KB5127648: Warum WLAN und 802.1X nach dem Oktober-Update ausfallen — und was jetzt hilft

Am 13. Oktober 2026 hat Microsoft das kumulative Sicherheitsupdate KB5127648 für Windows 11 24H2, 25H2 und 26H2 veröffentlicht (Builds 26100.9711, 26200.9711 und 26300.9711). Kurz danach häuften sich Meldungen: Firmenrechner verbinden sich nicht mehr mit dem WPA2/WPA3-Enterprise-WLAN, auch kabelgebundene Anschlüsse mit 802.1X-Authentifizierung bleiben ohne Netz. Der Grund ist kein Fehler im klassischen Sinn, sondern eine Standardänderung: Ist der Registry-Wert „BlockNtlmv1SSO“ nicht gesetzt und Credential Guard nicht aktiv, schaltet Windows von „Audit“ (nur protokollieren) auf „Enforce“ (blockieren). Damit stellt Windows keine NTLMv1-abgeleiteten Anmeldedaten mehr für die automatische Anmeldung (Single Sign-On) bereit — genau die braucht aber PEAP mit MS-CHAPv2, wenn das Gerät „automatisch die Windows-Anmeldedaten verwenden“ soll. Kurz gesagt: • Betroffen: Domänen-Rechner mit PEAP-MSCHAPv2 und automatischer Windows-Anmeldung für WLAN, LAN (802.1X) oder VPN. • Nicht betroffen: WLANs mit Kennwort (WPA2/WPA3-Personal), zertifikatsbasiertes EAP-TLS und manuell eingegebene Anmeldedaten. • Sofortmaßnahme: Registry-Wert „BlockNtlmv1SSO“ explizit auf 0 setzen — das stellt den alten Zustand wieder her. • Dauerhafte Lösung: Umstieg auf zertifikatsbasiertes EAP-TLS.

Die Umstellung kommt nicht aus heiterem Himmel. Microsoft hat sie bereits im August 2025 im Supportartikel KB5066470 („Upcoming changes to NTLMv1 in Windows 11, version 24H2 and Windows Server 2025“) angekündigt — mit einem klaren Fahrplan: • Ende August 2025: Windows 11 24H2 und neuer protokollieren die Verwendung NTLMv1-abgeleiteter Anmeldedaten (Audit-Modus). • November 2025: Beginn der Umstellung für Windows Server 2025. • Oktober 2026: Ist der Wert „BlockNtlmv1SSO“ nicht explizit gesetzt, gilt künftig „1“ (Enforce) statt „0“ (Audit). Genau dieser letzte Schritt steckt in KB5127648. Bemerkenswert: In den Versionshinweisen zum Update tauchte die Änderung erst am 15. Oktober auf — zwei Tage nach der Veröffentlichung, als die ersten Ausfälle längst gemeldet waren. Als „bekanntes Problem“ führt Microsoft sie bis heute nicht, denn aus Sicht des Herstellers funktioniert alles wie angekündigt. NTLMv1 selbst ist seit Jahren als unsicher bekannt. Der Haken: Reste dieser alten Kryptografie stecken noch in MS-CHAPv2 — und MS-CHAPv2 ist das innere Anmeldeverfahren von PEAP, dem in vielen Unternehmen gängigsten Verfahren für Firmen-WLANs mit Benutzername und Kennwort.

Bei PEAP-MSCHAPv2 mit der Option „Automatisch eigenen Windows-Anmeldenamen und Kennwort verwenden“ tippt niemand ein Kennwort ein. Stattdessen fragt der WLAN- bzw. LAN-Client beim Windows-Sicherheitssubsystem (LSA) die gespeicherte, aus dem Kennwort abgeleitete NTLM-Anmeldeinformation ab und berechnet daraus die MS-CHAPv2-Antwort für den RADIUS-Server. Im Enforce-Modus verweigert Windows genau diese Herausgabe. Der äußere TLS-Tunnel zum RADIUS-Server wird noch aufgebaut, dann bleibt die Antwort im inneren Tunnel aus. Der Server wartet, der Client wartet — und die Anmeldung läuft ins Leere. Das erklärt auch, warum die manuelle Eingabe von Benutzername und Kennwort weiterhin funktioniert: Dann berechnet der Client die Antwort selbst aus dem eingegebenen Kennwort, ohne auf die gespeicherten Anmeldedaten zurückzugreifen. Eine Besonderheit am Rande: Auf Geräten mit aktivem Credential Guard funktioniert PEAP-MSCHAPv2 mit Single Sign-On schon immer nicht — Credential Guard blockiert diese Nutzung unabhängig vom Update. Deshalb nimmt Microsoft solche Geräte von der Änderung aus, und deshalb ist das Einschalten von Credential Guard auch keine Lösung für das WLAN-Problem.

