802.1X nach dem Windows-Update: Warum sich Firmengeräte nicht mehr am WLAN anmelden

• Seit dem Windows-Sicherheitsupdate KB5127648 vom 13. Oktober 2026 blockiert Windows 11 standardmäßig NTLMv1-abgeleitete Anmeldedaten für Single Sign-on.
• Dadurch scheitert die automatische 802.1X-Anmeldung mit PEAP-MSCHAPv2 oder EAP-MSCHAPv2 an WLAN, LAN und VPN, während PSK-Netze und EAP-TLS nicht betroffen sind.
• Microsoft stuft die Änderung als geplante Sicherheitsverschärfung ein, sie wird also nicht zurückgenommen.
• Ein Registry-Wert hilft kurzfristig, ist laut Microsoft aber keine Dauerlösung.
• Die nachhaltige Lösung ist 802.1X mit EAP-TLS und Gerätezertifikaten, die über Microsoft Intune verteilt werden.

Viele Unternehmen sichern ihr Firmen-WLAN und ihre Netzwerkports mit 802.1X ab. Seit dem Windows-Sicherheitsupdate KB5127648 vom 13. Oktober 2026 melden Administratoren jedoch, dass sich Windows-11-Geräte nicht mehr automatisch anmelden. Borns IT- und Windows-Blog hat die aktuellen Probleme mit WLAN, VPN und Druckern am 25. Oktober noch einmal zusammengefasst. Betroffen sind Windows 11 24H2, 25H2 und 26H2.

Die Ursache ist keine fehlerhafte Funktion, sondern eine Sicherheitsverschärfung: Windows blockiert seit diesem Update standardmäßig Anmeldedaten, die aus NTLMv1 abgeleitet werden, wenn sie für Single Sign-on genutzt werden. Die zugehörige Einstellung BlockNtlmv1SSO wechselt von Audit auf Enforce. Genau diese Anmeldedaten braucht PEAP-MSCHAPv2, wenn das Gerät die Windows-Anmeldung automatisch für das Netzwerk verwendet. Microsoft hat die Änderung im Message Center unter MC1508562 angekündigt und betrachtet sie als geplante Härtung. Sie bleibt also bestehen.

• Windows-11-Geräte ohne Credential Guard, die PEAP-MSCHAPv2 oder EAP-MSCHAPv2 mit den Windows-Anmeldedaten nutzen.
• WLAN mit WPA2-Enterprise oder WPA3-Enterprise, kabelgebundenes 802.1X am Switch-Port sowie VPN-Profile mit MS-CHAPv2.
• Geräte mit aktiviertem Credential Guard konnten MS-CHAPv2 mit Single Sign-on schon vorher nicht nutzen.
• Nicht betroffen sind Netze mit Pre-Shared Key (WPA2-Personal oder WPA3-Personal) und die zertifikatsbasierte Anmeldung mit EAP-TLS.

Das Gerät verbindet sich nicht mehr automatisch, Nutzer werden nach Benutzername und Passwort gefragt, und das Passwort lässt sich nicht dauerhaft speichern. Die manuelle Eingabe funktioniert oft weiterhin, was die Fehlersuche erschwert.

Wichtig für die Analyse: Der Fehler entsteht auf dem Endgerät, bevor überhaupt eine Anfrage an den RADIUS-Server geht. In den Protokollen des Network Policy Servers sehen Sie deshalb meist nichts. Prüfen Sie stattdessen auf dem Client das Ereignisprotokoll Microsoft-Windows-NTLM/Operational. Das Ereignis 4025 zeigt eine Blockierung, das Ereignis 4024 eine Protokollierung im Audit-Modus.

Setzen Sie auf betroffenen Geräten den Registry-Wert BlockNtlmv1SSO (DWORD) unter HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0 auf 0, kehrt Windows in den Audit-Modus zurück und die Anmeldung funktioniert wieder. In Microsoft Intune gibt es dafür keinen Eintrag im Einstellungskatalog. Die Verteilung erfolgt als Remediation oder Skript im Systemkontext, in klassischen Domänen über Gruppenrichtlinien-Einstellungen.

Beachten Sie dabei drei Punkte:

• Microsoft empfiehlt, diese Einstellung sorgfältig zu bewerten und nicht dauerhaft zu nutzen, weil sie einen veralteten Anmeldeweg wieder öffnet.
• Auf Geräten mit Credential Guard hilft der Wert nicht.
• Deinstallieren Sie das Update nicht. Es schließt Sicherheitslücken, die bereits aktiv ausgenutzt werden.

Unser Rat: Setzen Sie den Workaround nur mit einem festen Enddatum und dokumentieren Sie ihn als Ausnahme.

Mit EAP-TLS weist sich das Gerät oder der Nutzer nicht mehr mit einem Passwort aus, sondern mit einem Zertifikat. Das ist sicherer, weil es keine Passwörter gibt, die abgefangen werden können, und weil nur verwaltete Geräte ein Zertifikat erhalten. Von der schrittweisen Abschaffung von NTLM ist EAP-TLS nicht betroffen.

Für die Umstellung brauchen Sie drei Bausteine:

1. Eine Zertifizierungsstelle, die Zertifikate an Geräte oder Nutzer ausstellt, zum Beispiel Microsoft Cloud PKI oder eine bestehende AD CS mit dem Intune Certificate Connector.
2. Einen RADIUS-Server mit EAP-TLS-Unterstützung, zum Beispiel den Network Policy Server von Windows Server oder einen RADIUS-Dienst aus der Cloud.
3. **Profile in Microsoft Intune**, die das Stammzertifikat, das Gerätezertifikat per SCEP oder PKCS und das passende WLAN-Profil ausrollen.

Bewährt hat sich ein Vorgehen in sechs Schritten: Bestandsaufnahme aller 802.1X-Profile, Workaround mit Enddatum, Verteilung des Stammzertifikats, Verteilung der Gerätezertifikate, schrittweise Umstellung der WLAN- und LAN-Profile auf EAP-TLS und zum Schluss das Entfernen der Ausnahme.

In UniFi Netzwerken leiten Access Points und Switches die 802.1X-Anmeldung an den RADIUS-Server weiter. Die eigentliche Umstellung findet deshalb auf dem Endgerät und am RADIUS-Server statt. In UniFi Network bleibt das WLAN als WPA2-Enterprise oder WPA3-Enterprise mit einem RADIUS-Profil eingerichtet. Für den Übergang bietet sich eine eigene Test-SSID an, über die eine Pilotgruppe zuerst mit EAP-TLS arbeitet, bevor Sie das produktive WLAN umstellen.

Wie wir 802.1X in größeren Umgebungen mit einer zentralen Richtlinienplattform umsetzen, zeigen wir am Beispiel UniFi 802.1X mit Cisco ISE. Passende Hardware für ein sicheres Firmen-WLAN finden Sie bei unseren UniFi Access Points.

Die InSys AG^® ist Microsoft Solutions Partner für Security sowie Ubiquiti Enterprise Partner und UniFi Professional Integrator. Damit betreuen wir beide Seiten der 802.1X-Anmeldung aus einer Hand: Zertifizierungsstelle, Intune-Profile und RADIUS auf der Microsoft-Seite, WLAN und Switches auf der UniFi Seite. Wir analysieren Ihre bestehenden Profile, setzen den Workaround kontrolliert um und planen mit Ihnen den Umstieg auf EAP-TLS. Rufen Sie uns an unter +49 (521) 260105-0 oder nutzen Sie das Kontaktformular unter diesem Beitrag.