NTLMv1-SSO: WLAN-, LAN- und VPN-Anmeldungen nach dem Oktober-Update prüfen
Stand der Recherche: 2. November 2026. Microsoft hat mit dem Sicherheitsupdate vom 13. Oktober 2026 das Standardverhalten für bestimmte NTLMv1-abgeleitete Anmeldedaten geändert. Betroffen sein können vor allem domänengebundene Windows-Geräte, die für WLAN, Ethernet oder VPN MS-CHAPv2-basierte Einmalanmeldung verwenden. Das bedeutet nicht, dass jede Netzwerkverbindung ausfällt: Entscheidend sind die konkrete Authentifizierungskette, der Gerätestand und Credential Guard.
Kurzfazit
Auf Geräten mit deaktiviertem Credential Guard und nicht gesetztem Registry-Wert BlockNtlmv1SSO gilt nach dem Oktober-Update Enforce statt Audit. Windows blockiert dann bestimmte NTLMv1-abgeleitete SSO-Anfragen. IT-Teams sollten zuerst die Ereignisse im Protokoll Microsoft-Windows-NTLM/Operational auswerten und betroffene Profile sowie Authentifizierungsserver zuordnen. Der nachhaltige Weg ist, Abhängigkeiten von MS-CHAPv2-Single-Sign-On abzubauen und – wo passend – auf zertifikatsbasierte Verfahren wie PEAP-TLS oder EAP-TLS umzustellen. Eine Ausnahme im Audit-Modus sollte eng befristet und dokumentiert sein.
Was sich im Oktober 2026 geändert hat
Windows 11 24H2, 25H2, 26H1 und 26H2 sowie Windows Server 2025 sind in Microsofts aktueller Anwendungsübersicht genannt. Die Änderung betrifft Geräte ohne aktiviertes Credential Guard, wenn BlockNtlmv1SSO nicht gesetzt ist. Vor dem Oktober-Update wurde in diesem Fall standardmäßig protokolliert und zugelassen; mit dem Update wird standardmäßig blockiert. Das Update selbst legt den Registry-Wert nicht an und ändert ihn nicht. Ein bereits gesetzter Wert bleibt maßgeblich.
Der NTLMv1-Protokollmodus wurde aus den genannten Windows-Versionen entfernt. Microsoft beschreibt jedoch verbliebene NTLMv1-abgeleitete Kryptografie in bestimmten MS-CHAPv2-Szenarien, etwa PEAP-MSCHAPv2 und EAP-MSCHAPv2 in einer Domänenumgebung. Darum kann eine Anmeldung betroffen sein, obwohl Administratoren kein klassisches NTLMv1 mehr konfiguriert haben.
Die drei Zustände richtig unterscheiden
| Konfiguration | Verhalten für passende SSO-Anfragen | Hinweis zur Diagnose |
|---|---|---|
| Wert fehlt, vor Oktober-Update | Standardmäßig Audit: Anfrage wird protokolliert und zugelassen. | Warnereignis 4024 kann auf eine Abhängigkeit hinweisen. |
| Wert fehlt, nach Oktober-Update | Standardmäßig Enforce: Anfrage wird blockiert, sofern die Änderung für das Gerät gilt. | Fehlerereignis 4025 im NTLM-Operational-Protokoll prüfen. |
BlockNtlmv1SSO=0 |
Audit-Modus: Anfragen werden zugelassen und protokolliert. | Nur als zeitlich begrenzte, eng abgegrenzte Ausnahme betrachten. |
BlockNtlmv1SSO=1 |
Enforce-Modus: passende Anfragen werden blockiert. | Entspricht der Erzwingung; nach der Migration kontrolliert ausrollen. |
Der dokumentierte Pfad lautet HKEY_LOCAL_MACHINE; der Wert ist ein REG_DWORD. Ein Neustart ist laut Microsoft nach einer Änderung dieses Werts nicht erforderlich. Vor Registry- oder Richtlinienänderungen sollten Administratoren ihre zentrale Konfigurationsverwaltung und Änderungsfreigaben berücksichtigen.
So prüfen Administratoren die Ursache
- Gerätegruppe eingrenzen: Windows-Version, installierten Oktober-Sicherheitsstand, Domänenstatus und Credential-Guard-Status erfassen. Die neue Standardänderung gilt nicht gleichermaßen für jedes Gerät.
- NTLM-Ereignisse auswerten: In der Ereignisanzeige unter Anwendungs- und Dienstprotokolle > Microsoft > Windows > NTLM > Operational nach 4024 (Audit) und 4025 (Block) suchen. Ereigniszeit, Zielserver und Prozessname helfen beim Zuordnen.
