Print Support Apps ohne den Microsoft Store bereitstellen

TL;DR

Print Support Apps (PSAs) benötigen nicht den Microsoft Store. In Enterprise-Umgebungen, in denen der Store per Richtlinie deaktiviert ist, können PSAs per MSIX/APPX-Sideloading oder über Microsoft Intune als Line-of-Business-Anwendungen bereitgestellt werden. Der Store-basierte Weg ist der Standard für Consumer-Umgebungen; MSIX via Intune ist der enterprise-taugliche Pfad. Beide führen dazu, dass dieselbe PSA im Nutzerkontext auf dem Client ausgeführt wird. Der technische Mechanismus ist etabliert; die Lücke ist herstellerspezifisch: Noch nicht jeder Anbieter paketiert seine PSA für die Enterprise-Distribution. Kläre mit jedem Hersteller, ob seine PSA in einem für Sideloading geeigneten Format verfügbar ist, bevor du einen Bereitstellungsplan erstellst.

Wie sich PSAs in Windows Ready Print und Windows Protected Print einfügen

Windows Ready Print (WRP) ist Microsofts moderne IPP-basierte Druckplattform. Sie macht IPP zum Standardprotokoll für neu installierte Drucker; die im Januar 2026 wirksame Frist für die Treiberbereitstellung über Windows Update ist bereits in Kraft. Windows Protected Print (WPP) ist der strikte Enforcement-Modus, der auf WRP aufsetzt; er entfernt jeglichen Fallback auf ältere Treiber und erfordert Mopria-zertifizierte Drucker ausschließlich.

PSAs funktionieren sowohl innerhalb von WRP als auch von WPP. Der IPP-Klassentreiber steuert grundlegende Druckfunktionen – Duplex, N-up, Farbe/Schwarzweiß – und das Standard-IPP-Finishing-Vokabular: die acht in IPP Finishings 3.0 definierten Heftpositionen, Kanten- und Sattelheftung, Lochung, die über Integer-Offset-Attribute deklariert wird, die zwölf Standard-Falzarten und die Auswahl des Ausgabefachs, sofern die Firmware des Druckers diese Fähigkeiten deklariert. Was eine Print Support App erfordert, sind herstellerspezifische Funktionen, die über dieses Standardvokabular hinausgehen: proprietäre Heftpositionen, benutzerdefinierte Lochmuster jenseits des Integer-Offset-Modells, mehrstufige Finishing‑Sequenzen mit herstellerspezifischer Logik und herstellerproprietäre Falzvarianten. Die PSA läuft im Nutzerkontext, außerhalb des Print Spoolers, und stellt diese herstellerspezifischen Optionen im Druckdialog zur Verfügung.

Der Standard-Distributionsweg für PSAs ist der Microsoft Store. Wenn ein Windows‑Client über den IPP‑Klassentreiber eine Verbindung zu einem Drucker herstellt, sucht Windows im Store nach einer passenden PSA basierend auf der Hardware‑ID des Druckers. Falls eine vorhanden ist, installiert der Store sie automatisch. Die erweiterten Fähigkeiten der PSA erscheinen im Druckdialog, wenn Nutzende das nächste Mal auf diesem Gerät drucken.

Das funktioniert für Clients mit Zugriff auf den Store. Für Enterprise-Umgebungen , in denen der Store per Richtlinie deaktiviert ist, wird der Standardpfad nicht ausgelöst. Die PSA wird nie installiert. Herstellerspezifische Finishing‑Optionen, die von der PSA abhängen, bleiben daher nicht verfügbar.

Was sind die Enterprise‑Bereitstellungspfade für PSAs?

MSIX/APPX‑Sideloading. PSAs werden als MSIX‑Apps (UWP) paketiert, nicht als traditionelle Win32‑MSI‑Installer. Microsofts Dokumentation bestätigt, dass auf Windows Server, der den Store nicht unterstützt, Administratoren PSAs via Sideloading (MSIX/APPX) oder über Enterprise‑App‑Management‑Tools bereitstellen und installieren müssen. Dasselbe gilt für Windows‑11‑Clients, auf denen der Store deaktiviert ist. MSIX‑Pakete können über SCCM, Microsoft Configuration Manager, Softwareinstallation per Gruppenrichtlinie oder jedes andere Tool in der Umgebung bereitgestellt werden, das MSIX‑Bereitstellungen auf verwalteten Clients unterstützt. Die PSA installiert sich wie jede andere Line‑of‑Business‑Anwendung.

Verteilung als Line‑of‑Business‑App über Intune. Für Umgebungen, die Geräte über Intuneverwalten, können als LOB‑Anwendungen paketierte PSAs als MSIX/APPXBUNDLE‑Dateien an definierte Gerätegruppen verteilt werden. Dieser Pfad funktioniert unabhängig von der Richtlinie für den Consumer Microsoft Store und gilt für verwaltete Geräte unabhängig vom Store‑Status. Microsoft dokumentiert außerdem eine Methode mit einem Registrierungsschlüssel, mit der Enterprise‑Kunden die PSA‑Zuordnung aus einer Erweiterungs‑INF überschreiben können, verteilt via Endpoint Manager — nützlich, wenn eine kundenspezifische oder geschäftslogikbasierte PSA statt der Standard‑Hersteller‑App ausgerollt werden soll.

