Verwalten der Kerberos KDC-Nutzung von RC4 für Änderungen der Dienstkontoticketausstellung im Zusammenhang mit CVE-2026-20833

Gilt für
Windows Server 2012 ESU Windows Server 2012 R2 ESU Windows Server 2016 Windows Server 2019 Windows Server 2022 Windows Server, version 23H2 Windows Server 2025

Hinweis

  • Ursprüngliches Veröffentlichungsdatum: Dienstag, 13. Januar 2026
  • KB-ID: 5073381

Inhalt dieses Artikels

Zusammenfassung

Windows-Updates, die am und nach dem 13. Januar 2026 veröffentlicht wurden, enthalten Schutz vor einem Sicherheitsrisiko mit dem Kerberos-Authentifizierungsprotokoll. Die Windows-Updates beheben ein Sicherheitsrisiko bezüglich der Offenlegung von Informationen in CVE-2026-20833 , das es einem Angreifer ermöglichen könnte, Diensttickets mit schwachen oder veralteten Verschlüsselungstypen wie RC4 zu erhalten, um Offlineangriffe zur Wiederherstellung eines Dienstkontokennworts durchzuführen.

Um diese Sicherheitsanfälligkeit zu entschärfen, ändern die am und nach dem 14. April 2026 veröffentlichten Windows-Updates den Standardwert des Kerberos Key Distribution Center (KDC) für DefaultDomainSupportedEncTypes, es sei denn, Administratoren aktivieren den Erzwingungsmodus früher. Aktualisierte Domänencontroller, die im Erzwingungsmodus ausgeführt werden, übernehmen nur dann Unterstützung für AES-Verschlüsselungstypkonfigurationen (Advanced Encryption Standard), wenn keine explizite Konfiguration angegeben ist. Weitere Informationen finden Sie unter Bitflags für unterstützte Verschlüsselungstypen. Der Standardwert für DefaultDomainSupportedEncTypes gilt, wenn kein expliziter Wert vorhanden ist.

Auf Domänencontrollern mit einem definierten Registrierungswert "DefaultDomainSupportedEncTypes " wird das Verhalten von diesen Änderungen funktional nicht beeinflusst. Ein Überwachungsereignis mit der KDCSVC-Ereignis-ID: 205 wird jedoch im Systemereignisprotokoll protokolliert, wenn die vorhandene DefaultDomainSupportedEncTypes-Konfiguration unsicher ist (z. B. wenn eine RC4-Verschlüsselung verwendet wird).

Zurück zum Anfang

In Aktion treten

Um Ihre Umgebung zu schützen und Ausfälle zu verhindern, wird Folgendes empfohlen:

  • AKTUALISIEREN Microsoft Active Directory-Domänencontroller ab Windows-Updates, die am oder nach dem 13. Januar 2026 veröffentlicht werden.
  • ÜBERWACHEN Sie das Systemereignisprotokoll auf eines der neun KDCSVC 201 > 209 Audit-Ereignisse, die auf Windows Server 2012 und neueren Domänencontrollern protokolliert werden und Risiken durch Aktivierung des RC4-Schutzes identifizieren.
  • Vorbeugen Im Systemereignisprotokoll protokollierte KDCSVC-Ereignisse, die die manuelle oder programmgesteuerte Aktivierung von RC4-Schutzmaßnahmen verhindern.
  • AKTIVIEREN Erzwingungsmodus zum Beheben der in CVE-2026-20833 behobenen Sicherheitsrisiken in Ihrer Umgebung, wenn Warnungen, Blockierungen oder Richtlinienereignisse nicht mehr protokolliert werden.

Hinweis

WICHTIG Durch die Installation von Updates, die am oder nach dem 13. Januar 2026 veröffentlicht wurden, werden die in CVE-2026-20833 beschriebenen Sicherheitsrisiken für Active Directory-Domänencontroller standardmäßig NICHT behoben. Um das Risiko dieser Sicherheitsanfälligkeit vollständig zu mindern, sollten Sie den Erzwingungsmodus (beschrieben in Schritt 3: AKTIVIEREN) auf allen Domänencontrollern manuell aktivieren. Die Installation von Windows-Updates, die am und nach Juli 2026 veröffentlicht wurden, aktiviert programmgesteuert die Erzwingungsphase.

Der Erzwingungsmodus wird automatisch aktiviert, indem Windows-Updates, die am oder nach April 2026 veröffentlicht wurden, auf allen Windows-Domänencontrollern installiert werden, und blockiert anfällige Verbindungen von nicht konformen Geräten.  Zu diesem Zeitpunkt können Sie die Überwachung nicht deaktivieren, aber möglicherweise zur Einstellung Überwachungsmodus zurückkehren. Der Überwachungsmodus wird im Juli 2026 entfernt, wie im Abschnitt Zeitpunkt der Updates beschrieben, und der Erzwingungsmodus wird auf allen Windows-Domänencontrollern aktiviert und blockiert anfällige Verbindungen von nicht konformen Geräten.

