Microsoft veröffentlicht Workaround für Probleme bei der Domänenanmeldung unter Windows 11, die durch das Update KB5124012 verursacht wurden

Die Probleme mit Updates für Windows-11-Nutzer halten an, und obwohl Microsoft für viele davon Korrekturen bereitstellen kann, ist dies sicherlich nicht immer der Fall. Nach der Installation des kürzlich veröffentlichten Updates KB5124012 traten bei einigen Nutzern Probleme bei der Domänenanmeldung auf.

Nachdem Microsoft das Problem anerkannt und bestätigt hat, hat das Unternehmen untersucht, was genau vor sich geht. Derzeit gibt es zwar noch keine endgültige Lösung, sondern lediglich eine Umgehungslösung, doch diese sollte ausreichen, um die betroffenen Nutzer zufrieden zu stellen.

Nach der Installation des Windows-Sicherheitsupdates vom 8. September 2026 (KB5124012) oder späterer Updates kann es vorkommen, dass einige durch Credential Guard geschützte Computerkonten ihren sicheren Kanal zu einer lokalen Active Directory (AD)-Domäne verlieren. Benutzer können sich dann möglicherweise nicht mehr interaktiv mit gültigen Domänenanmeldedaten anmelden und erhalten möglicherweise eine Meldung, dass die Vertrauensbeziehung zwischen dem Gerät und der Domäne fehlgeschlagen ist. Die Offline-Anmeldung mit zuvor zwischengespeicherten Anmeldedaten funktioniert möglicherweise weiterhin. Die AD-Replikation und die AD-Dienste auf den Domänencontrollern sind davon nicht betroffen.

Das Unternehmen geht anschließend etwas detaillierter auf die Ursache des Problems ein:

Dieses Problem tritt auf, weil KB5124012 und spätere Updates die Funktion "Machine Identity Isolation" aktivieren. Das Update aktiviert zwar nicht direkt die Durchsetzung der "Machine Identity Isolation", führt jedoch dazu, dass Windows beginnt, alle vorhandenen oder über Richtlinien bereitgestellten Einstellungen zu berücksichtigen, die die Durchsetzung der "Machine Identity Isolation" aktivieren. Diese Funktion wird jedoch nur für Umgebungen unterstützt, die mit Domänencontrollern verbunden sind, auf denen die Windows Server 2025-Domänenfunktionsebene (DFL) oder höher ausgeführt wird. In anderen Umgebungen sollte die Funktion deaktiviert werden. Alle Geräte, die zuvor für die Verwendung der "Machine Identity Isolation" konfiguriert wurden und nicht mit Windows Server 2025-Domänencontrollern verbunden sind, sind von diesem Problem betroffen und müssen die Funktion deaktivieren.

Zwar ist derzeit noch keine endgültige Lösung verfügbar, doch Microsoft hat eine Abhilfe entwickelt, die den Benutzern in der Zwischenzeit helfen sollte:

Workaround

Wichtig: Dieser Abschnitt enthält Informationen zum Ändern der Registrierung. Bevor Sie die Registrierung ändern, erstellen Sie eine Sicherungskopie und vergewissern Sie sich, dass Sie wissen, wie Sie diese wiederherstellen können, falls ein Problem auftritt. Weitere Informationen finden Sie unter "So sichern und wiederherstellen Sie die Registrierung in Windows".

Um dieses Problem zu umgehen, deaktivieren Sie die "Machine Identity Isolation" mit derselben Verwaltungsmethode, die zur Aktivierung verwendet wurde. Wählen Sie die entsprechende Option unten aus:

  1. Wenn die "Machine Identity Isolation" über eine Intune-Richtlinie aktiviert wurde, deaktivieren Sie sie über Intune.
  2. Wenn die "Machine Identity Isolation" über eine Gruppenrichtlinie aktiviert wurde, deaktivieren Sie sie über die Gruppenrichtlinie.
  3. Wenn die "Machine Identity Isolation" direkt in der Registrierung aktiviert wurde, führen Sie die folgenden Schritte aus, um sie zu deaktivieren:

​Suchen Sie auf dem Gerät mit Windows 11, Version 24H2 oder 25H2, die folgenden Registrierungspfade:

  • ​HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MachineIdentityIsolation
  • HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard\MachineIdentityIsolation

​Wenn bei einem dieser Registrierungsschlüssel der Wert für "MachineIdentityIsolation" = 2 ist, setzen Sie "MachineIdentityIsolation" = 0.

Starten Sie das Gerät neu, nachdem Sie die Maschinenidentitätsisolierung deaktiviert haben.

Setzen Sie anschließend den sicheren Kanal mit dem folgenden Befehl zurück:

'Test-ComputerSecureChannel -Repair -Credential (Get-Credential)'

Microsoft schließt mit einer Standardformulierung: "Wir planen, dieses Problem in einem zukünftigen Windows-Update zu beheben, indem wir die Durchsetzung der Maschinenidentitätsisolierung vorübergehend aussetzen, während Verbesserungen an der Funktion vorgenommen werden."