Ein Login, der gestern noch lief, kann nach dem nächsten Windows-Update einfach nicht mehr durchgehen – ohne dass du etwas an deinem Server geändert hast.
- Microsoft beginnt ab dem 13. Oktober 2026, die Reste von NTLMv1 in Windows 11 ab 24H2 und Windows Server 2025 per Update zu sperren.
- Der Registry-Wert
BlockNTLMv1SSOwechselt dabei von 0 (nur überwachen) auf 1 (erzwingen). Das Update wird gestuft ausgerollt, nicht bei allen gleichzeitig. - Betroffen sind vor allem alte Anwendungen, Freigaben und Verfahren wie MS-CHAPv2 in domänengebundenen Umgebungen. Wer Kerberos nutzt, merkt meist nichts.
Was Microsoft jetzt konkret umstellt
NTLM (NT LAN Manager) ist seit über drei Jahrzehnten ein Authentifizierungsverfahren in Windows-Netzwerken. In Domänen hat Kerberos es längst abgelöst, NTLM blieb aber als Fallback erhalten: Kann ein Teilnehmer kein Kerberos, springt Windows auf NTLM zurück. Genau dieser Fallback ist das Problem. Spätestens seit Mandiant Rainbow-Tabellen zum Knacken veröffentlicht hat, gilt NTLMv1 als sicherheitstechnisch erledigt.
Das Protokoll selbst hat Microsoft bereits aus Windows 11 24H2 und Windows Server 2025 entfernt. In einigen Szenarien bleiben aber Reste der NTLMv1-Kryptografie übrig, etwa bei MS-CHAPv2 in einer domänengebundenen Umgebung. Diese Reste schaltet Microsoft jetzt ab, indem aus NTLMv1 abgeleitete Anmeldeinformationen nicht mehr verwendet werden. Technisch ist das der Standardwert von BlockNTLMv1SSO:
| Phase | Wert von BlockNTLMv1SSO | Wirkung |
|---|---|---|
| Seit September 2025 | 0 | Audit-Modus: NTLMv1-Nutzung wird protokolliert, nichts wird blockiert |
| Ab 13. Oktober 2026 | 1 | Enforce-Modus: NTLMv1-SSO ist deaktiviert |
Wer ist betroffen – und wer nicht
Die Änderung betrifft Windows 11 ab 24H2 sowie Windows Server 2025. Läuft auf deinem Rootserver ein älteres Windows Server, ist das Update-Thema für dich erst einmal nachgelagert. Trotzdem lohnt der Blick: Microsoft hat NTLM im Frühjahr 2026 als "deprecated" abgekündigt und die Deaktivierung für die nächste Windows-Version angekündigt. Der Weg geht nur in eine Richtung.
Kritisch wird es dort, wo etwas im Netz noch auf alte Verfahren angewiesen ist:
- Alte Anwendungen: Software, die sich nicht per Kerberos authentifizieren kann und auf den NTLM-Fallback setzt.
- Freigaben und Geräte: NAS, Scanner oder Drittsysteme, die Verzeichnisfreigaben nur mit altem Anmeldeverfahren ansprechen. Aus der Praxis ist bereits ein Fall bekannt, in dem eine App nach der NTLM-Änderung Probleme mit Verzeichnisfreigaben hatte.
- MS-CHAPv2: Verfahren, die darauf aufbauen, etwa manche VPN- oder Zugangslösungen in domänengebundenen Umgebungen.
- Ein bekanntes, praktisch geknacktes Verfahren verschwindet.
- Der Zwang hilft, alte Abhängigkeiten endlich aufzuräumen.
- Alte Systeme können ohne Vorwarnung ausfallen.
- Das gestufte Rollout macht den Zeitpunkt schwer vorhersagbar.
In fünf Schritten prüfen, ob dein Server betroffen ist
Die folgenden Schritte laufen in einer PowerShell mit Administratorrechten. Mach vorher einen Snapshot oder ein Backup – du änderst zwar zunächst nichts, aber bei Anpassungen willst du einen Rückweg haben.
- Windows-Version feststellen. Die Änderung betrifft Windows Server 2025 und Windows 11 ab 24H2.
Get-ComputerInfo | Select-Object OsName, OsVersion - Aktuellen Wert von BlockNTLMv1SSO suchen. Der Befehl durchsucht den Control-Zweig der Registry. Gibt es den Wert noch nicht, gilt der Standard – und der wechselt mit dem Update.
reg query HKLM\SYSTEM\CurrentControlSet\Control /s /f BlockNTLMv1SSO - Audit-Ergebnisse auswerten. Im Audit-Modus protokolliert Windows, wo NTLMv1 noch genutzt wird. Wie du die Auditierung aktivierst und auswertest, steht bei Microsoft unter "Disabling NTLM". Notiere dir jede Anwendung und jedes Gerät, das dort auftaucht.
- Abhängigkeiten auf Kerberos umstellen. Das ist die eigentliche Lösung. Verbinde dich mit Servernamen statt mit IP-Adressen, denn per IP fällt Windows oft auf NTLM zurück. Prüfe, ob die betroffene Software Kerberos kann, und aktualisiere sie, falls ja.
- Test vor dem Update. Spiel die Änderung zuerst auf einer Kopie des Servers ein, nicht auf dem Produktivsystem, und teste jeden Login-Weg einmal durch.
BlockNTLMv1SSO wieder auf 0 zu setzen, wenn etwas bricht. Das ist bestenfalls eine Übergangslösung, um Zeit für die Umstellung zu gewinnen. Ein Verfahren, das öffentlich per Rainbow-Tabelle knackbar ist, willst du auf einem internetnahen Server nicht dauerhaft zulassen.Woran du erkennst, dass es geklappt hat
Nach der Umstellung auf Kerberos und dem Einspielen des Updates prüfst du drei Dinge:
- Anmeldungen: Jede dokumentierte Anwendung und jede Freigabe meldet sich weiterhin an.
- Audit-Protokoll: Es tauchen keine neuen NTLMv1-Einträge mehr auf.
- Registry-Wert: Der erneute Aufruf des
reg query-Befehls zeigt entweder den Wert 1 oder keinen Eintrag mehr, bei dem der neue Standard greift.
NTLMv1 ist keine Frage des "ob", sondern des "wann bei dir".
Der Windows-Server im größeren Zusammenhang
NTLMv1 ist nur ein Baustein. Wenn dein Windows-Server aus dem Internet erreichbar ist, solltest du zuerst den Fernzugang im Griff haben – wie das geht, steht in unserem Beitrag Windows RDP öffentlich erreichbar: So sicherst du den Zugang richtig ab. Wer seinen Zugang lieber nur über einen verschlüsselten Tunnel anbietet, findet beim VPN-Server auf dem Rootserver einen Ansatz, RDP gar nicht erst offen ins Netz zu stellen.
Planst du einen neuen Windows-Server und willst direkt mit Windows Server 2025 und Kerberos-Grundlagen starten, schau dir den Windows-VPS an. Dann testest du die neue Standardeinstellung von Anfang an, statt später umzustellen.
Deine Checkliste für diese Woche
- Inventar: Liste alle Dienste und Geräte auf, die sich an deinem Windows-Server anmelden.
- Audit: Werte die NTLMv1-Protokollierung aus, sofern sie aktiv ist.
- Kerberos: Stell alles um, was es kann – und plane den Austausch für den Rest.
- Test: Prüfe die Änderung auf einer Kopie, bevor das Update den Produktivserver erreicht.
Die Details zum Zeitplan und den Registry-Einstellungen findest du im Microsoft-Supportbeitrag "Upcoming changes to NTLMv1 in Windows 11, version 24H2 and Windows Server 2025". Wir haben die Eckdaten hier aus dem Hinweis von Borns IT- und Windows-Blog vom 13. Oktober 2026 zusammengefasst.
