Das aktuelle Windows-11-Sicherheitsupdate KB5127648 vom 13. Oktober 2026 sorgt offenbar für neue Verbindungsprobleme. Seit dem Patchday berichten Administratoren, dass sich bestimmte Computer nicht mehr mit dem WLAN ihres Unternehmens oder ihrer Schule bzw. Uni verbinden können. Betroffen sind insbesondere Netzwerke, die WPA2-Enterprise mit 802.1X und PEAP/MSCHAPv2 verwenden. Gewöhnliche private WLAN-Verbindungen funktionieren nach bisherigen Berichten in der Regel problemlos.
Inzwischen gibt es auch eine technische Erklärung von Microsoft. Mit den Oktober-Sicherheitsupdates wird eine ältere NTLMv1-basierte Anmeldemethode standardmäßig strenger behandelt. Das verbessert die Sicherheit, kann jedoch vorhandene WLAN-, Ethernet- und VPN-Konfigurationen beeinträchtigen. Wir erklären, was sich geändert hat, wie Du das Problem erkennst und welche Lösungen möglich sind.
KB5127648: Windows 11 verbindet sich nach dem Update nicht mehr mit dem WLAN
Die ersten Berichte über die Verbindungsprobleme wurden unmittelbar nach der Veröffentlichung von KB5127648 bekannt. Besonders betroffen sind verwaltete Windows-11-Computer, die sich normalerweise automatisch mit einem Unternehmensnetzwerk verbinden.
Bei solchen Verbindungen reicht es nicht aus, lediglich das richtige WLAN-Passwort zu kennen. Stattdessen erfolgt eine Benutzer- oder Geräteauthentifizierung über eine zentrale Infrastruktur. Dafür werden beispielsweise RADIUS-Server und Verfahren wie PEAP/MSCHAPv2 eingesetzt.
Nach der Installation des Oktober-Updates kann diese Anmeldung fehlschlagen. Windows versucht dann wiederholt, eine Verbindung herzustellen, ohne dass der Vorgang erfolgreich abgeschlossen wird. In manchen Fällen erscheint die Meldung „Verbindung mit diesem Netzwerk nicht möglich“.
Wichtig ist die Unterscheidung zwischen einem technischen Defekt des WLAN-Adapters und einer fehlgeschlagenen Authentifizierung. Wenn Windows das Funknetz erkennt, die Anmeldung aber scheitert, liegt das Problem möglicherweise an der neuen Sicherheitsregel und nicht an der WLAN-Hardware.
Welche Windows-11-Versionen sind betroffen?
Die Änderungen betreffen Windows 11 24H2, 25H2 und 26H2. Für diese Versionen wurde am 13. Oktober 2026 das kumulative Sicherheitsupdate KB5127648 veröffentlicht.
| Windows-Version | Update | Buildnummer |
|---|---|---|
| Windows 11 24H2 | KB5127648 | 26100.9711 |
| Windows 11 25H2 | KB5127648 | 26200.9711 |
| Windows 11 26H2 | KB5127648 | 26300.9711 |
Allerdings sind keineswegs sämtliche Computer mit diesen Windows-Versionen betroffen. Entscheidend ist, welches Authentifizierungsverfahren verwendet wird und wie die Windows-Sicherheitsfunktionen konfiguriert sind.
Über die anderen Verbesserungen und bekannten Fehler von KB5127648 haben wir bereits ausführlich berichtet. Weitere Informationen findest Du in unserem Beitrag Windows 11 KB5127648: Microsoft behebt schwarze Bildschirme, Audio- und VPN-Probleme.
Microsoft bestätigt NTLM-Änderung als Ursache für mögliche Verbindungsprobleme
Microsoft hat seine technische Dokumentation am 14. Oktober 2026 aktualisiert und beschreibt darin die Änderungen beim Umgang mit NTLMv1-basierten Anmeldedaten. Diese Änderung ist eine bewusst eingeführte Sicherheitsmaßnahme und nicht einfach ein gewöhnlicher Fehler der WLAN-Funktion.
Bisher wurden bestimmte NTLMv1-basierte Single-Sign-on-Anmeldungen lediglich protokolliert. Seit den Oktober-Sicherheitsupdates werden solche Anmeldungen unter bestimmten Voraussetzungen standardmäßig blockiert.
