By Brock McKenna on Oktober 8, 2026
Druckertreiber sind eine echte Angriffsfläche. Laut Microsoft waren druckbezogene Fehler über einen Zeitraum von drei Jahren für 9 % der an das Microsoft Security Response Center gemeldeten Fälle verantwortlich, und Microsofts Analyse ergab, dass der Windows Protected Print mode (WPP) mehr als die Hälfte der untersuchten druckbezogenen Schwachstellen hätte entschärfen können. Der Wechsel zu einer sichereren, treiberunabhängigen Druckarchitektur ist daher sinnvoll.
Aber was bedeutet das für Unternehmen, die Azure Virtual Desktop (AVD), Citrix oder Remote Desktop Services (RDS) einsetzen?
Virtuelle Desktop-Umgebungen setzen seit Langem auf unterschiedliche Ansätze, um Remote-Sitzungen mit physischen Druckern zu verbinden. Einige erfordern herstellerspezifische Treiber auf den Sitzungshosts, andere nutzen Druckerumleitung, universelle Drucktechnologien oder Cloud-Dienste. WPP wirkt sich nicht auf alle diese Ansätze gleichermaßen aus, daher ist es wichtig, die jeweiligen Abhängigkeiten zu verstehen, bevor Änderungen vorgenommen werden.
Warum ist Windows Protected Print eine Herausforderung für virtuelle Desktops?
Die grundlegende Herausforderung beim Drucken in VDI-Umgebungen besteht darin, dass Anwendungen innerhalb von Remote-Sitzungen laufen, während die Drucker oft an einem anderen Ort stehen. Herkömmliche Druckarchitekturen lösen dieses Problem auf unterschiedliche Weise:
Druckerumleitung macht lokal angeschlossene Drucker innerhalb der Sitzung verfügbar. Microsofts Remote Desktop Easy Print vermeidet beispielsweise die Notwendigkeit herstellerspezifischer Treiber auf dem Sitzungshost. Allerdings können umgeleitete Druckernamen sitzungsspezifische Suffixe enthalten, was bei Anwendungen, die feste Druckernamen erwarten, Probleme verursachen kann.
Universelle Drucktechnologien wie der Citrix Universal Print Driver und Windows Easy Print verringern den Bedarf an einzelnen Herstellertreibern auf den Sitzungshosts. Je nach Konfiguration bringen sie jedoch andere Faktoren mit sich, etwa höhere Bandbreitennutzung oder eingeschränkte Kompatibilität mit spezialisierten Druckerfunktionen.
Direktes Netzwerkdrucken erlaubt es Sitzungshosts, Druckaufträge an Netzwerkdrucker zu senden. Das kann gut funktionieren, erfordert aber möglicherweise Herstellertreiber und eine zuverlässige Verbindung zwischen Sitzungshosts und Druckern.
Einen genaueren Blick auf diese Architekturen findest du in unserem Artikel Wie das Drucken in AVD, Citrix und RDS funktioniert – und warum es oft Probleme gibt.
Wichtig ist der Unterschied, dass nicht jede VDI-Druckmethode Treiber von Drittanbietern auf dem Sitzungshost verlangt. Die Kompatibilität mit WPP hängt von den jeweils beteiligten Komponenten ab.
Was ändert WPP für einen Sitzungshost?
Der Windows Protected Print mode, der mit Windows 11 24H2 eingeführt wurde und von Windows Server 2025 unterstützt wird, beschränkt das Drucken auf Microsofts integrierte IPP-basierte Architektur. Druckertreiber von Drittanbietern können nicht verwendet werden, solange WPP aktiviert ist.
Für VDI-Administratoren wirft das drei Überlegungen auf.
Vorhandene Treiber in Golden Images. Wenn ein AVD-, Citrix- oder RDS-Image herstellerspezifische Druckertreiber enthält, verhindert WPP die Verwendung dieser Treiber. Die Aktivierung von WPP entfernt außerdem installierte Drucker, die auf Drittanbieter-Druckertreiber angewiesen sind.
