Wenn sich das WLAN nicht mehr von selbst verbindet

Ein mögliches Bild: Eine Mitarbeiterin klappt morgens im Büro den Laptop auf und meldet sich an Windows an. Das Firmen-WLAN verbindet sich aber nicht von selbst. Gibt sie Benutzername und Kennwort von Hand ein, klappt es. Beim VPN, dem verschlüsselten Zugang ins Firmennetz von unterwegs, kann dasselbe passieren.

Dahinter kann eine Änderung stecken, die Microsoft mit dem Windows-Sicherheitsupdate vom Oktober 2026 scharf geschaltet hat. Das Update ist am 13. Oktober 2026 erschienen. Auf einem Rechner wirkt die Änderung, sobald das Update installiert ist. Sie trifft Netze, in denen sich Windows-Rechner über das Verfahren MS-CHAPv2 automatisch mit den Windows-Zugangsdaten anmelden. Microsoft nennt das eine geplante Härtung, also das Abschalten einer unsicheren Funktion, und ausdrücklich „kein bekanntes Problem“ des Oktober-Updates.

Auf einen Blick

  • Betroffene Systeme: Windows 11 in den Versionen 24H2, 25H2 und 26H2 (jeweils alle Editionen) sowie Windows Server 2025.
  • Betroffene Verbindungen: WLAN, Netzwerkkabel (LAN) und VPN mit MS-CHAPv2, ausdrücklich auch PEAP-MSCHAPv2 und EAP-MSCHAPv2.
  • Was wegfällt: nur die automatische Anmeldung. Die Eingabe der Zugangsdaten von Hand funktioniert laut Microsoft weiter.
  • Ab wann: nach der Installation des Oktober-Updates vom 13. Oktober 2026.
  • Was Microsoft rät: weg von MS-CHAPv2, hin zur Anmeldung mit Zertifikaten.

Was sich mit dem Oktober-Update geändert hat

MS-CHAPv2 ist ein älteres Anmeldeverfahren von Microsoft, bei dem sich ein Gerät mit Benutzername und Kennwort ausweist. Enthalten ist es etwa in PEAP-MSCHAPv2 und EAP-MSCHAPv2. Das sind Verfahren, mit denen sich Geräte im WLAN, am Netzwerkkabel oder im VPN anmelden. Bequem daran: Windows kann dafür die Zugangsdaten verwenden, mit denen sich der Nutzer am Rechner angemeldet hat. Diese einmalige Anmeldung, die für weitere Dienste mitgilt, heißt Single Sign-On.

Für diesen Weg nutzt Windows eine Kryptografie, also eine Verschlüsselungstechnik, die aus NTLMv1 abgeleitet ist. NTLMv1 ist die erste Fassung von NTLM, einem älteren Anmeldeverfahren von Windows. Genau diese Technik blockiert Microsoft bei der automatischen Anmeldung. Dokumentiert hat Microsoft das Vorhaben im August 2025. Seit dem Spätsommer 2025 protokollieren Windows-11-Rechner ab Version 24H2 die Nutzung, auf Windows Server 2025 begann das im November 2025.

Gesteuert wird das über einen Eintrag in der Registrierung, der zentralen Einstellungsablage von Windows. Der Wert heißt BlockNtlmv1SSO und kennt zwei Stellungen:

  • 0, Prüfmodus: Die automatische Anmeldung ist erlaubt, Windows schreibt eine Warnung ins Protokoll.
  • 1, Erzwingungsmodus: Die automatische Anmeldung wird blockiert, Windows schreibt einen Fehler ins Protokoll.

Bis zum Oktober-Update galt ohne gesetzten Wert der Prüfmodus. Nach der Installation des Oktober-Updates gilt ohne gesetzten Wert der Erzwingungsmodus. Das Update selbst legt den Wert nicht an und ändert ihn nicht. Wer nie etwas eingestellt hat, für den gilt nach dem Update also die Sperre.

Wen das treffen kann

Drei Bedingungen kommen zusammen:

  1. Der Rechner läuft mit Windows 11 24H2, 25H2 oder 26H2 oder mit Windows Server 2025.
  2. Die Verbindung zu WLAN, LAN oder VPN nutzt MS-CHAPv2, etwa als PEAP-MSCHAPv2 oder EAP-MSCHAPv2.
  3. Auf dem Rechner ist Credential Guard ausgeschaltet (dazu gleich mehr).

