Aktuell

Oktober-Update legt Firmen-WLAN lahm: PEAP-Anmeldung scheitert an NTLMv1-Sperre

Seit KB5127648 scheitern Windows-11-Geräte an PEAP-MSCHAPv2 im WLAN. Ursache, Fehlerbild am NPS, kurzfristiger Workaround und der Umstieg auf EAP-TLS.

19. Oktober 2026

Updates
Netzwerk
Identität & Zugang

Kernaussage

Stand 19.10.2026

Mit dem kumulativen Update vom 13. Oktober 2026 (KB5127648 für Windows 11 24H2, 25H2 und 26H2) blockiert Windows standardmäßig NTLMv1-abgeleitete Anmeldedaten für die automatische Anmeldung. Genau darauf beruht PEAP-MSCHAPv2 mit der Option „Windows-Anmeldeinformationen verwenden“. Domänengeräte kommen dann weder mit dem Computer- noch mit dem Benutzerkonto ins WLAN oder ins kabelgebundene 802.1X-Netz. Ein Registry-Wert hilft kurzfristig, die eigentliche Lösung ist die Anmeldung per Zertifikat (EAP-TLS).

Seit dem Oktober-Patchday häufen sich Berichte über Firmen-WLANs, in die sich Windows-11-Laptops nicht mehr einbuchen. WPA2-Personal mit gemeinsamem Schlüssel läuft weiter, betroffen sind Netze mit WPA2- oder WPA3-Enterprise und RADIUS-Anmeldung über PEAP-MSCHAPv2 – also genau das Verfahren, das in vielen Unternehmen und Verwaltungen seit Jahren Standard ist.

Was wir beobachtet haben

Bei einer von uns betreuten Kommune meldete sich ein Mitarbeiter: Sein Laptop kam nicht mehr ins Dienst-WLAN, andere Geräte funktionierten weiter. In derselben Woche war die Domäne gehärtet worden, der erste Verdacht lag also nahe. Die Prüfung von NTLM-Einstellungen, Gruppenrichtlinien, Verbindungsanforderungsrichtlinien und Schannel am Netzwerkrichtlinienserver (NPS) ergab aber: Die Härtung war es nicht.

Auffällig war vielmehr, was fehlte: Am NPS gab es für das Gerät weder das Ereignis 6272 (Zugriff gewährt) noch 6273 (Zugriff verweigert). Erst das Textprotokoll des NPS (C:\Windows\System32\LogFiles\IN*.log) zeigte den Ablauf: Der TLS-Tunnel wurde aufgebaut, das Serverzertifikat akzeptiert – danach brach der Laptop nach mehreren Runden selbst ab. Auf dem Gerät stand im Protokoll Microsoft-Windows-NTLM/Operational das Ereignis 4025, im WLAN-AutoConfig-Protokoll das Ereignis 12013 mit dem Fehler 0x80070285 („interner Authentifizierungsfehler“).

Update

KB5127648

Kumulatives Update vom 13.10.2026 für Windows 11 24H2, 25H2 und 26H2.

Builds

26x00.9711

26100.9711, 26200.9711 und 26300.9711.

Ereignis am Client

NTLM 4025

Eine NTLMv1-abgeleitete Anmeldung für SSO wurde durch die Richtlinie blockiert.

Microsoft

MC1508562

Message-Center-Hinweis: MS-CHAPv2-Verbindungen mit SSO können fehlschlagen.

Die Ursache

Microsoft baut NTLMv1 schrittweise ab. Seit Ende August 2025 protokollierte Windows 11 entsprechende Anfragen nur (Ereignis 4024). Mit dem Oktober-Update springt der Registry-Wert BlockNtlmv1SSO unter HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0 von Audit (0) auf Enforce (1), sofern er nicht ausdrücklich gesetzt ist. MS-CHAPv2 rechnet intern mit genau solchen Hashes. Mit Enforce verweigert Windows die automatische Weitergabe der Anmeldedaten an PEAP-MSCHAPv2 und EAP-MSCHAPv2 – bei WLAN, LAN und VPN.

Auf Geräten mit aktivem Credential Guard ändert sich nichts: Dort gibt Windows die Anmeldedaten ohnehin nicht an MS-CHAPv2 weiter, die automatische Anmeldung per PEAP funktioniert dort schon länger nicht mehr. Die manuelle Eingabe von Benutzername und Kennwort klappt weiterhin.

Tipp für die Fehlersuche

Fehlen am NPS die Ereignisse 6272 und 6273, ist das kein Beweis, dass nichts ankommt. Das Textprotokoll IN*.log enthält auch abgebrochene Gespräche: Paketart 1 ist die Anfrage, 11 die Rückfrage des Servers, 2 die Annahme und 3 die Ablehnung. Viele 1/11-Runden ohne 2 oder 3 bedeuten: Der Client bricht ab – ein starkes Indiz für dieses Problem oder für ein Profil, das dem Serverzertifikat nicht vertraut.

Welche Konfiguration welches Risiko bedeutet

Einordnung nach dem Stand vom 19. Oktober 2026.

Betroffen

PEAP-MSCHAPv2 mit Windows-Anmeldung

Computer- und Benutzeranmeldung per SSO scheitern nach dem Oktober-Update, sofern Credential Guard aus ist.

Kurzfristig Workaround, mittelfristig auf EAP-TLS umstellen.

Übergang

PEAP mit manueller Eingabe

Funktioniert, ist aber unbequem und für die Anmeldung vor dem Windows-Login (Computerkonto) keine Lösung.

Nur für einzelne Geräte oder Gäste.

