Windows-Update sperrt Nutzer aus Active-Directory-Domänen aus
Windows-Update sperrt Nutzer aus Active-Directory-Domänen aus
Sicherheits-Patches vom September-Patchday verursachen Probleme in lokalen AD-Umgebungen
Microsoft hat weitere unliebsame Nebeneffekte der Sicherheitsupdates für Windows vom September-Patchday eingeräumt. Betroffen sind Rechner in lokalen Active-Directory-Umgebungen — und die Auswirkungen sind gravierend: Betroffene Benutzer können sich nicht mehr an der Domäne anmelden.
⚠️ Was ist passiert?
Laut einem Eintrag im Message-Center der Windows-Release-Health verlieren Maschinenkonten, die durch Credential Guard geschützt sind, nach der Installation der September-Patches den sicheren Kanal (Secure Channel) zu lokalen Active Directories. Die Folge:
- Keine interaktive Domänen-Anmeldung mehr möglich – Nutzer erhalten die Fehlermeldung, dass die Vertrauensbeziehung zwischen Gerät und Domäne fehlgeschlagen sei
- Offline-Anmeldung mit zwischengespeicherten Anmeldedaten funktioniert weiterhin als Notlösung
🔧 Ursache: Machine Identity Isolation
Seit dem September-Sicherheitsupdate aktiviert Microsoft die Funktion „Machine Identity Isolation“. Diese Einstellung erzwingt selbst keine Durchsetzung, bewirkt aber, dass Windows bestehende oder per Richtlinie konfigurierte Vorgaben berücksichtigt, die eine solche Durchsetzung verlangen.
Wichtig: Die Funktion unterstützt ausschließlich Umgebungen ab Windows Server 2025 Domain Functional Level (DFL). In allen anderen AD-Umgebungen sollte das Feature deaktiviert werden.
Betroffene Systeme
Windows 11 24H2, 25H2 und 26H1 mit aktivierter Machine Identity Isolation, die nicht in einer Windows-Server-2025-Umgebung laufen
🛠️ Gegenmaßnahme: Registry anpassen
Microsoft empfiehlt als vorläufige Lösung, die Option zu deaktivieren. Wo die Einstellung über Intune oder Gruppenrichtlinien gesetzt wurde, kann sie dort auch wieder rückgängig gemacht werden. Wer die Registry direkt bearbeitet hat, muss die folgenden Schlüssel anpassen:
HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MachineIdentityIsolation HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard\MachineIdentityIsolation
Wert ändern
MachineIdentityIsolation von 2 auf 0 setzen
Neustart
Betroffene Rechner neu starten
Secure Channel
Vertrauensstellung zurücksetzen
Nach dem Neustart muss zusätzlich der Secure Channel zurückgesetzt werden. Das funktioniert mit folgendem PowerShell-Befehl:
Test-ComputerSecureChannel -Repair -Credential (Get-Credential)
✅ Microsoft arbeitet bereits an einem kommenden Windows-Update, das die Durchsetzung von Machine Identity Isolation vorübergehend aussetzt und die Funktion verbessert.
📋 Hintergrund: Update-Probleme häufen sich
Microsoft hatte zuletzt vermehrt mit Problemen bei Windows-Updates zu kämpfen. Erst kürzlich musste das Unternehmen ein ungeplantes Update mit eigentlich für den August-Patchday vorgesehenen Sicherheitskorrekturen nachliefern, die dort schlicht vergessen worden waren.
Tipp für IT-Administratoren: Falls Sie Windows 11 24H2, 25H2 oder 26H1 in einer lokalen AD-Umgebung ohne Windows Server 2025 einsetzen, prüfen Sie, ob Machine Identity Isolation aktiviert ist, und deaktivieren Sie die Funktion gegebenenfalls, bis ein offizielles Fix-Update vorliegt.
💡 Betroffen? Das Csanet IT-Team unterstützt Sie bei der Prüfung und Behebung von Windows-Update-Problemen in Ihrer IT-Umgebung. Jetzt Kontakt aufnehmen →