Blockierung von NTLMv1-SSO in Windows 11 24H2 und Windows Server 2025 - Was IT-Administratoren wissen müssen

Microsoft hat angekündigt, dass in Windows 11 ab Version 24H2 und in Windows Server 2025 die Registry-Einstellung BlockNTLMv1SSO von einem reinen Audit-Modus (Wert 0) auf einen durchsetzenden Blockade-Modus (Wert 1) umgestellt wird. Dieser Schritt betrifft automatisierte Single-Sign-On-Verbindungen (SSO), die NTLMv1-abgeleitete Anmeldeinformationen via MS-CHAPv2 nutzen - zum Beispiel bei 802.1X-WLAN, LAN und VPN. Ohne Vorbereitung können diese Verbindungen plötzlich scheitern und Nutzer werden zur manuellen Passworteingabe gezwungen.

Warum die Änderung wichtig ist - Hintergrund zu NTLMv1 und SSO

NTLM (NT LAN Manager) ist seit 1993 ein Authentifizierungsprotokoll in Windows-Netzwerken. Microsoft stuft die NTLM-Familie bereits als veraltet ein und hat das klassische NTLMv1-Protokoll aus neueren Windows-Versionen entfernt. Trotzdem können in bestimmten Netzwerk-Setups noch kryptografische Bestandteile von NTLMv1 im Einsatz sein - insbesondere wenn das innere Authentifizierungsverfahren MS-CHAPv2 in PEAP-Netzwerken, WLAN- bzw. VPN-Verbindungen verwendet wird. Durch die neue Default-Einstellung wird die Erzeugung von Anmeldeinformationen, die aus NTLMv1 abgeleitet sind, blockiert.

Registry-Schalter BlockNTLMv1SSO: Audit- vs. Enforce-Modus

• Standardwert bisher (Audit-Modus): DWORD 0 - Windows protokolliert nur eine Warnung, lässt die Anmeldung aber zu.
• Neuer Standardwert (Enforce-Modus): DWORD 1 - Windows blockiert die Anmeldung und schreibt ein Fehler-Event.
• Der Wechsel gilt nur, wenn der Registry-Eintrag nicht bereits explizit konfiguriert wurde.

Der Eintrag befindet sich unter HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV10 und trägt den Namen BlockNtlmv1SSO.

Konkrete Diagnose über Ereignisprotokolle (Event-IDs 4024 und 4025)

Vor der Durchsetzung können Administratoren über die Windows-Ereignisanzeige prüfen, welche Verbindungen noch NTLMv1-SSO nutzen. Im Log-Pfad Microsoft-Windows-NTLM/Operational werden folgende Events geschrieben:

• Event-ID 4024 (Audit-Modus, Jahr 2025): Warnung bei einem NTLMv1-SSO-Versuch, der noch zulässig ist.
• Event-ID 4025 (Enforce-Modus, Jahr 2025): Fehler, wenn derselbe SSO-Versuch durch die Blockade verhindert wird.

Durch gezieltes Filtern nach diesen IDs lässt sich bereits vor dem Update feststellen, in welchen Abteilungen veraltete Verbindungsprofile aktiv sind. Zentralisierte Log-Management-Systeme oder einfache PowerShell-Abfragen (z. B. Get-WinEvent -LogName Microsoft-Windows-NTLM/Operational -FilterXPath "*[System[EventID=4024]]" ) können die betroffenen Geräte listen.

Sonderrolle von Windows Defender Credential Guard

Microsoft dokumentiert, dass die Änderung primär Geräte betrifft, bei denen Credential Guard deaktiviert ist. Auf Systemen mit aktiviertem Credential Guard ist NTLMv1-SSO bereits hardware-isoliert und wird standardmäßig blockiert. Dort bewirkt das Update keine zusätzliche Verhaltensänderung.

• Betroffene Systemkonfiguration: Credential Guard deaktiviert (Jahr 2025).
• Aktives Credential Guard unterbindet NTLMv1-SSO bereits (Jahr 2025).

