Windows 11: Microsoft verschärft die Sperre für alte Anmeldetechnik

Der Windows-Rechner ist angemeldet, die Verbindung zum Firmennetz soll automatisch folgen. Doch genau dieser bequeme Ablauf könnte bei einigen älteren Netzwerkkonfigurationen künftig scheitern, denn wie angekündigt ist nun Ende mit NTLMv1-Support.

Sperre für alte NTLMv1-Anmeldetechnik

Microsoft plant ab Oktober 2026 strengere Vorgaben für Anmeldeverfahren, die noch auf NTLMv1 zurückgreifen. Betroffen sind Windows 11 ab Version 24H2 und Windows Server 2025. Die Umstellung soll per Windows-Update schrittweise erfolgen und nicht auf allen Geräten gleichzeitig aktiv werden.

Damit setzt Microsoft den Abschied von einer alten Technik fort. NTLM steht für NT LAN Manager und dient seit Jahrzehnten zur Authentifizierung in Windows-Netzwerken. Microsoft hat die Protokollfamilie inzwischen als veraltet eingestuft. Bei der Variante NTLMv1 geht der Konzern bereits weiter: Das eigentliche Protokoll wurde aus Windows 11 24H2 und Windows Server 2025 sowie neueren Versionen entfernt. Trotzdem sind unter bestimmten Bedingungen noch kryptografische Bestandteile davon im Einsatz. Genau diese verbliebenen Abhängigkeiten nimmt Microsoft nun ins Visier.

Nicht jede NTLM-Verbindung wird abgeschaltet

Die angekündigte Änderung bedeutet keine vollständige Abschaltung sämtlicher NTLM-Verfahren im Oktober. Sie richtet sich gezielt gegen die Erzeugung von Anmeldeinformationen, die aus NTLMv1 abgeleitet werden. Solche Informationen können beispielsweise bei WLAN-, Ethernet- oder VPN-Verbindungen zum Einsatz kommen, wenn diese das Authentifizierungsverfahren MS-CHAPv2 für die automatische Anmeldung nutzen.

Für Anwender ist dabei vor allem Single-Sign-on entscheidend. Eine bereits erfolgte Windows-Anmeldung reicht aus, um sich ohne erneute Passworteingabe mit einem weiteren Dienst zu verbinden. Wird die betreffende alte Technik blockiert, kann diese automatische Anmeldung jetzt allerdings ausfallen. Microsoft zufolge bleibt die manuelle Eingabe der Zugangsdaten bei den genannten Verfahren jedoch auch im neuen Sperrmodus möglich.

Aus einer Warnung wird eine Blockade

Vorbereitet wird die Umstellung seit Längerem. Auf Windows-11-Geräten ab Version 24H2 führte Microsoft zunächst einen Überwachungsmodus ein. Erkennt Windows darin einen Versuch, aus NTLMv1 abgeleitete Anmeldeinformationen zu verwenden, schreibt es eine Warnung ins Ereignisprotokoll. Die Anmeldung darf aber weiterhin stattfinden.

Administratoren können auf diese Weise erkennen, welche Anwendungen und Netzwerkverbindungen noch von der alten Technik abhängen.

Jetzt sieht Microsoft den nächsten Schritt vor. Der Standardwert des Registrierungseintrags `BlockNTLMv1SSO` soll von `0` auf `1` wechseln. Damit wird aus dem bisherigen Audit-Modus der sogenannte Enforce-Modus. Windows protokolliert die betreffenden Anforderungen dann nicht mehr nur, sondern blockiert sie. Die neue Voreinstellung greift allerdings nur, wenn der Registrierungseintrag auf dem Gerät noch nicht ausdrücklich gesetzt wurde.

Ein fester Umschalttermin für sämtliche Rechner lässt sich daraus nicht ableiten. Microsoft nennt in seinem Supportdokument den Oktober als geplanten Zeitraum, verweist auf eine schrittweise Verteilung und bezeichnet den Zeitplan ausdrücklich als vorläufig. Ob die strengere Einstellung bereits aktiv ist, kann sich daher von Gerät zu Gerät unterscheiden.

Habt ihr nach Windows-Updates Probleme mit der automatischen WLAN- oder VPN-Anmeldung bemerkt? Schreibt eure Erfahrungen in die Kommentare!

Siehe auch: