Wenn Windows 11-Computer nach den Patches Mitte Oktober Ihrem Unternehmens-WLAN nicht mehr beigetreten sind oder Benutzer plötzlich zur Eingabe von Anmeldeinformationen aufgefordert wurden, obwohl sie solche Aufforderungen vorher nie gesehen hatten, sind Sie nicht allein. Nach dem Windows-Sicherheitsupdate vom 13. Oktober 2026 können sich viele in eine Domäne eingebundene Geräte, die PEAP-MSCHAPv2 mit ihrer Windows-Anmeldung verwenden, nicht mehr automatisch bei Wi‑Fi, kabelgebundenem 802.1X oder VPN anmelden.
Dies ist eine geplante Absicherung von Microsoft. Microsoft kündigte die Änderung im August 2025 als Teil seiner Bemühungen an, NTLM abzuschaffen, und das Update im Oktober aktivierte sie standardmäßig für Geräte, die in keiner der beiden Richtungen konfiguriert worden waren.
Dieser Leitfaden erklärt, was sich geändert hat, welche Geräte betroffen sind, wie Sie bestätigen können, dass das Update die Ursache ist, und wie Sie Benutzer noch heute wieder verbinden. Er behandelt auch die langfristig tragfähige Lösung: die Umstellung der Netzwerkauthentifizierung von Passwörtern auf Zertifikate mit EAP-TLS.
Was sich mit dem Windows-Update vom Oktober 2026 geändert hat
Microsoft hat das NTLMv1-Protokoll aus Windows 11 Version 24H2 und Windows Server 2025 entfernt. Einige NTLMv1-Kryptografie ist in bestimmten Szenarien noch vorhanden, insbesondere: MS-CHAPv2, die innere Methode hinter PEAP-MSCHAPv2 und EAP-MSCHAPv2, wenn sie in einer domänengebundenen Umgebung ausgeführt wird.
Ein Registrierungswert namens BlockNtlmv1SSO steuert, ob Windows die Verwendung dieser von NTLMv1 abgeleiteten Anmeldeinformationen für Single Sign-On zulässt. Ein Wert von 0 (Überwachungsmodus) lässt die Anforderung zu und protokolliert eine Warnung. Ein Wert von 1 (Erzwingungsmodus) blockiert sie und protokolliert einen Fehler.
Ab dem Sicherheitsupdate vom 13. Oktober 2026 behandelt Windows einen fehlenden BlockNtlmv1SSO-Wert als Erzwingen-Modus. Das Update erstellt oder ändert den Registrierungswert nicht. Es ändert, was Windows tut, wenn der Wert nicht vorhanden ist. Deshalb wurden so viele Geräteflotten überrascht, obwohl sich weder in der Gruppenrichtlinie noch in Intune etwas geändert hat.
Nur der Single Sign-On-Pfad ist blockiert. Benutzer, die an der Eingabeaufforderung ihren Benutzernamen und ihr Passwort eingeben, können sich weiterhin verbinden.
Die Einführung erfolgte in mehreren Phasen. Audit-Ereignisse erschienen ab Ende August 2025 auf Windows 11 24H2 und neueren Versionen, die Einführung erreichte Windows Server 2025 im November 2025, und Enforce wurde im Oktober 2026 zur Standardeinstellung. Microsoft fügte den Versionshinweisen zu KB5127648 am 15. Oktober, zwei Tage nach der Auslieferung des Updates, einen Hinweis zu der Änderung hinzu, sodass Admins, die die Hinweise am Tag der Veröffentlichung prüften, ihn dort nicht fanden.
Windows-Version | Update vom 13. Oktober 2026 | OS-Build |
Windows 11, Version 26H2 | KB5127648 | 26300.9711 |
Windows 11, Version 25H2 | KB5127648 | 26200.9711 |
Windows 11, Version 24H2 | KB5127648 | 26100.9711 |
Windows 11, Version 26H1 | KB5127646 | 28000.3231 |
Windows Server 2025 erhielt dieselbe Änderung in KB5126646, die am selben Tag veröffentlicht wurde.
Wer betroffen ist (und wer nicht)
Ein Gerät ist betroffen, wenn alle vier dieser Bedingungen zutreffen:
Es läuft mit Windows 11 Version 24H2 oder höher oder mit Windows Server 2025, wobei das Update vom Oktober 2026 installiert sein muss.
Credential Guard wird nicht ausgeführt.
Der Registrierungswert BlockNtlmv1SSO wurde nicht festgelegt.