Wenn Sie RC4 nach April 2026 nutzen müssen, empfehlen wir, RC4 explizit in der msds-SupportedEncryptionTypes-Bitmaske für Dienste zu aktivieren, die die RC4-Verwendung akzeptieren müssen.

Zurück zum Anfang

Zeitplan für die Updates

13. Januar 2026 – Erste Bereitstellungsphase

Die erste Bereitstellungsphase beginnt mit den am und nach dem 13. Januar 2026 veröffentlichten Updates und wird mit späteren Windows-Updates bis zur Erzwingungsphase fortgesetzt. In dieser Phase werden Kunden vor neuen Sicherheitsmaßnahmen gewarnt, die in der zweiten Bereitstellungsphase eingeführt werden. Dieses Update:

  • Stellt Überwachungsereignisse bereit, um Kunden zu warnen, die von der bevorstehenden Sicherheitshärtung negativ betroffen sein könnten.
  • Führt die Unterstützung für den Registrierungswert RC4DefaultDisablementPhase ein, nachdem ein Administrator die Änderung proaktiv aktiviert hat, indem er den Wert auf Domänencontroller auf 2 setzt, wenn KDCSVC-Überwachungsereignisse anzeigen, dass dies sicher ist.

14. April 2026 – Erzwingungsphase mit manuellem Rollback

Dieses Update ändert den Standardwert " DefaultDomainSupportedEncTypes" für KDC-Vorgänge so, dass AES-SHA1 für Konten genutzt wird, für die kein explizites Active Directory-Attribut msds-SupportedEncryptionTypes definiert ist.

In dieser Phase wird der Standardwert für DefaultDomainSupportedEncTypes in AES-SHA1 geändert: 0x18.

In dieser Phase wird auch die manuelle Konfiguration des RC4DefaultDisablementPhase-Rollbackwerts bis zur programmgesteuerten Erzwingung im Juli 2026 ermöglicht.

Juli 2026 – Erzwingungsphase

Die Windows-Updates, die im oder nach Juli 2026 veröffentlicht werden, entfernen die Unterstützung für den Registrierungsunterschlüssel RC4DefaultDisablementPhase.

Zurück zum Anfang

Bereitstellungsrichtlinien

Führen Sie die folgenden Schritte aus, um die am oder nach dem 13. Januar 2026 veröffentlichten Windows-Updates bereitzustellen:

  1. AKTUALISIEREN Sie Ihre Domänencontroller mit einem Windows-Update, das am oder nach dem 13. Januar 2026 veröffentlicht wurde.
  2. ÜBERWACHEN Sie Ereignisse, die während der ersten Bereitstellungsphase protokolliert wurden, um Ihre Umgebung zu schützen.
  3. VERSCHIEBEN Sie Ihre Domänencontroller mithilfe des Abschnitts "Registrierungseinstellungen" in den Erzwingungsmodus.

Schritt 1: AKTUALISIEREN

Stellen Sie das am oder nach dem 13. Januar 2026 veröffentlichte Windows-Update nach der Bereitstellung des Updates für alle anwendbaren Windows Active Directory bereit, die als Domänencontroller ausgeführt werden.

  • Überwachungsereignisse werden in Systemereignisprotokollen angezeigt, wenn Ihre Domänencontroller unter Windows Server 2012 oder höher Kerberos-Dienstticketanforderungen empfangen, die die Verwendung der RC4-Verschlüsselung erfordern, das Dienstkonto jedoch über eine Standardverschlüsselungskonfiguration verfügt.
  • Das Überwachungsereignis 205 wird im Systemereignisprotokoll protokolliert, wenn Ihr Domänencontroller über eine explizite DefaultDomainSupportedEncTypes-Konfiguration verfügt, um RC4-Verschlüsselung zu ermöglichen.

Schritt 2: ÜBERWACHEN

Wenn die Überwachungsereignisse in diesem Artikel nach der Aktualisierung der Domänencontroller nicht angezeigt werden, wechseln Sie in den Erzwingungsmodus , indem Sie den Registrierungswert RC4DefaultDisablementPhase in 2 ändern.

Wenn Überwachungsereignisse generiert werden, müssen Sie entweder RC4-Abhängigkeiten entfernen oder das msds-SupportedEncryptionTypes-Attribut der Konten explizit konfigurieren, um die weitere Verwendung von RC4 nach der manuellen oder automatischen Aktivierung des Erzwingungsmodus zu unterstützen.

Administratoren, die daran interessiert sind, die RC4-Nutzung weiter zu korrigieren, als in diesem Artikel diskutiert wird, empfehlen wir, weitere Informationen unter Erkennen und Korrigieren der RC4-Verwendung in Kerberos zu finden.

Hinweis

WICHTIG Überwachungsereignisse im Zusammenhang mit dieser Änderung werden nur generiert, wenn Active Directory keine AES-SHA1-Diensttickets oder Sitzungsschlüssel ausgeben kann. Das Fehlen von Überwachungsereignissen garantiert nicht , dass alle Nicht-Windows-Geräte nach dem April-Update die Kerberos-Authentifizierung erfolgreich akzeptieren. Kunden sollten die Nicht-Windows-Interoperabilität durch Tests überprüfen, bevor sie dieses Verhalten allgemein aktivieren.

Schritt 3: AKTIVIEREN

Aktivieren Sie den Erzwingungsmodus , um die CVE-2026-20833-Sicherheitsrisiken in Ihrer Umgebung zu beheben.

  • Wenn ein KDC aufgefordert wird, ein RC4-Serviceticket für ein Konto mit Standardkonfigurationen bereitzustellen, wird ein Fehlerereignis protokolliert.
  • Sie sehen weiterhin eine Ereignis-ID: 205 für jede unsichere Konfiguration von DefaultDomainSupportedEncTypes.

Zurück zum Anfang

Registrierungseinstellungen

Nachdem die am oder nach dem 13. Januar 2026 veröffentlichten Windows-Updates installiert wurden, ist der folgende Registrierungsschlüssel für das Kerberos-Protokoll verfügbar.

RC4DefaultDisablementPhase

Dieser Registrierungsschlüssel wird verwendet, um die Bereitstellung der Kerberos-Änderungen zu sperren. Dieser Registrierungsschlüssel ist temporär und wird nach dem Erzwingungsdatum nicht mehr gelesen.

Registrierungsschlüssel HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\Kerberos\Parameters
Datentyp REG_DWORD
Wertname RC4DefaultDisablementPhase
Wertdaten 0 – Keine Überwachung, keine Änderung
1 – Bei standardmäßiger RC4-Verwendung werden Warnereignisse protokolliert. (Standardwert für Phase 1)
2 – Kerberos geht davon aus, dass RC4 nicht standardmäßig aktiviert ist. (Standardwert für Phase 2)
Neustart erforderlich? Ja

Zurück zum Anfang

Ereignisse überwachen

Nachdem die am oder nach dem 13. Januar 2026 veröffentlichten Windows-Updates installiert wurden, werden die folgenden KSCSVC-Überwachungsereignistypen zum Systemereignisprotokoll von Windows Server 2012 und höher hinzugefügt, die als Domänencontroller ausgeführt werden.

In diesem Abschnitt

Zurück zum Anfang

Ereignis-ID: 201

Ereignisprotokoll System
Ereignistyp Warnung
Ereignisquelle Kdcsvc
Ereigniskennung 201
Ereignistext Das Schlüsselverteilungscenter hat eine Verwendung von Chiffrenamen> erkannt<, die in der Erzwingungsphase nicht unterstützt wird, da der Dienst msds-SupportedEncryptionTypes nicht definiert ist und der Client nur unsichere Verschlüsselungstypen unterstützt.
Kontoinformationen
Kontoname: <Kontoname>
Bereitgestellter Realmname: <Bereitgestellter Realmname>
msds-SupportedEncryptionTypes: <Unterstützte Verschlüsselungstypen>
Verfügbare Schlüssel: <Verfügbare Schlüssel>
Informationen zum Dienst:
Dienstname: <Dienstname>
Dienst-ID: <Dienst-SID>
msds-SupportedEncryptionTypes: <Vom Dienst unterstützte Verschlüsselungstypen>
Verfügbare Schlüssel: <Dienst Verfügbare Schlüssel>
Informationen zum Domänencontroller:
msds-SupportedEncryptionTypes: <Von Domänencontrollern unterstützte Verschlüsselungstypen>
DefaultDomainSupportedEncTypes: DefaultDomainSupportedEncTypes-Wert <>
Verfügbare Schlüssel: <Domänencontroller Verfügbare Schlüssel>
Netzwerkinformationen:
Clientadresse: <Client-IP-Adresse>
Clientport: <Clientport>
Angekündigte Etypes: <Werbung für Kerberos-Verschlüsselungstypen>
Weitere Informationen finden Sie unter https://go.microsoft.com/fwlink/?linkid=2344614.
Kommentare Ereignis-ID: 201 wird protokolliert, wenn:
  • Der Kunde wirbt nur für RC4 als Advertized Etypes
  • Für den Zieldienst ist KEIN msds-SET definiert.
  • Auf dem Domänencontroller ist DDSET NICHT definiert.
  • Der Registrierungswert RC4DefaultDisablementPhase ist auf 1 festgelegt
  • Warnereignis 201 geht im Erzwingungsmodus in das Fehlerereignis 203 über.
  • Dieses Ereignis wird pro Anforderung protokolliert
  • Das Warnereignis 201 wird NICHT protokolliert, wenn DefaultDomainSupportedEncTypes manuell definiert wurde.