Entscheidend ist dabei die Windows-Registrierung. Über den Wert BlockNtlmv1SSO wird festgelegt, ob Windows ältere Anmeldeverfahren lediglich überwacht oder tatsächlich blockiert.
| Wert | Bedeutung |
|---|---|
| 0 | Audit: Anmeldeversuche werden protokolliert, aber nicht durch diese Regel blockiert. |
| 1 | Enforce: Betroffene NTLMv1-basierte Single-Sign-on-Anmeldungen werden blockiert. |
Seit dem Oktober-Update verwendet Windows bei fehlendem Registry-Wert intern standardmäßig den strengeren Enforce-Modus. Der Wert muss dabei nicht sichtbar in der Registrierung vorhanden sein. Diese Änderung betrifft Systeme, auf denen Credential Guard deaktiviert ist und für die keine ausdrückliche Einstellung vorgenommen wurde.
Microsoft erläutert die Hintergründe in seiner offiziellen Dokumentation zu den NTLMv1-Änderungen und möglichen Netzwerkproblemen.
Warum Microsoft das ältere NTLM-Verfahren langfristig ersetzen möchte, erklären wir auch in unserem Grundlagenartikel NTLM Authentifizierung bei Windows.
Schritt für Schritt: WLAN-Probleme nach KB5127648 untersuchen
Wenn sich Dein Windows-11-Computer nach dem Oktober-Update nicht mehr mit dem Firmen-WLAN verbindet, solltest Du zunächst überprüfen, ob tatsächlich die beschriebenen Voraussetzungen vorliegen. Besonders auf verwalteten Unternehmenscomputern sollten Änderungen an der Authentifizierung mit der zuständigen IT-Abteilung abgestimmt werden.
Schritt 1: Installation von KB5127648 überprüfen
Mit der Tastenkombination Windows-Taste und I gelangst Du zu den Windows-Einstellungen. Im Bereich „Windows Update“ findest Du den „Updateverlauf“. Dort kannst Du überprüfen, ob das kumulative Sicherheitsupdate KB5127648 bereits installiert wurde.
Alternativ kannst Du folgenden Befehl in PowerShell ausführen:
Get-HotFix -Id KB5127648Wenn Windows das Update in der Hotfix-Liste registriert hat, werden die entsprechenden Informationen angezeigt. Bleibt die Abfrage ohne Treffer oder erscheint eine Fehlermeldung, kannst Du zusätzlich den Windows-Updateverlauf kontrollieren.
Schritt 2: Verwendete WLAN-Authentifizierung feststellen
Mit dem folgenden Befehl kannst Du Dir die gespeicherten WLAN-Profile anzeigen lassen:
netsh wlan show profilesWenn Du den Namen des betroffenen Profils kennst, lassen sich weitere Informationen abrufen:
netsh wlan show profile name="FirmenWLAN"Ersetze „FirmenWLAN“ durch den tatsächlichen Profilnamen. Bei zentral verwalteten Verbindungen werden möglicherweise nicht alle Authentifizierungsdetails angezeigt. Die IT-Abteilung kann dann anhand der vorhandenen WLAN- und RADIUS-Konfiguration feststellen, ob PEAP/MSCHAPv2 verwendet wird.
Weitere Beispiele zur Verwaltung gespeicherter WLAN-Verbindungen findest Du in unserer Anleitung WLAN Profil exportieren und importieren.
Schritt 3: NTLM-Ereignisse untersuchen
Windows kann blockierte NTLMv1-basierte Anmeldeversuche im Ereignisprotokoll erfassen. Besonders interessant ist die Ereignis-ID 4025. Sie weist auf einen durch die Sicherheitsrichtlinie blockierten Single-Sign-on-Versuch hin.
Du kannst die vorhandenen Ereignisse mit PowerShell überprüfen:
Get-WinEvent -FilterHashtable @{
LogName = 'Microsoft-Windows-NTLM/Operational'
Id = 4025
} -MaxEvents 20 |
Select-Object TimeCreated, Id, MessageFalls entsprechende Einträge vorhanden sind, können sie wichtige Hinweise auf die Ursache liefern. Ein fehlender Eintrag beweist allerdings nicht, dass sämtliche Authentifizierungsprobleme ausgeschlossen sind.
Wie Du Windows-Protokolle weiter untersuchen kannst, erklären wir in unserer Anleitung Ereignisanzeige mit PowerShell auslesen.
Lösung 1: WLAN-Anmeldung mit manuell eingegebenen Zugangsdaten testen
Microsoft weist darauf hin, dass die neue Einschränkung bestimmte automatische Single-Sign-on-Verfahren betrifft. Eine manuelle Anmeldung mit Benutzername und Kennwort kann bei geeigneten Konfigurationen weiterhin funktionieren.
Wenn Deine Unternehmensrichtlinien dies erlauben, kannst Du deshalb zunächst überprüfen, ob sich die Verbindung ohne automatische Übernahme der Windows-Anmeldedaten herstellen lässt. Dabei müssen die vorgesehenen Sicherheitszertifikate und Serverprüfungen weiterhin aktiviert bleiben.
Das ist keine universelle Lösung. Die erforderlichen Einstellungen hängen von der verwendeten Authentifizierungsmethode und der Netzwerkverwaltung ab. Bitte ändere bei einem Firmencomputer keine Zertifikats- oder Sicherheitsprüfungen auf eigene Faust.
Lösung 2: BlockNtlmv1SSO vorübergehend auf Audit-Modus setzen
Für Administratoren beschreibt Microsoft eine weitere Möglichkeit. Wenn eine wichtige Anwendung oder Netzwerkverbindung noch von älteren NTLMv1-basierten Anmeldedaten abhängig ist, kann der Audit-Modus vorübergehend wieder aktiviert werden.
Dafür wird der DWORD-Wert BlockNtlmv1SSO unter folgendem Registry-Pfad verwendet:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0Die Änderung lässt sich beispielsweise in einer administrativen PowerShell vornehmen:
New-ItemProperty `
-Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0' `
-Name 'BlockNtlmv1SSO' `
-PropertyType DWord `
-Value 0 `
-ForceDadurch verwendet Windows für diese Einstellung wieder den Audit-Modus. Microsoft weist darauf hin, dass für die Änderung selbst kein Neustart erforderlich ist. Falls sich die Verbindung nicht sofort erneut aufbauen lässt, kann ein neuer Verbindungsversuch sinnvoll sein.
Wichtig: Diese Änderung reduziert den Schutz vor älteren Authentifizierungsverfahren. Sie sollte deshalb ausschließlich als zeitlich begrenzte Ausnahme auf tatsächlich betroffenen Geräten eingesetzt werden. In Unternehmen empfiehlt sich eine zentrale Verwaltung mit dokumentierter Rücknahme der Ausnahme.
Eine dauerhafte Freigabe der älteren NTLMv1-basierten Verfahren ist keine empfehlenswerte Sicherheitsstrategie.
Lösung 3: Langfristig auf zertifikatbasierte WLAN-Anmeldung umstellen
Die nachhaltigere Lösung ist eine Modernisierung der Authentifizierung. Besonders für verwaltete Firmen- und Hochschulnetzwerke ist die Verwendung von EAP-TLS mit geeigneten Zertifikaten eine wichtige Alternative.
Bei EAP-TLS werden Geräte beziehungsweise Benutzer über Zertifikate authentifiziert. Dadurch entfällt die Abhängigkeit von den hier betroffenen NTLMv1-basierten Single-Sign-on-Anmeldedaten.
Die Umstellung benötigt allerdings eine passende Zertifikatsinfrastruktur und eine sorgfältige Konfiguration der WLAN-Profile sowie der RADIUS-Server. Unternehmen sollten deshalb zunächst einzelne Testgeräte migrieren und anschließend den zentralen Rollout vorbereiten.
Solltest Du KB5127648 wieder deinstallieren?
Einige Administratoren berichten, dass die WLAN-Verbindung nach der Deinstallation des Oktober-Updates wieder funktioniert. Trotzdem sollte das Entfernen eines aktuellen Sicherheitsupdates nicht die erste Maßnahme sein.
KB5127648 enthält wichtige Sicherheitskorrekturen. Werden diese wieder entfernt, können bereits geschlossene Schwachstellen erneut relevant werden. Außerdem beseitigt eine Deinstallation nicht die eigentliche Abhängigkeit von älteren Authentifizierungsverfahren.
Falls eine Rücknahme in einer kritischen Situation notwendig wird, sollte sie nur vorübergehend und nach einer Risikoabwägung erfolgen. Die verschiedenen Möglichkeiten beschreiben wir im Beitrag Windows 11 Updates deinstallieren.
Windows 11 KB5127648 im Microsoft Update Catalog herunterladen
Das Oktober-Sicherheitsupdate KB5127648 steht auch im Microsoft Update Catalog zur Verfügung. Dort sind Installationspakete für Windows 11 24H2, 25H2 und 26H2 in den Architekturen x64 und ARM64 erhältlich.
Wichtig ist dabei, dass das manuelle Installieren desselben Updates die beschriebene NTLM-Sicherheitsänderung nicht rückgängig macht. Wenn ein Computer bereits von den Authentifizierungsproblemen betroffen ist, solltest Du deshalb zunächst die Ursache untersuchen.
Aus der Administratorpraxis: WLAN und VPN vor weiteren Updates testen
Für Unternehmen mit zahlreichen Windows-11-Computern zeigt der aktuelle Vorfall, wie wichtig eine kontrollierte Updateverteilung ist. Besonders Netzwerke mit älteren Authentifizierungsverfahren sollten vor der flächendeckenden Bereitstellung neuer Windows-Sicherheitsupdates getestet werden.
Aus der Administratorpraxis empfiehlt sich ein kleiner Testr ing mit repräsentativen Geräten. Dabei sollten automatische WLAN-Anmeldungen, Netzwerkwechsel, VPN-Verbindungen und die Anmeldung nach einem Neustart überprüft werden.
Zusätzlich lohnt sich die Auswertung der NTLM-Ereignisse. Wenn dort ältere Verfahren auftauchen, sollte frühzeitig eine Modernisierung geplant werden. Dadurch lassen sich ähnliche Probleme bei späteren Sicherheitsänderungen vermeiden.
Weitere Grundlagen zur Untersuchung von Netzwerkverbindungen findest Du in unserer Anleitung Standardgateway unter Windows herausfinden.
FAQ: Häufige Fragen zu KB5127648 und den WLAN-Problemen
Nein. Die bisher dokumentierten Schwierigkeiten betreffen insbesondere bestimmte Unternehmensnetzwerke mit älteren NTLMv1-basierten Single-Sign-on-Verfahren. Normale private WLAN-Netzwerke sind nicht allgemein betroffen.
Microsoft hat mit den Oktober-Updates das Standardverhalten bei NTLMv1-basierten Anmeldedaten verschärft. Dadurch können ältere Single-Sign-on-Verbindungen mit PEAP/MSCHAPv2 blockiert werden.
Ja, in bestimmten betroffenen Umgebungen kann der Wert 0 die ältere Anmeldung vorübergehend wieder ermöglichen. Microsoft weist allerdings darauf hin, dass dadurch eine Sicherheitsbeschränkung gelockert wird.
Eine mögliche langfristige Lösung ist die Umstellung auf eine moderne, zertifikatbasierte Authentifizierung mit EAP-TLS. Dafür müssen die Netzwerk- und Zertifikatsinfrastruktur entsprechend vorbereitet werden.
Fazit: Mehr Sicherheit durch KB5127648, aber Probleme mit älteren WLAN-Anmeldungen
Das Oktober-Update KB5127648 zeigt, dass zusätzliche Sicherheitsmaßnahmen auch bestehende Netzwerkverbindungen beeinträchtigen können. Microsoft blockiert bestimmte ältere NTLMv1-basierte Single-Sign-on-Verfahren nun standardmäßig. In Unternehmensumgebungen mit PEAP/MSCHAPv2 kann das zu fehlgeschlagenen WLAN-, Ethernet- oder VPN-Anmeldungen führen.
Die beschriebenen Lösungsansätze helfen dabei, betroffene Systeme wieder erreichbar zu machen. Die vorübergehende Rückkehr zum Audit-Modus sollte jedoch nicht zur Dauerlösung werden. Unternehmen sollten die vorhandenen Authentifizierungsverfahren überprüfen und möglichst auf moderne, zertifikatbasierte Methoden umstellen. Für normale private WLAN-Verbindungen besteht wegen dieser konkreten Änderung dagegen kein allgemeiner Handlungsbedarf.
Neueste Kommentare