WLAN und VPN: Windows sperrt NTLMv1 für Anmeldung
Ihre WLAN-, LAN- oder VPN-Verbindungen MS-CHAPv2 nutzen und Credential Guard auf den Geräten ausgeschaltet ist.
Seit dem Sicherheitsupdate Oktober 2026
Verbindungen mit MS-CHAPv2 ermitteln und auf zertifikatsbasierte Anmeldung wie EAP-TLS umstellen. Den Audit-Modus per Registrierung nur als befristete Notlösung nutzen.
Worum es geht
Mit dem Sicherheitsupdate vom Oktober 2026 verhindert Windows standardmäßig, dass für die einmalige Anmeldung (Single Sign-On) NTLMv1-abgeleitete Anmeldedaten erzeugt werden. Microsoft hatte diesen Schritt bereits im August 2025 angekündigt; er ist Teil des schrittweisen Abschieds von NTLM. Die Änderung greift nur auf Geräten, auf denen Credential Guard ausgeschaltet ist.
Zeitplan
- Seit Ende August 2025: Protokollierung (Audit-Modus) auf Windows 11 ab Version 24H2
- Seit November 2025: Protokollierung auf Windows Server 2025
- Ab dem Sicherheitsupdate Oktober 2026: Sperre als Standard, sofern der Registrierungswert BlockNtlmv1SSO nicht bereits gesetzt ist
Wer betroffen ist
- Geräte mit Windows 11 Version 24H2, 25H2 oder 26H2 sowie Windows Server 2025, auf denen Credential Guard ausgeschaltet ist
- WLAN-, LAN- und VPN-Verbindungen, die MS-CHAPv2 nutzen, etwa PEAP-MSCHAPv2 oder EAP-MSCHAPv2
- Geräte mit aktivem Credential Guard blockieren dieses Verhalten bereits und sind nicht betroffen
Was sich konkret ändert
- Betroffene Verbindungen bauen sich nicht mehr automatisch per Single Sign-On auf.
- Die manuelle Eingabe von Anmeldedaten funktioniert weiter, die Daten lassen sich aber nicht für später speichern.
- Abläufe, bei denen sich Geräte bisher ohne Zutun der Nutzer mit WLAN, Netzwerk oder VPN verbunden haben, können deshalb scheitern.
So bereiten Sie sich vor
- Prüfen Sie, ob Ihr WLAN, Ihre kabelgebundene Netzwerkanmeldung oder Ihr VPN MS-CHAPv2 verwendet.
- Stellen Sie diese Verbindungen auf zertifikatsbasierte Verfahren wie EAP-TLS oder PEAP-TLS um. Das empfiehlt auch Microsoft.
- Wenn Sie kurzfristig Zeit brauchen, lässt sich der Registrierungswert BlockNtlmv1SSO unter HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0 auf 0 setzen. Windows protokolliert dann nur (Ereignis-ID 4024). Nutzen Sie diesen Weg nur befristet und dokumentiert, weil er die Sicherheit des Geräts senkt.
- Kehren Sie nach der Umstellung mit dem Wert 1 in den Sperrmodus zurück.
Weiterführende Informationen
Sollen wir das für Sie übernehmen?
Wir prüfen, ob die Änderung Ihre Umgebung betrifft, und setzen die Empfehlung für Sie um.
Quelle: Microsoft 365 Message Center und Microsoft-365-Roadmap. Zusammenfassungen und Empfehlungen sind eigene Einschätzungen der Wolkenwerft GmbH und ersetzen keine individuelle Prüfung Ihrer Umgebung. Termine von Microsoft können sich verschieben.