Druckerumleitung. Nicht alle umgeleiteten Drucker benötigen herstellerspezifische Druckertreiber auf dem Sitzungs-Host. Dennoch sollten Administratoren prüfen, ob ihre spezifische Umleitungskonfiguration und ihre Druckkomponenten bei aktiviertem WPP funktionieren.
Ältere und spezialisierte Drucker. Geräte, die auf ältere herstellerspezifische Druckertreiber angewiesen sind, sind möglicherweise über die herkömmliche Windows-Druckerinstallation nicht mehr verfügbar. Etikettendrucker, ältere MFPs und andere spezialisierte Hardware verdienen besondere Aufmerksamkeit. Alternative Druckarchitekturen können es ermöglichen, dass einige dieser Geräte weiterhin nutzbar bleiben.
WPP ist heute noch nicht verpflichtend, und Microsoft hat nicht angekündigt, wann es zum Standard wird. Die umfassendere Abkehr von älteren Druckertreibern ist jedoch bereits im Gange:
- 15. Januar 2026: Microsoft hat die routinemäßige Annahme neuer Drittanbieter-Druckertreiber für die Veröffentlichung über Windows Update unter Windows 11 und Windows Server 2025 und neueren Versionen eingestellt, wobei Ausnahmen individuell geprüft werden.
- 1. Juli 2026: Windows begann bei der Auswahl von Druckertreibern den integrierten IPP-Klassentreiber zu priorisieren.
- 1. Juli 2027: Microsoft wird die Annahme von nicht sicherheitsrelevanten Updates für Drittanbieter-Druckertreiber über Windows Update einstellen.
Bestehende Drittanbieter-Druckertreiber bleiben weiterhin zur Installation über Windows Update verfügbar, und Hersteller können Treiber weiterhin über separate Installationspakete bereitstellen. Microsofts Roadmap bedeutet nicht, dass ältere Druckertreiber im Juli 2027 plötzlich nicht mehr funktionieren werden.
Dennoch sollten Organisationen, die VDI-Golden-Images pflegen, überlegen, wie lange sie von herstellerspezifischen Treibern abhängig sein wollen. Microsofts offizielle Roadmap gibt die Richtung klar vor.
Vor der Aktivierung von WPP: Eine VDI-Kompatibilitäts-Checkliste
Bevor WPP in einer AVD-, Citrix- oder RDS-Umgebung aktiviert wird, sollten IT-Teams feststellen, wo ihre Druckabhängigkeiten tatsächlich bestehen.
Der Ausgangspunkt sind die Treiber. Werden herstellerspezifische Druckertreiber in Golden Images installiert, dynamisch zu Sitzungs-Hosts hinzugefügt oder nur auf Endgeräten verwendet? WPP wirkt sich auf das Windows-System aus, auf dem es aktiviert ist. Daher ist diese Unterscheidung wichtig.
Identifiziere als Nächstes, welche Druckmethoden und Anwendungen von diesen Treibern abhängig sind. Achte dabei besonders auf spezialisierte Drucker, herstellerspezifische Funktionen und Anwendungen, die auf feste Druckernamen angewiesen sind.
Teste abschließend WPP auf einem repräsentativen Session-Host, bevor du die Produktions-Images änderst. Überprüfe die Druckerverfügbarkeit, die Anwendungskompatibilität und die wichtigsten Arbeitsabläufe. Microsoft bestätigt, dass das Aktivieren von WPP Drucker entfernt, deren Treiber von Drittanbietern stammen, und dass das anschließende Deaktivieren diese Druckerkonfigurationen nicht automatisch wiederherstellt.
Das Ziel ist nicht, deine Druckinfrastruktur sofort zu ersetzen. Vielmehr geht es darum, Abhängigkeiten zu erkennen, bevor sie zu Kompatibilitätsproblemen werden.
Cloud-Printing: Druckertreiber aus der VDI-Sitzung auslagern
Eine Möglichkeit, die Auswirkungen von WPP zu reduzieren, besteht darin, das druckerspezifische Rendering aus dem virtuellen Desktop auszulagern.