Typische Symptome: • Das Gerät findet das Firmen-WLAN, zeigt aber dauerhaft „Verbindung kann nicht hergestellt werden“ oder hängt bei „Anmeldeinformationen werden überprüft“. • Am kabelgebundenen Anschluss mit 802.1X bleibt das Gerät ohne Netz oder landet im Gast-/Quarantäne-VLAN. • Nach der Deinstallation von KB5127648 funktioniert alles wieder, nach erneuter Installation nicht mehr. • Die Anmeldung vor der Benutzeranmeldung (Computer-Authentifizierung) schlägt ebenfalls fehl — neue Benutzer können sich daher oft gar nicht erst anmelden, weil der Domänencontroller nicht erreichbar ist. In der Ereignisanzeige finden Sie die eindeutigen Hinweise: • Anwendungs- und Dienstprotokolle → Microsoft → Windows → NTLM → Operational: Ereignis-ID 4025 (Fehler) „An attempt to use NTLMv1-derived credentials for Single Sign-On was blocked due to policy“. Vor dem Update stand hier im Audit-Modus die Warnung 4024. • WLAN-AutoConfig: Ereignis 12013 (Authentifizierung fehlgeschlagen, Fehler 0x80070285), oft im Wechsel mit 12011 und 12014. • Wired-AutoConfig: Ereignis 15514 (Fehler 0x80070285) und 15506 — die Anmeldung wird dann für 600 Sekunden ausgesetzt und im Zehn-Minuten-Takt erneut versucht. Wichtig für die Fehlersuche: Auf dem RADIUS- bzw. NPS-Server sieht man häufig nichts Auffälliges oder nur eine „abgelaufene“ Anfrage, weil der Fehler auf dem Client entsteht. Wer nur die Server-Logs prüft, sucht an der falschen Stelle. Per PowerShell prüfen Sie Update und Ereignisse schnell auf einem Gerät: „Get-HotFix -Id KB5127648“ „Get-WinEvent -LogName 'Microsoft-Windows-NTLM/Operational' | Where-Object Id -in 4024,4025“ Tipp für Administratoren: Geräte, die in den vergangenen Monaten Ereignis 4024 protokolliert haben, sind genau die Kandidaten, die jetzt ausfallen. Das Audit-Protokoll war die Vorwarnung.

Microsoft greift nur ein, wenn der Wert nicht gesetzt ist. Setzen Sie ihn bewusst auf 0, bleibt das Gerät im Audit-Modus und die Anmeldung funktioniert wieder — ohne das Sicherheitsupdate zu entfernen. • Pfad: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0 • Name: BlockNtlmv1SSO • Typ: DWORD (32-Bit) • Wert: 0 (Audit, erlaubt und protokolliert) — 1 wäre Enforce (blockiert) Als Befehl in einer Eingabeaufforderung mit Administratorrechten: „reg add "HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0" /v BlockNtlmv1SSO /t REG_DWORD /d 0 /f“ Danach die Verbindung neu aufbauen; hilft das nicht sofort, das Gerät neu starten. Verteilung in größeren Umgebungen: • Gruppenrichtlinie: über die Gruppenrichtlinien-Einstellungen (Computerkonfiguration → Einstellungen → Windows-Einstellungen → Registrierung) als Registry-Element. Eine eigene administrative Vorlage gibt es dafür nicht. • Microsoft Intune: Im Einstellungskatalog existiert derzeit kein passender Eintrag. Nutzen Sie ein Plattform- oder Remediation-Skript, das im Systemkontext und mit 64-Bit-PowerShell läuft. Das Henne-Ei-Problem: Ein Gerät, das schon kein Netz mehr hat, erreicht weder Gruppenrichtlinie noch Intune. Für diese Geräte brauchen Sie einen Ausweg — ein Netzwerkkabel an einem Port ohne 802.1X, ein temporäres Kennwort-WLAN, den Mobilfunk-Hotspot oder die einmalig manuelle Anmeldung am WLAN mit Benutzername und Kennwort (Netzwerk unter „Bekannte Netzwerke verwalten“ entfernen und neu verbinden). Verteilen Sie den Registry-Wert deshalb idealerweise jetzt an alle Geräte, die das Update noch nicht installiert haben. Und ganz deutlich: Diese Einstellung ist eine Übergangslösung. Sie öffnet bewusst wieder einen Anmeldeweg, den Microsoft aus gutem Grund schließen will. Dokumentieren Sie die Ausnahme und planen Sie die Ablösung.

