Microsoft entfernt NTLM - Start mit Windows 11 24H2 und Server 2025

Microsoft hatte schon 2023 angekündigt, dass das NTLM-Authen­ti­fi­zie­rungs­pro­to­koll aus Windows 11 fliegt. Damit will der Kon­zern end­lich auf Si­cher­heits­be­den­ken reagieren und Angriffe über dieses Pro­to­koll end­gül­tig un­mög­lich machen - der erste Schritt ist nun vollzogen.

Microsofts Authentifizierungs-Umbau

Microsoft hat jetzt bestätigt, dass die Entfernung der NTLM-Authentifizierung eingeleitet wurde. Das Windows-Team beginnt, das New Technology LAN Manager (NTLM) Protokoll aus seinen neuesten Betriebssystemen zu entfernen: Laut dem Konzern wird NTLMv1 in Windows 11 24H2 und Windows Server 2025 bereits nicht mehr verfügbar sein.

Microsoft ebnet damit den Weg für die stärkere Nutzung modernerer, sicherer Authentifizierungsmethoden. Bereits im Oktober 2023 hatte Microsoft bestätigt, die NTLM-Authentifizierung deaktivieren zu wollen. Im Juni 2024 folgte dann die offizielle Ankündigung, dass NTLM in zukünftigen Windows-Versionen nicht mehr zur Verfügung stehen wird. Nun geht es offenbar schneller als erwartet: NTLMv1 ist nun für Windows 11 24H2 und Windows Server 2025 nicht mehr nutzbar.

NTLM generell vor dem Aus

Microsoft hat in einem aktualisierten Beitrag auf seiner Website mitgeteilt, dass alle NTLM-Versionen, einschließlich LANMAN, NTLMv1 und NTLMv2, ab sofort als veraltet eingestuft sind. IT-Administratoren wird empfohlen:

Aufrufe von NTLM sollten durch Aufrufe von Negotiate ersetzt werden, das versucht, sich mit Kerberos zu authentifizieren und nur bei Bedarf auf NTLM zurückgreift.

NTLM hat vielfach Schwachstellen offenbart. Ein Beispiel dafür ist die kürzlich von einem Drittanbieter veröffentlichte inoffizielle Korrektur für eine Sicherheitslücke in NTLM. Microsofts Vorgehen zielt darauf ab, die Sicherheit in Unternehmensumgebungen zu erhöhen. Neben NTLMv1 verabschiedet sich mit Windows 11 24H2 auch der Windows Information Protection (WIP) Dienst, auch bekannt als Enterprise Data Protection (EDP).

Diese Funktion, die ursprünglich zum Schutz vor versehentlichen Datenlecks konzipiert war, wird ebenfalls entfernt. NTLMv2 bleibt vorerst bestehen, aber auch hier sollten Unternehmen langfristig planen, da Microsoft die gesamte NTLM-Familie als veraltet betrachtet. Infografik Sicherheit im Netz: Deutsche fürchten sich vor Datenmissbrauch Jetzt arbeitet Microsoft an zwei neuen Kerberos-Funktionen: IAKerb (Initial and Pass Through Authentication Using Kerberos) und Local KDC (Local Key Distribution Center). Man setzt also auf neue, bessere Alternativen.

Für IT-Profis bedeutet diese Entwicklung, dass sie sich mit Alternativen zur NTLM-Authentifizierung auseinandersetzen müssen. Der Umstieg auf modernere Protokolle wie eben Kerberos oder die Implementierung von Multi-Faktor-Authentifizierung könnten sinnvolle nächste Schritte sein.

Was haltet ihr von Microsofts Entscheidung, NTLM schrittweise abzuschaffen? Seht ihr darin Chancen für mehr Sicherheit oder macht ihr euch Sorgen um mögliche Kompatibilitätsprobleme? Teilt eure Gedanken und Erfahrungen in den Kommentaren!


Siehe auch: