NTLMv1 deaktivieren: was das Oktober-Update 2026 ändert

Am 13. Oktober 2026 hat Microsoft mit dem monatlichen Sicherheitsupdate eine Standardeinstellung geändert, die viele Betriebe nie bewusst gesetzt haben. Seitdem blockiert Windows auf berechtigten Geräten, was bisher nur protokolliert wurde: die Einmalanmeldung mit Anmeldedaten, die aus dem alten Verfahren NTLMv1 abgeleitet sind. Wer NTLMv1 deaktivieren will oder jetzt muss, sollte wissen, wo die Einstellung wirkt, wie er das Verfahren im eigenen Netz findet und in welcher Reihenfolge er vorgeht.

Dieser Beitrag richtet sich an Inhaber und Geschäftsführung, die ihre IT von einem Dienstleister oder nebenbei betreuen lassen. Er zeigt, was sich geändert hat, wo es Ihre Anmeldung am WLAN, am Netzwerkkabel oder am VPN treffen kann, und welche Fragen Sie vor einer Abschaltung klären. Alle Angaben zu Microsoft-Produkten stammen aus der Dokumentation des Herstellers, Stand Oktober 2026.

Was das Oktober-Update 2026 ändert

Laut dem Support-Artikel Verwalten von Änderungen an NTLMv1 und Verhindern von Netzwerkproblemen in Windows 11 und Windows Server 2025 gilt seit dem Sicherheitsupdate vom 13. Oktober 2026 (KB5127648 für Windows 11, KB5126646 für Windows Server 2025) Folgendes:

• Ist der Registrywert BlockNtlmv1SSO nicht gesetzt, verwendet Windows jetzt den Erzwingungsmodus (1) statt des Überwachungsmodus (0). Das Update legt den Wert nicht an und ändert ihn nicht.
• Im Erzwingungsmodus werden Anforderungen blockiert, NTLMv1-abgeleitete Anmeldedaten für die Einmalanmeldung zu erzeugen.
• Die Änderung gilt nur für Geräte, auf denen Credential Guard deaktiviert ist. Ist Credential Guard aktiv, wirkt sie nicht.
• Microsoft nennt als mögliche Folge Störungen bei WLAN-, Ethernet- und VPN-Verbindungen, die eine MS-CHAPv2-basierte Authentifizierung verwenden.

Geltungsbereich des Artikels sind Windows 11 in den Versionen 24H2, 25H2 und 26H2 sowie Windows Server 2025. Den Hintergrund liefert derselbe Artikel: Microsoft hat das Protokoll NTLMv1 aus Windows 11 ab Version 24H2 und aus Windows Server 2025 entfernt. In einigen Szenarien bleiben aber Reste NTLMv1-abgeleiteter Kryptografie, etwa bei MS-CHAPv2-Verbindungen (PEAP-MSCHAPv2 und EAP-MSCHAPv2) in einer Domänenumgebung. Seit den Updates vom August 2025 gab es den Überwachungsmodus, damit Administratoren solche Abhängigkeiten finden konnten.

Wo NTLMv1 in einem Betrieb noch vorkommt

Microsoft nennt als typischen Fall WLAN-, Ethernet- und VPN-Bereitstellungen mit MS-CHAPv2. Gemeint ist die Anmeldung an einem Netzwerk, bei der Mitarbeitende nicht jedes Mal ein Kennwort eintippen, weil das System ihre Windows-Anmeldung weiterreicht (Single Sign-on). Im Erzwingungsmodus wird dieser Weg blockiert. Die manuelle Eingabe der Anmeldedaten funktioniert laut Microsoft weiter.

Für Ihre Bestandsaufnahme heißt das: Prüfen Sie, ob einer dieser Dienste bei Ihnen so eingerichtet ist.

• Firmen-WLAN mit Anmeldung am Server. Das Netz verlangt keinen gemeinsamen Schlüssel, sondern prüft Benutzer gegen Ihr Verzeichnis.
• Kabelgebundene Anmeldung an Netzwerkdosen mit Zugangskontrolle.
• VPN-Zugänge für Außendienst und Homeoffice, die die Windows-Anmeldung weiterreichen.

Dazu kommt eine zweite Quelle, die mit dem Update nichts zu tun hat: die Einstellung, welche NTLM-Variante Ihre Rechner überhaupt senden. Sie steht in der Richtlinie Network security: LAN Manager authentication level (Registrywert LmCompatibilityLevel):

Laut Microsoft ist der wirksame Standard auf Servern „nur NTLMv2-Antworten senden“; für Clients ist die Einstellung standardmäßig nicht definiert. Die Seite ist zuletzt 2017 aktualisiert worden, prüfen Sie also die Werte in Ihrer Umgebung, statt sich auf den Standard zu verlassen. Als Gegenmaßnahme empfiehlt Microsoft dort NTLMv2, wenn alle Clients es unterstützen. Geräte, die NTLMv2 nicht beherrschen, können sich bei höheren Stufen nicht mehr in der Domäne anmelden. Prüfen Sie dort zuerst ältere Geräte und Anwendungen, bevor Sie die Stufe anheben.

