Wichtige Information für unsere Kunden

Windows 11: Verbindungsprobleme nach Oktober-Update

22.10.2026 | Mit dem Windows-11-Sicherheitsupdate KB5127648 vom 13. Oktober 2026 schränkt Microsoft NTLMv1-basierte Single-Sign-On-Anmeldungen (SSO) standardmäßig ein. Dadurch kann es in Unternehmensumgebungen zu Verbindungsproblemen bei WLAN-, kabelgebundenen Netzwerk- und VPN-Verbindungen kommen. Betroffen sind insbesondere Netzwerke, die PEAP-MSCHAPv2 für die Authentifizierung einsetzen.

Das Update selbst ist kein Fehler, sondern verschärft gezielt die Sicherheit, indem veraltete NTLMv1-basierte Anmeldungen eingeschränkt werden.

Ursache

Viele Unternehmen nutzen für WPA2-/WPA3-Enterprise-Netzwerke PEAP-MSCHAPv2 mit automatischer Windows-Anmeldung. Dabei verwendet Windows die hinterlegten Anmeldeinformationen, um den Benutzer oder das Gerät am Unternehmensnetzwerk anzumelden. Diese Anmeldung greift im Hintergrund auf NTLMv1-basierte Mechanismen zurück.

Seit KB5127648 blockiert Windows solche Anmeldungen unter bestimmten Voraussetzungen standardmäßig. Dadurch kann die Authentifizierung bereits auf dem Endgerät scheitern, bevor die Anfrage den zentralen Authentifizierungsserver erreicht.

Betroffene Systeme und Auswirkungen

Besonders betroffen sind PEAP-MSCHAPv2-Konfigurationen mit Single Sign-On (SSO). In diesen Umgebungen können sich Windows-11-Geräte nach dem Update nicht mehr mit Unternehmens-WLANs oder 802.1X-Netzwerken verbinden.

Nicht betroffen sind Netzwerke mit EAP-TLS (zertifikatsbasierte Authentifizierung). Auch private WLAN-Verbindungen mit WPA2-/WPA3-Personal funktionieren weiterhin normal.

Kurzfristiger Workaround

Für betroffene Systeme kann das bisherige Anmeldeverhalten vorübergehend über den Registry-Wert BlockNtlmv1SSO = 0 wieder aktiviert werden. Da damit die mit dem Update eingeführte Sicherheitsverschärfung aufgehoben wird, sollte dieser Workaround nur gezielt und vorübergehend eingesetzt werden. Von einer Deinstallation des Sicherheitsupdates raten wir ab, da dadurch auch die mit dem Oktober-Patchday geschlossenen Sicherheitslücken wieder offen wären.

Handlungsempfehlung

Microsoft schränkt ältere, NTLMv1-basierte Anmeldeverfahren zunehmend ein. Unternehmen, die noch PEAP-MSCHAPv2 einsetzen, sollten daher eine Umstellung auf EAP-TLS mit Geräte- oder Benutzerzertifikaten prüfen. EAP-TLS ist von der aktuellen Änderung nicht betroffen und ermöglicht eine moderne, zertifikatsbasierte Authentifizierung für Unternehmensnetzwerke. Prüfen Sie daher zeitnah, ob in Ihrer Umgebung PEAP-MSCHAPv2 mit Single Sign-On eingesetzt wird und ob nach der Installation von KB5127648 Verbindungsprobleme auftreten.

Bei Fragen zur Prüfung Ihrer Umgebung oder zur Anpassung der Netzwerkauthentifizierung unterstützen wir Sie gerne.