Ein aktuelles Sicherheitsupdate für Windows 11 sorgt in einigen Unternehmen für erhebliche Probleme: Nach der Installation von KB5124008 (Build 26200.9445) verlieren domänengebundene Windows-Clients offenbar ihre Vertrauensstellung zur Active-Directory-Domäne. Die Folge: Nutzer können sich am betroffenen Rechner nicht mehr anmelden, obwohl Benutzername und Kennwort korrekt sind. Ein Administrator hat das Verhalten in der Microsoft-Community beschrieben, reproduziert und einen vorläufigen Workaround gefunden.
Laut dem dokumentierten Fall betrifft das Problem domänengejointe Arbeitsplatzrechner unter Windows 11 (25H2). Nach dem Einspielen des Updates bricht die sogenannte Secure-Channel-Beziehung (die Vertrauensbeziehung zwischen Client und Domänencontroller) weg. In der Praxis äußert sich das dadurch, dass die interaktive Anmeldung am Gerät scheitert.
Der Administrator konnte den Fehler auf mehreren Systemen zuverlässig nachstellen und hat daraufhin den unternehmensweiten Rollout des Updates zunächst gestoppt.
Bei der Anmeldung erscheint eine Meldung, die sinngemäß behauptet, Benutzername oder Kennwort seien falsch. Gleichzeitig funktioniert eine Offline-Anmeldung mit zwischengespeicherten Anmeldedaten weiterhin, was den Verdacht auf ein Problem in der Domänenkommunikation lenkt.
Zur Diagnose wurden unter anderem diese Hinweise genannt:
– Das PowerShell-Diagnosekommando „Test-ComputerSecureChannel“ liefert „False“.
– „nltest“ meldet den Fehler ERROR_NO_TRUST_LSA_SECRET.
– Auf den Domänencontrollern (im beschriebenen Fall Windows Server 2019) taucht parallel Ereignis 4625 im Security-Log auf. Betroffen ist dabei das Computerkonto, und es wird ein fehlgeschlagener NTLM-Logon protokolliert.
– Netzwerkbasierte Anmeldungen können mit denselben Zugangsdaten weiterhin funktionieren, während die lokale, interaktive Anmeldung am Client scheitert.
Im Forumseintrag wird beschrieben, dass der Administrator mehrere bekannte Fehlerquellen systematisch überprüft und ausgeschlossen hat. Dazu zählen unter anderem doppelte SIDs, Probleme mit Kennwortrotationen, DNS- oder Replikationsprobleme, Zeitabweichungen sowie Kontosperrungen. Das Verhalten blieb jedoch eindeutig an die Installation des Updates gekoppelt.
Um den defekten Vertrauenskanal wiederherzustellen, reichten übliche Maßnahmen wie das reine Zurücksetzen des Computerkennworts offenbar nicht. Erst ein kompletter Domänen-Austritt und anschließender erneuter Domänen-Beitritt stellte die Funktionsfähigkeit wieder her.
Wird das Update danach erneut installiert, tritt das Problem laut Bericht wieder auf. Diese Reproduzierbarkeit spricht stark dafür, dass die Ursache im Update bzw. in einer damit aktivierten Sicherheitsfunktion liegt – und nicht in einer individuellen Netzwerk- oder AD-Fehlkonfiguration.
Gemeinsam mit anderen Nutzern wurde als Auslöser eine Funktion namens „Machine Identity Isolation“ identifiziert. Sie war im „Enforcement“-Modus aktiv und soll in dieser Konstellation die Aushandlung des sicheren Kanals zum Domänencontroller blockieren.
Als Workaround wurde die Funktion deaktiviert – sowohl per Gruppenrichtlinie als auch über die Intune-Sicherheitsbaseline. Da die GPO den gewünschten Wert auf den Clients offenbar nicht zuverlässig setzte, wurde zusätzlich ein entsprechender Registry-Wert manuell erzwungen.
Der Administrator plant, die Funktion nach den nächsten Patch-Runden erneut testweise zu aktivieren, um zu prüfen, ob Microsoft das Problem inzwischen behoben hat. Eine offizielle Stellungnahme oder ein Hotfix wurde zum Zeitpunkt der Meldung noch nicht genannt.
Vernetzte Geräte können im Alltag praktisch sein – im Netzwerk sorgen sie aber immer wieder für Überraschungen. Ein besonders kurioses Beispiel: Eine smarte Kaffeemaschine soll innerhalb von gut zehn Tagen rund ein Terabyte Datenverkehr produziert und damit einen WLAN-Access-Point an seine Grenzen gebracht haben. Der Fall zeigt, warum Admins auch scheinbar harmlose IoT-Geräte nicht aus […]
Mit FRITZ!OS 8.50 rollt AVM ein größeres Firmware-Update für die FRITZ!Box aus. Im Fokus stehen vor allem mehr Sicherheit im Heimnetz, bessere Stabilität sowie neue Funktionen rund um Smart Home und Komfort. Den Start macht die FRITZ!Box 7690; weitere aktuelle FRITZ!Box- und FRITZ!Repeater-Modelle sollen in den kommenden Wochen folgen. Wer Auto-Updates aktiviert hat, bekommt die […]
Viele IT-Teams stehen KI-Agenten skeptisch gegenüber: Lieber wird die Technik komplett blockiert, als ein unkalkulierbares Sicherheitsrisiko in Kauf zu nehmen. Genau hier setzt OpenClaw Enterprise an. Die OpenClaw Foundation hat eine quelloffene Plattform vorgestellt, die dauerhaft laufende KI-Agenten in sensiblen Unternehmensumgebungen beherrschbar machen soll – mit klaren Leitplanken, Governance und nachvollziehbaren Audits, ohne Agenten im […]
Ihre Daten liegen in der Cloud – aber wissen Sie auch, wer mitliest, mitentscheidet und im Krisenfall den Zugriff steuert? Warum echte Datensouveränität mit der Architektur beginnt und nicht mit dem Anbieter.
Ein Cyberangriff auf die Berliner Zertifizierungsgesellschaft GUTcert sorgt derzeit für erhebliche Unruhe – nicht nur bei den direkt betroffenen Kunden, sondern potenziell auch in weiten Teilen der deutschen Energiebranche. Nach bisherigen Angaben sollen dabei rund 640 GByte an Daten abgeflossen sein, darunter offenbar auch Informationen mit Bezug zu kritischer Infrastruktur. Was bisher über den Angriff […]
Verschlüsselte Dateien, stillstehende Produktion, tote Telefonanlage – und niemand weiß, wer jetzt entscheidet. Warum gerade der Mittelstand im Visier steht und wie ein tragfähiges Schutzkonzept aussieht, das im Ernstfall wirklich hält.
powered by Borlabs Cookie