Neuer Microsoft Store in Intune über den Windows Package Manager. Ein zweiter Intune‑Pfad: Wenn der Hersteller seine PSA im öffentlichen Microsoft Store veröffentlicht, kann Intune sie über die neue Microsoft‑Store‑Integration (Windows Package Manager/WinGet) bereitstellen, unabhängig von der auf Geräteebene deaktivierten Consumer‑Store‑Richtlinie. Der oben beschriebene LOB‑Pfad ist speziell dann nötig, wenn der Hersteller keine im Store veröffentlichte PSA anbietet und stattdessen MSIX direkt für die Enterprise‑Distribution paketiert.

Organisationsspezifische PSAs über den Hersteller. Organisationen mit direkten Herstellerbeziehungen können kundenspezifische PSAs anfordern und intern verteilen. Die Anpassung der PSA selbst — gebrandete UI, organisationsspezifische Standardeinstellungen, Durchsetzung von Druckkontingenten, Kostenabrechnung, Richtliniendurchsetzung (keine Farbe, nur Duplex) — unterscheidet diesen Weg vom Standard‑Distributionspfad. Microsoft empfiehlt explizit den Endpoint Manager für die Verteilung sowohl der kundenspezifischen PSA als auch des Registrierungsschlüssels, der sie mit den richtigen Druckwarteschlangen verknüpft.

Die praktische Schlussfolgerung: Die Behauptung, „Umgebungen mit deaktiviertem Store sind blockiert“, hält nicht stand. Die Enterprise‑Distributionswege existieren. Die eigentliche Variable ist die Paketierung durch den Hersteller und ob jeder Anbieter eine MSIX/APPX erstellt hat, die über diese Kanäle für seine spezifische PSA verteilt werden kann.

Ein Hinweis zur PSA‑Paketierung von HP und Xerox

Zwei Hersteller tauchen bei der Enterprise‑PSA‑Planung am häufigsten auf.

HPs Print Support App heißt HP Universal Print Application. HP hat sie 2024 für Consumer‑Produkte veröffentlicht und zugesagt, sie auf HPs gesamte Mopria‑konforme Druckerflotte auszuweiten. Ob die HP Universal Print Application als MSIX‑Paket für die Bereitstellung via Intune oder SCCM verfügbar ist, sollte vor Erstellung eines Bereitstellungsplans direkt in HPs Enterprise‑Dokumentation und beim Account‑Team geklärt werden.

Die PSA von Xerox wird als Teil der Xerox Print and Scan Experience App geliefert. Xerox dokumentiert mehrere Installationspfade, darunter Xerox Smart Start und den Microsoft Store. Ob ein eigenständiges MSIX‑ oder LOB‑bereitstellbares Paket für Store‑deaktivierte Enterprise‑Umgebungen verfügbar ist, sollte in der Enterprise‑Support‑Dokumentation von Xerox überprüft werden.

Beide Bezeichnungen sind zum Zeitpunkt der Erstellung dieses Textes korrekt; die Verfügbarkeit von Paketen für die Enterprise‑Bereitstellung sollte Gerät für Gerät und Modell für Modell verifiziert werden, da die PSA‑Entwicklung bis 2026 und 2027 andauert.

Kann man Windows Protected Print auf bestimmte Workstations beschränken?

Ja. WPP ist über GPO und Intune auf OU‑Ebene konfigurierbar. Es auf allgemeine Büro‑Workstations zu beschränken und Workstations mit hohem Finishing‑Bedarf — wo PSA‑abhängige herstellerseitige Features wichtig sind — auszuschließen, ist ein valider Zwischenansatz. Die ausgeschlossenen Workstations verbleiben auf dem Legacy‑Stack und erhalten nicht den Sicherheitsvorteil von WPP. Das ist ein Kompromiss, den man explizit abwägen sollte, nicht ein undokumentierter Workaround.

Eine scoped GPO, die den Store in bestimmten OUs wieder aktiviert, ist technisch möglich, widerspricht aber der Sicherheitsposition, die zur Deaktivierung des Stores geführt hat. Mit MSIX‑Sideloading und Intune‑LOB‑Distribution als saubereren Alternativen ist dieser Weg selten die richtige Antwort.

Wie sieht das für eine sicherheitsorientierte IT‑Abteilung aus?

