MS16-101: Sicherheitsupdate für Windows-Authentifizierungsmethoden: 9. August 2016

Gilt für

Windows 10 Windows 10, version 1511, all editions Windows 10, version 1607, all editions Windows Server 2012 R2 Datacenter Windows Server 2012 R2 Standard Windows Server 2012 R2 Essentials Windows Server 2012 R2 Foundation Windows 8.1 Enterprise Windows 8.1 Pro Windows 8.1 Windows Server 2012 Datacenter Windows Server 2012 Datacenter Windows Server 2012 Standard Windows Server 2012 Standard Windows Server 2012 Essentials Windows Server 2012 Foundation Windows Server 2012 Foundation Windows Server 2008 R2 Service Pack 1 Windows Server 2008 R2 Datacenter Windows Server 2008 R2 Enterprise Windows Server 2008 R2 Standard Windows Server 2008 R2 Web Edition Windows Server 2008 R2 Foundation Windows 7 Service Pack 1 Windows 7 Ultimate Windows 7 Enterprise Windows 7 Professional Windows 7 Home Premium Windows 7 Home Basic Windows 7 Starter Windows Server 2008 Service Pack 2 Windows Server 2008 Datacenter Windows Server 2008 Enterprise Windows Server 2008 Standard Windows Server 2008 Web Edition Windows Server 2008 Foundation Windows Server 2008 for Itanium-Based Systems Windows Vista Service Pack 2 Windows Vista Ultimate Windows Vista Enterprise Windows Vista Business Windows Vista Home Premium Windows Vista Home Basic Windows Vista Starter

Wichtig Dieser Artikel enthält Informationen darüber, wie Sie die Sicherheitseinstellungen senken oder die Sicherheitsfeatures eines Computers deaktivieren können. Sie können diese Änderungen vornehmen, um ein bestimmtes Problem zu umgehen. Wir raten Ihnen jedoch, zunächst die Risiken dieser Problemumgehung für Ihre Umgebung abzuschätzen, bevor Sie die genannten Änderungen vornehmen. Falls Sie diese Problemumgehung einsetzen, sollten Sie entsprechende Maßnahmen treffen, um Ihren Computer zu schützen.

Zusammenfassung

Dieses Sicherheitsupdate behebt mehrere Sicherheitsanfälligkeiten in Microsoft Windows. Die Sicherheitsanfälligkeiten können Rechteerweiterungen ermöglichen, wenn ein Angreifer eine speziell gestaltete Anwendung auf einem in eine Domäne eingebundenen System ausführt.

Weitere Informationen zu dieser Sicherheitsanfälligkeit finden Sie im Microsoft-Sicherheitsbulletin MS16-101.

Weitere Informationen

Wichtig

Für alle zukünftigen sicherheitsrelevanten und nicht sicherheitsrelevanten Updates für Windows 8.1 und Windows Server 2012 R2 müssen Updates 2919355 installiert werden. Wir empfehlen Ihnen, Update 2919355 auf Ihrem Windows 8.1-basierten oder Windows Server 2012 R2-basierten Computer zu installieren, damit Sie auch in Zukunft Updates erhalten.
Wenn Sie nach der Installation dieses Updates ein Language Pack installieren, müssen Sie dieses Update erneut installieren. Daher wird empfohlen, alle benötigen Language Packs vor diesem Update zu installieren. Weitere Informationen finden Sie unter Hinzufügen von Language Packs zu Windows.

Nicht sicherheitsrelevante Korrekturen, die in diesem Sicherheitsupdate enthalten sind

Dieses Sicherheitsupdate behebt außerdem die folgenden nicht sicherheitsrelevanten Probleme:

Wenn in einem domänengebundenen Scale Out File Server (SoFS) in einem domänenlosen Cluster ein SMB-Client, auf dem entweder Windows 8.1 oder Windows Server 2012 R2 ausgeführt wird, eine Verbindung mit einem ausgefallenen Knoten herstellt, schlägt die Authentifizierung fehl. Wenn dieses Problem auftritt, wird möglicherweise eine Fehlermeldung etwa folgenden Inhalts angezeigt:

Hinweis

STATUS_NO_TGT_REPLY

Zusätzliche Informationen zu diesem Sicherheitsupdate

Die folgenden Artikel enthalten zusätzliche Informationen zu diesem Sicherheitsupdate bezogen auf einzelne Produktversionen. Die Artikel können Informationen zu bekannten Problemen enthalten.

