Windows 11: Always On VPN nach September-⁠Updates – Protokollwahl prüfen

Nach den Windows-11-Sicherheitsupdates vom September 2026 konnten Always-⁠On-⁠VPN-⁠Verbindungen mit automatischer Protokollwahl scheitern. Betroffen waren Verbindungen mit IKEv2 und SSTP; teils blieb der Status bei „Verbindung wird hergestellt“ stehen oder ein erneuter Versuch endete mit „Der angegebene Anschluss wird bereits verwendet“.

Der Fehler betrifft eine bestimmte VPN-⁠Konfiguration

Always On VPN stellt im Hintergrund eine Verbindung zum Unternehmensnetz her, sobald ein Gerät eine Internetverbindung hat. Fällt dieser Tunnel aus, kann der Fernzugriff auf interne Ressourcen ausbleiben, obwohl das Gerät selbst online ist. Für Administratoren ist deshalb wichtig, den Fehler nicht vorschnell als allgemeinen Internetausfall oder als Störung sämtlicher VPN-⁠Verbindungen einzuordnen.

Der gemeldete Auslöser ist enger gefasst: Windows-⁠11-⁠Systeme nach Installation der September-Sicherheitsupdates, wenn im Always-⁠On-⁠VPN-⁠Profil die automatische Protokollauswahl mit IKEv2 und SSTP verwendet wird. Microsoft beschrieb außerdem einen möglichen Ablauf: Scheitert ein Verbindungsversuch, kann die Verbindung hängen bleiben oder auch bei folgenden Versuchen fehlschlagen. Die Anschluss-⁠Fehlermeldung kann dabei auftreten, muss aber nicht das einzige erkennbare Symptom sein.

Always On VPN unterstützt unterschiedliche Geräte, darunter Windows-⁠10-, Windows-⁠11-⁠ und Windows-⁠Server-⁠Systeme. Daraus folgt jedoch nicht, dass alle diese Plattformen von genau diesem Fehler betroffen sind. Die Meldung bezieht das Problem auf Windows 11. Eine pauschale Änderung an sämtlichen VPN-⁠Profilen wäre daher nicht durch die beschriebene Störung begründet.

Die erste Entwarnung war verfrüht

Microsoft hatte das Problem zunächst im Zusammenhang mit den Oktober-⁠Updates als behoben eingestuft. Diese Einschätzung wurde später korrigiert. Das ist für den Betrieb wichtiger als die bloße Meldung eines verfügbaren Fixes: Wer bereits nach den Oktober-⁠Updates Entwarnung gegeben hat, sollte nicht allein daraus schließen, dass betroffene Verbindungen wieder zuverlässig funktionieren.

Die Korrektur ist laut Microsoft in der Vorschauaktualisierung KB5127936 enthalten. Sie behebt das Problem mit Always On VPN nach den September-Sicherheitsupdates. Wer die Vorschauaktualisierung nicht einspielen möchte, kann laut Microsoft auf das nächste kumulative Patchday-⁠Update warten. Die Meldung nennt damit zwei Wege: den Fix über die Vorschauaktualisierung oder eine vorübergehende Änderung der VPN-⁠Konfiguration.

Als Übergang ein Protokoll festlegen

Für die temporäre Abhilfe soll die automatische Auswahl durch ein einzelnes Protokoll ersetzt werden: SSTP oder IKEv2. Welches davon passt, hängt laut Microsoft von Umgebung, Sicherheit und Bereitstellung ab. Es gibt also keine allgemeingültige Empfehlung, für alle Organisationen dasselbe Protokoll einzustellen.

Das ist keine kosmetische Profileinstellung. Sie verändert, welches Protokoll die Verbindung verwendet, und kann deshalb nicht losgelöst von der vorhandenen VPN-⁠Konfiguration entschieden werden. Prüfen Sie zunächst, ob die betroffenen Profile tatsächlich beide Protokolle automatisch auswählen. Nur dort ist die beschriebene Übergangslösung unmittelbar auf den Fehler zugeschnitten. Eine Umstellung auf ein einzelnes Protokoll sollte anschließend für die betroffenen Nutzer und Geräte nachvollziehbar getestet werden, bevor sie breiter ausgerollt wird.

Fix und Workaround nicht verwechseln

Die Protokolländerung ist eine vorübergehende Abhilfe, kein Ersatz für die Fehlerkorrektur. Für Organisationen, die den Fehler bereits beobachten, ist die Vorschauaktualisierung der direktere Weg zum bestätigten Fix. Wer sie nicht einsetzen möchte, kann die von Microsoft beschriebene Änderung als Zwischenlösung erwägen und den späteren kumulativen Patch einplanen.

Bei der Prüfung zählt nicht nur, ob ein Gerät nach einer Änderung einmal eine Verbindung aufbaut. Relevant ist auch, ob die betroffene Verbindung nach einem fehlgeschlagenen Versuch wieder zustande kommt, denn genau dieses Verhalten beschreibt Microsoft. Die Meldung liefert keine weitergehenden Prüfbefehle; eine konkrete Kommandozeile wäre hier daher keine verlässliche Ergänzung.

Takeaway: Prüfen Sie bei betroffenen Windows-⁠11-⁠Geräten zuerst, ob das Always-⁠On-⁠VPN-⁠Profil IKEv2 und SSTP automatisch auswählt, und entscheiden Sie dann zwischen KB5127936 und einer begründeten temporären Festlegung auf ein Protokoll.

Quellen: BleepingComputer – „Microsoft finally fixes VPN issues caused by September updates“ (https://www.bleepingcomputer.com/news/microsoft/microsoft-finally-fixes-vpn-issues-caused-by-september-updates/)