Mit ezeep werden Druckaufträge in der Cloud gerendert, statt über herstellerspezifische Rendering-Treiber, die auf Session-Hosts installiert sind. Die verarbeiteten Aufträge werden je nach Bereitstellung über den ezeep Hub oder einen entsprechenden Software-Connector an die Drucker übermittelt.
Das reduziert die Notwendigkeit, herstellerspezifische Treiber in Golden Images zu pflegen, und vermeidet die Abhängigkeit von herkömmlicher RDP- oder ICA-Druckerumleitung beim ezeep-verwalteten Drucken.
ezeep unterstützt auch Windows Protected Print. Laut der offiziellen ezeep-Dokumentation erstellt die ezeep Print App für Windows (Mai 2026 oder später) native IPP-Druckwarteschlangen mithilfe von Microsofts integriertem IPP-Klassentreiber. Das druckerspezifische Rendering erfolgt in der Cloud, sodass ezeep-verwaltete Drucker genutzt werden können, ohne WPP zu deaktivieren.
Dieser Ansatz kann Organisationen außerdem dabei helfen, ältere, nicht Mopria-fähige Drucker weiter zu nutzen, sofern diese Geräte unterstützt werden und über eine geeignete ezeep-Konfiguration angebunden sind.
Für VDI-Umgebungen gehören zu den praktischen Vorteilen:
- Für unterstützte, von ezeep verwaltete Drucker werden keine herstellerspezifischen Rendering-Treiber auf Session-Hosts benötigt.
- Geringerer Wartungsaufwand für Treiber und weniger potenzielle Kompatibilitätskonflikte in Golden Images.
- Drucken ohne die herkömmliche Client-Druckerumleitung.
- Zentralisierte Druckerverwaltung und -zuweisung.
Administratoren sollten dennoch die Anwendungskompatibilität und das Multi-Session-Verhalten überprüfen, bevor sie WPP auf den Produktions-Hosts aktivieren.
Das versteckte Problem beim VDI-Drucken: Feste Druckernamen
Bevor du Druckerkonfigurationen änderst, solltest du dir eine Frage stellen: Welche Anwendungen in deiner Umgebung sind von einem bestimmten Druckernamen abhängig?
Line-of-Business-Anwendungen, insbesondere ERP-Systeme, sind oft so konfiguriert, dass sie an benannte Warteschlangen drucken. In gepoolten Multi-Session-Umgebungen können umgeleitete Druckernamen sitzungsspezifische Suffixe enthalten, sodass Anwendungen den erwarteten Drucker nicht finden.
Die ezeep Print App for Services unterstützt automatisiertes Drucken aus Windows-Anwendungen, einschließlich ERP-Systemen. Sie kann Teil einer Druckkonfiguration sein, die die herkömmliche, sitzungsspezifische Druckerumleitung vermeidet. Anwendungen, die feste Warteschlangennamen benötigen, sollten mit der gewählten Konfiguration getestet werden.
Identifiziere vor der Migration, welche Anwendungen von festen Druckernamen abhängig sind und wie diese Abhängigkeiten erhalten bleiben. Wenn die Antwort lautet: „Mehrere Anwendungen, und niemand weiß genau, welche“, ist das eine wichtige Erkenntnis, die die Reihenfolge der Migration beeinflussen sollte.
Vorbereitung deiner VDI-Umgebung für Windows Protected Print
Windows Protected Print bedeutet nicht, dass jede bestehende VDI-Druckkonfiguration ersetzt werden muss. Aber Microsofts Abkehr von veralteten Drittanbieter-Druckertreibern macht es wichtig zu verstehen, von welchen Komponenten deine Umgebung abhängt.
Für Unternehmen, die komplexe Golden Images und Druckerkonfigurationen pflegen, bietet Cloud rendering eine Möglichkeit, diese Abhängigkeiten zu reduzieren und sich auf eine sicherere Windows-Druckarchitektur vorzubereiten.