NTLMv1 erkennen: Ereignisse und Überwachung

Bevor Sie etwas abschalten, messen Sie. Microsoft stellt dafür zwei Werkzeuge bereit.

Auf dem Gerät. Im Überwachungsmodus von BlockNtlmv1SSO schreibt Windows das Ereignis 4024 (Typ Warnung, Quelle NTLM) in das Protokoll Microsoft-Windows-NTLM/Operational. Es nennt unter anderem den Zielserver, den angegebenen Benutzer und den Namen des anfragenden Prozesses. Im Erzwingungsmodus steht an derselben Stelle das Ereignis 4025 (Typ Fehler): Der Versuch wurde „aufgrund einer Richtlinie blockiert“. Es ist also nicht nötig, auf Beschwerden zu warten: Tauchen 4025-Einträge auf, ist die Anmeldung gerade abgewiesen worden.

Am Domänencontroller. Die Richtlinie Network security: Restrict NTLM: Audit NTLM authentication in this domain protokolliert NTLM-Anmeldungen, blockiert aber nichts. Die Ereignisse stehen im Protokoll Applications and Services Log\Microsoft\Windows\NTLM. Zwei Hinweise aus der Dokumentation sind für die Praxis wichtig: Beobachten Sie die Größe des Protokolls, solange die Überwachung läuft, und beschränken Sie den Zugriff darauf, weil die Einträge verraten, welche Geräte NTLM-Verkehr verarbeiten.

Das Lernmodul Block NTLM authentication nennt die Reihenfolge ausdrücklich: Erst den NTLM-Verkehr auditieren, bis klar ist, welche Anwendungen das Protokoll noch benutzen, dann blockieren. Dafür sind drei Überwachungsrichtlinien vorgesehen (ausgehender Verkehr zu Remote-Servern, eingehender Verkehr, Anmeldungen in der Domäne). Die Überwachung der Domäne gehört nur auf die Domänencontroller, nicht auf alle Rechner.

NTLMv1 deaktivieren: drei Entscheidungen in dieser Reihenfolge

1. Ist Credential Guard möglich? Microsoft empfiehlt dringend, Credential Guard bereitzustellen und zu aktivieren, wenn die Voraussetzungen erfüllt sind. Es schützt laut Microsoft vollständig vor der NTLMv1-Altkryptografie und vor vielen anderen Angriffsflächen. Das Oktober-Update bietet laut Microsoft nicht den umfassenden Schutz von Credential Guard. Ob Ihre Geräte die Voraussetzungen erfüllen, ist eine Frage an Ihren Dienstleister, nicht an das Update.
2. Hängt etwas an der Einmalanmeldung? Wenn Ereignis 4024 auftaucht oder Sie WLAN, Kabel-Anmeldung oder VPN mit MS-CHAPv2 betreiben, ist das die Abhängigkeit, die zuerst geklärt wird. Microsoft rät, diese Umgebungen auf mögliche Abhängigkeiten hin auszuwerten, bevor die Änderung allgemein bereitgestellt wird. Für Umgebungen, die das nach dem 13. Oktober noch nicht getan haben, heißt das: jetzt nachholen.
3. Gibt es eine Abhängigkeit, die nicht sofort weg kann? Dann lässt sich BlockNtlmv1SSO auf 0 (Überwachung) setzen. Der Wert liegt unter HKEY_LOCAL_MACHINE\SYSTEM\currentcontrolset\control\lsa\msv1_0 als REG_DWORD, und ein Neustart ist laut Microsoft nicht nötig. Microsoft nennt das eine „eingeschränkte, temporäre Sicherheitsausnahme“, die den Schutz des Erzwingungsmodus verringert. Tragen Sie also ein Enddatum und einen Verantwortlichen ein, sonst wird aus der Ausnahme der Dauerzustand.

Eine Reihenfolge, die Sie vermeiden sollten: zuerst blockieren, dann aus den Beschwerden der Mitarbeitenden lernen, was daran hing.

Was danach kommt: NTLM insgesamt

NTLMv1 ist nur der älteste Teil. Microsoft beschreibt im Beitrag Advancing Windows security: Disabling NTLM by default (29. Januar 2026) einen Fahrplan in drei Phasen. NTLM ist demnach veraltet („deprecated“): Es bleibt verfügbar, erhält aber keine Verbesserungen mehr.

• Phase 1 (verfügbar): erweiterte Überwachung, um zu sehen, wo NTLM noch benutzt wird. Sie ist mit Windows Server 2025 und Windows 11 ab 24H2 nutzbar.
• Phase 2 (zweite Jahreshälfte 2026): Werkzeuge gegen die häufigsten Gründe für NTLM, darunter IAKerb und Local KDC (Vorabversionen) für Fälle ohne Sichtverbindung zum Domänencontroller und für lokale Konten.
• Phase 3: Im nächsten großen Windows-Server-Release und den passenden Clientversionen ist NTLM im Netzwerk standardmäßig deaktiviert. NTLM bleibt im Betriebssystem und lässt sich per Richtlinie wieder einschalten, wenn Sie es noch brauchen.

