Windows Server: Kerberos-Zertifikatsauthentifizierung auf Domänencontrollern erzwungen (KB5014754)

Zusammenfassung

Nach CVE-2022-26923, CVE-2022-26931 und CVE-2022-34691 verlangen Domänencontroller starke Zertifikatszuordnungen für die zertifikatsbasierte Kerberos-Authentifizierung. Seit dem Update vom 9. September 2025 wird das Zurückwechseln in den Kompatibilitätsmodus nicht mehr unterstützt, sodass Zertifikate ohne starke Zuordnung abgelehnt werden. Die Änderung ist aktiv.

Was ändert sich?

Zertifikatsbasierte Anmeldungen (zum Beispiel per Smartcard oder Zertifikat) schlagen fehl, wenn das Zertifikat keine starke Zuordnung und keine SID-Erweiterung hat. Der KDC protokolliert die Kdcsvc-Ereignisse 39, 40 und 41 im System-Protokoll (41, 48 und 49 unter Windows Server 2008 R2 SP1 und 2008 SP2). Im Enforcement-Modus wird die Authentifizierung verweigert.

Betroffen

• Windows-Domänencontroller, die zertifikatsbasierte Authentifizierung bedienen
• Server mit Active Directory Certificate Services
• Windows Server 2012 R2, 2012, 2016, 2019, 2022, Version 20H2, 2008 R2 ESU und 2008 SP2 (gemäss KB5014754)

Vorbereitung und vorübergehende Ausnahmen

1. Das System-Protokoll der Domänencontroller auf Kdcsvc-Ereignisse 39, 40 und 41 prüfen.
2. Betroffene Zertifikate mit der neuen SID-Erweiterung neu ausstellen.
3. Ist eine Neuausstellung nicht möglich, im Attribut altSecurityIdentities des Benutzers eine starke Zuordnung hinzufügen: X509IssuerSerialNumber (empfohlen), X509SKI oder X509SHA1PublicKey.
4. Das Vorwärtsformat von Issuer und Serial Number beim Eintragen der Zuordnung umkehren.

Prüfen und abschliessen

Kein Fehler. Die Erzwingung ist die beabsichtigte Härtung. Prüfen, dass keine Kdcsvc-Ereignisse 39, 40 oder 41 protokolliert werden und alle Zertifikate starke Zuordnungen haben.

Empfehlung

Alle Domänencontroller auf Kdcsvc-Ereignisse prüfen, Zertifikate neu ausstellen oder starke Zuordnungen in altSecurityIdentities hinzufügen und schwache Zuordnungstypen (X509IssuerSubject, X509SubjectOnly, X509RFC822) vermeiden. Für über Intune ausgestellte Zertifikate die verlinkte Microsoft-Anleitung zur starken Zuordnung beachten.

Zeitplan

1. 10.05.2022Das Update vom Mai 2022 fügt Kdcsvc-Überwachungsereignisse und den Kompatibilitätsmodus für die zertifikatsbasierte Authentifizierung hinzu.
2. 11.02.2025Domänencontroller wechseln in den Full-Enforcement-Modus, wenn StrongCertificateBindingEnforcement nicht konfiguriert ist; ein Zurückwechseln in den Kompatibilitätsmodus bleibt möglich.
3. 09.09.2025Datum für den Enforcement-Modus: Die Möglichkeit, in den Kompatibilitätsmodus zurückzuwechseln, endet mit dem Sicherheitsupdate vom 9. September 2025.

Quellen

• KB5014754: Certificate-based authentication changes on Windows domain controllers Hersteller · support.microsoft.com
• Support tip: Implementing strong mapping in Microsoft Intune certificates Hersteller · techcommunity.microsoft.com
• CVE-2022-26923 Hersteller · msrc.microsoft.com

Aus den genannten Quellen zusammengestellt und übersetzt mit AI (Claude); Status und Daten stammen vom Hersteller. Massgebend sind die Angaben des Herstellers. Aktualisiert 01.11.2026 17:16.