Empfohlener Migrationspfad: Wechsel zu zertifikatbasierter EAP-TLS-Authentifizierung

Das Kernproblem betrifft vor allem PEAP-Netzwerke, die MS-CHAPv2 als innere Authentifizierung einsetzen. Microsoft empfiehlt langfristig, passwortbasierte Challenge-Response-Verfahren vollständig durch zertifikatbasierte Protokolle wie EAP-TLS zu ersetzen.

• Empfohlener Authentifizierungsstandard: EAP-TLS / Zertifikate (Jahr 2026).
• Vollständiger Ersatz für kennwortbasiertes PEAP-MS-CHAPv2 bei 802.1X und VPN (Jahr 2026).

Der Umstieg auf EAP-TLS erhöht nicht nur die Sicherheit, sondern eliminiert die Abhängigkeit von NTLMv1-basierten SSO-Mechanismen vollständig.

Praktische Schritte für Administratoren vor dem Update

1. Ereignisprotokoll prüfen: Im Event-Viewer unter Microsoft > Windows > NTLM > Operational nach Event-ID 4024 filtern.
2. Betroffene Clients identifizieren: Ergebnisse exportieren, Geräte-Inventar anreichern, ggf. PowerShell-Skript für automatisierte Abfrage einsetzen.
3. Credential Guard-Status prüfen: Auf Systemen mit aktiviertem Credential Guard kann die Registry-Änderung übersprungen werden.
4. Temporäre Sofortmaßnahme: Bei akuten Verbindungsproblemen kann BlockNtlmv1SSO manuell auf 0 gesetzt werden, um die Blockade zu deaktivieren (nur als kurze Übergangslösung empfohlen).
5. Langfristige Migration planen: Auf EAP-TLS umstellen, Zertifikatsinfrastruktur aufbauen, Testphasen für WLAN, LAN und VPN durchführen.
6. Kommunikation mit Help-Desk: Mitarbeitende informieren, dass manuelle Passwort-Eingaben weiterhin funktionieren, aber automatisierte SSO-Logins künftig blockiert werden.

Risiken und häufige Fehlinterpretationen

• Schnelles Zurücksetzen des Registry-Werts auf 0: Birgt Sicherheitsrisiken, weil Relay- und Pass-the-Hash-Angriffe wieder ermöglicht werden.
• Fehlinterpretation von Netzwerkfehlern: Da die manuelle Passworteingabe weiterhin funktioniert, melden Help-Desks häufig erst verspätet ein "WLAN-Verbindungsproblem" statt einer Authentifizierungsblockade.

FAQ - Häufig gestellte Fragen

• Wo genau in der Windows-Registrierung befindet sich der Schalter BlockNTLMv1SSO?
  Der Eintrag liegt unter HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV10 als REGDWORD mit dem Namen BlockNtlmv1SSO.
• Wie kann die IT-Abteilung vorab prüfen, ob Clients im Netzwerk betroffen sind?
  Administratoren können im Ereignisprotokoll unter Anwendungs- und Dienstprotokolle > Microsoft > Windows > NTLM > Operational nach Event-ID 4024 filtern, um NTLMv1-basierte SSO-Anfragen aufzuspüren.
• Was passiert auf Rechnern, auf denen Windows Defender Credential Guard aktiv ist?
  Auf solchen Geräten ändert das Update nichts: Credential Guard isoliert Anmeldeinformationen bereits virtualisierungsbasiert und verhindert NTLMv1-SSO-Ableitungen standardmäßig.

Fazit

Die bevorstehende Umstellung von BlockNTLMv1SSO auf den Enforce-Modus in Windows 11 24H2 und Windows Server 2025 ist ein entscheidender Schritt, um veraltete, passwortbasierte Authentifizierungsverfahren aus Unternehmensnetzwerken zu entfernen. Durch die Kombination aus klarer Ereignis-Diagnose (Event-IDs 4024/4025), dem Verständnis der Rolle von Credential Guard und einem strukturierten Migrationspfad zu zertifikatbasierter EAP-TLS-Authentifizierung können IT-Administratoren die Umstellung proaktiv steuern und gleichzeitig Sicherheitsrisiken minimieren. Frühzeitige Prüfung, gezielte Kommunikation und ein geplanter Umstieg auf moderne Zertifikatslösungen sind dabei die Schlüssel zum Erfolg.