zurück zu Auditereignisse

Ereignis-ID: 202

Ereignisprotokoll System
Ereignistyp Warnung
Ereignisquelle Kdcsvc
Ereigniskennung 202
Ereignistext Das Schlüsselverteilungscenter hat eine Verwendung von Chiffrenamen> erkannt<, die in der Erzwingungsphase nicht unterstützt wird, da der Dienst msds-SupportedEncryptionTypes nicht definiert ist und das Dienstkonto nur über unsichere Schlüssel verfügt.
Kontoinformationen
Kontoname: <Kontoname>
Bereitgestellter Realmname: <Bereitgestellter Realmname>
msds-SupportedEncryptionTypes: <Unterstützte Verschlüsselungstypen>
Verfügbare Schlüssel: <Verfügbare Schlüssel>
Informationen zum Dienst:
Dienstname: <Dienstname>
Dienst-ID: <Dienst-SID>
msds-SupportedEncryptionTypes: <Vom Dienst unterstützte Verschlüsselungstypen>
Verfügbare Schlüssel: <Dienst Verfügbare Schlüssel>
Informationen zum Domänencontroller:
msds-SupportedEncryptionTypes: <Von Domänencontrollern unterstützte Verschlüsselungstypen>
DefaultDomainSupportedEncTypes: DefaultDomainSupportedEncTypes-Wert <>
Verfügbare Schlüssel: <Domänencontroller Verfügbare Schlüssel>
Netzwerkinformationen:
Clientadresse: <Client-IP-Adresse>
Clientport: <Clientport>
Angekündigte Etypes: <Werbung für Kerberos-Verschlüsselungstypen>
Weitere Informationen finden Sie unter https://go.microsoft.com/fwlink/?linkid=2344614.
Kommentare Das Warnungsereignis 202 wird protokolliert, wenn:
  • Der Zieldienst verfügt nicht über AES-Schlüssel
  • Für den Zieldienst ist KEIN msds-SET definiert.
  • Auf dem Domänencontroller ist DDSET NICHT definiert.
  • Der Registrierungswert RC4DefaultDisablementPhase ist auf 1 festgelegt
  • Das Fehlerereignis 202 geht im Erzwingungsmodus in den Fehler 204 über.
  • Das Warnereignis 202 wird für eine Anforderung protokolliert
  • Das Warnereignis 202 wird NICHT protokolliert, wenn DefaultDomainSupportedEncTypes manuell definiert wurde.

zurück zu Auditereignisse

Ereignis-ID: 203

Ereignisprotokoll System
Ereignistyp Warnung
Ereignisquelle Kdcsvc
Ereigniskennung 203
Ereignistext Das Schlüsselverteilungscenter hat die Verwendung von Verschlüsselungen blockiert, da der Dienst "msds-SupportedEncryptionTypes" nicht definiert ist und der Client nur unsichere Verschlüsselungstypen unterstützt.
Kontoinformationen
Kontoname: <Kontoname>
Bereitgestellter Realmname: <Bereitgestellter Realmname>
msds-SupportedEncryptionTypes: <Unterstützte Verschlüsselungstypen>
Verfügbare Schlüssel: <Verfügbare Schlüssel>
Informationen zum Dienst:
Dienstname: <Dienstname>
Dienst-ID: <Dienst-SID>
msds-SupportedEncryptionTypes: <Vom Dienst unterstützte Verschlüsselungstypen>
Verfügbare Schlüssel: <Dienst Verfügbare Schlüssel>
Informationen zum Domänencontroller:
msds-SupportedEncryptionTypes: <Von Domänencontrollern unterstützte Verschlüsselungstypen>
DefaultDomainSupportedEncTypes: DefaultDomainSupportedEncTypes-Wert <>
Verfügbare Schlüssel: <Domänencontroller Verfügbare Schlüssel>
Netzwerkinformationen:
Clientadresse: <Client-IP-Adresse>
Clientport: <Clientport>
Angekündigte Etypes: <Werbung für Kerberos-Verschlüsselungstypen>
Weitere Informationen finden Sie unter https://go.microsoft.com/fwlink/?linkid=2344614.
Kommentare Das Fehlerereignis 203 wird protokolliert, wenn:
  • Der Kunde wirbt nur für RC4 als Advertized Etypes
  • Für den Zieldienst ist KEIN msds-SET definiert.
  • Auf dem Domänencontroller ist DDSET NICHT definiert.
  • Der Registrierungswert RC4DefaultDisablementPhase ist auf 2 festgelegt
  • Pro Anforderung

zurück zu Auditereignisse

Ereignis-ID: 204

Ereignisprotokoll System
Ereignistyp Warnung
Ereignisquelle Kdcsvc
Ereigniskennung 204
Ereignistext Das Schlüsselverteilungscenter hat die Verwendung von Verschlüsselungen blockiert, da der Dienst msds-SupportedEncryptionTypes nicht definiert ist und das Dienstkonto nur über unsichere Schlüssel verfügt.
Kontoinformationen
Kontoname: <Kontoname>
Bereitgestellter Realmname: <Bereitgestellter Realmname>
msds-SupportedEncryptionTypes: <Unterstützte Verschlüsselungstypen>
Verfügbare Schlüssel: <Verfügbare Schlüssel>
Informationen zum Dienst:
Dienstname: <Dienstname>
Dienst-ID: <Dienst-SID>
msds-SupportedEncryptionTypes: <Vom Dienst unterstützte Verschlüsselungstypen>
Verfügbare Schlüssel: <Dienst Verfügbare Schlüssel>
Informationen zum Domänencontroller:
msds-SupportedEncryptionTypes: <Von Domänencontrollern unterstützte Verschlüsselungstypen>
DefaultDomainSupportedEncTypes: DefaultDomainSupportedEncTypes-Wert <>
Verfügbare Schlüssel: <Domänencontroller Verfügbare Schlüssel>
Netzwerkinformationen:
Clientadresse: <Client-IP-Adresse>
Clientport: <Clientport>
Angekündigte Etypes: <Werbung für Kerberos-Verschlüsselungstypen>
Weitere Informationen finden Sie unter https://go.microsoft.com/fwlink/?linkid=2344614.
Kommentare Das Fehlerereignis 204 wird protokolliert, wenn:
  • Der Zieldienst verfügt nicht über AES-Schlüssel
  • Für den Zieldienst ist KEIN msds-SET definiert.
  • Auf dem Domänencontroller ist DDSET NICHT definiert.
  • Der Registrierungswert RC4DefaultDisablementPhase ist auf 2 festgelegt
  • Pro Anforderung

zurück zu Auditereignisse

Ereignis-ID: 205

Ereignisprotokoll System
Ereignistyp Warnung
Ereignisquelle Kdcsvc
Ereigniskennung 205
Ereignistext Das Schlüsselverteilungscenter hat in der Richtlinienkonfiguration für die standardmäßigen domänenunterstützten Verschlüsselungstypen die explizite Verschlüsselungsaktivierung erkannt.
Chiffre(n): <Unsichere Verschlüsselungen aktiviert>
DefaultDomainSupportedEncTypes: <Konfigurierter DefaultDomainSupportedEncTypes-Wert>
Weitere Informationen finden Sie unter https://go.microsoft.com/fwlink/?linkid=2344614.
Kommentare Das Warnungsereignis 205 wird protokolliert, wenn:
  • Auf dem Domänencontroller WURDE DDSET definiert, um alles außer AES-SHA1 einzuschließen.
  • Der Registrierungswert RC4DefaultDisablementPhase ist auf 1, 2 festgelegt
  • Dies wird NIEMALS zu einem Fehler führen
  • Zweck ist es, den Kunden auf unsicheres Verhalten aufmerksam zu machen, das wir nicht ändern werden
  • Wird jedes Mal beim Start des KDCSVC protokolliert

zurück zu Auditereignisse

Ereignis-ID: 206

Ereignisprotokoll System
Ereignistyp Warnung
Ereignisquelle Kdcsvc
Ereigniskennung 206
Ereignistext Das Schlüsselverteilungscenter hat eine Verwendung von Verschlüsselungsnamen> erkannt<, die in der Erzwingungsphase nicht unterstützt wird, da der Dienst "msds-SupportedEncryptionTypes" so konfiguriert ist, dass nur AES-SHA1 unterstützt wird, der Client jedoch AES-SHA1 nicht ankündigt
Kontoinformationen
Kontoname: <Kontoname>
Bereitgestellter Realmname: <Bereitgestellter Realmname>
msds-SupportedEncryptionTypes: <Unterstützte Verschlüsselungstypen>
Verfügbare Schlüssel: <Verfügbare Schlüssel>
Informationen zum Dienst:
Dienstname: <Dienstname>
Dienst-ID: <Dienst-SID>
msds-SupportedEncryptionTypes: <Vom Dienst unterstützte Verschlüsselungstypen>
Verfügbare Schlüssel: <Dienst Verfügbare Schlüssel>
Informationen zum Domänencontroller:
msds-SupportedEncryptionTypes: <Von Domänencontrollern unterstützte Verschlüsselungstypen>
DefaultDomainSupportedEncTypes: DefaultDomainSupportedEncTypes-Wert <>
Verfügbare Schlüssel: <Domänencontroller Verfügbare Schlüssel>
Netzwerkinformationen:
Clientadresse: <Client-IP-Adresse>
Clientport: <Clientport>
Angekündigte Etypes: <Werbung für Kerberos-Verschlüsselungstypen>
Weitere Informationen finden Sie unter https://go.microsoft.com/fwlink/?linkid=2344614.
Kommentare Das Warnereignis 206 wird protokolliert, wenn:
  • Der Kunde wirbt nur für RC4 als Advertized Etypes
  • Folgendes passiert:
    • Für den Zieldienst ist msds-SET nur auf AES-SHA1 definiert
    • Auf dem Domänencontroller IST DDSET nur auf AES-SHA1 definiert
  • Der Registrierungswert RC4DefaultDisablementPhase ist auf 1 festgelegt
  • Das Warnereignis 2016 geht im Erzwingungsmodus in das Fehlerereignis 2018 über
  • Wird pro Anforderung protokolliert

zurück zu Auditereignisse

Ereignis-ID: 207

Ereignisprotokoll System
Ereignistyp Warnung
Ereignisquelle Kdcsvc
Ereigniskennung 207
Ereignistext Das Schlüsselverteilungscenter hat eine Verwendung von Verschlüsselungsnamen> erkannt<, die in der Erzwingungsphase nicht unterstützt wird, da der Dienst "msds-SupportedEncryptionTypes" so konfiguriert ist, dass nur AES-SHA1 unterstützt wird, das Dienstkonto jedoch keine AES-SHA1-Schlüssel hat.
Kontoinformationen
Kontoname: <Kontoname>
Bereitgestellter Realmname: <Bereitgestellter Realmname>
msds-SupportedEncryptionTypes: <Unterstützte Verschlüsselungstypen>
Verfügbare Schlüssel: <Verfügbare Schlüssel>
Informationen zum Dienst:
Dienstname: <Dienstname>
Dienst-ID: <Dienst-SID>
msds-SupportedEncryptionTypes: <Vom Dienst unterstützte Verschlüsselungstypen>
Verfügbare Schlüssel: <Dienst Verfügbare Schlüssel>
Informationen zum Domänencontroller:
msds-SupportedEncryptionTypes: <Von Domänencontrollern unterstützte Verschlüsselungstypen>
DefaultDomainSupportedEncTypes: DefaultDomainSupportedEncTypes-Wert <>
Verfügbare Schlüssel: <Domänencontroller Verfügbare Schlüssel>
Netzwerkinformationen:
Clientadresse: <Client-IP-Adresse>
Clientport: <Clientport>
Angekündigte Etypes: <Werbung für Kerberos-Verschlüsselungstypen>
Weitere Informationen finden Sie unter https://go.microsoft.com/fwlink/?linkid=2344614.
Kommentare Das Warnungsereignis 207 wird protokolliert, wenn:
  • Der Zieldienst verfügt nicht über AES-Schlüssel
  • Folgendes passiert:
    • Für den Zieldienst ist msds-SET nur auf AES-SHA1 definiert
    • Auf dem Domänencontroller IST DDSET nur auf AES-SHA1 definiert
  • Der Registrierungswert RC4DefaultDisablementPhase ist auf 1 festgelegt
  • Dies wird im Erzwingungsmodus zu 209 (Fehler)
  • Pro Anforderung

zurück zu Auditereignisse

Ereignis-ID: 208

Ereignisprotokoll System
Ereignistyp Warnung
Ereignisquelle Kdcsvc
Ereigniskennung 208
Ereignistext Das Schlüsselverteilungscenter hat die Verwendung der Verschlüsselung absichtlich verweigert, da der Dienst "msds-SupportedEncryptionTypes" so konfiguriert ist, dass nur AES-SHA1 unterstützt wird, der Client jedoch AES-SHA1 nicht ankündigt
Kontoinformationen
Kontoname: <Kontoname>
Bereitgestellter Realmname: <Bereitgestellter Realmname>
msds-SupportedEncryptionTypes: <Unterstützte Verschlüsselungstypen>
Verfügbare Schlüssel: <Verfügbare Schlüssel>
Informationen zum Dienst:
Dienstname: <Dienstname>
Dienst-ID: <Dienst-SID>
msds-SupportedEncryptionTypes: <Vom Dienst unterstützte Verschlüsselungstypen>
Verfügbare Schlüssel: <Dienst Verfügbare Schlüssel>
Informationen zum Domänencontroller:
msds-SupportedEncryptionTypes: <Von Domänencontrollern unterstützte Verschlüsselungstypen>
DefaultDomainSupportedEncTypes: DefaultDomainSupportedEncTypes-Wert <>
Verfügbare Schlüssel: <Domänencontroller Verfügbare Schlüssel>
Netzwerkinformationen:
Clientadresse: <Client-IP-Adresse>
Clientport: <Clientport>
Angekündigte Etypes: <Werbung für Kerberos-Verschlüsselungstypen>
Weitere Informationen finden Sie unter https://go.microsoft.com/fwlink/?linkid=2344614.
Kommentare Das Fehlerereignis 208 wird protokolliert, wenn:
  • Der Kunde wirbt nur für RC4 als Advertized Etypes
  • Folgendes geschieht:
    • Für den Zieldienst ist msds-SET nur auf AES-SHA1 definiert
    • Auf dem Domänencontroller IST DDSET nur auf AES-SHA1 definiert
  • Der Registrierungswert RC4DefaultDisablementPhase ist auf 2 festgelegt
  • Pro Anforderung

zurück zu Auditereignisse

Ereignis-ID: 209

Ereignisprotokoll System
Ereignistyp Warnung
Ereignisquelle Kdcsvc
Ereigniskennung 209
Ereignistext Das Schlüsselverteilungscenter hat die Verwendung der Verschlüsselung absichtlich verweigert, da der Dienst "msds-SupportedEncryptionTypes" so konfiguriert ist, dass nur AES-SHA1 unterstützt wird, das Dienstkonto jedoch keine AES-SHA1-Schlüssel hat
Kontoinformationen
Kontoname: <Kontoname>
Bereitgestellter Realmname: <Bereitgestellter Realmname>
msds-SupportedEncryptionTypes: <Unterstützte Verschlüsselungstypen>
Verfügbare Schlüssel: <Verfügbare Schlüssel>
Informationen zum Dienst:
Dienstname: <Dienstname>
Dienst-ID: <Dienst-SID>
msds-SupportedEncryptionTypes: <Vom Dienst unterstützte Verschlüsselungstypen>
Verfügbare Schlüssel: <Dienst Verfügbare Schlüssel>
Informationen zum Domänencontroller:
msds-SupportedEncryptionTypes: <Von Domänencontrollern unterstützte Verschlüsselungstypen>
DefaultDomainSupportedEncTypes: DefaultDomainSupportedEncTypes-Wert <>
Verfügbare Schlüssel: <Domänencontroller Verfügbare Schlüssel>
Netzwerkinformationen:
Clientadresse: <Client-IP-Adresse>
Clientport: <Clientport>
Angekündigte Etypes: <Werbung für Kerberos-Verschlüsselungstypen>
Weitere Informationen finden Sie unter https://go.microsoft.com/fwlink/?linkid=2344614.
Kommentare Das Fehlerereignis 209 wird protokolliert, wenn:
  • Der Zieldienst verfügt nicht über AES-Schlüssel
  • Folgendes passiert:
    • Für den Zieldienst ist msds-SET nur auf AES-SHA1 definiert
    • Auf dem Domänencontroller IST DDSET nur auf AES-SHA1 definiert
  • Der Registrierungswert RC4DefaultDisablementPhase ist auf 2 festgelegt
  • Pro Anforderung

zurück zu Auditereignisse

Hinweis

In Bezug auf implizite Änderungen bei der Auswahl der Dienstticketverschlüsselung hat Microsoft nur begrenzte Einblicke in die Gründe, warum ein Nicht-Windows-Gerät möglicherweise keine Kerberos-Authentifizierung akzeptieren kann, nachdem KDCs das April-Update angewendet haben und zum Standardverhalten von AES-SHA1 wechseln, wenn sie nicht angegeben sind. Wir empfehlen, diese Änderungen durch Tests in Ihrer eigenen Umgebung zu validieren, bevor Sie dieses Verhalten allgemein aktivieren.

Am häufigsten tritt dies bei Geräten auf, die Kerberos-Schlüsseltabellen nutzen. Wenn die Kerberos-Schlüsseltabelle nur mit RC4-Schlüsseln exportiert wurde, das Zieldienstkonto jedoch AES-SHA1-Schlüssel enthält und kein msds-SupportedEncryptionTypes definiert ist, besteht die Möglichkeit eines Authentifizierungsfehlers für diesen Dienst. Dies äußert sich höchstwahrscheinlich in Form von Authentifizierungsfehlern vom Zieldienst anstatt vom KDC.

Unsere Hauptempfehlung ist, mit dem Anbieter des Nicht-Windows-Geräts zusammenzuarbeiten. Im Allgemeinen sind Fehler von Nicht-Windows-Geräten, die die Kerberos-Authentifizierung akzeptieren, nicht auf die Änderungen vom April zurückzuführen, sondern können auf geräte- oder implementierungsspezifische Einschränkungen zurückzuführen sein.

Wenn nach dieser Änderung Kerberos-Authentifizierungsprobleme bei Nicht-Windows-Geräten auftreten und eine Behebung durch den Anbieter nicht möglich ist, lauten unsere Empfehlungen wie folgt:

  • Definieren Sie für das betroffene Dienstkonto explizit msDS-SupportedEncryptionTypes , um RC4 mit AES-Sitzungsschlüsseln (0x24) einzuschließen.
  • Wenn dies nicht möglich ist, konfigurieren Sie als letzte Möglichkeit den Registrierungswert "DefaultDomainSupportedEncTypes " auf allen relevanten KDCs manuell, um RC4 mit AES-SHA1-Sitzungsschlüsseln (0x24) einzuschließen. Beachten Sie, dass dadurch alle Konten in der Domäne anfällig für CVE-2026-20833 bleiben.

Es ist wichtig zu beachten, dass diese Konfiguration unsicher ist, und unsere langfristige Empfehlung ist, Nicht-Windows-Geräte zu Versionen zu migrieren, die die AES-SHA1-Kerberos-Ticketverschlüsselung unterstützen.

zurück zu Auditereignisse

Häufig gestellte Fragen (FAQ)

F1: Wie wirkt sich diese Änderung auf Domänen mit KDCs von Drittanbietern aus?

Diese Härtungsänderung betrifft nur Windows-Domänencontroller. Die Kerberos-Vertrauensstellung und der Verweisfluss mit anderen Windows-Domänencontrollern oder KDCs von Drittanbietern sind davon nicht betroffen.

F2: Wie wirkt sich diese Änderung auf Domänen aus, die Nicht-Windows-Domänengeräte haben?

