Windows Server: Kerberos-KDC nutzt standardmässig AES, RC4-Diensttickets blockiert (CVE-2026-20833)

Zusammenfassung

Microsoft härtet das Kerberos Key Distribution Center (KDC) auf Domänencontrollern gegen CVE-2026-20833, eine Schwachstelle zur Informationsoffenlegung, mit der Angreifer RC4-verschlüsselte Diensttickets für Offline-Passwortangriffe erhalten können. Seit den Updates vom 14. April 2026 gilt für Konten ohne explizite Verschlüsselungseinstellung standardmässig nur AES-SHA1. Updates ab Juli 2026 entfernen die Rollback-Option. Stand 2026-11-01: Die Änderung ist aktiv.

Was ändert sich?

Die Kerberos-Authentifizierung kann für Dienste oder Geräte (insbesondere Nicht-Windows-Systeme) fehlschlagen, die noch RC4 benötigen und deren Konten keinen expliziten Wert für msds-SupportedEncryptionTypes haben. Im Systemereignisprotokoll der Domänencontroller erscheinen KDCSVC-Audit-Ereignisse 201 bis 209; Ereignis 205 wird protokolliert, wenn ein expliziter Wert für DefaultDomainSupportedEncTypes RC4 erlaubt. Fehlende Audit-Ereignisse garantieren nicht, dass Nicht-Windows-Geräte weiter funktionieren.

Betroffen

• Windows Server 2012 ESU und 2012 R2 ESU
• Windows Server 2016, 2019, 2022
• Windows Server, Version 23H2
• Windows Server 2025
• Active-Directory-Domänencontroller mit Updates ab dem 13. Januar 2026 (KB5073381)

Vorbereitung und vorübergehende Ausnahmen

1. Das Systemereignisprotokoll aller Domänencontroller auf KDCSVC-Ereignisse 201 bis 209 prüfen.
2. RC4-Abhängigkeiten beseitigen oder RC4 im Attribut msds-SupportedEncryptionTypes der betroffenen Dienstkonten explizit aktivieren.
3. Bis zur Installation der Juli-2026-Updates kann der Rollback-Wert RC4DefaultDisablementPhase manuell gesetzt werden. Danach wird dieser Unterschlüssel nicht mehr unterstützt.
4. Nicht-Windows-Geräte auf Kerberos-Kompatibilität testen.

Prüfen und abschliessen

Keine Korrektur nötig; es handelt sich um eine beabsichtigte Härtung. Prüfen, dass keine KDCSVC-Audit-Ereignisse mehr protokolliert werden und der Erzwingungsmodus auf allen Domänencontrollern aktiv ist (RC4DefaultDisablementPhase = 2 vor den Juli-2026-Updates).

Empfehlung

Aktuelle Updates auf allen Domänencontrollern installieren, die KDCSVC-Ereignisse auswerten und Nicht-Windows-Systeme (NAS, Linux, Appliances, Java-Anwendungen) testen. Für Konten, die noch RC4 benötigen, msds-SupportedEncryptionTypes explizit setzen und die Migration auf AES planen. Siehe die verlinkte Microsoft-Anleitung zum Erkennen und Beseitigen von RC4-Nutzung.

Zeitplan

1. 13.01.2026Initiale Einführungsphase: Die Updates fügen KDCSVC-Audit-Ereignisse (201-209) und Unterstützung für den Registrywert RC4DefaultDisablementPhase hinzu (Wert 2 aktiviert den Erzwingungsmodus vorzeitig).
2. 14.04.2026Erzwingungsphase mit manuellem Rollback: Der Standardwert von DefaultDomainSupportedEncTypes wechselt auf nur AES-SHA1 (0x18) für Konten ohne explizites Attribut msds-SupportedEncryptionTypes. Ein Rollback über RC4DefaultDisablementPhase bleibt möglich.

Quellen

• How to manage Kerberos KDC usage of RC4 for service account ticket issuance changes related to CVE-2026-20833 Hersteller · support.microsoft.com
• CVE-2026-20833 Hersteller · msrc.microsoft.com
• Kerberos protocol registry KDC configuration keys Hersteller · learn.microsoft.com
• Detect and remediate RC4 usage in Kerberos Hersteller · learn.microsoft.com

Aus den genannten Quellen zusammengestellt und übersetzt mit AI (Claude); Status und Daten stammen vom Hersteller. Massgebend sind die Angaben des Herstellers. Aktualisiert 01.11.2026 17:16.