Patch-Day-Panne: Update sorgt für VPN-Probleme unter Windows 11

Microsoft warnt vor Problemen mit Always On VPN nach den Sicher­heitsupdates vom September für Windows 11. Betroffen sind vor allem Unternehmen, deren Rechner sich automatisch über die VPN-Lösung mit dem Firmennetz verbinden sollen.

Windows-Update stört Firmen-VPNs

Nach Angaben des Konzerns kann die Verbindung fehlschlagen, wenn Always On VPN bei einem Verbindungsproblem selbstständig zwischen den Protokollen IKEv2 und SSTP wechseln soll. Die VPN-Verbindung bleibt dann mitunter dauerhaft im Status "Wird verbunden" oder startet wiederholt neue Verbindungsversuche. Teilweise erscheint zudem die Fehlermeldung, dass der angegebene Port bereits verwendet werde.

Diese Updates sind betroffen

Das Problem betrifft laut Microsoft die September-Updates für mehrere aktuelle Windows-11-Versionen:



Die Updates wurden am 8. September veröffentlicht. KB5124008 bringt Windows 11 24H2 auf Build 26100.9445 und Windows 11 25H2 auf Build 26200.9445; KB5124012 ist das entsprechende Sicherheitsupdate für Windows 11 26H1.

Was Always On VPN macht

Always On VPN ist eine von Microsoft bereitgestellte Lösung für den Fernzugriff auf Unternehmensnetze. Sie löste die ältere DirectAccess-Technik ab und kann auf Windows 10, Windows 11 sowie Windows Server eingesetzt werden.

Der entscheidende Unterschied zu einer manuell gestarteten VPN-Verbindung: Das System baut den verschlüsselten Tunnel im Hintergrund automatisch auf, sobald das Gerät eine Internetverbindung hat. Unternehmen können darüber etwa den Zugriff auf interne Anwendungen steuern und Mehrfaktor-Authentifizierung einsetzen. Für private Windows-PCs ohne geschäftlich eingerichtetes Always On VPN ist das konkrete Problem daher in der Regel nicht relevant.

Dieses Problem kann auftreten, wenn das VPN so konfiguriert ist, dass es automatisch eine andere Verbindungsmethode versucht, falls die erste Verbindung fehlschlägt (beispielsweise bei Verwendung der automatischen Protokollauswahl mit IKEv2 und SSTP).

Vorläufige Lösung für IT-Abteilungen

Microsoft arbeitet nach eigenen Angaben an einer dauerhaften Korrektur. Bis dahin sollen Administratoren die automatische Protokollauswahl im VPN-Profil abschalten. Stattdessen muss die Verbindung auf ein einzelnes Protokoll festgelegt werden - entweder ausschließlich SSTP oder ausschließlich IKEv2.

Weitere September-Probleme

Die VPN-Störung ist nicht das einzige bekannte Problem der September-Updates. Microsoft weist bei KB5124008 bereits darauf hin, dass der Dateiversionsverlauf nach der Installation möglicherweise nicht mehr funktioniert.

Zudem mussten nach Berichten über Schwierigkeiten mit Hyper-V, Remotedesktopdiensten und USB-Audio außerplanmäßige Updates bereitgestellt werden. Für Unternehmen mit vielen extern arbeitenden Beschäftigten ist die Always-On-VPN-Störung besonders heikel: Fällt der automatische Tunnel aus, können betroffene Rechner unter Umständen nicht mehr zuverlässig auf interne Dienste zugreifen.

Nutzt Ihr Always On VPN im Unternehmen oder wart Ihr nach dem September-Update bereits betroffen? Schreibt Eure Erfahrungen und mögliche Lösungen in die Kommentare.


Siehe auch: