Windows 11: September-⁠Update lässt Credential-Guard-Geräte aus der Domäne fallen – vorläufiger Workaround, bis Microsoft patcht

Nach dem September-Sicherheitsupdate verlieren manche Windows-⁠11-⁠Geräte ihre Vertrauensstellung zur lokalen Active-⁠Directory-⁠Domäne, Nutzer können sich dann nicht mehr anmelden. Das klingt nach einem weiteren Eintrag in der langen Liste von Patchday-⁠Ärgernissen – und für die meisten Windows-⁠11-⁠Geräte ist es das auch. Wer jedoch Credential Guard einsetzt und dessen Domänencontroller nicht auf der Funktionsebene Windows Server 2025 oder höher laufen, kann Nutzer komplett von der Domänenanmeldung aussperren: genau diese Konstellation ist in gewachsenen Mittelstandsumgebungen mit gemischten Domänencontrollern keine Seltenheit.

Was ist passiert

Nach der Installation von KB5124008 und späteren Updates auf Windows 11 26H2, 25H2, 24H2 oder 26H1 verlieren manche Credential-Guard-geschützte Computerkonten ihren sicheren Kanal zur lokalen AD-⁠Domäne. Betroffene Nutzer sehen die Meldung, dass die Vertrauensstellung zwischen Gerät und Domäne fehlgeschlagen ist, und können sich nicht mehr regulär anmelden. Die Offline-⁠Anmeldung mit zwischengespeicherten Anmeldeinformationen funktioniert laut Microsoft weiterhin, die AD-⁠Replikation und die Dienste auf den Domänencontrollern selbst sind nicht betroffen.

Was ist belegt

Microsoft nennt die Ursache: Das Update selbst erzwingt keine neue Durchsetzung, sorgt aber dafür, dass Windows vorhandene oder per Richtlinie ausgerollte Einstellungen zur Machine Identity Isolation jetzt tatsächlich berücksichtigt. Diese Funktion wird laut Microsoft nur in Umgebungen unterstützt, deren Domänencontroller mit der Domänenfunktionsebene Windows Server 2025 oder höher laufen. Läuft sie in einer Umgebung mit niedrigerer Funktionsebene trotzdem aktiv, entsteht genau dieses Fehlbild – nicht weil das Update selbst defekt ist, sondern weil eine Funktion greift, die für diese Umgebung nicht vorgesehen ist.

Bis ein korrigierendes Update erscheint, bietet Microsoft einen Workaround an. Die Machine Identity Isolation lässt sich per Gruppenrichtlinie oder Registry deaktivieren, über die Schlüssel HKLMSYSTEMCurrentControlSetControlLsaMachineIdentityIsolation und HKLMSOFTWAREPoliciesMicrosoftWindowsDeviceGuardMachineIdentityIsolation, jeweils den Wert 2 auf 0 gesetzt, gefolgt von einem Neustart. Anschließend muss der sichere Kanal repariert werden, per PowerShell mit `Test-⁠ComputerSecureChannel -Repair -Credential (Get-⁠Credential)`.

Was ist derzeit unklar

Microsoft benennt die betroffenen Windows-⁠11-⁠Versionen (26H2, 25H2, 24H2, 26H1), macht nach aktuellem Kenntnisstand aber keine öffentliche Angabe dazu, wie viele Umgebungen tatsächlich betroffen sind oder wann ein korrigierendes Update erscheint. Ebenfalls offen bleibt, ob Machine Identity Isolation künftig vorsichtiger ausgerollt wird oder ob Administratoren die Domänenfunktionsebene ihrer Controller dauerhaft selbst im Blick behalten müssen.

Was Sie jetzt prüfen sollten

Der Workaround ist ausdrücklich eine Übergangslösung und kein Dauerzustand: Microsoft weist selbst darauf hin, ihn nur bei tatsächlicher Betroffenheit einzusetzen. Prüfen Sie zuerst, ob Ihre Domänencontroller unterhalb der Funktionsebene Windows Server 2025 laufen und ob Credential Guard auf den betroffenen Geräten aktiv ist. Nur wenn beides zutrifft und Nutzer tatsächlich ausgesperrt werden, ist die Deaktivierung von Machine Identity Isolation sinnvoll. Sobald Microsoft die zugrunde liegende Logik korrigiert, sollten Sie die Einstellung wieder zurücksetzen – wer nicht betroffen ist, sollte an ihr gar nicht erst drehen.

Quellen: deskmodder — „Windows 11 Probleme mit gültiger Domänenanmeldung nach September-⁠Update [Workaround]“ (https://www.deskmodder.de/blog/2026/09/17/windows-11-probleme-mit-gueltiger-domaenenanmeldung-nach-september-update-workaround/)