AD FS: DKM-Container-ACL-Härtung mit Oktober-2026-Update erzwungen (CVE-2026-56155)

Zusammenfassung

Mit dem Windows-Sicherheitsupdate vom 13. Oktober 2026 hat Microsoft die ACL-Härtung (Zugriffssteuerungsliste) des AD FS Distributed Key Manager (DKM) Containers in den Enforcement-Modus überführt. Sie behebt die Schwachstelle CVE-2026-56155 (Erhöhung von Berechtigungen). Auf unterstützten Windows-Server-Versionen behebt AD FS unsichere ACLs automatisch, sofern Administratoren nicht widersprochen haben. Windows Server 2012 und 2012 R2 erfordern eine manuelle Behebung. Die Änderung ist aktiv.

Was ändert sich?

Nach dem Update prüft AD FS die DKM-Container-ACL beim Dienststart und alle 24 Stunden und korrigiert sie bei Unsicherheit. Zugriff behalten nur Domain Admins, Enterprise Admins, System und das AD-FS-Dienstkonto; die Vererbung wird deaktiviert und andere explizite Allow-Einträge werden entfernt. Konfigurationen, die auf andere Berechtigungen angewiesen waren, können ausfallen. Im AD-FS-Admin-Ereignisprotokoll gilt: 1133 = sicher, 1132 = unsicher (Behebung folgt), 1134 = Fehler bei der Erkennung, 1135 = Behebung erfolgreich, 1136 = Behebung fehlgeschlagen, 1137 = Besitzerwechsel fehlgeschlagen (Dienstkonto hat kein WriteOwner/WriteDacl, meist bei Farmen, die unter Windows Server 2012/2012 R2 erstellt wurden).

Betroffen

• Windows Server 2016, 2019, 2022 und 2025 mit AD FS und dem Update vom 13. Oktober 2026 oder neuer: automatische Behebung
• Windows Server 2012 und 2012 R2 (ESU): keine automatische Behebung, manuelle Behebung erforderlich
• Der DKM-Container ist ein AD-Objekt, das von allen Servern der Farm gemeinsam genutzt wird
• Zugehöriger Artikel: KB5121391

Vorbereitung und vorübergehende Ausnahmen

1. Ein Opt-out wird nicht empfohlen, da die DKM-Container-ACL unsicher bleibt.
2. Falls aus Kompatibilitätsgründen nötig, setzen Sie den DWORD-Wert RemediateDkmAcl unter HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS auf 0, und zwar auf jedem AD-FS-Server der Farm vor der Installation des Updates.
3. Fehlt der Wert auf einem Server oder ist er ungleich 0, kann dieser Server den gemeinsamen Container trotzdem beheben.
4. Bei Event ID 1137: Erteilen Sie dem AD-FS-Dienstkonto explizite Allow-Rechte WriteOwner und WriteDacl auf dem DKM-Container (Schritte in KB5121391) und starten Sie den AD-FS-Dienst neu oder warten Sie bis zu 24 Stunden.

Prüfen und abschliessen

Der Enforcement-Modus begann am 2026-10-13. Installieren Sie das Update auf allen AD-FS-Servern und prüfen Sie das Ergebnis über die Event IDs 1133 oder 1135. Sichern Sie nach Event ID 1135 die vorherige ACL (SDDL) aus den zugehörigen Event-ID-510-Einträgen, da Ereignisprotokolle überschrieben werden können.

Empfehlung

Installieren Sie das Update vom Oktober 2026 oder neuer auf allen AD-FS-Servern, prüfen Sie das AD-FS-Admin-Protokoll auf die Ereignisse 1132 bis 1137 und testen Sie die AD-FS-Anmeldung. Sichern Sie nach erfolgreicher Behebung die vorherige SDDL. Beheben Sie Windows Server 2012 und 2012 R2 manuell. Verzichten Sie ohne dokumentierten Grund auf ein Opt-out.

Zeitplan

1. 14.07.2026Erste Härtungsphase (Audit-Modus): automatische Erkennung unsicherer DKM-Container-ACLs und optionale Behebung (Opt-in).
2. 13.10.2026Enforcement-Modus: AD FS behebt unsichere DKM-Container-ACLs standardmässig automatisch, ausser RemediateDkmAcl ist auf 0 gesetzt.

Quellen

• Windows message center: AD FS DKM container ACL hardening begins today Hersteller · support.microsoft.com
• KB5121391: CVE-2026-56155 AD FS DKM container ACL hardening Hersteller · support.microsoft.com
• CVE-2026-56155 Hersteller · msrc.microsoft.com

Aus den genannten Quellen zusammengestellt und übersetzt mit AI (Claude); Status und Daten stammen vom Hersteller. Massgebend sind die Angaben des Herstellers. Aktualisiert 01.11.2026 17:15.