Microsoft verschärft die Absicherung der Windows-Authentifizierung: Seit den Sicherheitsupdates vom 10. November 2026 bieten Windows-Clients bei NTLM-Anmeldungen standardmäßig eine echte kryptografische Nachrichtensignierung an. Windows Server akzeptieren vorerst weiterhin unsignierte Verbindungen. Ab Mai 2027 sollen sie Clients ohne NTLM-Signierung standardmäßig zurückweisen. Besonders Unternehmen mit älteren Anwendungen, Appliances oder eigenen Authentifizierungsabläufen sollten deshalb ihre NTLM-Verbindungen prüfen.
Die zweistufige Umstellung ist in Microsofts neuem Supportartikel KB5135557 zur NTLM-Signierung dokumentiert. Sie gehört zur Behebung der Sicherheitslücke CVE-2026-118737 und betrifft unterstützte Windows-11-Versionen sowie mehrere Windows-Server-Generationen.
Seit November wird Signierung angeboten, ab Mai 2027 verlangt
In der ersten Phase bieten aktualisierte Windows-Clients für nicht anonyme NTLM-Verbindungen standardmäßig Signierung an. Dabei wird ein kryptografischer Sitzungsschlüssel für die Integritätsprüfung ausgehandelt. Server nehmen zunächst weiterhin signierte und unsignierte Clients an. Auf diese Weise können Administratoren ältere Gegenstellen erkennen, ohne dass die neue Vorgabe sofort jede ungeschützte Anmeldung unterbindet.
Die zweite Phase ist für Mai 2027 vorgesehen. Dann soll Windows Server die Signierung standardmäßig durchsetzen. Clients, die keine Signierung anbieten, werden zurückgewiesen; Microsoft nennt den Fehlercode SEC_E_UNSUPPORTED_FUNCTION (0x80090302). Betroffen sein können insbesondere ältere Software, nicht aktualisierte Systeme und Geräte, deren NTLM-Implementierung keine korrekte Aushandlung unterstützt.
Microsoft unterscheidet dabei echte Signierung über NTLMSSP_NEGOTIATE_SIGN vom älteren Kennzeichen NTLMSSP_NEGOTIATE_ALWAYS_SIGN. Letzteres kann auch ohne wirksamen kryptografischen Schutz vorkommen. Die neue Regel soll solche Sitzungen verhindern; eine bloße Anzeige von „Always Sign“ genügt daher nicht als Nachweis.
Welche Windows-Versionen betroffen sind
Microsoft führt in KB5135557 Windows 11 in den Versionen 23H2, 24H2, 25H2, 26H1 und 26H2, Windows 10 Enterprise LTSC 2021 sowie Windows Server 2016, 2019, 2022 und 2025 auf. Die Neuerung steckt in den jeweiligen Sicherheitsupdates vom November, nicht in einem separaten optionalen Programm. Welche konkrete KB-Nummer und welcher Build benötigt wird, hängt von der eingesetzten Windows-Version und dem Updatekanal ab.
Die Änderungen betreffen NTLM, nicht Kerberos. Anonyme Verbindungen und Gastverbindungen sind nach Microsofts Angaben ausgenommen. Bei älteren Servern, die das SIGN-Merkmal nicht zurückmelden, kann der Client in der ersten Phase weiterhin auf das bisherige Verhalten zurückfallen. Daraus lässt sich jedoch keine Kompatibilitätsgarantie für die ab Mai 2027 geplante Durchsetzung ableiten.
NTLM-Auditing zeigt mögliche Anmeldeprobleme
Zur Vorbereitung empfiehlt Microsoft die Auswertung des Ereignisprotokolls Microsoft-Windows-NTLM/Operational. Die Ereignis-ID 4022 betrifft die Clientseite, 4023 die Serverseite. Auf Windows Server 2019 und neuer stehen die entsprechenden Angaben mit erweitertem NTLM-Auditing bereit. Entscheidend ist nicht allein die Ereignisstufe: Sowohl signierte als auch unsignierte Sitzungen können als Warnung erscheinen.
Administratoren sollten stattdessen prüfen, ob in Negotiated Flags das Signierungsbit 0x00000010 und das Schlüsselaustauschbit 0x40000000 enthalten sind und Session Key Status den Wert Present zeigt. Fehlt die echte Signierung, sollte nachvollzogen werden, welche Anwendung beziehungsweise welcher Client die Anmeldung initiiert. Microsoft stellt in KB5135557 auch ein PowerShell-Beispiel zur Auswertung bereit.
Ein solcher Bestandstest ist für zentrale Dateidienste, ältere Branchensoftware und gemischt betriebene Windows-Umgebungen sinnvoller als eine sofortige pauschale Erzwingung. Zunächst müssen die tatsächlich verwendeten Authentifizierungswege erfasst und betroffene Anwendungen geprüft werden.
Neue Registrierungseinstellungen für den Übergang
Die November-Updates führen unter HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0 zwei Einstellungen ein. ClientAllowUnsignedNtlm steht standardmäßig auf 0: Der Client bietet Signierung für nicht anonyme Verbindungen an. Der Wert 1 kann dieses Verhalten vorübergehend für Kompatibilitätsfälle zurücknehmen, schwächt aber den vorgesehenen Schutz.
Auf dem Server steuert ServerRequireNtlmSign die Durchsetzung. Der Standardwert 0 akzeptiert in der ersten Phase beide Verbindungsarten; 1 weist nicht signierte Clients zurück. Microsoft empfiehlt eine vorgezogene Aktivierung erst, wenn das Auditing keine betroffenen unsignierten Verbindungen mehr zeigt. Nach Herstellerangaben erfordert die Änderung dieses Werts keinen Neustart. Die Einstellungen sind nicht mit den älteren NTLMv1-Härtungsregeln zu verwechseln.
Offizielle Update- und Herstellerinformationen
Windows-Updates: Die Sicherheitsaktualisierungen vom 10. November 2026 werden über die regulären Windows-Update- und Verwaltungswege verteilt. Den passenden Versionszweig, die jeweilige KB-Nummer und den Build dokumentiert Microsoft in der deutschen Windows-11-Updateübersicht; weitere Betriebssysteme sind über Windows Release Health erreichbar.
Technische Primärquelle: Microsoft KB5135557 – NTLM signing security improvements in Windows beschreibt den genauen Fahrplan, die Prüfmerkmale, Registry-Werte und Ereigniskennungen. Eine inhaltlich gleichwertige aktuelle deutschsprachige Fassung dieses spezifischen Supportartikels war bei der Recherche nicht verfügbar.
Für Unternehmen ist der wichtigste Schritt nach der Installation der Updates die Bestandsaufnahme der unsignierten NTLM-Verbindungen. Sie schafft die Grundlage, betroffene Clients oder Anwendungen vor der für Mai 2027 geplanten Durchsetzung gezielt zu aktualisieren oder umzustellen.
Werbung
(**) UVP: Unverbindliche Preisempfehlung
Preise inkl. MwSt., zzgl. Versandkosten