30 Jahre alte Windows-Technik fliegt raus:
NTLM-Abschalt-Zeitplan

Microsoft zieht bei der Absicherung seiner Windows-Plattformen die Reißleine: In künftigen Windows-Versionen wird das Authentifizier­ungs­protokoll NTLM standardmäßig deaktiviert. Bekannt ist das schon lange, nun gibt es weitere Infos.

Relikt von Windows NT 3.1

Begründet wird der Schritt mit seit Jahren bekannten Sicherheitslücken, die Angreifern weitreichende Zugriffsmöglichkeiten eröffnen. NTLM (New Technology LAN Manager) stammt aus dem Jahr 1993 und wurde mit Windows NT 3.1 eingeführt. Jetzt wird der Zeitplan für die Abschaltung überarbeitet.

Das Protokoll war lange Zeit die Standardmethode zur Anmeldung in Windows-Netzwerken. Diese Rolle hat NTLM jedoch verloren: Bereits seit Windows 2000 setzt Microsoft in Domänenumgebungen auf Kerberos als bevorzugtes Authentifizierungsverfahren. NTLM wurde seither vor allem als Rückfalllösung genutzt, wenn Kerberos nicht verfügbar war.

Fallback ist ein großes Sicherheitsrisiko

Diese Fallback-Funktion gilt inzwischen als Sicherheitsrisiko. NTLM verwendet vergleichsweise schwache kryptografische Verfahren und ist anfällig für verschiedene bekannte Angriffsmethoden.

Dazu zählen NTLM-Relay-Attacken, bei denen kompromittierte Systeme zur Authentifizierung bei von Angreifern kontrollierten Servern missbraucht werden. Auf diesem Weg lassen sich Zugriffsrechte ausweiten und im Extremfall komplette Windows-Domänen übernehmen. Auch sogenannte Pass-the-Hash-Angriffe, bei denen gestohlene Passwort-Hashes zur Anmeldung verwendet werden, zählen zu den Angriffsszenarien.

Vor diesem Hintergrund will Microsoft den Einsatz von NTLM schrittweise weiter zurückfahren. In der nächsten großen Version von Windows Server sowie in den zugehörigen Windows-Clientversionen soll das Protokoll standardmäßig nicht mehr für Netzwerkanmeldungen genutzt werden. NTLM bleibt (noch) Bestandteil von Windows, wird jedoch nicht mehr automatisch verwendet.

Drei Phasen der Abschaltung

Der Übergang ist in drei Phasen geplant. Zunächst erhalten Administratoren erweiterte Analysewerkzeuge, um die Nutzung von NTLM in bestehenden Umgebungen zu identifizieren. Diese Funktionen stehen unter anderem in Windows 11 Version 24H2 und Windows Server 2025 zur Verfügung.

In der zweiten Phase, jetzt vorgesehen für die zweite Jahreshälfte 2026, sollen neue Funktionen wie IAKerb und ein lokales Key Distribution Center eingeführt werden. Sie sollen typische Einsatzszenarien abdecken, in denen bislang auf NTLM zurückgegriffen wurde. In der dritten Phase wird NTLM standardmäßig blockiert, kann bei Bedarf jedoch weiterhin über Richtlinien aktiviert werden.

Microsoft spricht dabei von einem "Secure-by-Default"-Ansatz. NTLM wird demnach nicht vollständig aus Windows entfernt, Netzwerkanmeldungen über das Protokoll sind jedoch standardmäßig gesperrt.

Die Abkehr von NTLM wurde weit im Voraus geplant. Im Oktober 2023 kündigte Microsoft an, das Protokoll langfristig ausmustern zu wollen. Im Juli 2024 wurde NTLM offiziell als veraltet eingestuft. Schon seit mehr als einem Jahrzehnt weist Microsoft darauf hin, NTLM in Anwendungen nicht mehr zu verwenden. Mit der nun geplanten Standard-Deaktivierung setzt der Konzern diesen Kurs fort.

Ist das überfällig oder kommt der Schritt für viele Umgebungen zu früh - was meint ihr dazu?


Siehe auch: