Übersicht über die Verbesserungen bei der NTLM-Überwachung in Windows 11, Version 24H2, und Windows Server 2025

Hinweis

  • Ursprüngliches Veröffentlichungsdatum: 11. Juli 2025
  • KB-ID: 5064479

Inhalt dieses Artikels:

Einführung

Dieser Artikel bietet eine Übersicht über anstehende Änderungen an der NTLM-Überwachungsfunktionalität (NTLM) in Windows 11, Version 24H2, und Windows Server 2025. Diese Verbesserungen sollen die Transparenz der NTLM-Authentifizierungsaktivitäten erhöhen, sodass Administratoren die Identität von Benutzern, die Gründe für die NTLM-Nutzung und die spezifischen Speicherorte, an denen NTLM in einer Umgebung verwendet wird, ermitteln können. Die erweiterte Überwachung unterstützt eine verbesserte Sicherheitsüberwachung und die Identifizierung von Abhängigkeiten der Legacyauthentifizierung.

Zweck der NTLM-Überwachungsänderungen

Die NTLM-Authentifizierung ist weiterhin in verschiedenen Unternehmensszenarien vorhanden, häufig aufgrund älterer Anwendungen und Konfigurationen. Mit der Ankündigung der Abschaffung von NTLM und der zukünftigen Deaktivierung (siehe Windows IT-Blog Die Weiterentwicklung der Windows-Authentifizierung) sollen die aktualisierten Überwachungsfunktionen Administratoren dabei unterstützen, die NTLM-Nutzung zu identifizieren, Nutzungsmuster zu verstehen und potenzielle Sicherheitsrisiken zu erkennen, einschließlich der Verwendung von NT LAN Manager Version 1 (NTLMv1).

NTLM-Überwachungsprotokolle

Windows 11, Version 24H2 und Windows Server 2025 führen neue NTLM-Überwachungsprotokollierungsfunktionen für Clients, Server und Domänencontroller ein. Jede Komponente generiert Protokolle, die detaillierte Informationen zu NTLM-Authentifizierungsereignissen enthalten. Diese Protokolle finden Sie in der Ereignisanzeige unter Anwendungs- und Dienstprotokolle>Microsoft>Windows>NTLM>Operational.

Im Vergleich zu vorhandenen NTLM-Überwachungsprotokollen ermöglichen die neuen erweiterten Überwachungsänderungen Administratoren, die Fragen nach Wer, Warum und Wo zu beantworten:

  • Wer verwendet NTLM, einschließlich Konto und Prozess auf dem Computer.
  • Warum die NTLM-Authentifizierung anstelle moderner Authentifizierungsprotokolle wie Kerberos gewählt wurde.
  • Ort, an dem die NTLM-Authentifizierung stattfindet, einschließlich des Computernamens und der Computer-IP.

Die erweiterte NTLM-Überwachung enthält auch Informationen zur NTLMv1-Nutzung für Clients und Server sowie zur domänenweiten NTLMv1-Nutzung, die vom Domänencontroller protokolliert wird.

Gruppenrichtlinienverwaltung

Die neuen NTLM-Überwachungsfunktionen können über aktualisierte Gruppenrichtlinien-Einstellungen konfiguriert werden. Administratoren können diese Richtlinien verwenden, um anzugeben, welche NTLM-Authentifizierungsereignisse überwacht werden, und um das Überwachungsverhalten auf Clients, Servern und Domänencontrollern entsprechend ihrer Umgebung zu verwalten.

Standardmäßig sind die Ereignisse aktiviert.

  • Für die Client- und Serverprotokollierung werden die Ereignisse durch die Richtlinie "NTLM Enhanced Logging" unter Administrative Vorlagen>System>NTLM gesteuert.

    Richtlinie für die erweiterte NTLM-Protokollierung

  • Für die domänenweite Protokollierung auf dem Domänencontroller werden die Ereignisse durch die Richtlinie "Domänenweite NTLM-Protokolle protokollieren" unterSystemanmeldung mit administrativen Vorlagen>> gesteuert.

    Protokollerweiterte domänenweite NTLM-Protokollrichtlinie

Überwachungsebenen

Jedes NTLM-Überwachungsprotokoll wird in zwei verschiedene Ereignis-IDs mit denselben Informationen aufgeteilt, die sich nur je nach Ereignisebene unterscheiden:

  • Information: Gibt Standard-NTLM-Ereignisse an, z. B. NTLMv2-Authentifizierung (NTLMv2), bei denen keine Verringerung der Sicherheit festgestellt wird.

  • Warnung: Weist auf eine Herabstufung der NTLM-Sicherheit hin, z. B. die Verwendung von NTLMv1. Diese Ereignisse heben die unsichere Authentifizierung hervor. Ein Ereignis kann beispielsweise in den folgenden Fällen als "Warnung" markiert werden:

    • NTLMv1-Nutzung wurde vom Client, Server oder Domänencontroller erkannt.
    • Der erweiterte Schutz für die Authentifizierung ist als nicht unterstützt oder unsicher gekennzeichnet (weitere Informationen finden Sie unter KB5021989: Erweiterter Schutz für die Authentifizierung).
    • Bestimmte NTLM-Sicherheitsfeatures, z. B. die Nachrichtenintegritätsprüfung (MIC), werden nicht verwendet.

Clientprotokolle

Neue Überwachungsprotokolle zeichnen ausgehende NTLM-Authentifizierungsversuche auf. Diese Protokolle enthalten Details zu den Anwendungen oder Diensten, die NTLM-Verbindungen initiieren, sowie relevante Metadaten für jede Authentifizierungsanforderung.

Die Clientprotokollierung verfügt über ein eindeutiges Feld, Verwendungs-ID/Grund, das hervorhebt, warum die NTLM-Authentifizierung verwendet wurde.

Aktuelle Feldbeschreibungen für "Verwendungs-ID/-Grund"
ID Beschreibung
0 Unbekannter Grund.
1 NTLM wurde direkt von der aufrufenden Anwendung aufgerufen.
2 Authentifizierung eines lokalen Kontos.
3 RESERVIERT, wird derzeit nicht verwendet.
4 Authentifizieren eines Cloudkontos.
5 Der Zielname fehlte oder war leer.
6 Der Zielname konnte nicht von Kerberos oder anderen Protokollen aufgelöst werden.
7 Der Zielname enthält eine IP-Adresse.
8 Der Zielname wurde in Active Directory dupliziert.
9 Mit einem Domänencontroller könnte keine Sichtverbindung hergestellt werden.
10 NTLM wurde über eine Loopbackschnittstelle aufgerufen.
11 NTLM wurde mit einer Null-Sitzung aufgerufen.
Beispiel für ein Clientprotokoll
Ereignisprotokoll Microsoft-Windows-NTLM/Operational
Ereigniskennung 4020 (Information), 4021 (Warnung)
Ereignisquelle NTLM
Ereignistext Dieser Computer hat versucht, sich über NTLM bei einer Remoteressource zu authentifizieren.
Prozessinformationen:
Prozessname: <Name>
Prozess-PID: <PID>
Client Information:
Benutzername: <Benutzername>
Domäne: <Domain Name>
Hostname: <Hostname>
Sign-On Typ: <Einzelne Sign-On / Bereitgestellte Anmeldeinformationen>
Informationen zum Ziel:
Zielcomputer: <Computername>
Zieldomäne: <Computerdomäne>
Zielressource: <Dienstprinzipalname (Service Principal Name, SPN)>
Ziel-IP: <IP-Adresse>
Name des Zielnetzwerks: <Netzwerkname>
NTLM-Verwendung:
Grund-ID: <Verwendungs-ID>
Grund: <Nutzungsgrund>
NTLM-Sicherheit:
Verhandelte Flags: <Flags>
NTLM-Version: <NTLMv2 / NTLMv1>
Status des Sitzungsschlüssels: < Vorhanden/Fehlt>
Kanalbindung: < Unterstützt/Nicht unterstützt>
Dienstbindung: <Dienstprinzipalname (SPN)>
MIC-Status: < Geschützt/Ungeschützt>
AvFlags: <NTLM-Flags>
AvFlags-Zeichenfolge: <NTLM-Flaggenzeichenfolge>
Weitere Informationen finden Sie unter aka.ms/ntlmlogandblock.

Serverprotokolle

Neue Überwachungsprotokolle zeichnen eingehende NTLM-Authentifizierungsversuche auf. Diese Protokolle enthalten ähnliche Details zur NTLM-Authentifizierung wie die Clientprotokolle und geben an, ob die NTLM-Authentifizierung erfolgreich war oder nicht.

Beispiel für ein Serverprotokoll
Ereignisprotokoll Microsoft-Windows-NTLM/Operational
Ereigniskennung 4022 (Information), 4023 (Warnung)
Ereignisquelle NTLM
Ereignistext Ein Remoteclient verwendet NTLM, um sich bei dieser Arbeitsstation zu authentifizieren.
Prozessinformationen:
Prozessname: <Name>
Prozess-PID: <PID>
Informationen zum Remoteclient:
Benutzername: <Clientbenutzername>
Domäne: <Clientdomäne>
Clientcomputer: <Clientcomputername>
Client-IP: <Client-IP>
Clientnetzwerkname: <Clientnetzwerkname>
NTLM-Sicherheit:
Verhandelte Flags: <Flags>
NTLM-Version: <NTLMv2 / NTLMv1>
Status des Sitzungsschlüssels: < Vorhanden/Fehlt>
Kanalbindung: < Unterstützt/Nicht unterstützt>
Dienstbindung: <Dienstprinzipalname (SPN)>
MIC-Status: < Geschützt/Ungeschützt>
AvFlags: <NTLM-Flags>
AvFlags-Zeichenfolge: <NTLM-Flaggenzeichenfolge>
Status: <Statuscode>
Statusmeldung: <Statuszeichenfolge>
Weitere Informationen finden Sie unter aka.ms/ntlmlogandblock

Domänencontroller-Protokolle

Domänencontroller profitieren von der erweiterten NTLM-Überwachung mit neuen Protokollen, die sowohl erfolgreiche als auch erfolglose NTLM-Authentifizierungsversuche für die gesamte Domäne erfassen. Diese Protokolle unterstützen die Identifizierung domänenübergreifender NTLM-Nutzung und informieren Administratoren über mögliche Herabstufungen der Authentifizierungssicherheit, z. B. NTLMv1-Authentifizierung.

Je nach den folgenden Szenarien werden unterschiedliche Domänencontrollerprotokolle erstellt:

Gleiches Domänenprotokoll

Wenn sowohl das Clientkonto als auch der Servercomputer derselben Domäne angehören, wird ein Protokoll ähnlich dem folgenden erstellt:

Ereignisprotokoll Microsoft-Windows-NTLM/Operational
Ereigniskennung 4032 (Information), 4033 (Warnung)
Ereignisquelle Security-Netlogon
Ereignistext Der DC-DC-Name <> hat eine weitergeleitete NTLM-Authentifizierungsanforderung verarbeitet, die von dieser Domäne stammt.
Client Information:
Clientname: <Benutzername>
Clientdomäne: <Domäne>
Clientcomputer: <Clientarbeitsstation>
Serverinformationen:
Servername: <Servercomputername>
Serverdomäne: <Serverdomäne>
Server-IP: <Server-IP>
Serverbetriebssystem: <Serverbetriebssystem>
NTLM-Sicherheit:
Verhandelte Flags: <Flags>
NTLM-Version: <NTLMv2 / NTLMv1>
Status des Sitzungsschlüssels: < Vorhanden/Fehlt>
Kanalbindung: < Unterstützt/Nicht unterstützt>
Dienstbindung: <Dienstprinzipalname (SPN)>
MIC-Status: < Geschützt/Ungeschützt>
AvFlags: <NTLM-Flags>
AvFlags-Zeichenfolge: <NTLM-Flaggenzeichenfolge>
Status: <Statuscode>
Statusmeldung: <Statuszeichenfolge>
Weitere Informationen finden Sie unter aka.ms/ntlmlogandblock
Domänenübergreifendes Protokoll

