Windows: Von NTLMv1 abgeleitete Anmeldedaten für SSO standardmässig eingeschränkt (Oktober-2026-Update)
Zusammenfassung
Seit dem Sicherheitsupdate vom Oktober 2026 (veröffentlicht am 2026-10-13) blockieren Windows 11 (26H2, 26H1, 25H2, 24H2) und Windows Server 2025 standardmässig das Erzeugen von aus NTLMv1 abgeleiteten Anmeldedaten für Single Sign-On. Dies gilt nur für Geräte mit deaktiviertem Credential Guard und nicht gesetztem Registrywert BlockNtlmv1SSO. Laut Microsoft ist dies eine geplante Härtung und kein bekanntes Problem. Die Änderung ist nun aktiv.
Was ändert sich?
WLAN-, Ethernet- und VPN-Verbindungen mit MS-CHAPv2-Authentifizierung (PEAP-MSCHAPv2, EAP-MSCHAPv2) in domänenintegrierten Umgebungen können sich per Single Sign-On unter Umständen nicht verbinden. Blockierte Anfragen protokollieren das Fehlerereignis 4025 in Microsoft-Windows-NTLM/Operational; im Audit-Modus wird die Warnung 4024 protokolliert.
Betroffen
- Windows 11, Versionen 26H2, 26H1, 25H2 und 24H2
- Windows Server 2025
- Nur Geräte mit deaktiviertem Credential Guard und nicht gesetztem BlockNtlmv1SSO
- Verbindungen mit MS-CHAPv2 (WLAN, Ethernet, VPN)
- Referenz: KB5066470
Vorbereitung und vorübergehende Ausnahmen
- Betroffene Authentifizierungskonfigurationen identifizieren (Ereignis-ID 4024/4025 in Microsoft-Windows-NTLM/Operational prüfen).
- Abhängigkeiten von MS-CHAPv2 entfernen und WLAN- und VPN-Verbindungen auf zertifikatsbasierte Authentifizierung umstellen.
- Als vorübergehende Option den Registrywert BlockNtlmv1SSO (REG_DWORD) unter HKEY_LOCAL_MACHINE\SYSTEM\currentcontrolset\control\lsa\msv1_0 auf 0 setzen (Audit-Modus: erlaubt und protokolliert). Ein Neustart ist nicht erforderlich.
- Nach dem Entfernen der Abhängigkeiten die Geräte wieder auf Erzwingung stellen (Wert 1 oder temporäre Einstellung entfernen).
Prüfen und abschliessen
Kein Fehler, daher ist keine Korrektur geplant. Die Erzwingung ist beabsichtigt; Abhängigkeiten von aus NTLMv1 abgeleiteten Anmeldedaten entfernen oder Credential Guard aktivieren (siehe KB5066470).
Empfehlung
Prüfen Sie WLAN- und VPN-Verbindungen jetzt auf MS-CHAPv2, besonders auf Geräten ohne Credential Guard, und werten Sie die Ereignisse 4024/4025 aus. Stellen Sie auf zertifikatsbasierte Authentifizierung um und aktivieren Sie Credential Guard, sofern die Voraussetzungen erfüllt sind. Nutzen Sie den Audit-Modus (0) nur vorübergehend als Überbrückung.
Zeitplan
- Audit-Modus eingeführt: Die NTLMv1-Nutzung wird protokolliert (Ereignis-ID 4024) auf Windows 11 24H2 und neuer, die Authentifizierung funktioniert weiterhin.
- Das Sicherheitsupdate vom Oktober 2026 setzt den Standard auf den Erzwingungsmodus (1), wenn der Registrywert BlockNtlmv1SSO nicht gesetzt und Credential Guard deaktiviert ist.
Fix-Skript (PowerShell)
Windows: NTLMv1-abgeleitete SSO-Anmeldedaten nach dem Update vom Oktober 2026 standardmässig blockiert
- Was es macht
- Verhindert, dass WLAN-, Ethernet- und VPN-Verbindungen mit MS-CHAPv2-Single-Sign-On fehlschlagen, wenn Windows die NTLMv1-Blockierung standardmässig durchsetzt. Der Audit-Modus erlaubt diese Verbindungen vorübergehend und protokolliert sie, bis die Abhängigkeiten beseitigt sind.
- Wie es es macht
- Das Skript setzt HKLM\SYSTEM\currentcontrolset\control\lsa\msv1_0\BlockNtlmv1SSO auf den DWord-Wert 0 (Audit-Modus). Es sichert zuvor den aktuellen Wert, läuft standardmässig als Testlauf und lässt sich mit -Undo rückgängig machen. Es ist nur eine temporäre Ausnahme: Nach dem Beseitigen der Abhängigkeiten ist wieder die Durchsetzung (Wert 1 oder Wert entfernen) herzustellen.
Achtung: Das Skript ändert eine sicherheitsrelevante Einstellung (LSA / NTLM / Anmeldeschutz). Es ist der vom Hersteller dokumentierte, meist vorübergehende Workaround – nach der Behebung das Skript erneut ausführen und die vorherige Konfiguration wiederherstellen (oder -Undo).
