Microsoft räumt ein: Oktober-Update hat den Always-On-VPN-Fehler in Windows 11 nicht behoben

Microsoft hat eingeräumt, dass ein Fehler in Windows 11, der Always-On-VPN-Verbindungen lahmlegt, nie wirklich behoben wurde. Der Konzern hatte ihn mit dem Patchday im Oktober 2026 als gelöst markiert und den Status dann stillschweigend zurückgesetzt. Eine echte Korrektur soll nun „in den kommenden Wochen“ kommen.

Wer in der Firma Windows-Laptops verwaltet, sollte weiterlesen. Wer zu Hause eine VPN-App wie NordVPN oder Proton VPN nutzt, kann vermutlich durchatmen, und wir erklären, warum.

Was passiert ist

Der Fehler tauchte nach den Sicherheitsupdates für Windows 11 vom September 2026 auf. Er betrifft Always On VPN, die eingebaute Windows-Funktion, mit der Unternehmen Mitarbeiter-Laptops automatisch mit dem Firmennetz verbunden halten. Microsoft bestätigte das Problem Ende September in einem Service-Hinweis an Administratoren.

Mit dem kumulativen Update im Oktober wurde das Problem dann als Gelöst geführt. Das war es nicht. Am 20. Oktober berichtete The Register, dass Microsoft den Status des Problems (Kennung WI1482218) auf Abgeschwächt zurückgesetzt hatte, mit diesem Hinweis:

“This disclosure was mistakenly updated to Resolved status on October 13, 2026. We have returned its status to Mitigated.”

Sinngemäß: Der Eintrag wurde am 13. Oktober irrtümlich auf Gelöst gesetzt, Microsoft hat ihn wieder auf Abgeschwächt gestellt. Eine Lösung sei „für ein Update in den kommenden Wochen geplant“. BleepingComputer meldete am 21. Oktober, dass Microsoft sich für die Verwirrung entschuldigt habe.

Always On VPN in Kürze

Always On VPN ist der Nachfolger von DirectAccess, dem älteren System, das Firmen-Laptops mit dem Büronetz verbunden hielt. Das Prinzip ist einfach: Sobald der Laptop eines Mitarbeiters Internet hat, baut Windows einen VPN-Tunnel zur Firma auf, ohne dass jemand klickt. Administratoren verteilen das Profil zentral, meist über Microsoft Intune oder Gruppenrichtlinien, und viele Nutzer wissen gar nicht, dass es existiert, bis es ausfällt.

Es verbindet sich entweder über IKEv2, ein schnelles Protokoll, das Netzwechsel gut verkraftet, oder über SSTP, das denselben Port wie normaler HTTPS-Verkehr nutzt und durch die meisten Firewalls kommt. Die automatische Einstellung probiert das eine und weicht dann aufs andere aus. Genau in diesem Ausweichen steckt der Fehler.

Scheitert die Verbindung, verlieren Mitarbeiter im Homeoffice den Zugriff auf Dateifreigaben, Intranet und Fachanwendungen. Deshalb haben Helpdesks das Problem schon im September bemerkt.

Welche Systeme betroffen sind

Laut beiden Berichten:

• Windows 11 24H2 und neuer, in der Praxis also 24H2, 25H2 und 26H2
• Geräte mit Always On VPN, egal ob in einer Domäne, ohne Domäne oder in Microsoft Entra ID eingebunden
• Profile, die nach einem ersten Fehlversuch auf eine andere Verbindungsart ausweichen. Typischer Fall ist die automatische Protokollwahl, bei der Windows erst IKEv2 und dann SSTP probiert

Die Symptome sind kaum zu übersehen. Die Verbindung hängt bei „Verbindung wird hergestellt“ oder startet immer wieder neu. Spätere Versuche können mit der Meldung scheitern, der angegebene Port sei bereits in Verwendung.

The Register merkt an, dass der eigentliche Fehler bis Windows 10 zurückreicht, erst das September-Update ihn aber auf aktuellen Windows-11-Versionen sichtbar gemacht hat.

