Verwalten von Änderungen an NTLMv1 und Verhindern von Netzwerkproblemen in Windows 11 und Windows Server 2025

Gilt für
Windows 11 version 26H2, all editions Windows 11 version 26H1, all editions Windows 11 version 25H2, all editions Windows 11 version 24H2, all editions Windows Server 2025

Hinweis

  • Ursprüngliches Veröffentlichungsdatum: Dienstag, 29. August 2025
  • KB-ID: 5066470

Einführung

Dieser Artikel beschreibt Änderungen im Zusammenhang mit der Überwachung und Durchsetzung der Blockierung von NTLMv1-abgeleiteter Kryptografie in Windows. Die Änderungen gelten für die unter "Gilt für" aufgeführten Windows-Versionen (Windows 11, Versionen 26H2, 26H1, 25H2 und 24H2 sowie Windows Server 2025). Die Einstellung BlockNtlmv1SSOund die zugehörigen Überwachungs- und Erzwingungsereignisse werden während des normalen Lebenszyklus dieser Windows-Versionen unterstützt, und es gibt derzeit keine Pläne, die Einstellung zu entfernen. Diese Änderungen sind Teil der umfassenderen Microsoft-Initiative zur schrittweisen Abschaffung von NTLM.

Windows-Updates, die am und nach dem 13. Oktober 2026 veröffentlicht wurden, stärken die NTLMv1-Sicherheit, indem sie das interne Standardverhalten ändern, wenn der Registrierungswert BlockNtlmv1SSO nicht festgelegt ist. Mit dieser Änderung verwendet Windows den Erzwingungsmodus (1) anstelle des Überwachungsmodus (0). Diese Änderung gilt nur für Geräte, auf denen Credential Guard deaktiviert und der Registrierungswert BlockNtlmv1SSO nicht festgelegt ist, und kann sich auf WLAN-, Ethernet- und VPN-Verbindungen auswirken, die die MS-CHAPv2-basierte Authentifizierung verwenden.

Hintergrund

Microsoft hat das NTLMv1-Protokoll (siehe Entfernte Features und Funktionen) aus Windows 11, Version 24H2 und Windows Server 2025 und späteren Versionen entfernt. Obwohl das NTLMv1-Protokoll entfernt wird, sind in einigen Szenarien noch Reste von NTLMv1-Kryptografie vorhanden, z. B. bei Verwendung von MS-CHAPv2-basierten Verbindungen, einschließlich PEAP-MSCHAPv2 und EAP-MSCHAPv2, in einer domänengebundenen Umgebung.

Beginnend mit den im August 2025 veröffentlichten Windows-Updates wurde der Überwachungsmodus eingeführt, damit Administratoren Abhängigkeiten von NTLMv1-abgeleiteten Anmeldeinformationen vor der Erzwingung identifizieren können.

Credential Guard bietet vollständigen Schutz sowohl für die NTLMv1-Legacykryptografie als auch für zahlreiche andere Angriffsflächen. Daher empfiehlt Microsoft dringend, diese bereitzustellen und zu aktivieren, wenn die Anforderungen von Credential Guard erfüllt sind. Die in diesem Artikel beschriebenen Änderungen betreffen nur Geräte, auf denen Credential Guard deaktiviert ist. Wenn Windows Credential Guard auf dem Gerät aktiviert ist, werden diese Änderungen nicht wirksam.

Ziel

Mit der Abschaffung von NTLM (siehe Veraltete Features) und dem Entfernen des NTLMv1-Protokolls arbeitet Microsoft daran, die Deaktivierung von NTLMv1 abzuschließen, indem die Verwendung von NTLMv1-abgeleiteten Anmeldeinformationen blockiert wird.

Änderungen

Verhalten vor der Installation des Windows-Sicherheitsupdates vom Oktober 2026: Vor der Installation des Windows-Sicherheitsupdates vom Oktober 2026, das am 13. Oktober 2026 veröffentlicht wurde, verwendet Windows den Überwachungsmodus (0), wenn der Registrierungswert BlockNtlmv1SSO nicht festgelegt ist. Anforderungen zur Verwendung von NTLMv1-abgeleiteten Anmeldeinformationen für einzelne Sign-On werden überwacht, aber zugelassen, und es werden Warnereignisse generiert.

Verhalten nach der Installation des Windows-Sicherheitsupdates vom Oktober 2026: Nach der Installation des Windows-Sicherheitsupdates vom Oktober 2026, das am 13. Oktober 2026 veröffentlicht wurde, wenn der Registrierungswert BlockNtlmv1SSO nicht festgelegt ist; Windows verwendet den Erzwingungsmodus (1) anstelle des Überwachungsmodus (0). Durch das Update wird der Registrierungswert nicht erstellt oder geändert. Im Erzwingungsmodus werden Anforderungen zur Verwendung von NTLMv1-abgeleiteten Anmeldeinformationen für einzelne Sign-On blockiert.

Eine Zeitleiste dieser Änderungen finden Sie im Abschnitt Rollout von Änderungen.

