Windows-11-Update bricht Domänenvertrauen

Nach der Installation von KB5124008 verlieren manche Windows-11-Rechner die sichere Verbindung zur Domäne.

Microsoft untersucht Berichte, wonach das Sicherheitsupdate KB5124008 für Windows 11 auf manchen Unternehmenssystemen die Vertrauensbeziehung zur Active-Directory-Domäne beschädigt. Betroffene Nutzerinnen und Nutzer können sich danach trotz gültiger Domänen-Zugangsdaten nicht mehr anmelden. Administratorinnen und Administratoren berichten in Reddit-Foren sowie in den Microsoft-Q&A-Foren, dass betroffene Rechner nach der Installation des Updates und einem Neustart die sogenannte sichere Verbindung (Secure Channel) zu ihrem Domänencontroller verlieren. Microsoft bestätigte gegenüber BleepingComputer, von den Berichten zu wissen und die Ursache zu untersuchen; konkrete Hinweise zur Behebung sollten folgen, sobald verfügbar.

Vermuteter Zusammenhang mit neuer Sicherheitsfunktion

Eine offizielle Ursache hat Microsoft bislang nicht bestätigt, mehrere Berichte deuten jedoch auf einen Zusammenhang mit der Sicherheitsfunktion „Machine Identity Isolation“ hin, insbesondere wenn diese im Audit- oder Erzwingungsmodus aktiv ist. Bei in eine Active-Directory-Domäne eingebundenen Computern wird die sichere Verbindung normalerweise über lokal gespeicherte Anmeldedaten des Computerkontos aufrechterhalten. Stimmen diese nicht mehr mit den in Active Directory hinterlegten Daten überein, kann die Verbindung fehlschlagen – Nutzerinnen und Nutzer erhalten dann Domänenvertrauens-Fehlermeldungen oder die Meldung, Benutzername oder Passwort seien falsch, obwohl die Zugangsdaten tatsächlich korrekt sind.

Ein Windows-Administrator berichtete in den Microsoft-Q&A-Foren, seine Windows-11-25H2-Arbeitsstationen hätten vor der Installation von KB5124008 problemlos funktioniert, nach der Installation jedoch nach jedem Neustart Anmeldefehler bei der Domänenanmeldung gezeigt; zwischengespeicherte Zugangsdaten funktionierten dabei weiterhin im Offline-Zustand, was auf ein Problem bei der Domänenauthentifizierung statt bei den Passwörtern selbst hindeutete. Das Deinstallieren von KB5124008 und die Reparatur der Domänenverbindung stellte den Zugriff wieder her, eine erneute Installation ließ den Fehler zurückkehren. Ein anderer Administrator berichtete in einem Reddit-Forum, dass 11 von rund 256 aktualisierten Windows-11-25H2-Enterprise-Geräten das Domänenvertrauen verloren hätten, verbunden mit zahlreichen fehlgeschlagenen Kerberos-Authentifizierungen und einem Rückfall auf NTLM beziehungsweise Netlogon.

Vorübergehende Abhilfe über Registry-Einstellung

Einigen Administratoren zufolge lässt sich das Problem beheben, indem der Registrierungswert „MachineIdentityIsolation“ unter dem Pfad HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa auf den Wert 0 gesetzt, der Rechner neu gestartet und anschließend die sichere Verbindung per PowerShell-Befehl repariert wird. Ein Nutzer namens Marcel Zehnder beschrieb dafür den Befehl Test-ComputerSecureChannel -Repair -Credential(Get-Credential), mit dem sich die Verbindung nach einem Neustart wiederherstellen ließ, ohne dass das Problem anschließend erneut auftrat.

Microsoft warnt in der eigenen Dokumentation jedoch ausdrücklich davor, die Funktion vorschnell zu deaktivieren: War „Machine Identity Isolation“ zuvor im Erzwingungsmodus aktiv, kann das Deaktivieren die Domänenauthentifizierung zusätzlich stören und dazu führen, dass betroffene Geräte aus der Domäne entfernt und neu eingebunden werden müssen. Ein Administrator berichtete entsprechend, dass die Umstellung von Audit- oder Erzwingungsmodus auf „deaktiviert“ in seiner Umgebung zu weiteren Ausfällen geführt habe, teils sogar auf Systemen, auf denen KB5124008 gar nicht installiert war. Ein offizieller Workaround von Microsoft steht bislang aus.

(red)