Microsoft behebt RDP-Verbindungsabbrüche mit Fehlercode 0xC000000D unter Windows 11 durch das Vorschau-Update KB5127936

Im Oktober 2026 kam es zu einer massiven Zunahme von Remote-Desktop-Verbindungsabbrüchen unter Windows 11, die ausschließlich Nutzer ohne Administratorrechte betrafen. Der Auslöser war die gleichzeitige Aktivierung der Sicherheitsfunktion Administrator Protection in den neuen Windows Security Baselines und ein fehlerhaftes Token-Handling, das nach den Vorschau-Updates KB5124010 (September 2026) bzw. KB5127648 (Oktober 2026) auftrat. Microsoft stellte daraufhin das optionale Vorschau-Update KB5127936 (28. Oktober 2026) bereit, das das Problem vollständig behebt.

Ursache der Verbindungsabbrüche: Administrator Protection und ungültiges Token

Die Windows-Security-Baselines von Oktober 2026 aktivierten den Administrator Protection -Modus für verwaltete Unternehmensgeräte standardmäßig. Diese Funktion implementiert ein striktes Least-Privilege-Prinzip und erzeugt bei privilegierten Aktionen ein temporäres, mit Windows Hello bestätigtes Standard-Token. Bei entfernten Anmeldungen über Remote Desktop (RDP) musste dieses Token korrekt übergeben werden. Das im September-Update KB5124010 eingeführte neue Token-Mechanismus führte bei aktivierter Administrator Protection zu einer fehlerhaften Token-Übergabe, die als Hex-Fehlercode 0xC000000D (STATUS_INVALID_PARAMETER) gemeldet wurde. Betroffen waren Windows 11-Clients ab Version 24H2 bis 26H2, die das Feature standardmäßig einschalteten.

Betroffene Windows-Client-Versionen

• Windows 11 Build 24H2
• Windows 11 Build 25H2
• Windows 11 Build 26H1
• Windows 11 Build 26H2

Nur Windows-Client-Systeme waren betroffen; Windows Server 2022 und 2025 sowie Cloud-PCs blieben ausgenommen.

Vorübergehende Workarounds: Deaktivierung des Administratorschutzes

Bis zum Erscheinen von KB5127936 setzten viele Unternehmen auf die Deaktivierung des Administrator Protection über Intune oder Gruppenrichtlinien. Die konkrete Maßnahme bestand im Zurücksetzen der UAC-Richtlinie TypeOfAdminApprovalMode ("User Account Control Type Of Admin Approval Mode").

• Deaktivierung über Microsoft Intune
• Deaktivierung über klassische Gruppenrichtlinien (GPO)

Der Workaround stellte die Systeme auf das klassische UAC-Modell zurück, entfernte jedoch das Sicherheits-Feature und führte damit zu einem temporären Sicherheitsdefizit, da das Least-Privilege-Prinzip vorübergehend ausgesetzt wurde. Administratoren sollten nach Installation des Fix-Updates die Richtlinie wieder auf den sicheren Standard zurücksetzen, um den Just-in-Time-Schutz erneut zu aktivieren.

Das Vorschau-Update KB5127936 als endgültige Lösung

Am 28. Oktober 2026 veröffentlichte Microsoft das optionale Vorschau-Update KB5127936 (Typ C) und erklärte damit das Verbindungsproblem als behoben. Das Update korrigiert die Token-Übergabe und eliminiert den Fehlercode 0xC0000005 (eigentlich 0xC000000D). Geräte, die das Update bereits installiert haben, benötigen den vorherigen Workaround nicht mehr. Unternehmen, die das Vorschau-Update auslassen, erhalten die Korrektur automatisch als Teil des kumulativen Sicherheits-Patches am regulären Patchday (10. November 2026).

Ausschluss von Virtualisierungs- und Cloud-Umgebungen

Microsoft hat ausdrücklich klargestellt, dass die Administrator Protection-Funktion bislang nicht für Windows 365 Cloud-PCs oder Azure Virtual Desktop (AVD) Session-Hosts freigegeben ist. Deshalb blieben reine Virtual-Desktop-Infrastrukturen in der Cloud von den RDP-Abbrüchen mit Fehlercode 0xC000000D unbetroffen.

