Wichtig Dieser Artikel enthält Informationen darüber, wie Sie die Sicherheitseinstellungen senken oder die Sicherheitsfeatures eines Computers deaktivieren können. Sie können diese Änderungen vornehmen, um ein bestimmtes Problem zu umgehen. Wir raten Ihnen jedoch, zunächst die Risiken dieser Problemumgehung für Ihre Umgebung abzuschätzen, bevor Sie die genannten Änderungen vornehmen. Falls Sie diese Problemumgehung einsetzen, sollten Sie entsprechende Maßnahmen treffen, um Ihren Computer zu schützen.
Zusammenfassung
Dieses Sicherheitsupdate enthält Verbesserungen und Korrekturen in der Funktionalität von Windows 10 Version 1511. Es behebt außerdem die folgenden Sicherheitsanfälligkeiten in Windows:
- 3177356 MS16-095: Kumulatives Sicherheitsupdate für Internet Explorer: 9. August 2016
- 3177358 MS16-096: Kumulatives Sicherheitsupdate für Microsoft Edge: 9. August 2016
- 3177393 MS16-097: Sicherheitsupdate für Microsoft-Grafikkomponente: 9. August 2016
- 3178466 MS16-098: Sicherheitsupdate für Kernelmodustreiber: 9. August 2016
- 3178465 MS16-101: Sicherheitsupdate für Windows-Authentifizierung Methoden: 9. August 2016
- 3182248 MS16-102: Sicherheitsupdate für die Microsoft Windows-PDF-Bibliothek: 9. August 2016
- 3182332 MS16-103: Sicherheitsupdate für ActiveSyncProvider: 9. August 2016
Windows 10-Updates sind kumulativ. Daher enthält dieses Paket alle zuvor veröffentlichten Fixes.
Wenn Sie frühere Updates installiert haben, werden nur die neuen Korrekturen, die in diesem Paket enthalten sind, heruntergeladen und auf Ihrem Computer installiert. Wenn Sie ein Windows 10-Updatepaket zum ersten Mal installieren, ist das Paket für die x86-Version 502 MB und das Paket für die x64-Version 916 MB groß.
Weitere Informationen
Bekannte Probleme bei diesem Sicherheitsupdate
Bekanntes Problem 1
Die Sicherheitsupdates, die in MS16-101 und neueren Updates bereitgestellt werden, deaktivieren die Möglichkeit des Aushandlungsprozesses, auf NTLM zurückzugreifen, wenn die Kerberos-Authentifizierung für Kennwortänderungsvorgänge mit dem Fehlercode STATUS_NO_LOGON_SERVERS (0xc000005e) fehlschlägt. In dieser Situation erhalten Sie möglicherweise einen der folgenden Fehlercodes.
Hexadezimal Dezimal Symbolisch Freundlich 0xc0000388 1073740920 STATUS_DOWNGRADE_DETECTED Das System hat einen möglichen Versuch erkannt, die Sicherheit zu gefährden. Stellen Sie sicher, dass Sie sich an den Server wenden können, der Sie authentifiziert hat. 0x4f1 1265 ERROR_DOWNGRADE_DETECTED Das System hat einen möglichen Versuch erkannt, die Sicherheit zu gefährden. Stellen Sie sicher, dass Sie sich an den Server wenden können, der Sie authentifiziert hat. Problemumgehung
Wenn zuvor erfolgreiche Kennwortänderungen nach der Installation von MS16-101 fehlschlagen, ist es wahrscheinlich, dass Kennwortänderungen zuvor auf NTLM-Fallback angewiesen waren, da Kerberos fehlschlug. Gehen Sie folgendermaßen vor, um Kennwörter mithilfe von Kerberos-Protokollen erfolgreich zu ändern:
Konfigurieren Sie die offene Kommunikation auf TCP-Port 464 zwischen Clients, auf denen MS16-101 installiert ist, und dem Domänencontroller, der die Kennwortzurücksetzungen durchführt.