3177108 MS16-101: Hinweise zum Sicherheitsupdate für Windows-Authentifizierung Methoden: 9. August 2016
3167679 MS16-101: Hinweise zum Sicherheitsupdate für Windows-Authentifizierung Methoden: 9. August 2016
3192392 Oktober 2016 reines Sicherheits- und Qualitätsupdate für Windows 8.1 und Windows Server 2012 R2
3185331 monatlichen Sicherheits- und Qualitätsrollup vom Oktober 2016 für Windows 8.1 und Windows Server 2012 R2
3192393 Oktober 2016 reines Sicherheits- und Qualitätsupdate für Windows Server 2012
3185332 Oktober 2016, monatliches Sicherheits- und Qualitätsrollup für Windows Server 2012
3192391 Oktober 2016 Sicherheits-Qualitätsupdate für Windows 7 SP1 und Windows Server 2008 R2 SP1
3185330 monatlichen Sicherheits- und Qualitätsrollup vom Oktober 2016 für Windows 7 SP1 und Windows Server 2008 R2 SP1
3192440 Kumulatives Update für Windows 10: 11. Oktober 2016
3194798 Kumulatives Update für Windows 10 Version 1607 und Windows Server 2016: 11. Oktober 2016
3192441 Kumulatives Update für Windows 10 Version 1511: 11. Oktober 2016

Sicherheitsupdates, die ersetzt werdenDie folgenden Sicherheitsupdates wurden ersetzt:

3176492 Kumulatives Update für Windows 10: 9. August 2016
3176493 Kumulatives Update für Windows 10 Version 1511: 9. August 2016
3176495 Kumulatives Update für Windows 10 Version 1607: 9. August 2016

Es folgen die neuen Sicherheitsupdates, die die zuvor erwähnten Sicherheitsupdates ersetzen:

3192440 Kumulatives Update für Windows 10: 11. Oktober 2016
3194798 Kumulatives Update für Windows 10 Version 1607 und Windows Server 2016: 11. Oktober 2016
3192441 Kumulatives Update für Windows 10 Version 1511: 11. Oktober 2016

Bekannte Probleme bei diesem Sicherheitsupdate

Bekanntes Problem 1

Die Sicherheitsupdates, die in MS16-101 und neueren Updates bereitgestellt werden, deaktivieren die Möglichkeit des Aushandlungsprozesses, auf NTLM zurückzugreifen, wenn die Kerberos-Authentifizierung für Kennwortänderungsvorgänge mit dem Fehlercode STATUS_NO_LOGON_SERVERS (0xc000005e) fehlschlägt. In dieser Situation erhalten Sie möglicherweise einen der folgenden Fehlercodes.

Hexadezimal	Dezimal	Symbolisch	Freundlich
0xc0000388	1073740920	STATUS_DOWNGRADE_DETECTED	Das System hat einen möglichen Versuch erkannt, die Sicherheit zu gefährden. Stellen Sie sicher, dass Sie sich an den Server wenden können, der Sie authentifiziert hat.
0x4f1	1265	ERROR_DOWNGRADE_DETECTED	Das System hat einen möglichen Versuch erkannt, die Sicherheit zu gefährden. Stellen Sie sicher, dass Sie sich an den Server wenden können, der Sie authentifiziert hat.