So verwenden Sie es
- Herunterladen, Inhalt und SHA-256 prüfen.
- In PowerShell ohne Parameter starten (als Administrator, falls nötig): Zuerst prüft es, ob das System betroffen ist („BETROFFEN“, „NICHT BETROFFEN“ oder „UNKLAR“), zeigt dann die geplanten Änderungen (alt → neu) und fragt „Änderungen jetzt anwenden?“. Vorher sichert es alle betroffenen Werte; ohne Sicherung ändert es nichts.
.\ITSB-Fix-ntlmv1-derived-credentials-for-sso-restricted-by-default-fro-v2.ps1 - Zum Rückgängigmachen das Skript erneut ausführen: Es fragt „Vorherige Konfiguration wiederherstellen?“ und stellt den Stand vor der ersten Änderung genau wieder her (auch Werte, die vorher nicht vorhanden waren, werden wieder entfernt).
.\ITSB-Fix-ntlmv1-derived-credentials-for-sso-restricted-by-default-fro-v2.ps1 - Ohne Benutzer (Intune, RMM, Aufgabenplanung) fragt es nie: ohne Parameter nur Prüfung (-Check), -Apply sichert und ändert, -Undo stellt wieder her, -Apply -Force auch bei „nicht betroffen“. Rückgabewerte: 0 erledigt, 1 Fehler, 2 keine Sicherung, 3 abgebrochen, 4 nicht betroffen. Protokoll und Sicherung unter %ProgramData%\ITSB\Fixes.
.\ITSB-Fix-ntlmv1-derived-credentials-for-sso-restricted-by-default-fro-v2.ps1 -Check·.\ITSB-Fix-ntlmv1-derived-credentials-for-sso-restricted-by-default-fro-v2.ps1 -Apply·.\ITSB-Fix-ntlmv1-derived-credentials-for-sso-restricted-by-default-fro-v2.ps1 -Undo·.\ITSB-Fix-ntlmv1-derived-credentials-for-sso-restricted-by-default-fro-v2.ps1 -Apply -Force
Nutzung ohne Gewähr – keine Garantie, keine Haftung, wenn etwas nicht funktioniert oder falsch ist. Vor dem Einsatz testen und eine Sicherung erstellen. Es gelten die AGB (kostenlose Skripte). Automatisch aus der Herstellerangabe erzeugt und geprüft (Regeln, zweite AI-Prüfung).
Quellen
- KB5066470: Manage NTLMv1 changes and prevent network authentication issues in Windows Hersteller · support.microsoft.com
- Advancing Windows security: Disabling NTLM by default Hersteller · techcommunity.microsoft.com
- Retiring NTLM: Frequently asked questions Hersteller · techcommunity.microsoft.com
- Credential Guard: Wi-Fi and VPN considerations Hersteller · learn.microsoft.com
Aus den genannten Quellen zusammengestellt und übersetzt mit AI (Claude); Status und Daten stammen vom Hersteller. Massgebend sind die Angaben des Herstellers. Aktualisiert 01.11.2026 17:15.
Woher die Angaben stammen
Wir lesen laufend die offiziellen Quellen der Hersteller, Meldungen aus der Community und Fachmedien und fassen die Angaben in eigenen Worten zusammen, mit Link zur Quelle:
- Microsoft: Windows Release Health (Windows 10/11, Server 2016 bis 2025), Windows Message Center, bekannte Probleme von Microsoft 365 Apps (Outlook, Excel, Word, PowerPoint), Edge, Intune, Autopilot, Windows 365 und Entra Connect, Microsoft-KB mit Zeitplänen, Exchange- und Windows-IT-Pro-Blog, optional Microsoft 365 Dienststatus und Message Center
- weitere Hersteller: Veeam KB, Citrix (bekannte Probleme), Ubuntu und Debian (Regressionen), Broadcom (VMware), Fortinet, Cisco, Mozilla, Let’s Encrypt
- Community (nur Titel, kurzer Auszug und Link, ohne Namen der Verfasser): Microsoft Q&A, Microsoft Tech Community (Diskussionen), Veeam R&D Forums, Eleven Forum
- gezielte Websuche mit AI (Claude), z. B. zu den Updates des Monats – findet auch Diskussionen auf Reddit und in Foren; solche Einträge sind als Community-Meldung gekennzeichnet, bis der Hersteller sie bestätigt
- Frühwarnung aus Fachmedien (nur Titel und Link): Borns IT- und Windows-Blog, BleepingComputer, AskWoody, Windows Latest, Windows Central, gHacks, The Windows Club, Deskmodder, Dr. Windows, WindowsArea, Frankys Web, heise online
Zusammenfassung und Übersetzung mit AI (Claude von Anthropic) – ohne Daten von Besucherinnen und Besuchern.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, setzen Workarounds sauber um und planen Stichtage rechtzeitig ein.