Montag, kurz nach acht. Drei Mitarbeiter melden, dass ihr Laptop nicht mehr ins Firmen-WLAN kommt. Gestern ging es noch, heute fragt Windows nach Benutzername und Passwort oder lehnt die Verbindung ab. Am Kabel funktioniert alles. Wenn Ihnen das in den nächsten Wochen begegnet, steckt sehr wahrscheinlich eine Änderung dahinter, die Microsoft mit dem Oktober-Update 2026 scharf geschaltet hat: Windows sperrt NTLMv1.
NTLMv1-Sperre in Windows 11: was sich geändert hat
NTLMv1 ist ein Anmeldeverfahren aus den 1990er-Jahren. Es gilt seit Langem als unsicher. Anfang 2026 hat Mandiant fertige Tabellen veröffentlicht, mit denen sich NTLMv1-Anmeldungen in kurzer Zeit knacken lassen. Microsoft hat NTLMv1 deshalb aus Windows 11 ab Version 24H2 und aus Windows Server 2025 entfernt. Ganz weg war es aber nicht: In manchen Fällen nutzt Windows noch Bausteine davon, und zwar ausgerechnet bei der automatischen Anmeldung im Netzwerk.
Seit Ende August 2025 hat Windows das nur protokolliert. Mit dem Sicherheitsupdate vom 13. Oktober 2026 schaltet Microsoft auf Sperren um. Das betrifft Windows 11 in den Versionen 24H2, 25H2, 26H1 und 26H2 sowie Windows Server 2025. Microsoft verteilt die Änderung gestaffelt. Ein Rechner kann also heute noch funktionieren und nächste Woche nicht mehr, obwohl auf beiden dasselbe Update installiert ist.
Wen es trifft: WLAN, Netzwerkkabel mit Anmeldung und VPN
Laut Microsoft betroffen sind WLAN-, LAN- und VPN-Verbindungen, die MS-CHAPv2 verwenden, also PEAP-MSCHAPv2 oder EAP-MSCHAPv2. Das ist in vielen kleinen und mittleren Betrieben genau die Einrichtung, die vor Jahren gemacht wurde: Das Firmen-WLAN prüft über einen Windows-Server mit Netzwerkrichtlinienserver (NPS), ob der Benutzer im Active Directory steht, und der Rechner meldet sich dabei automatisch mit dem Windows-Konto an. Genau diese automatische Anmeldung funktioniert nach der Sperre nicht mehr.
Wer Benutzername und Passwort von Hand eingibt, kommt laut Microsoft weiterhin ins Netz. Für ein paar Laptops ist das ein Ärgernis. Für einen Betrieb, in dem die Rechner morgens von selbst ins WLAN müssen, damit Anmeldeskripte, Netzlaufwerke und Drucker funktionieren, ist es eine Störung.
Nicht betroffen sind Rechner mit aktiviertem Credential Guard. Auf ihnen war die automatische Anmeldung über MS-CHAPv2 ohnehin schon nicht möglich. Ebenfalls nicht betroffen ist ein WLAN mit einfachem Kennwort für alle (WPA2- oder WPA3-Personal), wie es viele Kleinbetriebe haben.
So prüfen Sie, ob Ihr Betrieb betroffen ist
Windows schreibt jeden Fall ins Ereignisprotokoll, unter „Anwendungs- und Dienstprotokolle“, Microsoft, Windows, NTLM, Operational:
- Ereignis-ID 4024 (Warnung): Der Rechner hat NTLMv1 noch benutzt, Windows hat es protokolliert und erlaubt. Wer diese Warnung findet, wird betroffen sein, sobald die Sperre auf dem Rechner ankommt.
- Ereignis-ID 4025 (Fehler): Windows hat die Anmeldung gesperrt.
Es lohnt sich, das auf ein paar Rechnern nachzusehen, bevor die Benutzer anrufen. Dazu kommt ein Blick auf den WLAN-Controller oder die Firewall: Steht beim Firmen-WLAN oder beim VPN „PEAP“ mit „MSCHAPv2“ in den Einstellungen, ist die Wahrscheinlichkeit hoch.
Die Notlösung und die richtige Lösung
Microsoft beschreibt einen Registry-Wert namens BlockNtlmv1SSO unter HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0. Steht er auf 0, protokolliert Windows wieder nur und lässt die Anmeldung zu. Ein Neustart ist nicht nötig. Microsoft sagt aber deutlich, dass das nur eine kurze, eng begrenzte Ausnahme sein soll, weil der Schutz damit wieder weg ist. Davon als Dauerlösung raten wir ab.
Die richtige Lösung ist, die Anmeldung im WLAN und VPN auf Zertifikate umzustellen (EAP-TLS). Jeder Firmenrechner bekommt dabei ein eigenes Zertifikat, das ihn ausweist. Ein Passwort wird gar nicht mehr übertragen, und ein fremdes Gerät kommt auch mit einem gestohlenen Kennwort nicht ins Netz. Für ein Firmennetz mit einem Windows-Server ist das gut machbar: Zertifizierungsstelle einrichten, Zertifikate per Gruppenrichtlinie oder Intune verteilen, WLAN und VPN umstellen, testen. Bei den meisten Betrieben ist das eine überschaubare Arbeit, die man einmal ordentlich macht.
Wo das nicht sofort geht, etwa bei einem älteren VPN-Gerät, das kein EAP-TLS kann, ist der Registry-Wert gezielt auf den betroffenen Rechnern und mit Enddatum vertretbar. Bis dahin wird das alte Gerät ersetzt oder umgestellt.
Was wir bei unseren Kunden machen
Über die DATACREW Fernwartung sehen wir auf den betreuten Rechnern, welche Windows-Version installiert ist. Die Ereignisse 4024 und 4025 lassen sich ebenso auslesen. Damit wissen wir, wo NTLMv1 noch im Spiel ist, bevor jemand nicht ins WLAN kommt. Die Umstellung auf Zertifikate übernehmen wir als Teil der Betreuung von Firewall und Netzwerksicherheit. Für Unternehmen, die unter NIS2 fallen, ist sie außerdem ein Baustein der technischen Umsetzung, weil sie eine bekannte Schwachstelle schließt.
Wenn Rechner in Ihrem Betrieb seit dem Oktober-Update nicht mehr ins WLAN oder VPN kommen oder Sie das vorher prüfen lassen wollen: Rufen Sie uns an, wir schauen uns das gemeinsam an.
Quellen
- Microsoft Support: „Upcoming changes to NTLMv1 in Windows 11, version 24H2 and Windows Server 2025“, Stand Oktober 2026
- Borns IT- und Windows-Blog, Günter Born: „Windows 11 24H2/Server 2025: Erinnerung an bevorstehende Änderungen an NTLMv1“, 13. Oktober 2026
- Microsoft Learn: „Removed features and functionality“ (Windows)