Sicherheitsabbau

Registry-Workaround BlockNtlmv1SSO = 0

Stellt die alte Funktion wieder her, hebt aber den neuen Schutz auf.

Befristet, dokumentiert, mit Termin für den Rückbau.

EAP-TLS mit Computerzertifikat

Kein Kennwort, kein NTLM, unabhängig von PIN oder Windows Hello. Von Microsoft als dauerhafte Lösung empfohlen.

Mit Pilotgerät starten, dann per Gruppenrichtlinie ausrollen.

Der Stolperstein beim Umstieg auf EAP-TLS

EAP-TLS setzt voraus, dass jeder Arbeitsplatz ein gültiges Computerzertifikat hat. In unserem Fall stellte sich heraus, dass die Zertifikate seit Monaten nicht erneuert worden waren – ohne dass es jemand bemerkt hatte. Zwei Gründe kamen zusammen: Die Zertifikatvorlage für die automatische Registrierung war auf der Zertifizierungsstelle nicht veröffentlicht, und in den DCOM-Berechtigungen der Zertifizierungsstelle fehlte die Gruppe „Zertifikatdienst-DCOM-Zugriff“. Dadurch konnten nur Administratoren Zertifikate anfordern; Computerkonten erhielten den Fehler 0x800706ba.

Erst nach diesen beiden Korrekturen holten sich die Geräte ihre Zertifikate, und das Pilotgerät wurde per EAP-TLS angenommen. Unsere Empfehlung daher: vor der Umstellung die Zertifizierungsstelle und die Abdeckung mit Computerzertifikaten prüfen – nicht erst, wenn das WLAN-Profil schon verteilt ist.

Was Betreiber jetzt tun sollten

Bestand aufnehmen: Welche Netze nutzen PEAP-MSCHAPv2? Welche Geräte haben das Oktober-Update und melden Ereignis 4025?
Workaround nur befristet: BlockNtlmv1SSO = 0 per Gruppenrichtlinie nur dort setzen, wo kurzfristig keine Zertifikate möglich sind – mit dokumentiertem Enddatum.
Zertifizierungsstelle prüfen: Vorlage veröffentlicht, Autoenrollment per Gruppenrichtlinie aktiv, Computerzertifikate in der CA-Datenbank aktuell?
NPS-Richtlinie für den Übergang: EAP-TLS und PEAP in derselben Netzwerkrichtlinie anbieten, EAP-TLS zuerst. Der NPS verhandelt EAP-Methoden nur innerhalb der Richtlinie, die zuerst passt.
WLAN-Profil per Gruppenrichtlinie: Profil mit EAP-TLS und Computeranmeldung, Servername und Stammzertifizierungsstelle fest eingetragen. Erst ein Pilotgerät, dann alle Arbeitsplätze – Server per WMI-Filter ausnehmen.
Nacharbeiten: Wenn alle Geräte per EAP-TLS kommen, PEAP aus der Richtlinie entfernen. Das Ablaufdatum des NPS-Serverzertifikats überwachen – ohne gültiges Zertifikat kommt niemand mehr ins WLAN.

Prüfbefehle

In einer PowerShell mit Administratorrechten ausführen.

1. Ist dieses Gerät betroffen? (auf dem Client)

# Build und Stand des Registry-Werts
(Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion') | Select-Object CurrentBuild, UBR
Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0' -Name BlockNtlmv1SSO -ErrorAction SilentlyContinue

# Blockierte (4025) und nur protokollierte (4024) Anfragen der letzten 7 Tage
Get-WinEvent -FilterHashtable @{ LogName='Microsoft-Windows-NTLM/Operational'; Id=4024,4025; StartTime=(Get-Date).AddDays(-7) } -ErrorAction SilentlyContinue |
    Group-Object Id | Select-Object Name, Count

2. Workaround setzen und später zurücknehmen (auf dem Client)

# Befristet: Audit statt Enforce
New-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0' -Name BlockNtlmv1SSO -PropertyType DWord -Value 0 -Force

# Rückbau nach der Umstellung auf EAP-TLS
# Remove-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0' -Name BlockNtlmv1SSO

3. Abgebrochene Anmeldungen im NPS-Textprotokoll (auf dem NPS)

$f = Get-ChildItem C:\Windows\System32\LogFiles\IN*.log | Sort-Object LastWriteTime | Select-Object -Last 1
Get-Content $f.FullName -Tail 5000 | Select-String 'host/NOTEBOOK01' | Select-Object -Last 20
# Spalte 5: 1 = Anfrage, 11 = Rückfrage, 2 = angenommen, 3 = abgelehnt

4. Computerzertifikate in der CA prüfen (auf einem Admin-Server)

# Gültige, ausgestellte Zertifikate mit Vorlage und Ablaufdatum
certutil -config "CA-SERVER\Firmen-CA" -view -restrict "Disposition=20,NotAfter>now" `
    -out "RequesterName,CertificateTemplate,NotAfter" csv

NOTEBOOK01, CA-SERVER und Firmen-CA sind Platzhalter. Ein gesetzter Registry-Wert gilt ab der nächsten Anmeldung; im Zweifel neu starten.

So gehen wir vor

Bei betreuten Kunden mit PEAP-WLAN stellen wir auf EAP-TLS mit Computerzertifikat um: zuerst Zertifizierungsstelle und Autoenrollment prüfen, dann ein Pilotgerät, danach das Profil per Gruppenrichtlinie für alle Arbeitsplätze. Den Registry-Workaround setzen wir nur dort, wo kurzfristig keine Zertifikate möglich sind – befristet und dokumentiert. iPhones, iPads und private Geräte bleiben vorerst bei PEAP mit manueller Anmeldung in einem getrennten WLAN.