Windows 11: 802.1X mit PEAP-MSCHAPv2 nach KB5127648 gestört

Seit dem Sicherheitsupdate KB5127648 vom 13. Oktober 2026 melden sich viele Windows-11-Clients nicht mehr automatisch an WPA2- oder WPA3-Enterprise-WLANs an. Dasselbe gilt für kabelgebundenes 802.1X und VPN-Profile mit MS-CHAPv2. Statt der stillen Anmeldung erscheint eine Abfrage nach Benutzername und Passwort, und das Häkchen zum Speichern hält nicht.

Betroffen sind Windows 11 24H2, 25H2 und 26H2.

Fehlerbild

• Der Client verbindet sich nicht mehr automatisch mit dem Firmen-WLAN oder dem LAN-Port.
• Windows fragt nach Anmeldedaten, obwohl der Benutzer angemeldet ist.
• Die manuelle Eingabe klappt meist, beim nächsten Verbinden fehlt sie wieder.
• Auf dem RADIUS-Server (zum Beispiel NPS) taucht nichts auf.

Der letzte Punkt führt oft in die falsche Richtung. Windows bricht die Anmeldung schon auf dem Client ab, bevor überhaupt eine Anfrage an den RADIUS-Server geht. Die Spur findest du deshalb im Ereignisprotokoll des Clients unter Microsoft-Windows-NTLM/Operational:

Mit PowerShell holst du dir die letzten Einträge:

Get-WinEvent -LogName "Microsoft-Windows-NTLM/Operational" -MaxEvents 50 |
    Where-Object { $_.Id -in 4024, 4025 } |
    Format-Table TimeCreated, Id, Message -Wrap

Ursache

PEAP-MSCHAPv2 und EAP-MSCHAPv2 mit den Windows-Anmeldedaten bauen auf Anmeldedaten auf, die aus NTLMv1 abgeleitet sind. Microsoft schaltet diesen Weg für Single Sign-on schrittweise ab. Mit dem Oktober-Update wechselt die Einstellung BlockNtlmv1SSO von Audit auf Enforce, Windows blockiert solche Anmeldungen also jetzt standardmäßig. Angekündigt war das im Message Center unter MC1508562. Es ist eine geplante Härtung und kein Fehler, der mit dem nächsten Update verschwindet.

Nicht betroffen sind:

• WLANs mit Pre-Shared Key (WPA2- oder WPA3-Personal)
• 802.1X mit EAP-TLS, also mit Zertifikaten
• Geräte mit aktivem Credential Guard, denn dort war MS-CHAPv2 mit Single Sign-on schon vorher nicht möglich

Workaround

Kurzfristig kannst du Windows wieder in den Audit-Modus versetzen. Dafür setzt du den DWORD-Wert BlockNtlmv1SSO unter HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0 auf 0.

Per CMD:

reg add "HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0" /v BlockNtlmv1SSO /t REG_DWORD /d 0 /f

Oder per PowerShell:

New-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0" -Name "BlockNtlmv1SSO" -PropertyType DWord -Value 0 -Force

Verteilen kannst du den Wert in einer Domäne per Gruppenrichtlinie (Registrierungseinstellung unter Computerkonfiguration). In Intune gibt es dafür keinen Eintrag im Einstellungskatalog, dort nimmst du eine Remediation oder ein Skript, das im Systemkontext läuft.

Bevor du das ausrollst:

• Der Wert öffnet einen veralteten Anmeldeweg wieder. Setz ihn nur als dokumentierte Ausnahme und mit festem Enddatum.
• Auf Geräten mit Credential Guard bringt er nichts.
• Deinstallier das Update nicht. Es schließt Sicherheitslücken, die bereits aktiv ausgenutzt werden.

Lösung: auf EAP-TLS umstellen

Dauerhaft kommst du um Zertifikate nicht herum. Mit EAP-TLS authentifiziert sich das Gerät per Zertifikat, Passwörter und NTLM spielen keine Rolle mehr. Du brauchst dafür drei Bausteine:

1. Zertifizierungsstelle: zum Beispiel AD CS, bei Intune mit dem Certificate Connector, oder eine Cloud-PKI.
2. RADIUS-Server mit EAP-TLS: etwa NPS auf Windows Server oder ein RADIUS-Dienst aus der Cloud.
3. Verteilung auf die Clients: Stammzertifikat, Gerätezertifikat (SCEP oder PKCS) und ein WLAN- oder LAN-Profil mit EAP-TLS, per Gruppenrichtlinie oder Intune.

So gehst du vor:

1. Alle 802.1X-Profile erfassen: WLAN, LAN und VPN, jeweils mit EAP-Methode.
2. Den Workaround mit Enddatum setzen, damit die Benutzer arbeiten können.
3. Das Stammzertifikat der CA auf alle Clients verteilen.
4. Die Gerätezertifikate ausrollen und prüfen, ob sie auf den Clients ankommen.
5. Die WLAN- und LAN-Profile auf EAP-TLS umstellen und die Netzwerkrichtlinie auf dem RADIUS-Server anpassen.
6. Den Registry-Wert wieder entfernen.

Bewährt hat sich eine eigene Test-SSID mit EAP-TLS für eine kleine Pilotgruppe. So stellst du um, ohne das produktive WLAN anzufassen.

Hinweis

Access Points und Switches musst du für die Umstellung in der Regel nicht anfassen. Sie reichen die 802.1X-Anmeldung nur an den RADIUS-Server weiter. Das WLAN bleibt als WPA2- oder WPA3-Enterprise mit RADIUS-Profil konfiguriert, geändert wird nur auf dem Client und dem RADIUS-Server.