• Kein Administrator-Protection-Einfluss auf Windows 365 Cloud-PCs
• Kein Administrator-Protection-Einfluss auf Azure Virtual Desktop-Hosts

Systemverwalter können so gezielt zwischen physischen Client-Hosts und Cloud-Desktop-Umgebungen unterscheiden, um die Relevanz des Updates zu bewerten.

Rückbau des Workarounds und Sicherheitsaspekte

Durch die vorübergehende Deaktivierung von TypeOfAdminApprovalMode wurden die betroffenen Rechner auf das klassische UAC-Verhalten zurückgesetzt. Nach dem Einspielen von KB5127936 sollten Administratoren die Richtlinie wieder aktivieren, um das Sicherheitsniveau zu erhöhen und die Protokollierung von Rechteerweiterungen sicherzustellen.

Wichtige Ereignis-Protokoll-IDs für die Überprüfung:

• Event-ID 15031 - LUA-/UAC-Ereignis bei Token-Generierung
• Event-ID 15032 - UAC-Ereignis bei Richtlinienänderungen

Die Überwachung dieser IDs erlaubt IT-Verantwortlichen, aktive Tokens und Richtlinienzustände zu prüfen.

Statistiken und Schlüsselzahlen

• Fehlercode bei gescheiterter Authentifizierung: 0xC000000D (STATUS_INVALID_PARAMETER)
• Erste Auslösung durch KB5124010 am 22. September 2026
• Behebung durch KB5127936 am 28. Oktober 2026
• Betroffene Builds: 4 (24H2, 25H2, 26H1, 26H2)
• Nur Windows 11-Clients, keine Server-Versionen

Risiken beim Einsatz von Vorschau-Updates in Produktionsumgebungen

Optionale Vorschau-Updates (Non-Security Previews) werden in Unternehmensumgebungen häufig zurückgehalten, weil sie unbehandelte Regressionen enthalten können. Viele Unternehmen warten bis zum regulären Patchday im November 2026, um das Risiko von unerwarteten Fehlfunktionen zu minimieren.

Das Deaktivieren der Admin-Approval-Richtlinie während der Workaround-Phase hebt das Least-Privilege-Prinzip temporär aus und erfordert eine lückenlose Dokumentation im Ausnahmeverzeichnis der IT.

FAQ zum RDP-Fehler 0xC000000D

Sind Windows-Server-Systeme ebenfalls von dem RDP-Fehler betroffen?Nein. Microsoft hat klargestellt, dass Windows Server 2022 und 2025 nicht betroffen sind, da die Funktion Administrator Protection ausschließlich auf Windows 11-Clients (24H2 bis 26H2) angewendet wird.Wann erhalten Systeme ohne manuelle Installation von Vorschau-Updates den Fix?Die Korrektur wird automatisch als kumulativer Bestandteil des regulären monatlichen Sicherheitsupdates am kommenden Patchday (Dienstag, 10. November 2026) verteilt.Warum traten die Verbindungsprobleme ausschließlich bei Konten ohne Adminrechte auf?Der Bug verhinderte die korrekte Aushandlung des eingeschränkten Standard-Tokens während des RDP-Handshakes auf Rechnern mit aktivem Just-in-Time-Schutz, wodurch der Sitzungsaufbau mit dem Hinweis auf ein ungültiges Token abbrach.

Fazit

Die Kombination aus den im Oktober 2026 aktivierten Windows Security-Baselines und dem fehlerhaften Token-Handling im September-Update führte zu einem erheblichen Ausfall von Remote-Desktop-Verbindungen für nicht-administrative Konten. Das optionale Vorschau-Update KB5127936 bot eine sofortige Korrektur, während Unternehmen den temporären Workaround über die Deaktivierung der Administrator Protection nutzen konnten. Durch die klare Trennung von physischen Client-Hosts und Cloud-Desktop-Umgebungen sowie die Rückkehr zum sicheren UAC-Modell nach Installation des Fixes wird das Risiko für zukünftige Störungen minimiert. Administratoren sollten die Ereignis-Protokolle prüfen, die Richtlinie TypeOfAdminApprovalMode wieder aktivieren und sicherstellen, dass zukünftige Updates im regulären Patch-Zyklus eingespielt werden, um die Sicherheit und Verfügbarkeit von Remote-Desktop-Sitzungen langfristig zu gewährleisten.