Am 8. September 2026 hat Microsoft das Sicherheitsupdate KB5124008 für Windows 11 24H2 und 25H2 (Build 26200.9445) veröffentlicht. BleepingComputer dokumentiert die ersten Meldungen. Wenige Tage später berichten Administratoren aus mehreren Umgebungen, dass domänengebundene Rechner nach der Installation und einem Neustart ihre Vertrauensbeziehung zum Active Directory verlieren. Nutzer sehen an der Anmeldung die Meldung, Benutzername oder Kennwort sei falsch – obwohl beide korrekt sind. Microsoft hat das Problem als Known Issue auf dem Windows Release Health Dashboard bestätigt und einen Workaround bereitgestellt.

In einem Betrieb mit 10 bis 100 Mitarbeitern sieht das so aus: Am nächsten Morgen sitzen mehrere Mitarbeiter vor ihrem Rechner und können sich nicht anmelden. Der Rechner läuft, das Display zeigt die Anmeldung, aber die Domain-Authentifizierung schlägt fehl. Zwischengespeicherte Zugangsdaten funktionieren noch, solange das Gerät offline war – das macht die Sache tückisch, weil der Rechner zunächst gesund wirkt. Ein Administrator, der auf Reddit berichtete, hatte elf von etwa 256 Windows 11 25H2 Enterprise-Geräten betroffen. Ein anderer meldete, dass auf seinem Netz jede einzelne Workstation die gültigen Domänenkennworte verweigerte. Wer hier nicht erkennt, dass es nicht am Passwort liegt, sondern am Secure Channel des Computerkontos, verliert unnötig Zeit.

Machine Identity Isolation: die eigentliche Ursache

Das Problem hat nichts mit dem Kennwort der Nutzer zu tun. Es betrifft das Computerkonto. In einer Active-Directory-Umgebung nutzen domänengebundene Rechner ein Machine Account Secret, um den Secure Channel zum Domänencontroller aufrechtzuerhalten. Genau dieses Secret ist der Auslöser.

Die Funktion heißt Machine Identity Isolation (MII) und gehört zum Bereich Virtualization-Based Security und Credential Guard. Im Enforcement-Modus (Registrierungswert 2) verschiebt Windows das Machine Account Secret aus dem LSA in die isolierte Credential-Guard-Umgebung. Die Intention ist nachvollziehbar: Angreifer sollen das Secret nicht mehr aus der Registry extrahieren können. Microsoft dokumentiert die Funktion für Windows Server 2025, mit drei Modi: deaktiviert (0), Audit (1) und Enforcement (2). Microsoft Learn

Das Problem: MII ist nur kompatibel, wenn die Domänencontroller ab Windows Server 2025 Domain Functional Level laufen. Läuft der DC auf Server 2019 oder 2022 – was in der Praxis die Regel ist –, bricht die Authentifizierung zusammen. KB5124008 aktiviert MII nicht von sich aus. Es ändert aber das Verhalten von Windows, wenn eine MII-Konfiguration bereits existiert – sei sie über Intune, Gruppenrichtlinie oder die Registry gesetzt. EndpointWeekly Nach dem Update beginnt Windows, die vorhandene Einstellung zu honorieren. War MII also in Audit- oder Enforcement-Modus konfiguriert, bricht der Secure Channel ab.

Mehrere Administratoren berichten, dass sie MII nie aktiviert haben. Die Gruppenrichtlinie zeigte „Nicht konfiguriert

Unsicher, wie das im eigenen Betrieb aussieht? Wir schauen uns das an, bevor es jemand anders tut – kurz Bescheid geben genuegt.

Beitragsbild: BalticServers.com / CC BY-SA 3.0, via Wikimedia Commons