Seit dem 13. Oktober 2026 brechen aktuelle Sicherheitsupdates für Windows 11 (KB5127648) und Windows Server 2025 (KB5126646) in vielen Netzwerken die WPA-802.1X-Authentifizierung. IT-Administratoren stehen plötzlich vor ausgefallenen WLAN-, Ethernet- und VPN-Verbindungen – oft erst nach einem scheinbar harmlosen Rollen eines Cumulative Updates.
Was genau ist passiert?
Die Ursache liegt in einer veränderten NTLM-Richtlinie. Der Registrierungswert BlockNtlmv1SSO unter HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlLsaMSV1_0 wechselt durch das Update standardmäßig von einem reinen Prüfmodus in einen Erzwingungsmodus. Das bedeutet: Wenn Credential Guard nicht aktiviert ist, blockiert Windows ab sofort alle NTLMv1-abgeleiteten Anmeldeinformationen für Single Sign-On.
Folgt davon besonders betroffen: Konfigurationen mit PEAP-MSCHAPv2 auf RADIUS-Servern – also das am weitesten verbreitete Verfahren für Unternehmens-WLAN und -Ethernets. Die Störung zeigt sich unabhängig vom Hersteller der Netzwerkadapter (getestet bei Intel und Qualcomm) und betrifft Geräte mit Windows 11 in den Versionen 22H2, 23H2 sowie ab 24H2.
Microsoft listet das Problem weder im offiziellen Health Dashboard noch in den Release-Notes der Updates – erst Meldungen von Administratoren und die Meldung MC1508562 im Message Center zeigten das Ausmaß.
Sofortmaßnahme: Registry-Eintrag setzen
Als schnelle Übergangslösung können Sie den Wert BlockNtlmv1SSO manuell auf 0 setzen und damit den ursprünglichen Prüfmodus wiederherstellen. Das Update legt diesen Schlüssel nicht selbstständig an – er muss explizit erstellt werden.
Der Registry-Pfad lautet:
HKLMSYSTEMCurrentControlSetControlLsaMSV1_0
Wert: BlockNtlmv1SSO
Typ: REG_DWORD
Wert: 0Führen Sie dies auf jedem betroffenen Client aus – per Hand, per PowerShell oder zentral über Gruppenrichtlinien.
GPO-basierte Umsetzung (empfohlen)
Für eine unternehmensweite, automatisierte Verteilung nutzen Sie am besten eine Computer Configuration-Richtlinie unter Policies → Windows Settings → Security Settings → Local Policies → Security Options.
Die dazu passende ADMX-Strategie finden Sie über die Group Policy Search-Suche nach BlockNtlmv1SSO. Die Einstellung lässt sich dort als Network security: Restrict NTLM: 1‑Way SSO identifizieren. Legen Sie den Wert auf Disallowed fest – dies entspricht der Registry-Einstellung 0.
Alternativ geht das Setzen per PowerShell-Befehl sehr sauber:
# Auf einzelnen Computern
$regPath = 'HKLM:SYSTEMCurrentControlSetControlLsaMSV1_0'
if (-not (Test-Path $regPath)) { New-Item -Path $regPath -Force | Out-Null }
Set-ItemProperty -Path $regPath -Name 'BlockNtlmv1SSO' -Value 0 -Type DWord -Force
# Oder via GPO-Script (als Computerstartscript)
New-ItemProperty -LiteralPath 'HKLM:SYSTEMCurrentControlSetControlLsaMSV1_0' `
-Name 'BlockNtlmv1SSO' -Value 0 -PropertyType DWord -ForceWichtig: Das ist nur ein Workaround
Microsoft stuft die Rückkehr in den Prüfmodus ausdrücklich als zeitlich begrenzte Sicherheitsausnahme ein. Der gezwungene Erzwingungsmodus ist bewusst als härtere NTLM-Richtlinie umgesetzt worden – er soll Angreifer daran hindern, NTLMv1-Chains für Pass-the-Hash-Angriffe zu missbrauchen.
Setzen Sie den Workaround nur so lange ein, wie Sie die Migration auf zertifikatbasierte Authentifizierung noch nicht abgeschlossen haben. Sobald dies geschehen ist, kann der Registry-Wert wieder entfernt oder auf den Standardwert zurückgesetzt werden.
Dauerhafte Lösung: Migration zu EAP-TLS
Microsoft empfiehlt den vollständigen Umstieg auf moderne, zertifikatbasierte Verfahren:
- EAP-TLS (IEEE 802.1X mit Zertifikaten) – Das sicherste Verfahren. Jeder Client benötigt ein persönliches Zertifikat aus einem internen CA-Verzeichnis.
- PEAP-TLS – Alternative, wenn TLS-Client-Zertifikate aus Kompatibilitätsgründen nicht vollständig umsetzbar sind.
Der Umstieg erfordert einige Vorbereitung:
- CA-Architektur prüfen: Stellen Sie sicher, dass Ihre interne Active-Directory-Zertifizierungsstelle (AD CS) Client-Zertifikate für Computer und/oder Benutzer ausstellen kann.
- Zertifikatvorlagen anpassen: Erstellen oder adaptieren Sie eine Vorlage für Client-Authentifizierung mit den erforderlichen Erweiterungen (EKU: Client-Auth, Smartcard Login).
- RADIUS-Server konfigurieren: Der NPS (Network Policy Server) muss auf zertifikatbasierte Methoden umgestellt und mit dem CA-Vertrauen konfiguriert werden.
- Testphase in Testumgebung: Bevor Sie ein Update auf Produktivnetzwerke rollen, testen Sie zuerst in einer isolierten Umgebung – das gilt auch für alle weiteren十月-Sicherheitsupdates.
Was tun mit Always On VPN?
Einige der erwähnten Updates sollten eigentlich Verbindungsprobleme mit Always On VPN beheben (September-Updates). Paradoxerweise führte die Korrektur zu neuen Störungen bei 802.1X. Falls Sie Always On VPN im Einsatz haben, prüfen Sie zusätzlich, ob nach einem Rollback des Oktober-Patches die VPN-Verbindungen wieder stabil laufen.
Update-Rollback (Notfall)
Falls der Registry-Workaround nicht ausreicht oder andere Probleme auftreten, können Sie das Update deinstallieren:
# Windows 11
wusa /uninstall /kb:5127648 /quiet /norestart
# Oder per DISM (Admin)
dism /online /remove-package /packagepath:KB5127648.cabDies ist jedoch nur eine temporäre Maßnahme – das Update sollte zeitnah wieder eingespielt werden, sobald die Migration auf EAP-TLS abgeschlossen ist.
Quellen
- BornCity: Windows-Updates bestätigen WPA-802.1X-Ausfälle in Firmennetzen
- Microsoft Learn – Network Policy Server
- Group Policy Search – ADMX-Einstellungen
- Windows Hardening – Credential Protection
- Microsoft Message Center MC1508562 – Office-Aktualisierungen und Windows-Updates
No responses yet