Fehlerbehebung bei blockierter NTLM-Authentifizierung ohne Neuinstallation von Windows

Nichts in Ihrer Installation ist beschädigt. Eine Seite der Verbindung bietet immer noch NTLM – oder eine alte CredSSP-Version – an, und die andere Seite wurde aktualisiert oder gehärtet, um dies abzulehnen. Drei Auslöser verursachen fast jeden Fall:

Da die Ursache in einer Nichtübereinstimmung von Richtlinien oder Protokollen liegt, ändert eine Neuinstallation von Windows nichts, außer dass Sie Ihren Tag verschwenden – die gleichen Richtlinien und die gleichen aktualisierten Standardeinstellungen sind sofort wieder verfügbar.

• Sie stellen über die IP-Adresse eine Verbindung zu einem PC oder Server her. Kerberos benötigt einen Computernamen, daher zwingt eine IP-Adresse Windows dazu, auf NTLM zurückzugreifen – und gehärtete Systeme blockieren dies jetzt.
• Ein Windows-Update hat eine Standardeinstellung geändert. Mit den Updates vom Oktober 2026 wurde BlockNtlmv1SSO von „Audit“ auf „Enforce“ umgestellt, was das von NTLMv1 abgeleitete Single Sign-On für Wi-Fi-, kabelgebundene 802.1X- und VPN-Verbindungen blockiert.
• Eine von Ihnen, Ihrem Büro oder einem Update festgelegte Richtlinie verweigert jetzt NTLM- oder NTLMv1-Anmeldungen auf dem Zielcomputer.

Dies ist die schnellste echte Lösung und erfordert keinerlei Einstellungen. Kerberos, der moderne Ersatz für NTLM, funktioniert nur, wenn Sie eine Maschine mit ihrem Namen ansprechen, da das Ticket für diesen Namen ausgestellt wird.

Wenn der Name dort eine Verbindung herstellt, wo die IP-Adresse versagt hat, lag Ihr Problem die ganze Zeit über im NTLM-Fallback – und es ist bereits auf sichere Weise gelöst.

1. Öffnen Sie die Remotedesktopverbindung mit mstsc
2. Geben Sie im Feld Computer den Computernamen ein, zum Beispiel SERVER01 oder SERVER01.office.local – nicht 192.168.1.50
3. Stellen Sie eine Verbindung her und melden Sie sich mit demselben Benutzernamen und Passwort an

Bei der CredSSP-Hälfte dieser Fehlerfamilie handelt es sich lediglich um eine Nichtübereinstimmung auf Patch-Ebene: Die gepatchte Seite weigert sich, mit der ungepatchten Seite zu kommunizieren, um Ihre Anmeldeinformationen zu schützen (dieses Verhalten tritt aufgrund der CredSSP-Schwachstelle CVE-2018-0886 auf). Der von Microsoft empfohlene Fix ist einfach und wird oft übersprungen:

Überraschend viele dieser Fehler verschwinden hier. Fahren Sie nur fort, wenn beide Seiten vollständig aktualisiert sind und der Fehler weiterhin besteht.

1. Führen Sie Windows Update auf Ihrem PC (dem Client) aus und installieren Sie alles, was noch aussteht, und starten Sie dann neu
2. Führen Sie Windows Update auch auf dem Server oder Ziel-PC aus und starten Sie dann neu
3. Versuchen Sie die Verbindung erneut, bevor Sie eine einzelne Einstellung ändern

Dies ist die Methode, die Anshu auf dem Bildschirm demonstriert. Auf dem Computer, den Sie erreichen möchten, werden die Remote-Einstellungen erneut ausgewählt, damit der Host die Verbindung sauber akzeptiert:

Warum es funktioniert: Network Level Authentication (NLA) führt die Anmeldung bevor die Sitzung unter Verwendung von CredSSP durch – genau dort schlägt der NTLM-Block zu. Wenn Sie NLA deaktivieren, wird die Anmeldung auf den normalen Windows-Anmeldebildschirm verschoben, sodass die Verbindung hergestellt wird.

1. Klicken Sie auf dem Ziel-PC oder Server mit der rechten Maustaste auf Dieser PC und öffnen Sie Eigenschaften
2. Öffnen Sie Remote-Einstellungen (Einstellungen ändern, dann die Registerkarte Remote)
3. Klicken Sie auf Benutzer auswählen und stellen Sie sicher, dass das Konto, mit dem Sie sich anmelden, aufgeführt ist. Fügen Sie es hinzu, falls es fehlt
4. Deaktivieren Sie Verbindungen nur von Computern zulassen, auf denen Remotedesktop mit Authentifizierung auf Netzwerkebene ausgeführt wird, klicken Sie auf Übernehmen und OK
5. Stellen Sie erneut eine Verbindung mit mstsc her und verwenden Sie dabei den richtigen Benutzernamen und das richtige Passwort

In Büros erfolgt die Blockierung normalerweise über die Gruppenrichtlinie und nicht über die Registerkarte „Remote“. Die CredSSP-Richtlinie befindet sich unter Computer Configuration - Administrative Templates - System - Credentials Delegation - Encryption Oracle Remediation. Seine drei Ebenen werden auch als Registrierungswert AllowEncryptionOracle unter HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters gespeichert:

Übernehmen Sie die Änderung mit gpupdate /force und starten Sie neu. Die richtige langfristige Antwort ist immer: Patchen Sie die ungepatchte Maschine und gehen Sie dann zurück zu Level 0 oder 1.

• 0 – Aktualisierte Clients erzwingen: der sichere Endzustand. Nur gepatchte Clients.
• 1 – Gemindert: eine angemessene mittlere Stufe, während einige Maschinen noch aktualisiert werden.
• 2 – Angreifbar: Ermöglicht das alte Verhalten. Verwenden Sie es nur als kurze Brücke, um eine nicht gepatchte Maschine zu erreichen, und entfernen Sie es dann.

Wenn der Zielcomputer selbst NTLM-Anmeldungen ablehnt, sehen Sie sich zwei weitere Einstellungen unter Computer Configuration - Windows Settings - Security Settings - Local Policies - Security Options an:

Ändern Sie jeweils eine Einstellung und testen Sie nach jeder Änderung. Änderungen an der Schrotflinte machen es unmöglich, das nächste Problem aufzuspüren.

• Netzwerksicherheit: LAN Manager-Authentifizierungsebene – in der strengsten Version werden nur NTLMv2-Antworten gesendet und LM und NTLM vollständig abgelehnt. Ein alter Client oder ein altes Gerät, das nur NTLMv1 anbieten kann, wird hier abgelehnt.
• Netzwerksicherheit: NTLM-Richtlinien einschränken – Wenn eingehender oder Domänen-NTLM-Verkehr auf „Verweigern“ eingestellt ist, lehnt der Computer NTLM-Anmeldungen standardmäßig ab. Lösen Sie nur den konkreten Fall, den Sie bewiesen haben, nicht alles.