Sein Wi‑Fi-, kabelgebundenes oder VPN-Profil verwendet MS-CHAPv2 mit Windows-Anmeldung per Single Sign-On, wie es bei PEAP-MSCHAPv2- und EAP-MSCHAPv2-Profilen typischerweise der Fall ist.
Geräte, auf denen Credential Guard ausgeführt wurde, befanden sich bereits vor Oktober in dieser Lage. Credential Guard blockiert MS-CHAPv2 Single Sign-On von sich aus, und es ist seit Windows 11 Version 22H2 für berechtigte Geräte mit Enterprise- und Education-Lizenzen sowie einigen Pro-Lizenzen standardmäßig aktiviert. Der Registrierungswert bewirkt bei diesen Geräten nichts. So oder so geht PEAP Single Sign-On auf verwalteten Windows-Geräten zu Ende.
Verbindungstyp | Von dem Oktober-Update betroffen? |
PEAP-MSCHAPv2 oder EAP-MSCHAPv2 mit Single Sign-On bei der Windows-Anmeldung | Ja, blockiert |
PEAP-MSCHAPv2 mit Anmeldedaten, die an der Eingabeaufforderung eingegeben werden | Nein, es verbindet sich immer noch |
EAP-TLS (zertifikatbasiert) | Nein |
WPA2-Personal oder WPA3-Personal (gemeinsame Passphrase) | Nein |
macOS-, iOS-, Android-, Linux- und ChromeOS-Geräte | Nein, die Änderung betrifft nur Windows |
Die Blockierung erfolgt auf dem Windows-Gerät, noch bevor überhaupt eine Authentifizierungsantwort den RADIUS-Server erreicht. Deshalb zeigen RADIUS-Protokolle bei diesen Fehlern oft nichts Brauchbares an und keine serverseitige Einstellung stellt Single Sign-On wieder her.
So bestätigen Sie, dass das Update die Ursache ist
Bevor Sie Einstellungen ändern, vergewissern Sie sich, dass das Oktober-Update die Verbindung blockiert. Diese Prüfungen dauern auf einem betroffenen Gerät nur wenige Minuten:
Prüfen Sie, ob das Update installiert ist. Gehen Sie zu Settings > Windows Update > Update history und suchen Sie nach KB5127648, oder führen Sie winver aus und vergleichen Sie die Build-Nummer mit der obigen Tabelle.
Öffnen Sie die Ereignisanzeige und wechseln Sie zu Applications and Services Logs > Microsoft > Windows > NTLM > Operational.
Suchen Sie zum Zeitpunkt der fehlgeschlagenen Verbindung nach Ereignis-ID 4025 (Fehler). Der Text lautet: "Ein Versuch, aus NTLMv1 abgeleitete Anmeldeinformationen für Single Sign-On zu verwenden, wurde aufgrund einer Richtlinie blockiert."
Überprüfen Sie das Netzwerkprofil. Wenn PEAP-MSCHAPv2 verwendet wird und "Automatically use my Windows logon name and password" ausgewählt ist, haben Sie die Ursache gefunden.
Auch Ereignis-ID 4024 sollten Sie prüfen. Es handelt sich um die Auditmodus-Warnung im selben Protokoll, und auf Geräten, auf denen das Oktober-Update noch nicht installiert wurde, kennzeichnet sie die Rechner, die ausfallen werden, sobald es installiert wird. Wenn Sie 4024- und 4025-Ereignisse in Ihrer gesamten Flotte erfassen, erhalten Sie eine Bestandsaufnahme aller Geräte und Profile, die noch von PEAP Single Sign-On abhängen, was Sie später in diesem Leitfaden für die Migration benötigen.
Die kurzfristige Behelfslösung – und warum sie nur vorübergehend ist
Es gibt mehrere Möglichkeiten, Benutzer wieder zu verbinden, während Sie eine dauerhafte Lösung planen. Jede davon verschafft Zeit und lässt die zugrunde liegende Abhängigkeit bestehen.
Setzen Sie BlockNtlmv1SSO auf 0
Wenn BlockNtlmv1SSO explizit auf 0 gesetzt wird, wird das Gerät wieder in den Auditmodus versetzt, wodurch das PEAP-MSCHAPv2-Single Sign-On wiederhergestellt wird, während das Sicherheitsupdate vom Oktober installiert bleibt. Ein Neustart ist nicht erforderlich.
