KB5127648 kann bestimmte Unternehmensverbindungen beeinträchtigen, wenn Windows 11 NTLMv1-abgeleitete Anmeldedaten für Single Sign-on (SSO) blockiert. Die Änderung betrifft Geräte mit deaktiviertem Credential Guard, auf denen der Registrierungswert BlockNtlmv1SSO fehlt. Microsoft nennt als mögliche Anwendungsfälle bestimmte WLAN-, Ethernet- und VPN-Verbindungen mit MS-CHAPv2-basierter Authentifizierung; ein allgemeiner Verbindungsfehler ist damit nicht beschrieben. Microsofts Anleitung zu den NTLMv1-Änderungen
Was sich mit KB5127648 ändert
Microsoft veröffentlichte KB5127648 am 13. Oktober 2026 für Windows 11 24H2, 25H2 und 26H2. Die zugehörigen Betriebssystembuilds sind 26100.9711, 26200.9711 und 26300.9711. Microsofts Release Notes zu KB5127648
Auf einem geeigneten Gerät wechselte die interne Voreinstellung für NTLMv1-abgeleitete SSO-Anmeldedaten von Audit zu Enforce, sofern Credential Guard deaktiviert und BlockNtlmv1SSO nicht gesetzt ist. Das Update legt den Registrierungswert nicht an und ändert ihn auch nicht. Betroffen sein können laut Microsoft bestimmte MS-CHAPv2-Szenarien, darunter PEAP-MSCHAPv2 und EAP-MSCHAPv2.
Ein Administrator berichtete am 13. Oktober im Microsoft-Q&A-Forum, dass die WPA2-Enterprise-Authentifizierung über 802.1X/PEAP nach der Installation des Updates fehlschlug, während WPA2-Personal weiterhin funktionierte. Er schrieb, die Verbindung sei nach der Deinstallation des Updates wiederhergestellt worden. Weitere Teilnehmende berichteten, dass BlockNtlmv1SSO=0 die Verbindung in ihrer jeweiligen Umgebung wiederhergestellt habe. Berichte im Microsoft-Q&A-Forum
Audit und Enforce im Überblick
Microsoft definiert den Registrierungswert als REG_DWORD unter HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0. Die beiden Modi unterscheiden sich darin, ob Windows die betreffende Anfrage protokolliert und zulässt oder blockiert:
| Modus | Wert von BlockNtlmv1SSO | Behandlung der Anfrage | Ereignis-ID |
| Audit | 0 | Windows protokolliert und erlaubt die Anfrage. | 4024, Warnung |
| Enforce | 1; bei fehlendem Wert auf geeigneten Geräten die Voreinstellung | Windows blockiert die Anfrage. | 4025, Fehler |
Microsoft zufolge ist nach einer Änderung des Registrierungswerts kein Neustart erforderlich. Auch im Enforce-Modus funktioniert die Anmeldung durch manuelle Eingabe der Zugangsdaten weiterhin. Audit bietet weniger Schutz als Enforce; Microsoft empfiehlt, den Modus nur als zeitlich und sachlich begrenzte Ausnahme einzusetzen.
Der separate Always-On-VPN-Fix
KB5127648 behebt außerdem ein anderes Problem mit Always On VPN, das nach KB5124008 auftrat: Verbindungen konnten bei automatischer Protokollauswahl oder einem Protokoll-Fallback scheitern. In manchen Fällen erschien bei einem späteren Verbindungsversuch die Meldung „The specified port is already in use“. Microsoft führt diese Korrektur separat auf. Release Notes zu KB5127648
Die mögliche Auswirkung auf MS-CHAPv2-basiertes VPN-SSO und die Korrektur für bestimmte Always-On-VPN-Verbindungen betreffen unterschiedliche Szenarien. Zum selben Oktoberupdate hatte NeoTeo bereits über Microsofts Hinweis auf ein separates Remote-Desktop-Problem berichtet.
