NTLM Signierung wird Pflicht: Was Windows Server ab Mai 2027 ablehnen und was Admins jetzt prüfen sollten

• Seit den Windows-Updates vom 10. November 2026 bieten Windows-Clients bei NTLM-Anmeldungen standardmäßig eine echte Nachrichtensignierung an, Server akzeptieren vorerst noch signierte und unsignierte Clients.
• Ab Mai 2027 verlangen Windows Server laut Microsoft standardmäßig NTLM-Signierung und weisen Clients ohne Signierung ab.
• Welche Geräte und Anwendungen noch ohne Signierung arbeiten, zeigen die Ereignisse 4022 und 4023 im NTLM-Protokoll, Microsoft stellt dafür ein PowerShell-Skript bereit.
• Kerberos, anonyme Verbindungen und Gastverbindungen sind von der Änderung nicht betroffen.
• Unternehmen sollten die November-Updates einspielen, das Auditing jetzt auswerten und NTLM-Abhängigkeiten bis zum Frühjahr 2027 beseitigen.

Mit den Windows-Updates vom 10. November 2026 beginnt Microsoft, die Anmeldung per NTLM gegen sogenannte Relay-Angriffe abzusichern. Laut Microsoft-Dokumentation (KB5135557) bieten Windows-Clients seitdem bei allen nicht anonymen NTLM-Verbindungen standardmäßig eine echte Nachrichtensignierung an. Dabei wird ein kryptografischer Sitzungsschlüssel ausgehandelt, den ein Angreifer nicht fälschen kann. Server nehmen in dieser ersten Phase weiterhin signierte und unsignierte Clients an und protokollieren, welche Clients ohne Signierung arbeiten. Microsoft schließt mit diesen Updates zugleich die Schwachstelle CVE-2026-118737.

Die Änderung gilt laut Microsoft für Windows 11 ab Version 23H2, Windows 10 Enterprise LTSC 2021 sowie Windows Server 2016, 2019, 2022 und 2025. Enthalten ist sie in den kumulativen Updates vom 10. November 2026, für die Server zum Beispiel in:

• KB5131080 für Windows Server 2025
• KB5131090 für Windows Server 2022
• KB5131085 für Windows Server 2019
• KB5131291 für Windows Server 2016

In der zweiten Phase ab Mai 2027 verlangen Windows Server laut Microsoft standardmäßig NTLM-Signierung. Clients, die keine Signierung anbieten, werden dann von abgesicherten Servern abgewiesen. Der Client erhält den Fehler SEC_E_UNSUPPORTED_FUNCTION (0x80090302), der Server schreibt eine Warnung mit der Ereignis-ID 4023.

Für die Praxis heißt das: Jedes System, das heute noch per NTLM ohne echte Signierung auf Windows Server zugreift, kann ab Mai 2027 den Zugriff verlieren. Welche Geräte und Anwendungen das in Ihrem Netzwerk sind, lässt sich nicht pauschal sagen. Es zeigt nur das Auditing, deshalb sollten Sie die Zeit bis zum Frühjahr jetzt nutzen.

Nicht betroffen sind laut Microsoft:

• die Anmeldung per Kerberos
• anonyme Verbindungen (Null Session)
• Verbindungen mit dem Gastkonto

Bietet ein älterer Server selbst keine Signierung an, entfernt der Client die Signierung automatisch wieder aus der Sitzung. Die Verbindung bricht dann nicht ab.

NTLM ist ein Challenge-Response-Verfahren, mit dem Windows Benutzer und Computer gegenüber einem Server ausweist. In Active Directory ist Kerberos das bevorzugte Verfahren, NTLM springt aber weiterhin ein, wenn Kerberos nicht möglich ist, etwa bei Arbeitsgruppen, lokalen Konten oder Anwendungen, die NTLM fest verwenden. Microsoft hat alle NTLM-Versionen als veraltet eingestuft und entwickelt sie nicht mehr weiter. NTLMv1 ist seit Windows 11 Version 24H2 und Windows Server 2025 entfernt. Microsoft empfiehlt, Aufrufe von NTLM durch Negotiate zu ersetzen, das zuerst Kerberos versucht und nur bei Bedarf auf NTLM zurückfällt.

