Microsoft hat am 22. September 2026 auf der Mailingliste patchmanagement.org bestätigt, dass die Sicherheitsupdates vom 8. September 2026 für Windows 11 Always On VPN-Verbindungen in einigen Organisationen stören. Die Updates schließen 974 Schwachstellen, davon 104 als kritisch eingestuft – der VPN-Ausfall ist ein Kollateralschaden, keine Sicherheitslücke. BleepingComputer hat den zugehörigen Service Alert dokumentiert, den Microsoft unter anderem an die MVP Susan Bradley weitergegeben hat.

Betroffen sind ausschließlich Umgebungen, die Always On VPN einsetzen und in den VPN-Profilen einen automatischen Fallback auf eine zweite Verbindungsmethode konfiguriert haben – typischerweise die automatische Protokollauswahl zwischen IKEv2 und SSTP. Im schlechtesten Fall hängt der Tunnel dauerhaft, und der betroffene Client verliert nicht eine Anwendung, sondern den gesamten Zugriff auf Domäne, Verwaltungsdienste und interne Anwendungen. Für Außendienst und Homeoffice ist das ein Arbeitsausfall mit direkter Wirkung.

Betroffene Updates und Auslösebedingung

Microsoft nennt als Ursprungsupdates KB5124008 für Windows 11 24H2 sowie KB5124012. Hier widersprechen sich die Quellen: IT Boltwise ordnet KB5124012 der Version 26H1 zu, während Schönfelder EDV von 26H2 auf ARM-Systemen spricht. Wer auf der sicheren Seite sein will, prüft beide Varianten.

Die Auslösebedingung ist konkret: Das VPN-Profil ist so konfiguriert, dass bei einem Fehlschlag der ersten Verbindungsmethode automatisch eine zweite probiert wird. In diesem Fallback-Mechanismus klemmt die Tunnelaufbau-Logik. Betroffene Verbindungen bleiben im Status „Wird verbunden" hängen oder zeigen bei Folgeversuchen die Meldung „Der angegebene Port wird bereits verwendet". Für die Bestandsprüfung auf dem Client eignen sich die PowerShell-Befehle Get-HotFix -Id KB5124008 beziehungsweise Get-HotFix -Id KB5124012 sowie Get-VpnConnection -AllUserConnection, um die gesetzten Profile zu prüfen. Die verteilten Profil-XML-Dateien aus Intune oder dem eigenen Verteilungsweg sind die verlässlichere Quelle als die Oberfläche am Einzelgerät.

Was jetzt zu tun ist

1. Prüfen, ob die eigene Umgebung die Auslösebedingung erfüllt: Installierten Updatestand gegen KB5124008 und KB5124012 abgleichen und parallel in den VPN-Profilen nachsehen, ob ein automatischer Wechsel auf eine alternative Verbindungsmethode hinterlegt ist. Nur wo beides zutrifft, besteht ein Risiko.
2. Das Always On VPN-Profil von der automatischen Protokollauswahl auf ein einzelnes Protokoll umstellen – entweder SSTP only oder IKEv2 only. Die Wahl richtet sich nach der eigenen Umgebung, den Sicherheitsanforderungen und den Bereitstellungsanforderungen. Das ist der offizielle Workaround von Microsoft.
3. Die Windows Release Health-Seite im Blick behalten, bis Microsoft einen Fix oder ein Known Issue Rollback ausweist. Parallel für betroffene Nutzer einen zweiten, unabhängigen Zugangsweg bereithalten, etwa einen getrennten Standard-VPN-Zugang, damit ein hängender Always-On-Tunnel den Zugriff nicht komplett blockiert.

Das Ärgerliche an so einem Fall: Man merkt es erst, wenn die Kollegin im Homeoffice nicht mehr auf den Server kommt und der Support-Ticket-Stapel wächst. Wer jetzt unsicher ist, ob die eigenen VPN-Profile die Fallback-Konfiguration tragen, hat damit schon die richtige Frage gestellt. Wir schauen uns das gern einmal an – von der Profil-Prüfung bis zum kontrollierten Rollout des Workarounds – und melden uns, wenn alles sauber läuft. Hier kommen Sie direkt zu uns.

Beitragsbild: Polina Zimmerman auf Pexels