Schreibgeschützte Domänencontroller (Read-Only Domain Controllers, RODC) können Self-Service-Kennwortzurücksetzungen durchführen, wenn der Benutzer von der RODC-Kennwortreplikationsrichtlinie zugelassen wird. Benutzer, die von der RODC-Kennwortrichtlinie nicht zugelassen werden, benötigen Netzwerkkonnektivität zu einem Lese-/Schreibdomänencontroller (RWDC) in der Domäne des Benutzerkontos.
Hinweis: Gehen Sie folgendermaßen vor, um zu überprüfen, ob TCP-Port 464 geöffnet ist:
Erstellen Sie einen entsprechenden Anzeigefilter für den Netzwerkmonitorparser. Beispiel:
IPv4.address== <IP-Adresse des Clients> && TCP.Port==464
Suchen Sie in den Ergebnissen nach dem Frame "TCP:[SynReTransmit".
Stellen Sie sicher, dass die Kerberos-Zielnamen gültig sind. (IP-Adressen sind für das Kerberos-Protokoll nicht gültig. Kerberos unterstützt Kurznamen und vollqualifizierte Domänennamen.)
Stellen Sie sicher, dass Dienstprinzipalnamen (Service Principal Names, SPNs) ordnungsgemäß registriert sind.
Weitere Informationen finden Sie unter Kerberos und Self-Service Kennwortzurücksetzung.
Bekanntes Problem 2
Uns ist ein Problem bekannt, bei dem die programmgesteuerte Kennwortzurücksetzung von Domänenbenutzerkonten fehlschlägt und den Fehlercode STATUS_DOWNGRADE_DETECTED (0x800704F1) zurückgibt, wenn der erwartete Fehler einer der folgenden ist:
- ERROR_INVALID_PASSWORD
- ERROR_PWD_TOO_SHORT (selten zurückgegeben)
- STATUS_WRONG_PASSWORD
- STATUS_PASSWORD_RESTRICTION
Die folgende Tabelle zeigt die vollständige Fehlerzuordnung.
Hexadezimal Dezimal Symbolisch Freundlich 0x56 86 ERROR_INVALID_PASSWORD Das angegebene Netzwerkkennwort ist nicht korrekt. 0x267 615 ERROR_PWD_TOO_SHORT Das angegebene Kennwort ist zu kurz, um den Richtlinien Ihres Benutzerkontos zu entsprechen. Geben Sie ein längeres Kennwort an. 0xc000006a -1073741718 STATUS_WRONG_PASSWORD Wenn Sie versuchen, ein Kennwort zu aktualisieren, zeigt dieser Status an, dass der Wert, der als aktuelles Kennwort angegeben wurde, falsch ist. 0xc000006c -1073741716 STATUS_PASSWORD_RESTRICTION Wenn Sie versuchen, ein Kennwort zu aktualisieren, weist dieser Status darauf hin, dass eine Kennwortaktualisierungsregel verletzt wurde. Beispielsweise erfüllt das Kennwort möglicherweise nicht die Längenkriterien. 0x800704F1 1265 STATUS_DOWNGRADE_DETECTED Das System kann keinen Domänencontroller kontaktieren, um die Authentifizierungsanforderung zu bearbeiten. Versuchen Sie es später erneut. 0xc0000388 -1073740920 STATUS_DOWNGRADE_DETECTED Das System kann keinen Domänencontroller kontaktieren, um die Authentifizierungsanforderung zu bearbeiten. Versuchen Sie es später erneut. Lösung
MS16-101 wurde erneut veröffentlicht, um dieses Problem zu beheben. Installieren Sie die neueste Version der Updates für dieses Bulletin, um dieses Problem zu beheben.
Bekanntes Problem 3
Uns ist ein Problem bekannt, bei dem programmgesteuerte Zurücksetzungen von Kennwortänderungen für lokale Benutzerkonten fehlschlagen und der Fehlercode STATUS_DOWNGRADE_DETECTED (0x800704F1) zurückgegeben wird.
Die folgende Tabelle zeigt die vollständige Fehlerzuordnung.