- Netzwerkpfad prüfen: Betroffene SSID, kabelgebundenes 802.1X-Profil oder VPN-Profil mit RADIUS/NPS- und Authentifizierungseinstellungen abgleichen. MS-CHAPv2 allein genügt noch nicht als Fehlernachweis; entscheidend ist die konkrete SSO-Nutzung.
- Testgruppe migrieren: Mit Netzwerk- und Identitätsteam eine kleine Geräte- und Nutzergruppe auswählen. Zertifikatsbasierte Authentifizierung einrichten, Rollback und Supportweg dokumentieren und erst nach erfolgreichem Test breiter ausrollen.
Empfohlener Umstellungsweg und Abwägungen
Microsoft empfiehlt, Abhängigkeiten von MS-CHAPv2 zu identifizieren und WLAN- sowie VPN-Anmeldungen auf zertifikatsbasierte Verfahren umzustellen. In den Credential-Guard-Hinweisen nennt Microsoft unter anderem PEAP-TLS und EAP-TLS als Alternativen zu PEAP-MSCHAPv2 beziehungsweise EAP-MSCHAPv2.
- Vorteil der Umstellung: Die Anmeldung stützt sich nicht mehr auf den beschriebenen NTLMv1-abgeleiteten SSO-Pfad.
- Planungsaufwand: Zertifikatsausstellung, Erneuerung, Gerätebereitstellung und Authentifizierungsserver müssen zusammenpassen und getestet werden.
-
Übergangsausnahme:
BlockNtlmv1SSO=0kann nach Microsofts Anleitung eine kritische Abhängigkeit vorübergehend zulassen, senkt aber den Schutz. Geräteumfang, Verantwortliche, Ablaufdatum und Migrationsschritt gehören in die Ausnahme-Dokumentation.
Verwechsle 4024/4025 nicht automatisch mit Ereignissen von Credential Guard: Microsoft führt für Credential-Guard-Blockierungen eigene Ereigniskennungen auf. Prüfe daher Ereignisquelle, Protokoll und Status des Geräts, bevor du eine Ursache festlegst.
Checkliste vor dem Rollout
- Geräte mit passender Windows-Version und Oktober-Update inventarisiert
- Credential Guard und vorhandene
BlockNtlmv1SSO-Werte ausgelesen - 4024-/4025-Ereignisse mit Prozess, Zielserver und Netzwerkprofil korreliert
- WLAN, Ethernet und VPN getrennt betrachtet
- Zertifikatsprofil, Erneuerung und Wiederherstellung in einer Pilotgruppe getestet
- Temporäre Ausnahmen mit Ablaufdatum und verantwortlicher Person versehen
Häufige Fragen
Fällt nach dem Update jedes WLAN mit MS-CHAPv2 aus?
Nein. Laut Microsoft kann die Änderung passende Single-Sign-On-Flows betreffen; manuell eingegebene Zugangsdaten funktionieren laut FAQ weiterhin. Welche Verbindung betroffen ist, muss anhand der konkreten Umgebung und der Ereignisse geprüft werden.
Ändert das Update meine Registry?
Nein. Microsoft sagt, dass das Update den Wert nicht erstellt oder bearbeitet. Wenn er fehlt, ändert sich auf den betroffenen Geräten lediglich der interne Standard von Audit auf Enforce.
Ist das ein Fehler des Oktober-Updates?
Microsoft beschreibt die Maßnahme als geplante Sicherheitsverschärfung und nicht als bekannten Fehler des Updates. Eine fehlgeschlagene Anmeldung sollte dennoch anhand von Ereignissen und Authentifizierungskette diagnostiziert werden.
Quellen und Prüfhinweise
Die Anleitung ist eine Auswertung der Microsoft-Dokumentation, keine Messung oder unabhängige Laborprüfung. Technische Aussagen wurden am 2. November 2026 anhand der folgenden Quellen geprüft:
- Microsoft Support: Manage NTLMv1 changes and prevent network authentication issues in Windows (KB5066470)
- Microsoft Learn: Considerations and known issues when using Credential Guard
- Microsoft Learn: Policy CSP – LocalPoliciesSecurityOptions
- Microsoft Learn: Windows message center, Ankündigung vom 14. Oktober 2026
Passendes offizielles Erklärvideo wurde geprüft, aber in der Recherche kein ausreichend spezifisches, verifiziertes Video zu dieser konkreten NTLMv1-SSO-Änderung gefunden; deshalb ist kein Video eingebettet. Autor: TechDesk PE Digital.Networks.