Neuer Registrierungsschlüssel

Mit den im August 2025 veröffentlichten Windows-Updates wurde ein neuer Registrierungsschlüssel, BlockNtlmv1SSO, eingeführt, der steuert, ob die Änderungen im Überwachungsmodus oder im Erzwingungsmodus ausgeführt werden.

Hinweis: Administratoren können BlockNtlmv1SSO entweder vor oder nach der Installation des Windows-Sicherheitsupdates vom Oktober 2026 konfigurieren.

Registrierungspfad HKEY_LOCAL_MACHINE\SYSTEM\currentcontrolset\control\lsa\msv1_0
Value BlockNtlmv1SSO
F REG_DWORD
Daten
  • - 0 Die Anforderung zum Generieren von NTLMv1-credentials für einen angemeldeten Benutzer wird überwacht, kann aber erfolgreich ausgeführt werden. Warnungsereignisse werden generiert. Diese Einstellung wird auch als Überwachungsmodus bezeichnet.
  • - 1 Die Anforderung zum Generieren von NTLMv1-Anmeldeinformationen für einen angemeldeten Benutzer ist blockiert. Fehlerereignisse werden generiert. Diese Einstellung wird auch als Erzwingungsmodus bezeichnet.
Neu starten Ein Geräteneustart ist nicht erforderlich, nachdem Sie BlockNtlmv1SSO geändert haben.

Ab dem Windows-Sicherheitsupdate vom Oktober 2026, das am 13. Oktober 2026 veröffentlicht wurde, wird der Erzwingungsmodus (1) zum internen Standardverhalten auf berechtigten Geräten, wenn der Registrierungswert BlockNTLMv1SSO nicht festgelegt ist.

Beachten Sie, dass durch die Standardverhaltensänderung der Registrierungswert, der selbst nicht vorhanden ist, erstellt oder geändert wird.

Neue Überwachungsfunktionen

  • Bei Verwendung des Überwachungsmodus

    Ereignisprotokoll Microsoft-Windows-NTLM/Operational
    Ereignistyp Warnung
    Ereignisquelle NTLM
    Ereigniskennung 4024
    Ereignistext Überwachen eines Versuchs, von NTLMv1 abgeleitete Anmeldeinformationen für einzelne Sign-On
    Zielserver: <domain_name>
    Bereitgestellter Benutzer: <user_name>
    Angegebene Domäne: <domain_name>
    PID des Clientprozesses: <process_identifier>
    Name des Clientprozesses: <process_name>
    LUID des Clientprozesses: <locally_unique_identifier>
    Benutzeridentität des Clientprozesses: <user_name>
    Domänenname der Benutzeridentität des Clientprozesses: <domain_name>
    Mechanismus-OID: <object_identifier>
    Weitere Informationen finden Sie unter https://go.microsoft.com/fwlink/?linkid=2321802.

  • Bei Verwendung des Erzwingungsmodus

    Ereignisprotokoll Microsoft-Windows-NTLM/Operational
    Ereignistyp Fehler
    Ereignisquelle NTLM
    Ereigniskennung 4025
    Ereignistext Ein Versuch, von NTLMv1 abgeleitete Anmeldeinformationen für einzelne Sign-On zu verwenden, wurde aufgrund einer Richtlinie blockiert.
    Zielserver: <domain_name>
    Bereitgestellter Benutzer: <user_name>
    Angegebene Domäne: <domain_name>
    PID des Clientprozesses: <process_identifier>
    Name des Clientprozesses: <process_name>
    LUID des Clientprozesses: <locally_unique_identifier>
    Benutzeridentität des Clientprozesses: <user_name>
    Domänenname der Benutzeridentität des Clientprozesses: <domain_name>
    Mechanismus-OID: <object_identifier>
    Weitere Informationen finden Sie unter https://go.microsoft.com/fwlink/?linkid=2321802.

Weitere Informationen zu anderen Überwachungsverbesserungen finden Sie unter Übersicht über die NTLM-Überwachungsverbesserungen in Windows 11, Version 24H2, und Windows Server 2025.

Rollout von Änderungen

Im September 2025 und später wurden die Änderungen auf Windows 11, Version 24H2 und höher im Überwachungsmodus eingeführt. In diesem Modus wurde die Ereignis-ID 4024 protokolliert, wenn von NTLMv1 abgeleitete Anmeldeinformationen verwendet wurden, aber die Authentifizierung funktionierte weiterhin. Der Rollout erreichte Windows Server 2025 später im Jahr 2025.

Ab dem Windows-Sicherheitsupdate vom Oktober 2026, das am 13. Oktober 2026 veröffentlicht wurde, stärkt Microsoft die NTLMv1-Sicherheit, indem das interne Standardverhalten geändert wird, wenn der Registrierungswert BlockNtlmv1SSO nicht festgelegt ist. Windows verwendet den Erzwingungsmodus (1) anstelle des Überwachungsmodus (0).

Im Erzwingungsmodus werden Anforderungen zum Generieren von NTLMv1-abgeleiteten Anmeldeinformationen für einzelne Sign-On blockiert, anstatt nur überwacht zu werden.