Problemumgehung

Wenn zuvor erfolgreiche Kennwortänderungen nach der Installation von MS16-101 fehlschlagen, ist es wahrscheinlich, dass Kennwortänderungen zuvor auf NTLM-Fallback angewiesen waren, da Kerberos fehlschlug. Gehen Sie folgendermaßen vor, um Kennwörter mithilfe von Kerberos-Protokollen erfolgreich zu ändern:

Konfigurieren Sie die offene Kommunikation auf TCP-Port 464 zwischen Clients, auf denen MS16-101 installiert ist, und dem Domänencontroller, der die Kennwortzurücksetzungen durchführt.

Schreibgeschützte Domänencontroller (Read-Only Domain Controllers, RODC) können Self-Service-Kennwortzurücksetzungen durchführen, wenn der Benutzer von der RODC-Kennwortreplikationsrichtlinie zugelassen wird. Benutzer, die von der RODC-Kennwortrichtlinie nicht zugelassen werden, benötigen Netzwerkkonnektivität zu einem Lese-/Schreibdomänencontroller (RWDC) in der Domäne des Benutzerkontos.

Hinweis: Gehen Sie folgendermaßen vor, um zu überprüfen, ob TCP-Port 464 geöffnet ist:
1. Erstellen Sie einen entsprechenden Anzeigefilter für den Netzwerkmonitorparser. Beispiel:
  IPv4.address== <IP-Adresse des Clients> && TCP.Port==464
2. Suchen Sie in den Ergebnissen nach dem Frame "TCP:[SynReTransmit".
Stellen Sie sicher, dass die Kerberos-Zielnamen gültig sind. (IP-Adressen sind für das Kerberos-Protokoll nicht gültig. Kerberos unterstützt Kurznamen und vollqualifizierte Domänennamen.)
Stellen Sie sicher, dass Dienstprinzipalnamen (Service Principal Names, SPNs) ordnungsgemäß registriert sind.

Weitere Informationen finden Sie unter Kerberos und Self-Service Kennwortzurücksetzung.

Bekanntes Problem 2

Uns ist ein Problem bekannt, bei dem die programmgesteuerte Kennwortzurücksetzung von Domänenbenutzerkonten fehlschlägt und den Fehlercode STATUS_DOWNGRADE_DETECTED (0x800704F1) zurückgibt, wenn der erwartete Fehler einer der folgenden ist:

ERROR_INVALID_PASSWORD
ERROR_PWD_TOO_SHORT (selten zurückgegeben)
STATUS_WRONG_PASSWORD
STATUS_PASSWORD_RESTRICTION

Die folgende Tabelle zeigt die vollständige Fehlerzuordnung.

Hexadezimal	Dezimal	Symbolisch	Freundlich
0x56	86	ERROR_INVALID_PASSWORD	Das angegebene Netzwerkkennwort ist nicht korrekt.
0x267	615	ERROR_PWD_TOO_SHORT	Das angegebene Kennwort ist zu kurz, um den Richtlinien Ihres Benutzerkontos zu entsprechen. Geben Sie ein längeres Kennwort an.
0xc000006a	-1073741718	STATUS_WRONG_PASSWORD	Wenn Sie versuchen, ein Kennwort zu aktualisieren, zeigt dieser Status an, dass der Wert, der als aktuelles Kennwort angegeben wurde, falsch ist.
0xc000006c	-1073741716	STATUS_PASSWORD_RESTRICTION	Wenn Sie versuchen, ein Kennwort zu aktualisieren, weist dieser Status darauf hin, dass eine Kennwortaktualisierungsregel verletzt wurde. Beispielsweise erfüllt das Kennwort möglicherweise nicht die Längenkriterien.
0x800704F1	1265	STATUS_DOWNGRADE_DETECTED	Das System kann keinen Domänencontroller kontaktieren, um die Authentifizierungsanforderung zu bearbeiten. Versuchen Sie es später erneut.
0xc0000388	-1073740920	STATUS_DOWNGRADE_DETECTED	Das System kann keinen Domänencontroller kontaktieren, um die Authentifizierungsanforderung zu bearbeiten. Versuchen Sie es später erneut.

