Azure Virtual Desktop: Windows App braucht ab Oktober drei neue Firewall-Freigaben

Drei neue Domains für den Client

Microsoft hat am 14. September 2026 angekündigt, dass der Windows-App-Client für Azure Virtual Desktop ab Anfang Oktober 2026 drei zusätzliche Domains für den Verbindungsaufbau nutzt: .windows.cloud.microsoft, .service.windows.cloud.microsoft und .windows.static.microsoft. Laut der zugehörigen Microsoft-Dokumentation zu den erforderlichen FQDNs und Endpunkten für Azure Virtual Desktop haben die drei Domains unterschiedliche Aufgaben: .windows.cloud.microsoft trägt den allgemeinen Dienstverkehr der Windows-Cloud-Dienste, .service.windows.cloud.microsoft ist für Dienstverkehr reserviert, der zusätzlich optimiert wird, und .windows.static.microsoft liefert statische Inhalte sowie Installations- und Update-Pakete für den Client aus. Die Verbindung erfolgt in allen drei Fällen per HTTPS über Port 443 nach aussen. Die Domains gelten laut Dokumentation sowohl für Sitzungshosts als auch für Endgeräte, auf denen Nutzer den Windows-App- oder Remote-Desktop-Client installiert haben. Die Windows-App ist der Client, mit dem Nutzer unter anderem auf Azure Virtual Desktop, Windows 365 und Microsoft Dev Box zugreifen, und löst den älteren Remote-Desktop-Client schrittweise ab. Ein genaues Umstellungsdatum im Oktober nennt Microsoft nicht, nur den Zeitraum Anfang Oktober 2026.

Warum das Freischalten auf Geräteebene nötig ist

Microsoft weist ausdrücklich darauf hin, dass diese Domains teilweise bereits in einer früheren, cloudseitigen Aktualisierung der Anforderungen für Azure Virtual Desktop aufgeführt wurden. Das betraf jedoch in erster Linie die Sitzungshosts in Azure selbst. Es bedeutet nicht, dass die Domains auch auf den Endgeräten der Nutzer freigeschaltet sind: Firewall, Proxy, VPN, DNS-Filter oder Secure Web Gateway auf dem Client müssen die drei Domains separat erlauben, inklusive Geräten ausserhalb des Firmennetzwerks, etwa im Homeoffice hinter einem VPN-Tunnel. Sind die Endpunkte nicht erreichbar, können laut Microsoft Anmeldung, das Auffinden von Ressourcen, der Verbindungsaufbau oder laufende Sitzungen beeinträchtigt werden. Betroffen sind Firmen, die Azure Virtual Desktop oder Windows 365 einsetzen und den Zugriff ihrer Mitarbeitenden auf öffentliche Adressen einschränken, etwa über eine zentrale Firewall oder ein Secure Web Gateway. Die bestehenden, bereits länger etablierten Endpunkte für den Client, etwa *.wvd.microsoft.com und login.microsoftonline.com für die Authentifizierung, bleiben davon unberührt und müssen weiterhin freigeschaltet sein. Die drei neuen Domains kommen zusätzlich dazu, sie ersetzen bestehende Einträge nicht.

Was Schweizer KMU jetzt tun sollten

• Die drei Domains .windows.cloud.microsoft, .service.windows.cloud.microsoft und *.windows.static.microsoft für ausgehenden HTTPS-Verkehr auf Port 443 auf allen Geräten mit Windows-App- oder Remote-Desktop-Client freischalten.
• Falls eine TLS-Inspektion oder ein Secure Web Gateway im Einsatz ist, dort separat prüfen, ob die drei neuen Domains von einer allfälligen Entschlüsselung oder Blockierung ausgenommen werden müssen.
• Das Netzwerkteam oder den IT-Dienstleister frühzeitig einbinden, da Firewall- und Proxy-Änderungen häufig einen eigenen Freigabeprozess durchlaufen.
• Die bestehenden Freigaben, etwa für *.wvd.microsoft.com und login.microsoftonline.com, nicht entfernen - die neuen Domains ergänzen diese nur.
• Die Freigabe vor Anfang Oktober 2026 umsetzen und den Helpdesk vorab informieren, damit Anmeldeprobleme nach der Umstellung rasch der richtigen Ursache zugeordnet werden können.