- Seit dem optionalen Preview-Update KB5124010 (22. September 2026) und dem Patchday-Update KB5127648 (13. Oktober 2026) scheitern RDP-Verbindungen von Nicht-Administratoren mit 0xC000000D.
- Microsoft bestätigt das Problem für Windows 11 24H2 bis 26H2, wenn der Administratorschutz (Administrator Protection) auf dem RDP-Host aktiv ist.
- Der offizielle Workaround: den Administratorschutz vorübergehend per Intune oder Gruppenrichtlinie abschalten. Eine endgültige Korrektur steht noch aus.
Du patchst am Patchday, gehst zum Mittagessen, und danach kommt kein normaler Benutzer mehr per RDP auf die Maschine. Genau das berichten seit dem 13. Oktober 2026 etliche Administratoren. Der Fehlercode lautet 0xC000000D, die Meldung dazu: "Das an die Funktion übergebene Token ist ungültig". Hier steht, was Microsoft dazu bestätigt hat, was nur Leserberichte sind und was du jetzt sinnvoll tust.
Was passiert ist
Auslöser ist laut Microsoft das optionale, nicht sicherheitsrelevante Preview-Update KB5124010 vom 22. September 2026 oder jedes spätere Update. Mit dem kumulativen Update KB5127648 zum Patchday am 13. Oktober 2026 kam das Problem bei vielen Systemen an. Betroffen sind Windows 11 ab 24H2 bis einschließlich 26H2. Das Problem tritt auf, wenn der Administratorschutz aktiv ist.
Der Administratorschutz ist bei den Windows-Sicherheitsrichtlinien (Security Baselines aus dem Microsoft Security Compliance Toolkit) für 24H2, 25H2 und 26H2 standardmäßig eingeschaltet, solange du die Richtlinie nicht anders gesetzt hast. Wer die Baselines eins zu eins übernommen hat, ist also wahrscheinlich dabei. Nach Microsoft trifft es vor allem von Unternehmen verwaltete Geräte, die als Remote-Desktop-Host dienen, egal wie die Funktion aktiviert wurde.
| Szenario | Betroffen? | Quelle |
|---|---|---|
| Windows 11 24H2–26H2 als RDP-Host, Administratorschutz an, Nutzer ohne Adminrechte | Ja, Fehler 0xC000000D | Microsoft bestätigt |
| Dasselbe, Administratorschutz aus | Laut Microsoft nicht von diesem Fehler | Microsoft bestätigt |
| Windows Server 2016, 2019, 2022, 2025 | Nicht als betroffen genannt | Nur Windows 11 aufgeführt |
| Adminfreigaben C$ und ADMIN$ nicht erreichbar | Möglicherweise verwandt | Nur Leserberichte |
Was nur Leser berichten
In den Kommentaren bei Borns IT-Blog kommen weitere Beobachtungen zusammen. Sie stammen nicht von Microsoft, behandle sie als Hinweise und nicht als gesicherte Tatsachen:
- Adminfreigaben: Auf Windows-11-24H2-Clients waren C$ und ADMIN$ von anderen Rechnern aus nicht mehr erreichbar. Lokal zeigte
net sharesie noch an.LocalAccountTokenFilterPolicybrachte keine Besserung. - Laufwerkszuordnungen: Zuordnungen per Gruppenrichtlinie funktionierten bei einem Leser nach dem Update nicht mehr.
- Fernwartung: Ein Leser meldet, dass Fernwartungsprogramme nicht mehr zugreifen konnten.
- Kerberos-Meldung: Ein Leser sah "The encryption type requested is not supported by the KDC". Das ist eine andere Fehlermeldung und nicht gesichert dasselbe Problem.
Auch ein NTLMv1-Zusammenhang wurde in den Kommentaren diskutiert. Der Blog-Autor hält ihn für unwahrscheinlich, weil NTLMv1 unabhängig davon wäre, ob ein Nutzer Administrator ist. Was NTLMv1 trotzdem für dich bedeuten kann, steht in unserem Beitrag zur Abschaltung von NTLMv1 auf Windows-Servern.
Workaround in fünf Schritten
Microsoft empfiehlt, den Administratorschutz vorübergehend zu deaktivieren. Die Richtlinie heißt "Benutzerkontensteuerung – Art des Administratorgenehmigungsmodus" und wird in Intune oder per Gruppenrichtlinie zurückgesetzt.
- Betroffene Hosts eingrenzen. Prüfe, welche Windows-11-Maschinen ab 24H2 als RDP-Host dienen und ob sie die Update-Stände KB5124010 oder KB5127648 haben:
Get-HotFix | Where-Object HotFixID -in 'KB5124010','KB5127648' - Aktuellen Zustand lesen. Der Wert hinter der Richtlinie liegt in der Registry:
reg query HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v TypeOfAdminApprovalMode - Richtlinie anpassen. Setze "Benutzerkontensteuerung – Art des Administratorgenehmigungsmodus" in Intune oder der Gruppenrichtlinie zurück. Ein Leser nennt als Registry-Befehl den Wert 1; das ist keine Angabe von Microsoft, teste es erst auf einer einzelnen Maschine:
reg add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v TypeOfAdminApprovalMode /t REG_DWORD /d 1 /f - Richtlinie verteilen und neu anmelden. Gruppenrichtlinie anwenden, den Host neu starten oder zumindest neu anmelden, bis der Wert sicher gesetzt ist.
- Verbindung testen. Melde dich mit einem Benutzer ohne Adminrechte per RDP an. Klappt es, ist der Fehler behoben.
Update deinstallieren oder Workaround?
- Die Sicherheitsfixes aus dem Oktober-Update bleiben installiert.
- Er lässt sich zentral per Richtlinie verteilen und wieder zurücknehmen.
- Es ist der von Microsoft genannte Weg.
- Der Administratorschutz ist auf den betroffenen Hosts vorübergehend aus.
- Du musst die Ausnahme später aktiv zurückbauen.
- Er behebt nicht gesichert alle Folgeprobleme, etwa bei Adminfreigaben.
Das Update zu entfernen, rät Microsoft nicht, und es nimmt dir die Sicherheitskorrekturen vom Patchday wieder weg. Einzelne Leser berichten, dass es bei ihnen geholfen hat. Als Dauerlösung taugt es nicht.
Was das für RDP-Betreiber heißt
Wenn du einen Windows-Rechner als Fernzugang für mehrere Nutzer betreibst, prüfst du vor dem nächsten Patchday zwei Dinge: Wird der Administratorschutz bei dir über Baselines gesetzt, ohne dass du es weißt? Und gibt es einen Testhost, auf dem Updates eine Woche früher landen? Ein einzelner Testhost reicht, um solche Fehler zu finden, bevor Kunden oder Kollegen sie finden.
Gleichzeitig gilt: Der Fehler ist kein Grund, RDP weiter zu öffnen. Wer den Dienst im Internet erreichbar hat, sollte die Grundlagen aus unserem Beitrag RDP öffentlich erreichbar: So sicherst du den Zugang richtig ab ohnehin erledigt haben. Das ist unabhängig davon, ob ein Update gerade klemmt. Wenn du Windows auf einem eigenen Server betreiben willst, findest du die Details auf der Seite Windows-VPS.
So prüfst du, ob es geklappt hat
- Testanmeldung: Ein Benutzer ohne Adminrechte meldet sich per RDP an und bekommt eine Sitzung statt 0xC000000D.
- Richtlinienstand:
reg queryzeigt den Wert, den du per Intune oder Gruppenrichtlinie gesetzt hast. - Adminfreigaben: Prüfe von einem zweiten Rechner aus, ob C$ und ADMIN$ wieder erreichbar sind, falls du sie nutzt.
- Merkzettel: Notiere, auf welchen Hosts du den Schutz abgeschaltet hast, damit du ihn später wieder einschaltest.
Eine Schutzfunktion abzuschalten ist eine Notlösung mit Ablaufdatum, kein Zustand.
Die offizielle Beschreibung findest du im Windows-11-Release-Health-Dashboard unter "Remote Desktop connections might fail for non-admin users with error 0xC000000D". Dort kommen Statusänderungen zuerst.