Lösung

MS16-101 wurde erneut veröffentlicht, um dieses Problem zu beheben. Installieren Sie die neueste Version der Updates für dieses Bulletin, um dieses Problem zu beheben.

Bekanntes Problem 3

Uns ist ein Problem bekannt, bei dem programmgesteuerte Zurücksetzungen von Kennwortänderungen für lokale Benutzerkonten fehlschlagen und der Fehlercode STATUS_DOWNGRADE_DETECTED (0x800704F1) zurückgegeben wird.

Die folgende Tabelle zeigt die vollständige Fehlerzuordnung.

Hexadezimal	Dezimal	Symbolisch	Freundlich
0x4f1	1265	ERROR_DOWNGRADE_DETECTED	Das System kann keinen Domänencontroller kontaktieren, um die Authentifizierungsanforderung zu bearbeiten. Versuchen Sie es später erneut.

Lösung

MS16-101 wurde erneut veröffentlicht, um dieses Problem zu beheben. Installieren Sie die neueste Version der Updates für dieses Bulletin, um dieses Problem zu beheben.

Bekanntes Problem 4

Kennwörter für deaktivierte und gesperrte Benutzerkonten können mithilfe des Verhandlungspakets nicht geändert werden.

Kennwortänderungen für deaktivierte und gesperrte Konten funktionieren weiterhin, wenn andere Methoden verwendet werden, z. B. wenn Sie einen LDAP-Änderungsvorgang direkt verwenden. Beispielsweise verwendet das PowerShell-Cmdlet Set-ADAccountPassword den Vorgang "LDAP Modify", um das Kennwort zu ändern, und bleibt davon unberührt.

Problemumgehung

Für diese Konten muss ein Administrator das Kennwort zurücksetzen. Dieses Verhalten ist beabsichtigt, nachdem Sie MS16-101 und höhere Fixes installiert haben.
Bekanntes Problem 5

Anwendungen, die die NetUserChangePassword-API verwenden und einen Servernamen im domainname-Parameter übergeben, funktionieren nach der Installation von MS16-101 und neueren Updates nicht mehr.

In der Microsoft-Dokumentation heißt es, dass die Angabe eines Remoteservernamens im domainname-Parameter der NetUserChangePassword-Funktion unterstützt wird. Das MSDN-Thema zur NetUserChangePassword-Funktion besagt beispielsweise Folgendes:

domainname [at]

Ein Zeiger auf eine konstante Zeichenfolge, die den DNS- oder NetBIOS-Namen eines Remoteservers oder einer Domäne angibt, auf dem die Funktion ausgeführt werden soll. Wenn dieser Parameter NULL ist, wird die Anmeldedomäne des Aufrufers verwendet. Status

Dieser Leitfaden wurde durch MS16-101 ersetzt, es sei denn, die Kennwortzurücksetzung betrifft ein lokales Konto auf dem lokalen Computer.

Damit nach MS16-101 Domänenbenutzerkennwortänderungen wirksam werden, müssen Sie einen gültigen DNS-Domänennamen an die NetUserChangePassword-API übergeben.

Bekanntes Problem 6

Nach der Installation der Sicherheitsupdates, die in MS16-101 beschrieben werden, schlagen remote, programmgesteuerte Änderungen eines Kennworts eines lokalen Benutzerkontos und Kennwortänderungen in einer nicht vertrauenswürdigen Gesamtstruktur fehl.

Dieser Vorgang schlägt fehl, da der Vorgang auf NTLM-Fallback angewiesen ist, das für nicht lokale Konten nach der Installation von MS16-101 nicht mehr unterstützt wird.

Es wird ein Registrierungseintrag bereitgestellt, mit dem Sie diese Änderung deaktivieren können.

Warnung Durch diese Problemumgehung wird ein Computer oder Netzwerk möglicherweise anfälliger für Angriffe böswilliger Benutzer oder gefährlicher Software, wie etwa Viren. Diese Problemumgehung wird nicht von Microsoft empfohlen, wird jedoch hier aufgeführt, damit Sie diese Option nach eigenem Ermessen anwenden können. Sie verwenden diese Problemumgehung auf eigene Gefahr.