Microsoft beschreibt den Fall für eine domänengebundene Umgebung. Gemeint sind Rechner, die Mitglied einer Windows-Domäne sind, also eines zentral verwalteten Firmennetzes. Ob Rechner, die nur bei Microsoft Entra ID angemeldet sind (dem Cloud-Verzeichnisdienst von Microsoft), oder einzelne Rechner ohne Domäne sicher ausgenommen sind, sagt Microsoft nicht.

Bei einem WLAN, das nur mit einem gemeinsamen Schlüssel geschützt ist (WPA2- oder WPA3-Personal), ist kein MS-CHAPv2 im Spiel. Solche Netze dürften deshalb nicht betroffen sein. Das ist unsere technische Einordnung, Microsoft sagt es nicht ausdrücklich.

Noch ein Hinweis zur Version: Für Windows 11 24H2 in den Editionen Home und Pro war das Oktober-Update laut Microsoft das letzte Update überhaupt. Microsoft empfiehlt den Wechsel auf 26H2 oder 25H2. Die Härtung gilt dort genauso, denn beide Versionen stehen auf Microsofts Liste der betroffenen Systeme. Was der Oktober-Patchday sonst gebracht hat, lesen Sie in unserem Beitrag zum Oktober-Patchday 2026.

Woran Sie es merken können

Das sichtbare Zeichen: Die automatische Verbindung kann ausbleiben, die Eingabe von Hand funktioniert weiter. Ob wirklich die Härtung dahintersteckt, zeigt die Ereignisanzeige, das eingebaute Protokollwerkzeug von Windows. Microsoft nennt dafür das Protokoll Microsoft-Windows-NTLM/Operational mit der Quelle NTLM:

  • Ereignis 4024 (Warnung): Der Rechner steht im Prüfmodus. Die automatische Anmeldung über NTLMv1 wurde genutzt und ist noch erlaubt.
  • Ereignis 4025 (Fehler): Der Rechner steht im Erzwingungsmodus. Microsoft beschreibt es sinngemäß so: Der Versuch, aus NTLMv1 abgeleitete Zugangsdaten für Single Sign-On zu nutzen, wurde durch eine Richtlinie blockiert.

Taucht 4025 auf, wurde auf diesem Rechner eine solche automatische Anmeldung blockiert. Für Ihren Dienstleister ist das ein schneller Weg, betroffene Geräte zu finden.

Credential Guard ist kein Ausweg

In Microsofts Supportartikel KB5066470 steht, die Änderung greife nur auf Geräten, auf denen Credential Guard ausgeschaltet ist. Credential Guard ist eine Schutzfunktion von Windows, die Anmeldedaten abgeschottet vom übrigen System aufbewahrt. Das liest sich, als ließe sich das Problem durch Einschalten von Credential Guard umgehen.

Das stimmt nicht. Mit eingeschaltetem Credential Guard lässt sich NTLMv1 für die automatische Anmeldung schon vor dem Oktober-Update nicht nutzen. Für diese Geräte ändert das Update deshalb nichts: Bei ihnen war die automatische Anmeldung über diesen Weg bereits gesperrt. Microsoft empfiehlt auch für sie, bei WLAN und VPN von MS-CHAPv2 auf Zertifikate umzusteigen.

Dazu kommt die Lizenzfrage. Credential Guard gibt es laut Microsoft nur in Windows Enterprise und Windows Education, nicht in Windows Pro. Die Berechtigung dafür geben Lizenzen für Windows Enterprise E3 oder E5 und Windows Education A3 oder A5. Eine Ausnahme beschreibt Microsoft: Ein Rechner, der früher als Enterprise mit Credential Guard lief und dann auf Pro zurückgestuft wurde, kann es weiter aktiv haben.

Für Microsoft 365 Business Premium gilt: Zum darin enthaltenen „Windows for business“ zählt Microsoft Windows 11 Pro und Windows 11 Pro for Workstations. Unsere Einordnung, keine Aussage von Microsoft: Auch mit Business Premium arbeiten die Rechner deshalb in der Regel ohne Credential Guard.

Unterm Strich: Mit wie ohne Credential Guard führt für die automatische Anmeldung kein Weg an der Umstellung vorbei. Ohne Credential Guard gibt es lediglich eine befristete Ausnahme als Brücke.