Einstellung | Wert |
Registrierungspfad | HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0 |
Wertname | BlockNtlmv1SSO |
Geben Sie ein. | REG_DWORD |
Daten | 0 = Überwachung (zugelassen und protokolliert), 1 = Erzwingen (blockiert) |
In größerem Umfang stellen Sie den Wert über ein Registrierungselement in den Gruppenrichtlinieneinstellungen oder ein Intune-Skript zur Problembehebung bereit. Planen Sie eine Möglichkeit, Geräte zu erreichen, die bereits nicht mehr im Netzwerk sind, etwa über einen kabelgebundenen Port, ein Gastnetzwerk oder eine Anmeldung mit manuell eingegebenen Anmeldedaten, da sie die Richtlinie erst nach einer erneuten Verbindung empfangen können. Die Einstellung hat keine Wirkung auf Geräten, auf denen Credential Guard ausgeführt wird.
Microsoft beschreibt den Prüfmodus als etwas, das "nur als begrenzte, vorübergehende Sicherheitsausnahme betrachtet werden sollte", weil dadurch der Schutz verringert wird, den der Erzwingungsmodus bietet. Begrenzen Sie ihn auf die Geräte, die ihn benötigen, legen Sie ein Enddatum fest und verfolgen Sie ihn wie jedes andere offene Risiko.
Lassen Sie Benutzer ihre Anmeldedaten eingeben
Benutzer können das gespeicherte Netzwerk vergessen und sich erneut verbinden, indem sie ihren Benutzernamen und ihr Passwort bei der Aufforderung eingeben. Es funktioniert ohne Konfigurationsänderung, erhöht aber den Aufwand für jeden Benutzer, hilft Geräten nicht, die beim Anmeldebildschirm Netzwerkzugriff benötigen, und belässt Passwörter im Anmeldepfad des Netzwerks.
Warum die Deinstallation des Updates eine schlechte Option ist
Durch die Deinstallation von KB5127648 wird der alte Standard wiederhergestellt, aber dadurch werden auch die Sicherheitsupdates des Monats entfernt. Spätere kumulative Updates enthalten dieselbe Änderung, sodass das Problem beim nächsten Update des Geräts erneut auftritt. Microsoft dokumentiert den Registrierungswert als unterstützten Ausnahmepfad.
Warum MS-CHAPv2 in Windows und darüber hinaus abgeschafft wird
Die Registry-Problemumgehung hält PEAP-MSCHAPv2 in Betrieb, aber das Protokoll, das sie beibehält, hat gut dokumentierte Schwachstellen, und der Druck, es außer Betrieb zu nehmen, kommt aus mehr als einer Richtung.
Die Schwachstellen hinter der Änderung
Microsofts eigene Empfehlungen besagen, dass Wi‑Fi- und VPN-Endpunkte auf Basis von MS-CHAPv2 Angriffen ausgesetzt sind, die denen auf NTLMv1 ähneln. Die Hauptprobleme sind hinlänglich bekannt:
Es basiert auf veraltetem Passwort-Hashing. Die MS-CHAPv2-Antwort wird aus einem MD4-Hash des Passworts des Benutzers erstellt und verwendet dasselbe DES-basierte Challenge-Response-Design wie NTLMv1, weshalb Windows sie als von NTLMv1 abgeleitete Anmeldeinformation behandelt.
Es wurde 2012 öffentlich geknackt. Auf der DEF CON 20 zeigten die Forscher Moxie Marlinspike und David Hulton, dass ein abgefangener MS-CHAPv2-Austausch auf das Knacken eines einzelnen 56-Bit-DES-Schlüssels reduziert werden kann – mit einer Erfolgsquote von 100 %, unabhängig von der Passwortstärke.
Sein Schutz hängt davon ab, dass jeder Client korrekt konfiguriert ist. PEAP kapselt MS-CHAPv2 in einem TLS-Tunnel, aber nur Clients, die das RADIUS-Serverzertifikat validieren, erhalten diesen Schutz. Ein Client, der die Validierung überspringt, kann dazu verleitet werden, sich bei einem bösartigen Twin-Access-Point zu authentifizieren, der den Austausch abfängt.
Es ist immer noch ein Passwort. Passwörter können durch Phishing abgegriffen, weitergegeben und wiederverwendet werden, und jede Zurücksetzung oder jeder Ablauf kann ein Gerät aus dem Netzwerk werfen, bis der Benutzer sich erneut anmeldet.
Als Nächstes folgt das Protokoll
Microsoft schränkt MS-CHAPv2 auf der Client-Seite ein. Das Normungsgremium, das RADIUS verwaltet, arbeitet an der Protokollseite.
