Microsoft macht im Oktober 2026 den nächsten Schritt beim Abschied vom alten Anmeldeprotokoll NTLM: In Windows 11 und Windows Server 2025 werden NTLMv1-abgeleitete Anmeldedaten dann standardmäßig blockiert. Für Administratoren ist jetzt der richtige Zeitpunkt zu prüfen, ob das eigene Netzwerk noch auf diesen Mechanismus angewiesen ist.
Was passiert im Oktober 2026?
Microsoft arbeitet daran, NTLM schrittweise abzuschaffen. Im Oktober 2026 folgt die nächste harte Etappe: In Windows 11 ab Version 24H2 sowie in Windows Server 2025 wechselt die Einstellung für NTLMv1-abgeleitete Anmeldedaten standardmäßig vom Protokollieren zum Blockieren. Zusätzlich hat der Windows IT Pro Blog am 9. September 2026 einen ausführlichen FAQ-Beitrag zur Abschaffung veröffentlicht.
Welche Einstellung ändert sich?
Es geht um den Registrierungswert BlockNtlmv1SSO unter HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0. Bisher steht er auf 0: Anfragen nach NTLMv1-Daten für einen angemeldeten Benutzer werden protokolliert, aber zugelassen. Mit der Änderung lautet der Standardwert 1 – solche Anfragen werden abgelehnt. Administratoren können den Wert selbst anpassen, falls ihre Umgebung noch nicht bereit ist.
Was genau ist betroffen?
Das NTLMv1-Protokoll selbst wurde bereits aus diesen Windows-Versionen entfernt. Übrig bleiben kryptografische Reste, etwa in MS-CHAPv2. Diese werden noch bei bestimmten WLAN-, Ethernet- und VPN-Verbindungen mit Single Sign-on genutzt. Die Blockade betrifft vor allem Geräte, auf denen Credential Guard nicht aktiviert ist.
Was merken Nutzer?
In den meisten Fällen nichts. Wo eine Verbindung dennoch auf NTLMv1-abgeleitete Daten angewiesen ist, kann die automatische Anmeldung scheitern. Nutzer müssen Benutzername und Kennwort dann manuell eingeben. Laut Microsoft funktioniert die manuelle Eingabe weiterhin.
So prüfst du, ob du betroffen bist
Windows protokolliert die Nutzung bereits im Ereignisprotokoll Microsoft-Windows-NTLM/Operational:
- Ereignis-ID 4024: Warnung, dass NTLMv1-Daten angefordert wurden, während die Einstellung noch auf Protokollieren steht.
- Ereignis-ID 4025: Fehler, der eine blockierte Anfrage anzeigt, sobald die Einstellung auf Blockieren steht.
Wer diese Ereignisse sammelt, erkennt, welche Geräte, Konten und Anwendungen noch vom alten Mechanismus abhängen.
Einordnung: Die NTLM-Abschaffung in drei Schritten
Microsoft beschreibt einen Dreistufenplan. Zuerst kommt eine umfassendere Überwachung der NTLM-Nutzung, die in Windows 11 24H2 und Windows Server 2025 bereits verfügbar ist. Danach folgen Kompatibilitätsfunktionen wie IAKerb und Local KDC, mit denen Kerberos auch ohne direkte Verbindung zum Domänencontroller oder für lokale Konten funktioniert. Am Ende soll Netzwerk-NTLM in einer künftigen Version standardmäßig deaktiviert sein. NTLM bleibt dabei in Windows vorhanden und lässt sich per Richtlinie wieder aktivieren. Ein genaues Datum für diesen letzten Schritt gibt es nicht.
Was empfehlen wir?
- Prüfe die Ereignisprotokolle auf die IDs 4024 und 4025 und erstelle eine Übersicht der Abhängigkeiten.
- Teste den Wert
BlockNtlmv1SSO = 1zunächst an einer kleinen Gerätegruppe. - Aktiviere Credential Guard, wo Hardware und Richtlinien es zulassen.
- Frage Hersteller älterer Software und Geräte, ob sie Kerberos oder modernere Verfahren unterstützen.
Gerade bei Servern lohnt ein Blick auf die Plattform: Windows Server 2025 bringt die erweiterten NTLM-Kontrollfunktionen bereits mit. Passende Lizenzen findest du in unserer Windows-Server-Kollektion.
Was du daraus mitnehmen kannst
Im Oktober 2026 wird das Blockieren NTLMv1-abgeleiteter Anmeldedaten in Windows 11 ab 24H2 und in Windows Server 2025 zum Standard. Spürbar ist das vor allem bei Single Sign-on über MS-CHAPv2 auf Geräten ohne Credential Guard, wo sich Nutzer gelegentlich manuell anmelden müssen.
Administratoren können die Folgen vorab über die Ereignisse 4024 und 4025 abschätzen und die Einstellung bei Bedarf vorübergehend anpassen. Es ist allerdings nur der erste Schritt eines längeren Wegs, an dessen Ende Netzwerk-NTLM standardmäßig deaktiviert wird. Wer jetzt Bestandsaufnahme macht, kann den Umstieg auf Kerberos in Ruhe planen. Wer wartet, bemerkt die Folgen erst, wenn sich Nutzer nicht mehr automatisch anmelden können. Mehr zu aktuellen Sicherheitsthemen findest du auch in unserem Beitrag zum Patch Tuesday im September 2026.
