrator wissen müssen'. Updates haben eigentlich 'fail-safe' zu sein – sprich: Wenn jemand das auf einer Maschine, für die es nicht gedacht ist, installiert bekommt, darf das keine Kollateralschäden verursachen.
Denn eines ist sicher Auch wenn Microsoft sogar seine KB-Artikel mustergültig anlegen würde und die Administratoren noch so gut geschult werden: Es findet sich immer jemand, der den 'falschen Knopf drückt' – und dann knallt es. Microsoft hat nach meinem Gefühl die Übersicht verloren, ob und welche Updates bei Änderungen an den Aktivierungsservern mächtig Ärger bereiten. Da ist was aus dem Ruder gelaufen – Windows-Nutzung nach dem Zufallsprinzip. Oder wie seht ihr das?
Ähnliche Artikel:
Microsoft Office Patchday (2. Januar 2019)
Microsoft Security Update Summary (08. Januar 2019)
Patchday: Updates für Windows 7/8.1/Server 8. Jan. 2019
Patchday Windows 10-Updates (8. Januar 2019)
Patchday Microsoft Office Updates (8. Januar 2019)
Netzwerkprobleme mit KB4480970 (Monthly Rollup)/KB4480960
Update KB971033/KB4480960/KB4480970 bricht Windows 7 Aktivierung (0xc004f200)
Patchday Windows 10-Updates (8. Januar 2019)
Anzeige
…ach, solange nur wenige User, sagen wir mal unter 1%, davon betroffen sind
ist es wohl kaum der Rede wert.
Und zudem, wieso sollten so extrem gut geschulte und so dermassen intelligente
und zuverlässige Mitarbeiter mit enormem Sachwissen und unglaublicher Moti-
vation in einem so renommierten Unternehmens auch nur kurzzeitig mal den
Überblick verlieren?
Nee, da muss was Anderes daran schuld sein…gaaanz sicher…hust…ähem…
(sorry, muss Schluss machen, der Sarkasmus kam gerade herein und über-
wältigte mich wieder einmal…)
Gruss, Christian
Hallo miteinander,
als langjähriger WSUS-Admin bin ich so bequem und gebe auf dem WSUS nur frei, was die Clients anfordern. Ich bin leider zu faul, noch irgendwelche Artikel im Download Center zusammen zu suchen.
Meine Faulheit wurde jetzt belohnt, denn das Problem habe ich nicht. /IronieAus
Ne, also wirklich, ich verstehe da Microsoft auch nicht mehr.
Früher hat mich die ganze Updaterei mal so 10 Std. im Monat gekostet, incl. Recherche, Tests, Doku und zickige Clients.
Heute reichen 20 Std. im Monat nicht mal mehr.
Da könnt ihr euch vorstellen, wie glücklich ich bin, dass es diesen Blog gibt. So konzentriert bekomme ich nirgends die Infos.
Schöne Grüsse aus Stuttgart und ein schönes Wochenende
KB971033 gibt es sinnvollerweise per wsus gar nicht
ich denke das problem betrifft weniger firmen mit kms
sondern eher leute die privat illegale kms server verwenden
Eben das meinte ich, dass es den KB971033 nur über den Updatekatalog gab. Firmenen, die keinen WSUS oder ähnliches einsetzen und die neu erschienen KBs manuell herunterladen und verteilen*, haben halt das Ding ;-)
* nicht lachen, so habe ich in den Anfängen gearbeitet. WSUS hat zwar auch seine Tücken, ist aber für die Updaterei gut geeignet.
Erstaunlich, was sich dieser $MS-Verein (ungestraft) alles leistet!
Bin ich froh, dass ich meine W7-Updates gesperrt habe (Updatestand 2018).
Mit allen Mitteln nötigt $MS auf W10 umzusteigen. Eine aus der Hölle geborene Fa :(
Anbei kurz mein Erfahrungsbericht. Ich betreibe vier Win7 Ultimate x64. Drei sind mit System Builder Lizenzen ausgestattet und machen keine Probleme. Mein vierter Rechner, mit preiswertem OEM-Key von ebay, ist nach dem Update gesperrt und lässt sich auch per Deinstallation von KB971033 über cmd.exe nicht reaktivieren – Fehlercode 0xC004F200. Die Lizenz bleibt gesperrt, obwohl sie bereits seit Juni 2018 täglich genutzt und von Microsoft zu keinem Zeitpunkt beanstandet wurde. Aber bevor ich auf Win10 upgrade, kaufe ich lieber noch eine System Builder Win7, denn Win7 ist mein letztes Betriebssystem von Microsoft.
Bei meinem Win7 Home Premium x64 wollte nach dem Januar-Update (kein WSUS, kein KMS) das Office 2010 beim Start von Excel neu aktiviert werden. Ein paar Klicks, und gut war. KB971033 konnte ich nirgends finden.
VG LvA
Da könnt ihr euch vorstellen, wie glücklich ich bin, dass es diesen Blog gibt. So konzentriert bekomme ich nirgends die Infos.
Zitat Ende
Richtig! Auch wenn dieser Artiele und die Beiträge nun schon etwas älter sind, aber sie sind dennoch immernoch aktuell.
Dieser Blog hier ist GROßARTIG! Besonders für mich als Frau!
Danke Herr Bohn.