Microsoft führt seit dem 16. September 2026 einen Fehler von KB5124008 als mitigiert: Das Update kann bei bestimmten Credential-Guard-geschützten Windows-11-Geräten den sicheren Kanal zum lokalen Active Directory unterbrechen. Dann scheitert die interaktive Anmeldung mit gültigen Domänenzugangsdaten, während zwischengespeicherte Anmeldedaten den Offline-Zugriff weiterhin ermöglichen können.
Was Microsoft zu KB5124008 bestätigt hat
KB5124008 erschien am 8. September 2026 für Windows 11 24H2 und 25H2. Microsoft nennt als betroffene Versionen und Builds:
| Windows-Version | Build mit KB5124008 | Relevante Folge |
| Windows 11 24H2 | 26100.9445 | Der sichere Kanal des Computerkontos zu einer lokalen Active-Directory-Domäne kann bei bestimmten Konfigurationen ausfallen. |
| Windows 11 25H2 | 26200.9445 | Interaktive Domänenanmeldungen können fehlschlagen; zwischengespeicherte Anmeldedaten können offline weiter funktionieren. |
Der Fehler betrifft nicht jedes Windows-11-Gerät. Im Mittelpunkt stehen Computerkonten, die durch Credential Guard geschützt sind. Die Funktion isoliert sensible Anmeldeinformationen; für diesen Anwendungsfall spielt dabei Machine Identity Isolation eine zentrale Rolle.
Was Administratoren bemerken können
Typisch ist die Windows-Meldung, dass die Vertrauensstellung zwischen der Arbeitsstation und der primären Domäne fehlgeschlagen ist. Ein Gerät kann dadurch gültige Domänenanmeldungen zurückweisen, obwohl die zuletzt zwischengespeicherten Zugangsdaten eine Anmeldung ohne erreichbare Domäne noch erlauben.
Administratoren meldeten Fehler nach einem Neustart, nach einigen Minuten oder erst nach mehreren Tagen. Eine feste Zeitspanne gibt es dafür nicht: Das Verhalten hängt von der Umgebung und der jeweiligen Konfiguration ab.
Die von Microsoft genannten Builds lassen sich auf dem Gerät mit winver oder den Systeminformationen abgleichen. Für die Prüfung des sicheren Kanals stehen PowerShell und die Windows-Netzwerkdiagnose zur Verfügung:
Test-ComputerSecureChannel
Administratoren verwendeten außerdem:
nltest /sc_query:<Domäne>
nltest /sc_verify:<Domänencontroller>
Warum Machine Identity Isolation eine Rolle spielt
Microsoft beschreibt den Mechanismus enger, als es frühe Fehlersuchen nahelegten: KB5124008 aktiviert Machine Identity Isolation nicht direkt. Das Update beginnt vielmehr, bereits vorhandene oder per Richtlinie bereitgestellte Einstellungen zur Erzwingung dieser Funktion zu berücksichtigen.
Microsoft unterstützt Machine Identity Isolation nur bei einer Windows Server 2025 Domain Functional Level oder höher. In älteren Domänenumgebungen kann diese Konstellation deshalb zu Problemen mit dem Computerkonto und seinem sicheren Kanal führen.
Die Konfiguration kennt drei Zustände:
- 0: deaktiviert
- 1: Überwachungsmodus
- 2: Erzwingungsmodus
Wenn die Einstellung per Registrierung verwaltet wird, nennt Microsoft unter anderem diese Pfade:
HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MachineIdentityIsolation
HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard\MachineIdentityIsolation
Microsofts Wiederherstellungsweg
Für den konkreten KB5124008-Fehler nennt Microsoft diese Reihenfolge:
- Machine Identity Isolation über denselben Verwaltungsweg deaktivieren, über den die Einstellung gesetzt wurde — etwa Intune, Gruppenrichtlinie oder Registrierung.
- Das Gerät neu starten.
- Den sicheren Kanal mit administrativen Zugangsdaten reparieren:
Test-ComputerSecureChannel -Repair -Credential (Get-Credential)
Die Konfigurationsänderung verdient besondere Vorsicht. Microsoft weist darauf hin, dass der Wechsel vom Erzwingungsmodus zu „deaktiviert“ die Domänenauthentifizierung selbst unterbrechen kann. In diesem Fall kann es erforderlich sein, das Gerät aus der Domäne zu entfernen und anschließend erneut beizutreten.
Der aktuelle Status
Microsoft führt das Problem seit dem 16. September 2026 als „Mitigated“ und plant ein künftiges Windows-Update, das die Erzwingung von Machine Identity Isolation vorübergehend verhindert, während die Funktion weiter verbessert wird. Damit ist ein dokumentierter Wiederherstellungsweg vorhanden; die geplante Änderung ist jedoch ein künftiger Eingriff in das Erzwingungsverhalten und keine bereits abgeschlossene Reparatur.
Für Administratoren bedeutet das: Vor einer Änderung an der Richtlinie müssen die verwendete Verwaltungsquelle, der aktuelle Machine-Identity-Isolation-Modus und die Möglichkeit eines Domänenbeitritts geklärt sein. Ein pauschales Zurücksetzen auf 0 ist nicht in jeder Umgebung der folgenlose Schnellschritt.