Hexadezimal Dezimal Symbolisch Freundlich 0x4f1 1265 ERROR_DOWNGRADE_DETECTED Das System kann keinen Domänencontroller kontaktieren, um die Authentifizierungsanforderung zu bearbeiten. Versuchen Sie es später erneut. Lösung
MS16-101 wurde erneut veröffentlicht, um dieses Problem zu beheben. Installieren Sie die neueste Version der Updates für dieses Bulletin, um dieses Problem zu beheben.
Bekanntes Problem 4
Kennwörter für deaktivierte und gesperrte Benutzerkonten können mithilfe des Verhandlungspakets nicht geändert werden.
Kennwortänderungen für deaktivierte und gesperrte Konten funktionieren weiterhin, wenn andere Methoden verwendet werden, z. B. wenn Sie einen LDAP-Änderungsvorgang direkt verwenden. Beispielsweise verwendet das PowerShell-Cmdlet Set-ADAccountPassword den Vorgang "LDAP Modify", um das Kennwort zu ändern, und bleibt davon unberührt.
Problemumgehung
Für diese Konten muss ein Administrator das Kennwort zurücksetzen. Dieses Verhalten ist beabsichtigt, nachdem Sie MS16-101 und höhere Fixes installiert haben.
Bekanntes Problem 5
Anwendungen, die die NetUserChangePassword-API verwenden und einen Servernamen im domainname-Parameter übergeben, funktionieren nach der Installation von MS16-101 und neueren Updates nicht mehr.
In der Microsoft-Dokumentation heißt es, dass die Angabe eines Remoteservernamens im domainname-Parameter der NetUserChangePassword-Funktion unterstützt wird. Das MSDN-Thema zur NetUserChangePassword-Funktion besagt beispielsweise Folgendes:
domainname [at]
Ein Zeiger auf eine konstante Zeichenfolge, die den DNS- oder NetBIOS-Namen eines Remoteservers oder einer Domäne angibt, auf dem die Funktion ausgeführt werden soll. Wenn dieser Parameter NULL ist, wird die Anmeldedomäne des Aufrufers verwendet. Dieser Leitfaden wurde jedoch durch MS16-101 ersetzt, es sei denn, die Kennwortzurücksetzung betrifft ein lokales Konto auf dem lokalen Computer. Damit nach MS16-101 Domänenbenutzerkennwortänderungen wirksam werden, müssen Sie einen gültigen DNS-Domänennamen an die NetUserChangePassword-API übergeben.
Bekanntes Problem 6
Nachdem Sie dieses Sicherheitsupdate angewendet haben und mehrere Dokumente nacheinander drucken, können die ersten beiden Dokumente erfolgreich gedruckt werden. Das dritte und die nachfolgenden Dokumente dürfen jedoch nicht gedruckt werden.
Um dieses Problem zu beheben, laden Sie Update-3186988 von der Microsoft Update-Katalog-Website herunter.
Dieses Problem wurde auch im Microsoft-Sicherheitsbulletin MS16-106 behoben.
Bekanntes Problem 7
Nach der Installation der Sicherheitsupdates, die in MS16-101 beschrieben werden, schlagen remote, programmgesteuerte Änderungen eines Kennworts eines lokalen Benutzerkontos und Kennwortänderungen in einer nicht vertrauenswürdigen Gesamtstruktur fehl.
Dieser Vorgang schlägt fehl, da der Vorgang auf NTLM-Fallback angewiesen ist, das für nicht lokale Konten nach der Installation von MS16-101 nicht mehr unterstützt wird.
Es wird ein Registrierungseintrag bereitgestellt, mit dem Sie diese Änderung deaktivieren können.
Warnung Durch diese Problemumgehung wird ein Computer oder Netzwerk möglicherweise anfälliger für Angriffe böswilliger Benutzer oder gefährlicher Software, wie etwa Viren. Diese Problemumgehung wird nicht von Microsoft empfohlen, wird jedoch hier aufgeführt, damit Sie diese Option nach eigenem Ermessen anwenden können. Sie verwenden diese Problemumgehung auf eigene Gefahr.