Der aktuelle Entwurf der IETF-Arbeitsgruppe RADEXT, "Deprecating Insecure Practices in RADIUS," enthält einen Abschnitt, der MS-CHAP formell als veraltet einstuft. Derselbe Entwurf stuft außerdem RADIUS über UDP und TCP außerhalb sicherer Netzwerke als veraltet ein und fordert sichere Transportprotokolle wie RadSec (RADIUS über TLS). Es handelt sich zwar noch um einen Entwurf in Arbeit, aber er zeigt, wohin sich die Sicherheitsstandards für RADIUS entwickeln. Hintergrundinformationen zur Transportebene finden Sie in unserem Vergleich RADIUS vs. RadSec.
Das Setzen von BlockNtlmv1SSO auf 0 behebt keinen der beiden Trends. Die Abkehr von MS-CHAPv2 löst beide Probleme.
Die dauerhafte Lösung: Verschieben Sie Windows-Geräte auf EAP-TLS
Microsoft empfiehlt, Wi‑Fi- und VPN-Verbindungen von MS-CHAPv2 auf zertifikatbasierte Authentifizierung wie EAP-TLS oder PEAP-TLS umzustellen. Für die meisten Organisationen ist EAP-TLS der direkteste Weg.
Warum EAP-TLS nicht betroffen ist
EAP-TLS authentifiziert das Gerät oder den Benutzer mit einem Zertifikat und einem privaten Schlüssel. Es ist kein Passwort beteiligt, und Windows benötigt keine gespeicherten Anmeldeinformationen, daher greift die Änderung BlockNtlmv1SSO niemals. Credential Guard blockiert auch keine zertifikatbasierte Authentifizierung.
Der Wechsel löst auch Probleme, die PEAP-MSCHAPv2 schon immer hatte:
Es gibt kein Passwort, das per Phishing abgegriffen, offline geknackt oder mit einem Evil-Twin-Access-Point erfasst werden könnte.
Ein Gerätezertifikat ermöglicht es einem Laptop, sich bereits am Anmeldebildschirm zu verbinden, bevor sich jemand anmeldet.
Das Zurücksetzen und Ablaufen von Passwörtern trennt Geräte nicht länger vom WLAN.
Derselbe zertifikatbasierte Ansatz funktioniert für Wi‑Fi, kabelgebundenes 802.1X und VPN.
So gelingt die Migration ohne Ausfallzeiten
PEAP und EAP-TLS können während der Umstellung parallel ausgeführt werden, sodass Geräte gruppenweise statt alle auf einmal migriert werden können. Diese Schritte funktionieren mit jedem Identitätsanbieter und jeder MDM-Plattform:
Erstellen Sie eine Bestandsaufnahme. Verwenden Sie die Ereignisse 4024 und 4025, um betroffene Geräte und die von ihnen verwendeten Netzwerkprofile aufzulisten. Trennen Sie unternehmensverwaltete Geräte von persönlichen und nicht verwalteten Geräten, da sie Zertifikate auf unterschiedliche Weise erhalten.
Legen Sie fest, wie Zertifikate ausgestellt werden. Eine lokale Zertifizierungsstelle wie Active Directory Certificate Services ist eine Möglichkeit. Eine cloudbasierte Zertifizierungsstelle macht es überflüssig, diese Infrastruktur selbst zu betreiben.
Stellen Sie Zertifikate auf verwalteten Geräten bereit. Verwenden Sie das SCEP-Zertifikatsprofil Ihres MDMs, egal ob es sich dabei um Microsoft Intune, Jamf, Workspace ONE, Kandji oder Google Admin für Chromebooks handelt.
Geben Sie nicht verwalteten und BYOD-Geräten einen Self-Service-Weg. Ein Registrierungsablauf, der das Zertifikat und das Netzwerkprofil installiert, ermöglicht es Benutzern, ihre eigenen Geräte ohne ein IT-Ticket selbst einzurichten.
Konfigurieren Sie Ihren RADIUS-Server so, dass er neben PEAP während der Umstellung auch EAP-TLS akzeptiert.
Stellen Sie ein EAP-TLS-Netzwerkprofil bereit. Konfigurieren Sie es so, dass das RADIUS-Serverzertifikat anhand der vertrauenswürdigen Stammzertifizierungsstelle und des Servernamens validiert wird.
Starten Sie mit einem Pilotprojekt in einem Team oder an einem Standort. Bestätigen Sie, dass sich Geräte am Anmeldebildschirm verbinden und nach einer Passwortänderung verbunden bleiben.