Microsoft weist ausdrücklich darauf hin, dass Termine und Funktionen sich ändern können. Die Empfehlungen aus dem Beitrag gelten unabhängig davon: Überwachung aktivieren, Abhängigkeiten von Anwendungen und Diensten abbilden, wichtige Anwendungen mit Kerberos testen und die Abschaltung von NTLM zuerst außerhalb der Produktion ausprobieren.

Ganz ohne NTLM kommt nicht jeder Betrieb aus. Laut der Seite NTLM overview wird NTLM weiterhin für die Windows-Authentifizierung mit Systemen in einer Arbeitsgruppe gebraucht und für die lokale Anmeldung auf Rechnern, die keine Domänencontroller sind. Kerberos ist in Active-Directory-Umgebungen die bevorzugte Methode, aber eine Anwendung von Microsoft oder von Dritten kann weiterhin NTLM verwenden. Wer weiß, welche das sind, kann entscheiden. Wer es nicht weiß, entdeckt es beim Abschalten.

Wann wir abraten

Wir raten ab,

• BlockNtlmv1SSO dauerhaft auf 0 zu lassen, weil „es ja läuft“,
• NTLM in der Domäne zu blockieren, bevor die Überwachung mindestens einen vollen Geschäftszyklus mit Monatsabschluss und Urlaubsvertretungen abgedeckt hat,
• das Sicherheitsupdate zu entfernen, um die Anmeldung zu retten, statt die Abhängigkeit zu klären,
• die Stufe der LAN-Manager-Authentifizierung anzuheben, ohne die Geräte zu kennen, die nur NTLMv1 beherrschen.

Und wir raten ab, wenn die Antwort schon feststeht und die Prüfung nur noch bestätigen soll.

Was ein Dienstleister Ihnen liefern sollte

Sie müssen die Einstellungen nicht selbst setzen. Sie sollten aber von dem, der sie setzt, vier Dinge bekommen:

1. Eine Liste der Dienste mit MS-CHAPv2 (WLAN, Kabel, VPN) und der Geräte, auf denen Credential Guard aktiv ist.
2. Den Auszug der Ereignisse 4024 und 4025 der letzten Wochen, nach Gerät und Prozess sortiert.
3. Den Stand von BlockNtlmv1SSO und LmCompatibilityLevel je Gerätegruppe, nicht nur den Standard.
4. Einen Termin für jede Ausnahme. Eine Abhängigkeit ohne Datum und Verantwortlichen ist ein Aufschub.

Wenn diese Unterlagen fehlen, ist das ein Hinweis auf fehlende Dokumentation, wie sie in Warum „wir dokumentieren später“ ein Betriebsrisiko ist beschrieben ist. Dass solche Altlasten sich ansammeln, ohne dass ein Monitoring sie zeigt, steht in Fünf technische Schulden, die kein Monitoring zeigt. Was an einem Patchday sonst zu tun ist, zeigt die Einordnung zum Patchday Oktober 2026; wie Sie Ankündigungen wie diese frühzeitig sehen, steht in Microsoft 365 Message Center: Änderungen im Blick behalten.

Erst der Befund, dann die Abschaltung

Das System-Audit nimmt eine solche Bestandsaufnahme als abgegrenzten Auftrag auf: Architektur, Datenflüsse, Integrationen, Sicherheit und Betrieb, 6.500 € netto, vier Wochen, benannte Ergebnisdokumente. Es endet mit der Übergabe und verpflichtet nicht zur Umsetzung durch 01PC. Liegt bereits ein Angebot für die Umstellung vor, genügt oft die Architektur-Zweitmeinung: 1.400 € netto, eine Woche, ein Dokument mit klarer Aussage. Wenn Sie die laufende Pflege Ihrer Systemlandschaft nicht selbst leisten können, ist die Technische Begleitung die passende Form, ab 1.900 € netto im Monat.

Wenn Sie nicht wissen, welche Dienste bei Ihnen noch NTLMv1 verwenden, ist das der Ausgangspunkt. Nicht der Registrywert.

Quellen (Stand Oktober 2026)

• Microsoft Support: Verwalten von Änderungen an NTLMv1 und Verhindern von Netzwerkproblemen in Windows 11 und Windows Server 2025 (KB 5066470)
• Microsoft Windows IT Pro Blog: Advancing Windows security: Disabling NTLM by default
• Microsoft Learn: Network security: LAN Manager authentication level
• Microsoft Learn: Network security: Restrict NTLM: Audit NTLM authentication in this domain
• Microsoft Learn: Block NTLM authentication
• Microsoft Learn: NTLM overview