Wenn das Clientkonto und der Server zu verschiedenen Domänen gehören, verfügen der Domänencontroller über unterschiedliche Protokolle, je nachdem, ob der Domänencontroller zu der Domäne gehört, in der sich der Client befindet (Initiierung der Authentifizierung) oder der Server (Akzeptieren der Authentifizierung):

Gehört der Server zur gleichen Domäne wie der Domänencontroller, der die Authentifizierung durchführt, wird ein Protokoll erstellt, das dem "Protokoll derselben Domäne" ähnelt.

Gehört das Clientkonto zur gleichen Domäne wie der Domänencontroller, der die Authentifizierung durchführt, wird ein Protokoll ähnlich dem folgenden erstellt:

Ereignisprotokoll Microsoft-Windows-NTLM/Operational
Ereigniskennung 4030 (Information), 4031 (Warnung)
Ereignisquelle Security-Netlogon
Ereignistext Der DC-DC-Name <> hat eine weitergeleitete NTLM-Authentifizierungsanforderung verarbeitet, die von dieser Domäne stammt.
Client Information:
Clientname: <Benutzername>
Clientdomäne: <Domäne>
Clientcomputer: <Clientarbeitsstation>
Serverinformationen:
Servername: <Servercomputername>
Serverdomäne: <Serverdomäne>
Weitergeleitet von:
Typ des sicheren Kanals: <Netlogon Informationen zum sicheren Kanal>
Farside Name: <Domänenübergreifender DC-Computername >
Farside-Domäne: <Domänenübergreifender Domänenname>
Farside-IP: <Domänenübergreifende DC-IP>
NTLM-Sicherheit:
Verhandelte Flags: <Flags>
NTLM-Version: <NTLMv2 / NTLMv1>
Status des Sitzungsschlüssels: < Vorhanden/Fehlt>
Kanalbindung: < Unterstützt/Nicht unterstützt>
Dienstbindung: <Dienstprinzipalname (SPN)>
MIC-Status: < Geschützt/Ungeschützt>
AvFlags: <NTLM-Flags>
AvFlags-Zeichenfolge: <NTLM-Flaggenzeichenfolge>
Status: <Statuscode>
Weitere Informationen finden Sie unter aka.ms/ntlmlogandblock

Beziehung zwischen neuen und vorhandenen NTLM-Ereignissen

Die neuen NTLM-Ereignisse sind eine Erweiterung gegenüber den vorhandenen NTLM-Protokollen, z. B . Netzwerksicherheit: Beschränken von NTLM NTLM-Authentifizierung in dieser Domäne überwachen. Die erweiterten NTLM-Überwachungsänderungen wirken sich nicht auf die aktuellen NTLM-Protokolle aus. Wenn die aktuellen NTLM-Überwachungsprotokolle aktiviert sind, werden sie weiterhin protokolliert.

Bereitstellungsinformationen

In Übereinstimmung mit dem von Microsoft kontrollierten Featurerollout (Controlled Feature Rollout, CFR) werden die Änderungen zunächst schrittweise auf Windows 11, Version 24H2-Computern eingeführt, gefolgt von Windows Server 2025-Computern einschließlich Domänencontrollern.

Bei einem schrittweisen Rollout wird ein Releaseupdate nicht über alle gleichzeitig, sondern über einen längeren Zeitraum verteilt. Dies bedeutet, dass Benutzer die Updates zu unterschiedlichen Zeiten erhalten und sie möglicherweise nicht sofort für alle Benutzer verfügbar sind.