Update-Panne bei Microsoft: Windows-11-Update sperrt Nutzer aus Domänen aus
Die September-Updates für Windows sind in den letzten Wochen schon durch allerhand Probleme aufgefallen. Dazu gesellt sich nun ein weiteres: Wie Microsoft in einer Meldung auf seinem Release-Health-Dashboard(öffnet im neuen Fenster) bestätigt, können Domänenbenutzer unter Windows 11 durch die September-Updates Anmeldeprobleme bekommen. Ein Fix ist noch in Arbeit. Es gibt aber schon Workarounds.
Betroffen sind laut Microsoft die Windows-11-Versionen 26H1, 25H2 und 24H2. Dort kann etwa die Installation des Updates KB5124008(öffnet im neuen Fenster) dazu führen, dass durch Credential Guard(öffnet im neuen Fenster) geschützte Computerkonten den "sicheren Kanal" zu ihrer On-Premises-Active-Directory-Domäne verlieren.
Die Folge ist, dass eigentlich gültige Zugangsdaten bei der Windows-Anmeldung nicht mehr akzeptiert werden, sofern die Anmeldung nicht offline und damit über den lokalen Cache erfolgt. Laut Microsoft erhalten Nutzer beim Anmeldeversuch möglicherweise eine Warnmeldung, die auf eine beschädigte Vertrauensbeziehung zwischen dem jeweiligen PC und der Domäne hinweist.
Neues Feature macht Probleme
Ursache ist laut Microsoft der Umstand, dass die September-Updates bei entsprechender Konfiguration die Aktivierung eines neuen Features namens Machine Identity Isolation erzwingen. Dieses wird aber nur in Verbindung mit Windows Server 2025 unterstützt. Basieren genutzte Domaincontroller auf älteren Windows-Server-Versionen, so kommt es zu den genannten Anmeldeproblemen. Im Netz sind einige Nutzerbeschwerden(öffnet im neuen Fenster) zu finden, die zu diesen Angaben passen(öffnet im neuen Fenster).
Microsoft will dieses Verhalten mit einem zukünftigen Update entschärfen. Bis dahin können sich Administratoren damit behelfen, dass sie Machine Identity Isolation auf den betroffenen Systemen manuell deaktivieren. Wie das genau funktioniert, hängt allerdings davon ab, auf welchem Wege die Funktion zuvor aktiviert wurde.
Drei mögliche Workarounds
Erfolgte die Aktivierung der Machine Identity Isolation über eine Intune-(öffnet im neuen Fenster) oder Gruppen-Richtlinie(öffnet im neuen Fenster), so muss dies auch an der gleichen Stelle wieder rückgängig gemacht werden. Der dritte mögliche Weg führt über die Registry. Dort müssen die Werte für den Schlüssel "MachineIdentityIsolation" unter folgenden beiden Pfaden auf 0 gesetzt werden:
HKLM\SYSTEM\CurrentControlSet\Control\Lsa HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard
Danach müssen die betroffenen Geräte neu gestartet und der Befehl 'Test-ComputerSecureChannel -Repair -Credential (Get-Credential)' ausgeführt werden, um den Secure Channel zur Domäne zurückzusetzen.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.