In Wellen einführen nach Abteilung, Standort oder Gerätegruppe.
Mustern Sie PEAP aus. Entfernen Sie das alte Profil von den Geräten, löschen Sie alle BlockNtlmv1SSO-Ausnahmen und deaktivieren Sie MS-CHAPv2 auf dem RADIUS-Server.
Macs, Telefone und Chromebooks sind vom Oktober-Update nicht betroffen, aber wenn Ihr Ziel darin besteht, PEAP vollständig aus dem Netzwerk zu entfernen, benötigen auch sie Zertifikate. Unser Leitfaden zu zertifikatbasiertem Wi‑Fi für verwaltete Chromebooks behandelt die ChromeOS-Seite.
Wie Foxpass Ihnen hilft, von PEAP-MSCHAPv2 wegzukommen
Foxpass von Splashtop bietet cloudgehostete RADIUS-Authentifizierung für Wi-Fi-, VPN- und kabelgebundene Netzwerke sowie eine Cloud-PKI zur Ausstellung von Geräte- und Benutzerzertifikaten. Zusammen decken Foxpass Cloud RADIUS und Foxpass Cloud PKI jede Phase der obigen Migration ab, ohne dass On-Premises-Server aufgebaut oder gewartet werden müssen.
Zertifikatsausstellung ohne lokale Infrastruktur: Foxpass Cloud PKI fungiert als Ihre Zertifizierungsstelle, und Foxpass Cloud RADIUS validiert das Zertifikat bei jedem Verbindungsversuch.
Zertifikatsbereitstellung über das MDM, das Sie bereits nutzen: Verwaltete Geräte erhalten Zertifikate über den Foxpass SCEP-Endpunkt von Microsoft Intune, Jamf, Kandji, Addigy, Workspace ONE, Mosyle, NinjaOne und Google Admin für Chromebooks. Teams, die Windows-Endpunkte mit Splashtop AEM verwalten, können Zertifikate auch über Splashtop AEM bereitstellen.
Zugriff, der an den von Ihnen bereits genutzten Identitätsanbieter gebunden ist: Foxpass synchronisiert Benutzer und Gruppen aus Microsoft Entra ID, Google Workspace, Okta und OneLogin, sodass der Netzwerkzugriff demselben Verzeichnis folgt wie alles andere. Die Okta- und Google-Workspace-Seite behandeln wir ausführlicher unter zertifikatsbasierte Authentifizierung für Okta und Google Workspace.
Ein Self-Service-Weg für BYOD und nicht verwaltete Geräte: Mit dem Foxpass BYOD Certificate Installer können Benutzer ihre Mac-, Windows-, iOS-, Android- und Chromebook-Geräte selbst registrieren.
Zugriff, der endet, wenn jemand geht: Da ein Zertifikat die E-Mail-Adresse des Benutzers oder die Geräte-ID enthalten kann, kann Foxpass zum Zeitpunkt der Verbindung bestätigen, dass der Benutzer oder das Gerät in Ihrem Verzeichnis noch aktiv ist.
Eine schrittweise Umstellung: Foxpass Cloud RADIUS unterstützt EAP-TLS und EAP-TTLS parallel, sodass Sie Geräte in Wellen auf Zertifikate umstellen können.
Verschlüsselter RADIUS-Datenverkehr: Foxpass unterstützt RadSec, das den Authentifizierungsverkehr zwischen Ihren Zugriffspunkten und dem RADIUS-Server mit TLS schützt.
Erfahren Sie mehr über passwortlosen Wi‑Fi- und VPN-Zugriff mit Foxpass.
PEAP endgültig ablösen – mit zertifikatbasiertem WLAN
Die Einstellung BlockNtlmv1SSO kann Windows-11-Nutzer heute wieder online bringen, bindet Ihre Netzwerkanmeldung jedoch weiterhin an ein Protokoll, von dem Microsoft abrät, und das IETF arbeitet daran, es auf Protokollebene als veraltet einzustufen. Zertifikatsbasierte Authentifizierung beseitigt diese Abhängigkeit, sodass zukünftige Windows-Härtungen nicht zur nächsten Welle von Wi‑Fi-Tickets führen.
Foxpass Cloud RADIUS und Foxpass Cloud PKI ermöglichen Ihnen diesen Wechsel mit dem Identitätsanbieter und MDM, die Sie bereits einsetzen. Starten Sie eine kostenlose Testversion oder vereinbaren Sie eine Demo, um zu sehen, wie Foxpass in Ihre Umgebung passt.
