Definition Was ist Windows Protected Print (WPP)?

Windows Protected Print ist eine von Microsoft mit Windows 11 24H2 und Windows Server 2025 eingeführte Sicherheitskonfiguration für das Windows-Drucksystem. WPP verwendet keine Drittanbietertreiber mehr, sondern nur noch Treiber der IPP-Klasse. Ziel ist es, Sicherheitsrisiken durch fehleranfällige Druckertreiber von Drittanbietern zu reduzieren und die Angriffsfläche von Windows zu verkleinern.

Windows Protected Print (WPP), teilweise auch als Windows Protected Print Mode bezeichnet, wurde von Microsoft im September 2024 eingeführt. Die Sicherheitsfunktion ist ab Windows 11 24H2 und Windows Server 2025 Bestandteil des Windows-Betriebssystems.

Bei WPP handelt es sich um einen speziellen Sicherheitsmodus beziehungsweise um eine optionale Sicherheitskonfiguration für die Windows-Druckplattform. Wird dieser geschützte Druckmodus aktiviert, werden keine Drittanbietertreiber mehr, sondern nur noch Treiber der IPP-Klasse verwendet. Aktuell ist WPP standardmäßig deaktiviert und muss, wenn es genutzt werden soll, manuell aktiviert werden.

Nach aktueller Planung von Microsoft soll WPP ab 2027 die Standardkonfiguration für das Windows-Drucksystem sein. WPP beendet die Abhängigkeit von fehleranfälligen Druckertreibern von Drittanbietern und verkleinert die Angriffsfläche von Windows.

Warum wurde WPP eingeführt?

Das Drucken unter Windows hat schon seit vielen Jahren mit Sicherheits- und Stabilitätsproblemen zu kämpfen. Das ist unter anderem darauf zurückzuführen, dass für die verschiedenen Druckertypen der unterschiedlichen Hersteller eine Vielzahl von Druckertreibern existiert, die teils fehleranfällig sind oder sich instabil verhalten. Vor allem ältere Treiber sind mit aktuellen Sicherheitsanforderungen häufig nicht mehr kompatibel.

Trotz ihres hohen Berechtigungslevels lassen sich die Druckertreiber in der Regel ohne lokale Administratorrechte installieren. Auch der Windows-Spooler muss für den Druckvorgang mit umfangreichen Berechtigungen ausgeführt werden. Das Windows-Drucksystem ist daher zu einem beliebten Angriffsziel für Cyberkriminelle geworden. Nach Angaben von Microsoft entfallen auf druckbezogene Sicherheitsvorfälle knapp zehn Prozent aller Meldungen an das Microsoft Security Response Center. 2021 machte beispielsweise die schwerwiegende Sicherheitslücke im Windows-Druckwarteschlangendienst PrintNightmare von sich reden, die es Angreifern erlaubte, Schadcode aus der Ferne auszuführen und sich erweiterte Rechte auf den angegriffenen Systemen zu verschaffen.

Windows Protected Print wurde entwickelt, um diese Sicherheitsproblematik grundlegend anzugehen und die Angriffsfläche im Windows-Drucksystem zu verkleinern. WPP beendet die Abhängigkeit von Drittanbietertreibern und standardisiert den Druckvorgang über Treiber der IPP-Klasse.

Welche Voraussetzungen sind für WPP zu erfüllen?

Damit Windows Protected Print genutzt werden kann, müssen einige Voraussetzungen erfüllt sein. Zunächst muss auf dem Windows-System mindestens Windows 11 24H2 oder Windows Server 2025 vorhanden sein. Die verwendeten Drucker sollten zudem Mopria-zertifiziert sein. Die Zertifizierung der 2013 von Canon, HP, Samsung und Xerox gegründeten Mopria Alliance stellt sicher, dass sich die Drucker ohne herstellerspezifische Treiber oder Apps verwenden lassen. Mittlerweile besitzen die meisten aktuell verkauften Drucker nahezu aller Hersteller eine solche Mopria-Zertifizierung.

Sind diese Voraussetzungen erfüllt, lässt sich die Sicherheitskonfiguration aktivieren und die verwendeten Drucker arbeiten über das abgesicherte WPP-Drucksystem.

Was passiert beim Aktivieren von Windows Protected Print?

Aktivieren lässt sich Windows Protected Print in den Systemeinstellungen "Drucker und Scanner" oder über Gruppenrichtlinien.

Wird WPP aktiviert, funktionieren alle vorhandenen herstellerspezifischen Druckertreiber nicht mehr und sämtliche Drucker mit solchen Treibern sind zunächst blockiert. Darüber hinaus verhindert Windows, dass herstellerspezifische Treiber neu installiert werden können. Nach dem Aktivieren von WPP sucht Windows nach kompatiblen Mopria-Geräten und verbindet diese über den standardisierten IPP-Druck. Mit aktiviertem WPP werden die Druckaufträge dann mit niedrigeren Rechten (mit Nutzerrechten statt mit Systemrechten) ausgeführt. Zudem werden weitere Sicherheitsmechanismen wie Per-User-XPS-Rendering, Redirection-Schutz oder Module-Blocking aktiviert.

(ID:50894803)