Domänengeräte von Drittanbietern, die AES-SHA1-Verschlüsselung nicht verarbeiten können, sollten bereits explizit so konfiguriert worden sein, dass sie die RC4-Verschlüsselung zulassen. Dienste, die AES-SHA1-Tickets nicht verarbeiten können, müssen repariert oder explizit in Active Diretory konfiguriert werden, um RC4-Verschlüsselung wie oben erwähnt bereitzustellen. Bitte überprüfen Sie diese Änderungen gründlich.

F3: Wird Microsoft die Möglichkeit zum Konfigurieren von DefaultDomainSupportedEncTypes entfernen?

Nein. Wir protokollieren Warnereignisse für unsichere Konfigurationen für DefaultDomainSupportedEncTypes. Darüber hinaus berücksichtigen wir alle Konfigurationen, die explizit von einem Administrator festgelegt wurden.

Zurück zum Anfang

Ressourcen

Zurück zum Anfang

Änderungsprotokoll

Datum ändern Beschreibung ändern
14. April 2026
  • Das Datum vom April 2026 wurde aktualisiert, um das tatsächliche Datum der Veröffentlichung für die "Erzwingungsphase mit manuellem Rollback" widerzuspiegeln.
  • Im ersten Satz des zweiten Absatzes des Abschnitts "Zusammenfassung" wurde Kerberos KDC definiert.

    Von: Um diese Sicherheitsanfälligkeit zu entschärfen, wird der Standardwert von DefaultDomainSupportedEncTypes durch Windows-Updates geändert, die am und nach dem 14. April 2026 veröffentlicht werden, oder durch Administratoren, die den Erzwingungsmodus frühzeitig aktivieren.

    An: Um diese Sicherheitsanfälligkeit zu entschärfen, ändern die am und nach dem 14. April 2026 veröffentlichten Windows-Updates den Standardwert des Kerberos Key Distribution Center (KDC) für DefaultDomainSupportedEncTypes, es sei denn, Administratoren aktivieren den Erzwingungsmodus früher.
Dienstag, 7. April 2026
  • Der zweite Absatz im Abschnitt "Zusammenfassung" wurde aus Gründen der Klarheit umformuliert.
  • Fügen Sie den Hinweis WICHTIG in den Abschnitt "Schritt 2: ÜBERWACHEN" ein, um seine Bedeutung hervorzuheben. Bitte beachten Sie den WICHTIGEN Hinweis.
  • Dem Hinweis über dem FAQ-Bereich wurde ein neuer zweiter Absatz hinzugefügt.
Dienstag, 16. März 2026
  • Im Abschnitt "Bereitstellungsrichtlinien" wurde zur Klarstellung "Schritt 2: ÜBERWACHEN" umformuliert.
  • Die Antwort auf die Frage "Wie interagiert diese Änderung mit Domänen, die keine Windows-Domänengeräte sind?" wurde zur besseren Verständlichkeit umformuliert. FAQ-Frage. Es wurde ein besonderer Hinweis darauf hinzugefügt, wie Nicht-Windows-Dienste von diesen Änderungen betroffen sein können.
Dienstag, 10. Februar 2026
  • Der Dokumentationslink wurde zu den Vorkommen von "DefaultDomainSupportedEncTypes" hinzugefügt.
  • Der Wortlaut des zweiten Aufzählungspunkts im Abschnitt "Schritt 3: Aktivieren" wurde korrigiert.

    Von: Führt den Registrierungswert RC4DefaultDisablementPhase ein, um die Änderung proaktiv zu aktivieren, indem der Wert auf Domänencontrollern auf 2 festgelegt wird, wenn KDCSVC-Überwachungsereignisse anzeigen, dass dies sicher ist.

    An: Führt die Unterstützung für den Registrierungswert RC4DefaultDisablementPhase ein, nachdem ein Administrator die Änderung proaktiv aktiviert hat, indem er den Wert auf Domänencontroller auf 2 setzt, wenn KDCSVC-Überwachungsereignisse anzeigen, dass dies sicher ist.
  • Unter dem wichtigen Hinweis im Abschnitt "Maßnahme ergreifen" wurde der erste Satz des Absatzes geändert, um ungefähr anzugeben, wann der Erzwingungsmodus aktiviert wird.

    Von: Ab April 2026 wird der Erzwingungsmodus auf allen Windows-Domänencontrollern aktiviert und blockiert anfällige Verbindungen von nicht konformen Geräten.

    An: Der Erzwingungsmodus wird automatisch aktiviert, indem Windows-Updates, die am oder nach April 2026 veröffentlicht wurden, auf allen Windows-Domänencontrollern installiert werden, und blockiert anfällige Verbindungen von nicht konformen Geräten.
  • Hinzugefügte Formulierung zur Erwähnung, dass diese Änderung durch Windows Updates vorgenommen wird, die am und nach dem 13. Januar 2026 und CVE-2026-20833 veröffentlicht wurden.

Zurück zum Anfang