Für eine sicherheitsorientierte IT‑Abteilung, die WPP im Rollout‑Plan hat, den Store deaktiviert und dem Juli‑2026‑Stichtag für die standardmäßige Aktivierung von WRP bei neuen Druckerinstallationen näherkommt, lauten die Planungsfragen:

1. Welche Drucker in der Flotte haben überhaupt Hersteller‑PSAs?
2. Welche davon sind als MSIX‑Pakete oder Intune‑kompatible LOB‑Apps verfügbar?
3. Welche Workflows benötigen tatsächlich herstellerspezifische Finishing‑Features — proprietäre Heftpositionen, benutzerdefinierte Lochmuster, mehrstufige Finishing‑Sequenzen — über das Standard‑IPP‑Vokabular hinaus, das der IPP‑Klassentreiber bereits abdeckt?
4. Für Modelle ohne einen enterprise‑tauglichen Distributionsweg: Was ist die Antwort — Eskalation beim Hersteller, Flottenerneuerung oder eine alternative Druckarchitektur?

Darauf gibt es herstellerspezifische Antworten, die sich mit der Reife der PSA‑Entwicklung ändern. Große Hersteller liefern PSAs aus und bewegen sich in Richtung enterprise‑fähiger Pakete, aber die Abdeckung nach Geräteserien ist uneinheitlich. Diese Prüfung sollte Gerät für Gerät erfolgen, nicht stillschweigend angenommen werden.

Was ändert sich, wenn du ezeep nutzt?

ezeep ändert die Abhängigkeitsstruktur. Cloud rendering leitet druckfertige Daten an das Gerät weiter, sodass der Druckpfad selbst in Umgebungen ohne PSA‑Abdeckung nicht unterbrochen wird. Das grundlegende Drucken und das Standard‑IPP‑Finishing‑Vokabular funktionieren weiterhin über den Cloud‑Pfad von ezeep , unabhängig davon, ob eine PSA installiert ist. Keine Server. Keine Treiber. Kein Aufwand.

Für herstellerspezifisches, erweitertes Finishing — proprietäre Heftpositionen, benutzerdefinierte Lochmuster, mehrstufige herstellerspezifische Finishing‑Sequenzen — bleibt die PSA des Herstellers auf der Windows‑Client‑Seite der Mechanismus. ezeep arbeitet dort parallel, wo sie installiert ist. ezeep ändert die Ausgangslage dahingehend, dass das Fehlen einer PSA nicht die gesamte Druckumgebung für diese Geräteklasse lahmlegt. Workflows, die herstellerspezifische Finishing‑Erweiterungen benötigen, hängen weiterhin von der Verfügbarkeit der PSA ab; der Rest der Flotte bleibt einsatzbereit.

In Umgebungen, in denen der Store vollständig deaktiviert und die PSA‑Verteilung tatsächlich blockiert ist, lautet die praktische Frage: Welche Workflows benötigen diese herstellerspezifischen Features wirklich? Meist handelt es sich nur um eine kleine Teilmenge — Rechtsabteilung, Marketingproduktion, Assistenz der Geschäftsführung — nicht um die gesamte Flotte. Für diese Teilmenge gezielte Hersteller‑Engagements zu organisieren ist oft praktikabler, als für jedes Gerät gleichzeitig eine Lösung zu suchen.

Was ist vor der WPP‑Durchsetzung in einer hochgradig abgesicherten Umgebung zu tun?

Drei konkrete Schritte.

1. Dokumentiere die Store‑Richtlinie und die Haltung zur Anwendungskontrolle. Das ist die Einschränkung, in die alles andere passen muss. Zu wissen, ob MSIX‑Sideloading erlaubt ist oder ob Intune‑LOB‑Bereitstellung zur Verfügung steht, definiert, welche Enterprise‑Pfade tatsächlich gangbar sind.

2. Prüfe die Flotte dahingehend, welche Workflows herstellerspezifische Finishing‑Features benötigen. Teile die Flotte in „grundlegendes Drucken und Standard‑IPP‑Finishing“ — wo der Funktionsumfang des IPP‑Klassentreibers ausreicht — und „herstellerspezifisches Finishing erforderlich“ — wo die PSA‑Verteilung wichtig ist und vor WPP‑Durchsetzung gelöst werden muss.

3. Eskaliere für die Teilmenge mit Finishing‑Bedarf die Frage der PSA‑Verteilung an die Hersteller. Frage gezielt nach MSIX‑Paketierung und Intune‑LOB‑Kompatibilität, nicht nur nach Store‑Verfügbarkeit. Für jede Geräteklasse ohne praktikable Antwort vom Hersteller, ziehe ezeep oder eine andere Druckarchitektur in Betracht, die für den Kerndruckpfad nicht von PSA‑Abdeckung abhängt.

Sprich mit einem Experten über hochgradig abgesicherte Enterprise‑Umgebungen

Wenn deine Sicherheitsrichtlinie den Microsoft Store ausschließt und deine Finishing‑intensiven Workflows von Hersteller‑PSAs abhängen, muss der weitere Weg zu deiner Realität bei der Anwendungskontrolle passen. Lass uns das gemeinsam durchgehen.

Ist deine Druckumgebung WPP‑ready?

Geh die Checkliste vor Juli durch

Kostenlose Checkliste