Wichtig: Dieser Abschnitt, diese Methode oder Aufgabe enthält Schritte, die Ihnen sagen, wie Sie die Registrierung ändern. Es können jedoch schwerwiegende Probleme auftreten, wenn Sie die Registrierung falsch ändern. Stellen Sie deshalb sicher, dass Sie diese Schritte sorgfältig ausführen. Als zusätzlichen Schutz erstellen Sie eine Sicherung der Registrierung, bevor Sie sie ändern. So ist gewährleistet, dass Sie die Registrierung wiederherstellen können, falls ein Problem auftritt. Weitere Informationen zum Erstellen und Wiederherstellen einer Sicherungskopie der Registrierung finden Sie im folgenden Artikel der Microsoft Knowledge Base:
322756 Sichern und Wiederherstellen der Registrierung in WindowsUm diese Änderung zu deaktivieren, legen Sie den DWORD-Eintrag NegoAllowNtlmPwdChangeFallback auf den Wert 1 (Eins) fest.
Wichtig: Wenn Sie den Registrierungseintrag "NegoAllowNtlmPwdChangeFallback" auf den Wert "1" festlegen, wird dieser Sicherheitsfix deaktiviert:
Registrierungswert Beschreibung 0 Standardwert. Ein Fallback wird verhindert. 1 Fallback ist immer zulässig. Der Sicherheitsfix ist deaktiviert. Kunden, die Probleme mit lokalen Remotekonten oder Szenarien mit nicht vertrauenswürdigen Gesamtstrukturen haben, können die Registrierung auf diesen Wert festlegen. Gehen Sie folgendermaßen vor, um diese Registrierungswerte hinzuzufügen:
Klicken Sie auf Start, klicken Sie auf Ausführen, und geben im Feld Öffnen die Zeichenfolge regedit ein. Klicken Sie anschließend auf OK.
Suchen Sie den folgenden Registrierungsunterschlüssel in der Registrierung, und klicken Sie dann darauf:
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa
Zeigen Sie im Menü Bearbeiten auf Neu, und klicken Sie dann auf DWORD-Wert.
Geben Sie NegoAllowNtlmPwdChangeFallback als Namen für DWORD ein, und drücken Sie dann die EINGABETASTE.
Klicken Sie mit der rechten Maustaste auf NegoAllowNtlmPwdChangeFallback, und klicken Sie dann auf Ändern.
Geben Sie im Feld "Wertdaten" den Wert "1" ein, um diese Änderung zu deaktivieren, und klicken Sie dann auf "OK".
Hinweis: Um den Standardwert wiederherzustellen, geben Sie 0 (null) ein, und klicken Sie dann auf OK.
Status
Die Ursache dieses Problems ist bekannt. Dieser Artikel wird mit zusätzlichen Details aktualisiert, sobald diese verfügbar sind.
So erhalten Sie dieses Update
Wichtig Wenn Sie nach der Installation dieses Updates ein Language Pack installieren, müssen Sie dieses Update erneut installieren. Daher wird empfohlen, alle benötigen Language Packs vor diesem Update zu installieren. Weitere Informationen finden Sie unter Hinzufügen von Language Packs zu Windows.
Methode 1: Windows Update
Dieses Update wird automatisch heruntergeladen und installiert.
Methode 2: Microsoft Update-Katalog
Das eigenständige Paket für dieses Update finden Sie auf der Microsoft Update-Katalog-Website.
Voraussetzungen
Es müssen keine speziellen Voraussetzungen für die Installation dieses Updates erfüllt werden.
Informationen zum Neustart
Sie müssen den Computer nach der Installation des Updates neu starten.
Informationen zur Ersetzung von Updates
Dieses Update ersetzt das zuvor veröffentlichte Update 3172985.
Dateiinformationen
Eine Liste der Dateien, die in diesem kumulativen Update bereitgestellt werden, finden Sie in den Dateiinformationen für das kumulative Update 3176493.
Referenzmaterial
Informieren Sie sich über die Terminologie, die Microsoft zum Beschreiben von Softwareupdates verwendet.