Kerberos- und NTLM-Authentifizierungsfehler aufgrund doppelter SIDs

Symptome 

Möglicherweise treten bei Geräten mit doppelten Sicherheits-IDs (SIDs) Kerberos- und NTLM-Authentifizierungsfehlern (New Technology LAN Manager) auf. Dieses Problem kann in Windows 11, Version 24H2, Windows 11, Version 25H2 und Windows Server 2025 auftreten, nachdem die Windows-Updates installiert wurden, die unter und nach veröffentlicht wurden: 

• 29. August 2025 – KB5064081 (BS-Build 26100.5074) Vorschau

• 9. September 2025 – KB5065426 (BS-Build 26100.6584)

Diese Authentifizierungsfehler können sich als eine Vielzahl von Symptomen manifestieren, einschließlich: 

• Benutzer werden wiederholt zur Eingabe von Anmeldeinformationen aufgefordert.

• Zugriffsanforderungen mit gültigen Anmeldeinformationen schlagen mit Fehlern auf dem Bildschirm fehl, z. B.:

  • Fehler beim Anmeldeversuch.

  • Fehler bei der Anmeldung/Ihre Anmeldeinformationen funktionierten nicht.

  • Die Computer-ID stimmt teilweise nicht überein.

  • Der Benutzername oder das Kennwort ist falsch.

• Auf freigegebene Netzwerkordner kann nicht über die IP-Adresse oder den Hostnamen zugegriffen werden.

• Remotedesktopverbindungen können nicht hergestellt werden, einschließlich RDP-Sitzungen (Remotedesktopprotokoll), die über PAM-Lösungen (Privileged Access Management) oder Tools von Drittanbietern initiiert werden.

• Failoverclustering schlägt mit dem Fehler "Zugriff verweigert" fehl.

• Ereignisanzeige wird möglicherweise einer der folgenden Fehler in den Windows-Protokollen angezeigt:

  • Das Sicherheitsprotokoll enthält den SEC_E_NO_CREDENTIALS Fehler.

  • Das Systemprotokoll enthält die Ereignis-ID 6167 (Local Security Authority Server Service, lsasrv.dll) mit dem Meldungstext:

    Die Computer-ID stimmt teilweise nicht überein. Dies gibt an, dass das Ticket entweder bearbeitet wurde oder zu einer anderen Startsitzung gehört.

Ursache

Windows-Updates, die am und nach dem 29. August 2025 veröffentlicht wurden, enthalten zusätzliche Sicherheitsschutzfunktionen, die Überprüfungen von SIDs erzwingen, wodurch die Authentifizierung fehlschlägt, wenn Geräte über doppelte SIDs verfügen. Diese Entwurfsänderung blockiert Authentifizierungshandshakes zwischen solchen Geräten. Fehlgeschlagene Authentifizierungsanforderungen im Zusammenhang mit diesen Sicherheitsschutzen werden durch die Ereignis-ID 6167 im Systemereignisprotokoll identifiziert, lsasrv.dll des Lokalen Sicherheitsautoritätsserverdiensts (Local Security Authority Server Service, lsasrv.dll). 

Doppelte SIDs können erstellt werden, wenn nicht unterstütztes Klonen oder Duplizieren einer Windows-Installation ohne Ausführung von Sysprep ausgeführt wird. Die von Sysprep aktivierte SID-Eindeutigkeit ist für die Betriebssystemduplizierung unter Windows 11, Versionen 24H2 und 25H2 und Windows Server 2025 nach der Installation von Windows-Updates am und nach dem 29. August 2025 erforderlich. 

Weitere Informationen finden Sie unter Die Microsoft-Richtlinie für die Datenträgerduplizierung von Windows-Installationen. 

Lösung

Für eine dauerhafte Auflösung müssen Geräte, die doppelte SIDs enthalten, mithilfe unterstützter Methoden zum Klonen oder Duplizieren einer Windows-Installation neu erstellt werden, damit sie über eindeutige SIDs verfügen. 

IT-Administratoren können dieses Problem vorübergehend beheben, indem sie eine spezielle Gruppenrichtlinie installieren und konfigurieren. Wenden Sie sich an den Microsoft-Support für Unternehmen, um diese spezielle Gruppenrichtlinie zu erhalten.