Was Microsoft empfiehlt

Am 14. Oktober 2026 hat Microsoft den Artikel KB5066470 überarbeitet und im Windows message center, der Nachrichtenseite für Administratoren, einen Hinweis veröffentlicht. Er erschien dort um 23:00 Uhr deutscher Sommerzeit und beginnt mit „Take action“, der Aufforderung, tätig zu werden. Die Empfehlung darin: Abhängigkeiten von MS-CHAPv2 beseitigen und WLAN- und VPN-Verbindungen auf eine zertifikatsbasierte Anmeldung umstellen. Als Zielverfahren nennt Microsoft PEAP-TLS oder EAP-TLS. Dabei weist sich das Gerät oder der Nutzer mit einem digitalen Zertifikat aus statt mit dem Kennwort.

Die befristete Ausnahme

Wer nicht sofort umstellen kann, darf laut Microsoft den Wert BlockNtlmv1SSO auf 0 setzen und damit zum Prüfmodus zurückkehren. Ein Neustart ist danach nicht nötig. Den genauen Ort in der Registrierung nennt Microsoft im Supportartikel KB5066470.

Microsoft knüpft daran klare Bedingungen. Der Prüfmodus schwächt den Schutz und soll nur als eng begrenzte, vorübergehende Sicherheitsausnahme dienen. Danach soll der Wert zurück auf Erzwingung. Ein Enddatum für die Ausnahme nennt Microsoft nicht. Wer sie nutzt, sollte deshalb selbst festhalten, für welche Geräte sie gilt und bis wann.

Was Sie tun können

Sind Sie nicht selbst der Administrator, sind das die Fragen an Ihren IT-Dienstleister:

  1. Nutzen unsere WLAN-, LAN- oder VPN-Verbindungen MS-CHAPv2, etwa als PEAP-MSCHAPv2 oder EAP-MSCHAPv2?
  2. Welche unserer Rechner laufen mit Windows 11 24H2, 25H2, 26H2 oder Windows Server 2025, und ist dort Credential Guard aktiv?
  3. Stehen in den Protokollen Ereignisse 4024 oder 4025 aus Microsoft-Windows-NTLM/Operational?
  4. Ist der Wert BlockNtlmv1SSO irgendwo gesetzt, und wenn ja: von wem, für welche Geräte und bis wann?
  5. Was braucht der Umstieg auf PEAP-TLS oder EAP-TLS in unserem Netz, und welcher Zeitplan ist realistisch?
  6. Laufen noch Rechner mit Windows 11 24H2 Home oder Pro, und wann wechseln sie auf 25H2 oder 26H2?

Bis zur Umstellung hilft eine kurze Nachricht ans Team: Verbindet sich WLAN oder VPN nicht von selbst, funktioniert die Eingabe der Zugangsdaten von Hand weiter.

Welche VPN-Programme oder Firewalls in Ihrem Netz MS-CHAPv2 verwenden, kann Ihnen nur Ihr Dienstleister oder der jeweilige Hersteller sagen. Fragen Sie dort nach, bevor Sie etwas umstellen.

Was offen ist

  • Geräte ohne Domäne: Microsoft beschreibt den Fall für domänengebundene Rechner. Ob reine Entra-ID-Geräte oder Rechner ohne Domäne sicher ausgenommen sind, bleibt offen.
  • Windows 11 23H2: Microsoft nennt diese Version in KB5066470 nicht. Eine Aussage in die eine oder andere Richtung machen wir deshalb nicht.
  • Zukunft der Ausnahme: Ob die Rückkehr zum Prüfmodus später wegfällt oder ein Enddatum bekommt, sagt Microsoft nicht. Der Artikel soll laut Microsoft aktualisiert werden, wenn es weitere Hinweise gibt.
  • Einzelheiten der Netzwerkseite: Wie sich die Änderung auf bestimmte Produkte im Netz auswirkt, behandeln die Microsoft-Texte, auf die sich dieser Beitrag stützt, nicht.
  • Einstufung: Stand 16. Oktober 2026 führt Microsoft die Änderung im Windows message center ausdrücklich nicht als bekanntes Problem.

Wer Credential Guard und Zertifikate im Detail nachlesen will, findet Microsofts Hinweise zu WLAN und VPN auf einer englischsprachigen Seite zu Credential Guard und die Editionsübersicht auf der Credential-Guard-Übersichtsseite.

Wobei Toptronix hilft

Netzwerkplanung und -verwaltung mit WLAN, Switching, Routing und VPN gehört zu unserem Bereich IT-Infrastruktur. Wenn Sie klären wollen, ob die Anmeldung in Ihrem Netz an MS-CHAPv2 hängt, sprechen Sie uns an. Sicherheitspatches für Windows spielen wir im Rahmen unseres Patch Managements ein, getestet und dokumentiert.