Diese Änderung kann sich auf Umgebungen auswirken, die weiterhin auf von NTLMv1 abgeleitete Anmeldeinformationen für einmaliges Anmelden angewiesen sind, einschließlich bestimmter WLAN-, Ethernet- und VPN-Authentifizierungskonfigurationen, die MS-CHAPv2 verwenden.

Zeitachse

Datum Ändern
Ende August 2025 Überwachungsprotokolle für die NTLMv1-Nutzung aktiviert auf Windows 11, Version 24H2 und neueren Clients.
November 2025 Beginnen Sie mit dem Rollout der Änderungen für Windows Server 2025.
Oktober 2026 Das Windows-Sicherheitsupdate vom Oktober 2026 ändert das Standardverhalten, wenn der Registrierungswert BlockNtlmv1SSO nicht festgelegt ist. Wenn der Wert nicht vorhanden ist, verwendet Windows den Erzwingungsmodus (1) anstelle des Überwachungsmodus (0), ohne den Registrierungswert zu erstellen oder zu ändern, der nicht vorhanden ist. Im Erzwingungsmodus ist die Verwendung von NTLMv1-abgeleiteten Anmeldeinformationen für einzelne Sign-On blockiert.

Vorbereiten auf den Erzwingungsmodus

Verwenden Sie die in diesem Artikel beschriebenen Überwachungsmodusereignisse, um Authentifizierungsflüsse zu identifizieren, die von NTLMv1-abgeleiteten Anmeldeinformationen abhängen, bevor Sie die Änderung allgemein bereitstellen. Umgebungen, die MS-CHAPv2 Single Sign-On für die WLAN-, Ethernet- oder VPN-Authentifizierung verwenden, sollten auf mögliche Abhängigkeiten hin ausgewertet werden.

Temporäre Sicherheitsausnahme

Wenn ein organization eine kritische Authentifizierungsabhängigkeit identifiziert, die nicht sofort migriert werden kann, lassen Sie BlockNTLMv1SSO auf 0 (Überwachung) vorübergehend von NTLMv1 abgeleitete Single Sign-On-Anmeldeinformationen zu, während die Wiederherstellung abgeschlossen ist.

Wichtig: Die Verwendung des Überwachungsmodus verringert den Schutz des Erzwingungsmodus und sollte nur als eingeschränkte, temporäre Sicherheitsausnahme betrachtet werden.

Häufig gestellte Fragen (FAQ)

F1: Warum gibt es einen Unterschied zwischen Client und Servern?

Microsoft verwendet eine schrittweise Rolloutmethode, um ein Releaseupdate nicht alle auf einmal, sondern über einen längeren Zeitraum zu verteilen. Dies bedeutet, dass Benutzer die Updates zu unterschiedlichen Zeiten erhalten und sie möglicherweise nicht sofort für alle Benutzer verfügbar sind.

F2: Wo werden NTLMv1-abgeleitete Anmeldeinformationen verwendet?

Von NTLMv1 abgeleitete Anmeldeinformationen werden von bestimmten Protokollen auf höherer Ebene für Single-Sign-On-Zwecke verwendet. Beispiele hierfür sind WLAN-, Ethernet- und VPN-Bereitstellungen mit MS-CHAPv2 basierter Authentifizierung, einschließlich PEAP-MSCHAPv2 und EAP-MSCHAPv2. Im Erzwingungsmodus werden einzelne Sign-On Flows, die von von NTLMv1 abgeleiteten Anmeldeinformationen abhängen, blockiert. Das manuelle Eingeben von Anmeldeinformationen funktioniert weiterhin im Erzwingungsmodus. Weitere Informationen und bewährte Methoden finden Sie unter Überlegungen und bekannte Probleme bei der Verwendung von Credential Guard.

F3: Gibt es weitere Ähnlichkeiten zwischen diesem Update und Credential Guard?

Die einzige Ähnlichkeit zwischen diesem Update und Credential Guard ist der Schutz vor Benutzeranmeldeinformationen vor NTLMv1-abgeleiteter Kryptografie. Dieses Update bietet nicht den umfassenden und robusten Schutz von Credential Guard. Microsoft empfiehlt die Aktivierung von Credential Guard auf allen unterstützten Plattformen.

Dieser Artikel wird aktualisiert, sobald zusätzliche Anleitungen verfügbar sind.

Referenzmaterial

Änderungsprotokoll
Datum Änderung
Dienstag, 19. Oktober 2026 Der Artikel wurde umbenannt und der Abschnitt Einleitung wurde überarbeitet. Windows 11, Version 26H1 wurde der Liste der Produkte hinzugefügt, auf die dieser Artikel "gilt".
Dienstag, 14. Oktober 2026 Der Artikel wurde überarbeitet, um die neuesten Erzwingungsänderungen widerzuspiegeln, die im Oktober 2026 abgeschlossen wurden, und die Auswirkungen auf WLAN-, Ethernet- und VPN-Bereitstellungen mit MS-CHAPv2 basierter Authentifizierung hervorzuheben.