Wichtig: Dieser Abschnitt, diese Methode oder Aufgabe enthält Schritte, die Ihnen sagen, wie Sie die Registrierung ändern. Es können jedoch schwerwiegende Probleme auftreten, wenn Sie die Registrierung falsch ändern. Stellen Sie deshalb sicher, dass Sie diese Schritte sorgfältig ausführen. Als zusätzlichen Schutz erstellen Sie eine Sicherung der Registrierung, bevor Sie sie ändern. So ist gewährleistet, dass Sie die Registrierung wiederherstellen können, falls ein Problem auftritt. Weitere Informationen zum Erstellen und Wiederherstellen einer Sicherungskopie der Registrierung finden Sie im folgenden Artikel der Microsoft Knowledge Base:
322756 Sichern und Wiederherstellen der Registrierung in Windows

Um diese Änderung zu deaktivieren, legen Sie den DWORD-Eintrag NegoAllowNtlmPwdChangeFallback auf den Wert 1 (Eins) fest.

Wichtig: Wenn Sie den Registrierungseintrag "NegoAllowNtlmPwdChangeFallback" auf den Wert "1" festlegen, wird dieser Sicherheitsfix deaktiviert:

Registrierungswert	Beschreibung
0	Standardwert. Ein Fallback wird verhindert.
1	Fallback ist immer zulässig. Der Sicherheitsfix ist deaktiviert. Kunden, die Probleme mit lokalen Remotekonten oder Szenarien mit nicht vertrauenswürdigen Gesamtstrukturen haben, können die Registrierung auf diesen Wert festlegen.

Gehen Sie folgendermaßen vor, um diese Registrierungswerte hinzuzufügen:

Klicken Sie auf Start, klicken Sie auf Ausführen, und geben im Feld Öffnen die Zeichenfolge regedit ein. Klicken Sie anschließend auf OK.
Suchen Sie den folgenden Registrierungsunterschlüssel in der Registrierung, und klicken Sie dann darauf:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa
Zeigen Sie im Menü Bearbeiten auf Neu, und klicken Sie dann auf DWORD-Wert.
Geben Sie NegoAllowNtlmPwdChangeFallback als Namen für DWORD ein, und drücken Sie dann die EINGABETASTE.
Klicken Sie mit der rechten Maustaste auf NegoAllowNtlmPwdChangeFallback, und klicken Sie dann auf Ändern.
Geben Sie im Feld "Wertdaten" den Wert "1" ein, um diese Änderung zu deaktivieren, und klicken Sie dann auf "OK".

Hinweis: Um den Standardwert wiederherzustellen, geben Sie 0 (null) ein, und klicken Sie dann auf OK.

Status

Die Ursache dieses Problems ist bekannt. Dieser Artikel wird mit zusätzlichen Details aktualisiert, sobald diese verfügbar sind.

Bezug und Installation des Updates

Methode 1: Windows Update

Dieses Update ist über Windows Update erhältlich. Wenn Sie die automatische Aktualisierung einschalten, wird das Update heruntergeladen und automatisch installiert. Weitere Informationen zum Aktivieren der automatischen Aktualisierung finden Sie unter
Sicherheitsupdates automatisch abrufen.

Methode 2: Microsoft Update-Katalog

Das eigenständige Paket für dieses Update finden Sie auf der Microsoft Update-Katalog-Website.

Methode 3: Microsoft Download Center

Sie können das eigenständige Updatepaket über das Microsoft Download Center beziehen. Folgen Sie den Installationsanweisungen auf der Downloadseite, um das Update zu installieren.

Klicken Sie im Microsoft-Sicherheitsbulletin MS16-101 auf den Downloadlink für die von Ihnen verwendete Windows-Version.

Weitere Informationen

Informationen zur Bereitstellung von Sicherheitsupdates

Windows Vista (alle Editionen) Referenztabelle