Die Deinstallation („wusa /uninstall /kb:5127648“) bringt das Netz zwar zurück, ist aber die schlechteste der verfügbaren Optionen: • KB5127648 schließt Sicherheitslücken des Oktober-Patchdays, darunter eine bereits aktiv ausgenutzte Lücke in der Windows-Shell (CVE-2026-96951), über die heruntergeladene Dateien ihre „Mark of the Web“-Kennzeichnung verlieren — Warnungen von SmartScreen und der geschützten Ansicht in Office bleiben dann aus. Ein klassisches Einfallstor für Schadsoftware per E-Mail-Anhang. • Ohne Pausieren der Updates installiert Windows das Paket ohnehin erneut. • Das Grundproblem bleibt: Mit jedem späteren kumulativen Update gilt dieselbe Standardeinstellung wieder. Der Registry-Wert löst das Problem gezielt und lässt alle Sicherheitskorrekturen an Ort und Stelle. Wir empfehlen ihn deshalb klar vor der Deinstallation.

PEAP-MSCHAPv2 hat seine besten Jahre hinter sich. MS-CHAPv2 gilt kryptografisch als gebrochen — bereits 2012 wurde öffentlich gezeigt, dass sich ein mitgeschnittener Anmeldevorgang auf das Knacken eines einzelnen 56-Bit-DES-Schlüssels reduzieren lässt. Die Sicherheit hängt vollständig davon ab, dass alle Clients das Zertifikat des RADIUS-Servers sauber prüfen. Wo das nicht der Fall ist, kann ein gefälschter Access Point („Evil Twin“) Anmeldedaten abgreifen. Dazu kommt: Das Verfahren basiert auf Kennwörtern — die man weitergeben, abphishen und vergessen kann. Der zeitgemäße Ersatz ist EAP-TLS: Statt eines Kennworts weist sich jedes Gerät (oder jeder Benutzer) mit einem eigenen Zertifikat aus, dessen privater Schlüssel im TPM-Chip des Geräts liegen kann und nicht exportierbar ist. Die Authentifizierung ist gegenseitig, phishing-resistent und weder von Credential Guard noch von der NTLMv1-Abschaltung betroffen. Alternativ kommt EAP-TEAP mit TLS in Frage. Für den Umstieg brauchen Sie drei Bausteine: 1. Eine Zertifizierungsstelle, die Geräte- oder Benutzerzertifikate automatisch ausstellt — klassisch die Active-Directory-Zertifikatdienste (AD CS) mit automatischer Registrierung per Gruppenrichtlinie, in Cloud-Umgebungen etwa Microsoft Cloud PKI oder AD CS mit dem Intune-Zertifikatconnector. 2. Einen RADIUS-Server mit EAP-TLS-Unterstützung — der vorhandene Windows-NPS kann das, ebenso die meisten Controller- und Cloud-RADIUS-Lösungen. 3. Ein neues WLAN- bzw. LAN-Profil, das per Gruppenrichtlinie oder Intune verteilt wird und das Stammzertifikat sowie die Zertifikatsanforderung enthält. In kleineren Umgebungen ist das in wenigen Tagen umgesetzt; der Aufwand liegt vor allem in der sauberen Planung der Zertifizierungsstelle. Parallel lohnt es sich, gleich die übrigen NTLMv1-Abhängigkeiten aufzuspüren — Ereignis 4024 in den NTLM-Protokollen zeigt sie an.