Microsoft beschreibt in KB5135557 ein klares Vorgehen:

1. Werten Sie im Ereignisprotokoll Microsoft-Windows-NTLM/Operational die Ereignisse 4023 (Serverseite) und 4022 (Clientseite) aus. Sie stehen ab Windows Server 2019 mit dem erweiterten NTLM-Auditing zur Verfügung.
2. Eine Verbindung ist bereit für Phase 2, wenn dort Session Key Status: Present steht und die ausgehandelten Flags die Bits 0x10 (SIGN) und 0x40000000 (KEY_EXCH) enthalten.
3. Filtern Sie nicht nur nach der Ereignisstufe: Signierte und unsignierte Verbindungen erscheinen beide als Warnung.
4. Nutzen Sie das PowerShell-Skript aus KB5135557. Es listet alle Verbindungen ohne SIGN-Bit mit Client-IP, Rechnername, Benutzer und Prozess auf.
5. Klären Sie für jedes gefundene System, ob ein Update, eine Umstellung auf Kerberos oder ein Austausch nötig ist.

Liefert das Skript keine Treffer mehr, ist Ihre Umgebung laut Microsoft bereit für Phase 2.

Mit den November-Updates hat Microsoft zwei Werte unter HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0 eingeführt:

• ClientAllowUnsignedNtlm: Der Standardwert 0 lässt den Client Signierung anbieten. Der Wert 1 schaltet das ab und ist laut Microsoft nur für eine vorübergehende Kompatibilität gedacht.
• ServerRequireNtlmSign: Der Standardwert 0 lässt den Server signierte und unsignierte Clients annehmen. Der Wert 1 weist unsignierte Clients ab. Microsoft empfiehlt, ihn zu setzen, sobald das Auditing keine unsignierten Verbindungen mehr zeigt. Ein Neustart ist nicht nötig.

Wer ServerRequireNtlmSign schon vor Mai 2027 auf einzelnen Servern aktiviert, erkennt Probleme kontrolliert statt am Stichtag. Microsoft weist darauf hin, dass die Registry-Werte künftig entfallen können.

Weitere Änderung: Signierte PowerShell-Skripte

Laut Microsoft-Dokumentation zum Update KB5131080 für Windows Server 2025 prüft Windows signierte PowerShell-Skripte jetzt strenger auf gültige Zeichenkodierung. Skripte mit ungültigem UTF-8 können die Signaturprüfung nicht mehr bestehen, auch wenn sie bisher akzeptiert wurden. Microsoft empfiehlt, betroffene Skripte als UTF-8 mit Byte Order Mark (BOM) zu speichern und neu zu signieren.

• Spielen Sie die Windows-Updates vom 10. November 2026 auf allen Clients und Servern ein.
• Aktivieren Sie das erweiterte NTLM-Auditing und werten Sie die Ereignisse 4022 und 4023 regelmäßig aus.
• Stellen Sie Anwendungen und Dienste möglichst auf Kerberos beziehungsweise Negotiate um.
• Testen Sie ServerRequireNtlmSign zuerst auf einzelnen Servern, bevor Microsoft die Signierung im Mai 2027 erzwingt.
• Reduzieren Sie langfristig die Abhängigkeit von Passwörtern und NTLM, zum Beispiel mit Windows Hello for Business und Cloud Kerberos Trust und einer sauber eingerichteten Microsoft Entra ID.

Die InSys AG^® ist Microsoft Solutions Partner für Security und betreut als Microsoft Direct CSP mehr als 80.000 Microsoft 365 Lizenzen bei Kunden. Viele Unternehmen betreiben neben Microsoft 365 weiterhin ein lokales Active Directory. Wir werten die NTLM-Ereignisse gemeinsam mit Ihnen aus, ordnen die gefundenen Systeme ein und planen die Umstellung, damit am Stichtag im Mai 2027 keine Anwendung ausfällt. Einen Überblick über unsere Leistungen finden Sie unter Microsoft 365 Security für Unternehmen und auf unserer Seite als Microsoft 365 Partner für Security und Lizenzen.