Windows 11 26H2: Domänenmitglieder verlieren evtl. die Vertrauensstellung zur Domäne
Zusammenfassung
Nach der Installation von Windows 11 Version 26H2 können Credential-Guard-geschützte Maschinenkonten ihren sicheren Kanal zu einer lokalen Active-Directory-Domäne verlieren. Ursache ist Machine Identity Isolation (MII), das Windows nun berücksichtigt; es wird nur mit Windows-Server-2025-Domänencontrollern auf Domain Functional Level 2025 oder höher unterstützt. Microsoft hat das Problem mit Updates ab dem 22.09.2026 behoben.
Symptome
Benutzer können sich trotz gültiger Domänenanmeldedaten nicht interaktiv anmelden und erhalten evtl. die Meldung, dass die Vertrauensstellung zwischen Gerät und Domäne fehlgeschlagen ist. Die Anmeldung mit zwischengespeicherten Anmeldedaten funktioniert eventuell weiterhin. AD-Replikation und AD-Dienste auf den Domänencontrollern sind nicht betroffen.
Betroffen
- Windows 11, Version 26H2
- Windows 11, Version 26H1 (auslösende Updates KB5124012 und KB5129194)
- Windows 11, Version 25H2 und 24H2 (auslösende Updates KB5124008 und KB5129195)
- Geräte mit Machine Identity Isolation, die nicht mit Windows-Server-2025-Domänencontrollern verbunden sind
- Windows Server: nicht betroffen
Workaround
Mit KB5124010 (26H2/25H2/24H2) oder KB5124006 (26H1) bzw. späteren Updates nicht nötig. Bei älteren Updates:
- Known Issue Rollback: Die Gruppenrichtlinien-Datei "KB5124008 260915_17123 Known Issue Rollback" (26H2, 25H2, 24H2) installieren, die Einstellung "KB5124008 260915_17123 Known Issue Rollback" unter Computer Configuration > Administrative Templates auf Disabled setzen und die Geräte neu starten.
- Alternativ Machine Identity Isolation mit der Methode deaktivieren, mit der es aktiviert wurde (Intune-Richtlinie oder Gruppenrichtlinie).
- Wurde es direkt in der Registrierung aktiviert, HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MachineIdentityIsolation und HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard\MachineIdentityIsolation prüfen; bei MachineIdentityIsolation = 2 den Wert auf 0 setzen.
- Das Gerät neu starten.
- Den sicheren Kanal zurücksetzen mit: Test-ComputerSecureChannel -Repair -Credential (Get-Credential)
Lösung
Behoben durch Windows-Updates ab dem 22.09.2026 (KB5124010) und später. Sie verhindern die MII-Durchsetzung vollständig, unabhängig von der Konfiguration, während die Funktion überarbeitet wird.
Empfehlung
Das Update vom 22.09.2026 oder ein neueres auf allen Windows-11-Clients installieren. Bei Geräten, die den sicheren Kanal bereits verloren haben, diesen reparieren. Machine Identity Isolation nur einsetzen, wenn alle Domänencontroller Windows Server 2025 mit Domain Functional Level 2025 oder höher verwenden.
Meldungen aus Community und Fachmedien
Hinweise aus Foren, Q&A-Seiten, Reddit und Fachmedien – nur verlinkt, ohne Namen der Verfasser; massgebend ist der Hersteller.
- Windows 11 KB5124008 update breaks domain trust for some users News · bleepingcomputer.com, 01.11.2026
- KB5124008 Windows 11 Domänen-Vertrauensstellung defekt News · windows-faq.de, 17.09.2026
- Windows 11 Update Domain Trust Problem Workaround News · it-administrator.de, 01.11.2026
- KB5124008 26200.9445 breaks machine secure channel Community · learn.microsoft.com, 09.09.2026
- Windows 11 26H2 release health Hersteller · learn.microsoft.com, 08.10.2026
Quellen
- Windows release health: Windows 11, Version 26H2 Hersteller · learn.microsoft.com
- Windows release health: Windows 11, Version 26H1 Hersteller · learn.microsoft.com
- Windows release health: Windows 11, Version 25H2 Hersteller · learn.microsoft.com
- Windows release health: Windows 11, Version 24H2 Hersteller · learn.microsoft.com
- KB5124010 Hersteller · support.microsoft.com
- Credential Guard protected machine accounts Hersteller · learn.microsoft.com
- How to use Group Policy to deploy a Known Issue Rollback Hersteller · learn.microsoft.com
Aus den genannten Quellen zusammengestellt und übersetzt mit AI (Claude); Status und Daten stammen vom Hersteller. Massgebend sind die Angaben des Herstellers. Aktualisiert 01.11.2026 15:56.
Woher die Angaben stammen
Wir lesen laufend die offiziellen Quellen der Hersteller, Meldungen aus der Community und Fachmedien und fassen die Angaben in eigenen Worten zusammen, mit Link zur Quelle:
- Microsoft: Windows Release Health (Windows 10/11, Server 2016 bis 2025), Windows Message Center, bekannte Probleme von Microsoft 365 Apps (Outlook, Excel, Word, PowerPoint), Edge, Intune, Autopilot, Windows 365 und Entra Connect, Microsoft-KB mit Zeitplänen, Exchange- und Windows-IT-Pro-Blog, optional Microsoft 365 Dienststatus und Message Center
- weitere Hersteller: Veeam KB, Citrix (bekannte Probleme), Ubuntu und Debian (Regressionen), Broadcom (VMware), Fortinet, Cisco, Mozilla, Let’s Encrypt
- Community (nur Titel, kurzer Auszug und Link, ohne Namen der Verfasser): Microsoft Q&A, Microsoft Tech Community (Diskussionen), Veeam R&D Forums, Eleven Forum
- gezielte Websuche mit AI (Claude), z. B. zu den Updates des Monats – findet auch Diskussionen auf Reddit und in Foren; solche Einträge sind als Community-Meldung gekennzeichnet, bis der Hersteller sie bestätigt
- Frühwarnung aus Fachmedien (nur Titel und Link): Borns IT- und Windows-Blog, BleepingComputer, AskWoody, Windows Latest, Windows Central, gHacks, The Windows Club, Deskmodder, Dr. Windows, WindowsArea, Frankys Web, heise online
Zusammenfassung und Übersetzung mit AI (Claude von Anthropic) – ohne Daten von Besucherinnen und Besuchern.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, setzen Workarounds sauber um und planen Stichtage rechtzeitig ein.