Kerberos- und NTLM-Authentifizierungsfehler aufgrund doppelter SIDs

Symptome

Auf Geräten mit doppelten Sicherheits-IDs (SIDs) können Kerberos- und New Technology LAN Manager (NTLM)-Authentifizierungsfehler auftreten. Dieses Problem kann in Windows 11, Version 24H2, Windows 11, Version 25H2 und Windows Server 2025 auftreten, nachdem die Windows-Updates installiert wurden, die am und nach:

• 29. August 2025 – KB5064081 (Betriebssystembuild 26100.5074) Vorschau
• 9. September 2025 – KB5065426 (Betriebssystembuild 26100.6584)

Diese Authentifizierungsfehler können sich als eine Vielzahl von Symptomen manifestieren, einschließlich:

• Benutzer werden wiederholt zur Eingabe von Anmeldeinformationen aufgefordert.

• Zugriffsanforderungen mit gültigen Anmeldeinformationen schlagen mit Fehlern auf dem Bildschirm fehl, z. B.:

  • Hinweis

    Anmeldeversuch fehlgeschlagen.

  • Hinweis

    Fehler bei der Anmeldung/Ihre Anmeldeinformationen funktionierten nicht.

  • Hinweis

    Die Computer-ID stimmt teilweise nicht überein.

  • Hinweis

    Der Benutzername oder das Kennwort ist falsch.

• Auf freigegebene Netzwerkordner kann nicht über die IP-Adresse oder den Hostnamen zugegriffen werden.

• Remotedesktopverbindungen können nicht hergestellt werden, einschließlich RDP-Sitzungen (Remotedesktopprotokoll), die über PAM-Lösungen (Privileged Access Management) oder Tools von Drittanbietern initiiert wurden.

• Failoverclustering schlägt mit dem Fehler "Zugriff verweigert" fehl.

• Die Ereignisanzeige zeigt möglicherweise einen der folgenden Fehler in den Windows-Protokollen an:

  • Das Sicherheitsprotokoll enthält den SEC_E_NO_CREDENTIALS Fehler.

  • Das Systemprotokoll enthält die Ereignis-ID 6167 für den Serverdienst für die lokale Sicherheitsautorität (Local Security Authority Server Service, lsasrv.dll) mit dem Meldungstext:

    Hinweis

    Die Computer-ID stimmt teilweise nicht überein. Dies weist darauf hin, dass das Ticket entweder manipuliert wurde oder zu einer anderen Bootsitzung gehört.

Ursache

Windows-Updates, die am und nach dem 29. August 2025 veröffentlicht wurden, enthalten zusätzliche Sicherheitsvorkehrungen, die Überprüfungen von SIDs erzwingen, was dazu führt, dass die Authentifizierung fehlschlägt, wenn Geräte doppelte SIDs aufweisen. Diese Designänderung blockiert Authentifizierungshandshakes zwischen solchen Geräten. Fehlgeschlagene Authentifizierungsanforderungen im Zusammenhang mit diesen Sicherheitsvorkehrungen werden durch die Ereignis-ID 6167 (Local Security Authority Server Service, lsasrv.dll) im Systemereignisprotokoll identifiziert.

Doppelte SIDs können erstellt werden, wenn Sie eine nicht unterstützte Installation klonen oder duplizieren, ohne Sysprep auszuführen. Die von Sysprep aktivierte SID-Eindeutigkeit ist für die Betriebssystemduplizierung unter Windows 11, Version 24H2 und 25H2, und Windows Server 2025 erforderlich, nachdem Windows-Updates am und nach dem 29. August 2025 installiert wurden.

Weitere Informationen finden Sie in der Microsoft-Richtlinie zur Datenträgerduplizierung von Windows-Installationen.

Lösung

Für eine dauerhafte Auflösung müssen Geräte, die doppelte SIDs enthalten, mit unterstützten Methoden zum Klonen oder Duplizieren einer Windows-Installation neu erstellt werden, damit sie über eindeutige SIDs verfügen.

IT-Administratoren können dieses Problem vorübergehend beheben, indem sie eine spezielle Gruppenrichtlinie installieren und konfigurieren. Um diese spezielle Gruppenrichtlinie zu erhalten, wenden Sie sich an den Microsoft-Support für Unternehmen.