Es ist Morgen, jemand tippt sein Passwort ein, und der Rechner antwortet mit einem Satz, den jeder Administrator kennt: Die Vertrauensstellung zwischen dieser Arbeitsstation und der primären Domäne konnte nicht hergestellt werden.
Dasselbe Passwort, dasselbe Konto, gestern hat es funktioniert. Und es ist nicht ein Gerät, sondern eine Handvoll — scheinbar wahllos verteilt.
Microsoft hat diesen Fehler am 16. September eröffnet und am 17. bestätigt. Eine Korrektur gibt es noch nicht.
Was Microsoft beschreibt
Nach dem Sicherheitsupdate vom 8. September, KB5124008, können bestimmte Computerkonten ihren sicheren Kanal zum lokalen Active Directory verlieren. Die Folge, wörtlich: Benutzer können sich dann mit gültigen Domänenzugangsdaten nicht mehr interaktiv anmelden und bekommen die Meldung, dass die Vertrauensstellung fehlgeschlagen sei.
Betroffen sind Windows 11 in den Fassungen 24H2, 25H2 und 26H1. Server sind nicht betroffen — die Domänencontroller selbst arbeiten normal weiter, auch die Replikation läuft.
Zwei Angaben nehmen dem Ganzen die Schärfe, und sie sollten Sie kennen, bevor Sie zu telefonieren anfangen. Erstens: Die Anmeldung mit zwischengespeicherten Zugangsdaten funktioniert in der Regel weiter — wer den Rechner schon benutzt hat und offline ist, kommt hinein. Zweitens: Es ist kein Angriff und kein Schaden am Verzeichnis. Nichts ist kaputt, es passt nur etwas nicht mehr zusammen.
Das Ungewöhnliche: Das Update hat nichts eingeschaltet
Hier wird es interessant, und deshalb schreiben wir darüber.
Die Ursache ist eine Funktion namens Machine Identity Isolation — ein Schutz rund um Credential Guard, der die Identität des Geräts härtet. Man könnte nun annehmen, das Update habe sie aktiviert. Hat es nicht.
Microsoft formuliert es so: Das Update aktiviere die Durchsetzung nicht direkt, es bringe Windows aber dazu, vorhandene oder per Richtlinie verteilte Einstellungen künftig zu beachten, die diese Durchsetzung eingeschaltet hatten.
Lesen Sie den Satz noch einmal. Die Einstellung war schon da. Sie stand in der Registry oder in einer Gruppenrichtlinie, gesetzt von jemandem, irgendwann. Und sie tat nichts. Bis zum 8. September.
Dazu kommt die zweite Hälfte: Die Funktion ist nur in Umgebungen unterstützt, deren Domänencontroller auf der Funktionsebene von Windows Server 2025 oder höher laufen. Überall sonst, schreibt Microsoft, hätte sie abgeschaltet sein sollen.
Sie war es aber nicht — und niemand hat es gemerkt, weil nichts passierte.
Wen es trifft
Das erklärt auch, warum die betroffenen Geräte so wahllos wirken. Es trifft genau die, auf denen jemand diese Härtung einmal gesetzt hat. Ein Rechner, der nie angefasst wurde, ist nicht betroffen.
Die Geräte, die am besten geschützt sein sollten, sind die, die ausfallen. Das ist kein Argument gegen Härtung, aber es ist eine unbequeme Pointe.
Der Weg zurück
Microsoft nennt ihn, und er ist kurz. Die Funktion muss mit derselben Methode abgeschaltet werden, mit der sie aktiviert wurde — also über Intune, über Gruppenrichtlinie oder direkt in der Registry.
In der Registry stehen zwei Orte in Frage: unter HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MachineIdentityIsolation und unter HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard\MachineIdentityIsolation. Steht dort der Wert 2, gehört er auf 0.
Danach den Rechner neu starten und den sicheren Kanal zurücksetzen mit dem Befehl Test-ComputerSecureChannel -Repair -Credential (Get-Credential).
Wichtig dabei: Wer den Rechner aus der Domäne nimmt und neu aufnimmt, löst dasselbe — aber mit deutlich mehr Nebenwirkungen und deutlich mehr Zeit. Der kurze Weg genügt.
Microsoft schreibt, man plane eine Lösung in einem künftigen Update, indem die Durchsetzung vorübergehend unterbunden wird, während an der Funktion gearbeitet wird. Ein Datum steht nicht dabei.
Was uns daran beschäftigt
Wir haben in dieser Woche zweimal über dasselbe Updatepaket geschrieben — über die zwei bereits angegriffenen Lücken und über die Nachbesserung für die Remotedesktopdienste. Dies ist der dritte Fall, und er ist der einzige, der noch offen ist.
Aber der eigentliche Punkt ist nicht das Update.
In vielen Umgebungen liegt Konfiguration, die nichts tut. Ein Schalter, den jemand vor zwei Jahren für einen Test gesetzt hat. Eine Richtlinie, die aus einer Anleitung übernommen wurde. Eine Einstellung aus einem Projekt, das eingeschlafen ist. Sie richtet keinen Schaden an, sie fällt in keiner Prüfung auf, und sie erscheint in keiner Dokumentation — weil nichts passiert.
Bis ein Update kommt und sie zum ersten Mal ernst nimmt.
Das lässt sich nicht durch Aufmerksamkeit lösen, sondern nur dadurch, dass man weiss, was auf den eigenen Geräten überhaupt eingestellt ist. Genau dafür führen wir bei den Systemen in unserer Wartung Buch — nicht, weil es Spass macht, sondern weil man an einem Morgen wie diesem sonst raten muss.
Wenn bei Ihnen gerade jemand nicht hineinkommt und Sie nicht sicher sind, ob es dieser Fall ist: Die Meldung und ein Blick in die Registry klären das in wenigen Minuten.