Neben der NTLMv1-Änderung enthält das Oktober-Update einige Punkte, die Sie kennen sollten: • Supportende für Windows 11 24H2 Home und Pro: KB5127648 ist das letzte Sicherheitsupdate für diese Editionen. Geräte, die noch auf 24H2 stehen, sollten jetzt auf 25H2 oder 26H2 wechseln. Enterprise und Education erhalten weiterhin Updates. • Remote Desktop für Standardbenutzer: Seit dem 14. Oktober führt Microsoft ein bekanntes Problem, bei dem Nicht-Administratoren keine RDP-Verbindung zu Geräten mit aktiviertem Administratorschutz aufbauen können (Fehler 0xC000000D, „The token that was passed to the function is invalid“). Ausgelöst wird es bereits seit dem Vorschau-Update KB5124010 aus dem September. Eine Korrektur ist angekündigt; vorübergehend lässt sich der Administratorschutz per Gruppenrichtlinie oder Intune zurücksetzen. • Smart App Control: War die Funktion zuvor ausgeschaltet, lässt sie sich nach dem Update unter Umständen nicht wieder aktivieren (Schalter ausgegraut). Microsoft nennt einen Registry-Workaround, eine endgültige Lösung steht aus. • USB-Audio: Das seit September bekannte Problem mit USB-Audio-Class-1.0-Geräten (Code 10, kein Ton) ist weiterhin nur teilweise behoben. • Behobene Fehler: unter anderem Explorer-Abstürze und schwarzer Bildschirm auf Azure Virtual Desktop mit FSLogix, hängende Always-On-VPN-Verbindungen, Druckprobleme mit RAW- und „Generic / Text Only“-Treibern seit dem August-Update sowie Fingerabdruck-Anmeldung nach einem Kaltstart. Prüfen Sie den aktuellen Stand vor jeder Freigabe im Windows Release Health Dashboard — Microsoft aktualisiert die Liste laufend.

So gehen wir bei unseren Kunden vor: 1. Betroffenheit klären: Welche WLAN- und LAN-Profile nutzen PEAP-MSCHAPv2 mit automatischer Windows-Anmeldung? Gibt es VPN-Verbindungen mit MS-CHAPv2? Die NTLM-Protokolle (Ereignis 4024/4025) liefern die Antwort pro Gerät. 2. Vorbeugend verteilen: Den Registry-Wert „BlockNtlmv1SSO = 0“ per Gruppenrichtlinie oder Intune an alle betroffenen Geräte ausrollen — bevor sie das Update installieren und vom Netz fallen. 3. Ausgefallene Geräte zurückholen: per Kabel, Ausweich-WLAN oder manueller Anmeldung ins Netz bringen, Richtlinie anwenden lassen, neu verbinden. 4. Update installiert lassen: Keine Deinstallation, keine pauschale Update-Pause — die Sicherheitskorrekturen des Oktober-Patchdays sind zu wichtig. 5. Umstieg planen: EAP-TLS mit Gerätezertifikaten einführen und die Registry-Ausnahme danach wieder entfernen. Gleichzeitig Geräte mit Windows 11 24H2 Home/Pro auf eine unterstützte Version bringen. Wenn Sie das nicht selbst stemmen möchten: Diagnose, Sofortmaßnahme und die Migration auf zertifikatsbasierte Anmeldung übernehmen wir im Rahmen unseres IT-Supports und unserer Managed Services. Mehr zur Absicherung Ihrer Infrastruktur finden Sie unter IT-Sicherheit.

KB5127648 ist kein fehlerhaftes Update, sondern der angekündigte letzte Schritt einer Sicherheitsumstellung, die über ein Jahr lang im Audit-Modus vorbereitet wurde. Getroffen hat es vor allem Umgebungen, die die Warnungen in den NTLM-Protokollen nicht ausgewertet haben — und das dürften die meisten kleinen und mittleren Unternehmen sein. Die gute Nachricht: Mit einem einzigen Registry-Wert ist das Netz in Minuten zurück, ohne auf die Sicherheitskorrekturen zu verzichten. Die eigentliche Aufgabe beginnt danach. Wer jetzt auf EAP-TLS umsteigt, hat nicht nur das aktuelle Problem gelöst, sondern sein Firmen-WLAN deutlich sicherer gemacht — und ist für die weiteren NTLM-Abschaltungen, die Microsoft angekündigt hat, gut aufgestellt. Ihr WLAN ist nach dem Oktober-Update ausgefallen oder Sie möchten vorbeugen? Sprechen Sie uns an — wir helfen kurzfristig.