Die Umgehung

Microsofts Umgehung ist seit September gleich: Windows das Protokoll nicht mehr automatisch wählen lassen. Administratoren sollen das Always-On-VPN-Profil auf ein einziges Protokoll festlegen, also nur SSTP oder nur IKEv2, je nachdem, was VPN-Gateway und Sicherheitsvorgaben zulassen.

Über Intune oder Gruppenrichtlinien ist das schnell verteilt, hat aber Nachteile. IKEv2 ist meist schneller und kommt gut mit Netzwechseln zurecht. SSTP läuft über Port 443 und kommt damit durch Hotel- und Gast-WLAN-Firewalls, die IKEv2 blockieren. Wer sich festlegt, verliert die Rückfalloption, die den Automatikmodus attraktiv gemacht hat. Reisen Ihre Leute viel, ist SSTP die sicherere Einzelwahl. Arbeiten sie vor allem zu Hause und im Büro, bietet IKEv2 das bessere Erlebnis.

Betrifft das NordVPN, Proton VPN und andere VPN-Apps?

Sehr unwahrscheinlich. Keiner der beiden Berichte erwähnt Verbraucher-VPNs, und die Technik erklärt, warum. Always On VPN ist eine Funktion des eingebauten Windows-VPN-Clients, eingerichtet von der IT-Abteilung einer Organisation. VPN-Apps für Privatkunden bringen ihren eigenen Client mit und verbinden sich über eigene Protokolle, meist WireGuard-basierte wie NordLynx oder OpenVPN.

Spinnt also Ihre private VPN-App, ist dieser Fehler wahrscheinlich nicht schuld. Prüfen Sie zuerst die üblichen Verdächtigen: eine veraltete App, ein Netzwerkadapter, der zurückgesetzt werden muss, oder eine Firewall-Regel. Unser Ratgeber VPN trennt die Verbindung geht sie durch.

Die einzige Ausnahme: Sie haben ein VPN von Hand in den Windows-Einstellungen eingerichtet (Einstellungen, Netzwerk und Internet, VPN) und als VPN-Typ „Automatisch“ gewählt. Das nutzt denselben eingebauten Client. Hat es nach dem September-Update angefangen zu streiken, stellen Sie den VPN-Typ auf ein einzelnes Protokoll um, oder besser, nutzen Sie die App Ihres Anbieters. Unsere Anleitung VPN unter Windows 11 einrichten zeigt beide Wege.

Suchen Sie ein VPN für einen privaten Windows-PC, ist NordVPN unsere erste Wahl, mit 4,63/5, eigener Windows-App, Kill Switch und einer von PwC geprüften No-Logs-Richtlinie.

NordVPN für Windows holen

So erkennen Sie, ob Sie Always On VPN nutzen

Wenn Sie Mitarbeiter und kein Administrator sind:

1. Öffnen Sie Einstellungen, dann Netzwerk und Internet, dann VPN.
2. Suchen Sie eine VPN-Verbindung, die Sie nicht selbst angelegt haben, meist mit dem Namen Ihrer Firma.
3. Steht dort, dass sie von Ihrer Organisation verwaltet wird, oder verbindet sie sich bei der Anmeldung von selbst, ist es wahrscheinlich Always On VPN.

Hängt sie bei „Verbindung wird hergestellt“, löschen Sie das Profil bitte nicht auf eigene Faust. Sagen Sie Ihrer IT Bescheid. Die muss die Umgehung zentral ausrollen, und wer ein verwaltetes Profil entfernt, sperrt sich womöglich von Firmenressourcen aus.

Nicht das einzige Windows-VPN-Problem diesen Monat

Das ist das zweite Windows-VPN-Problem, über das wir innerhalb einer Woche berichten. Das Oktober-Update KB5127648 erzwingt außerdem eine NTLMv1-Sperre, die manche VPN- und WLAN-Anmeldungen mit MS-CHAPv2 ausbremst. Anderes Problem, andere Lösung, erklärt in unserem Beitrag zu KB5127648 und VPN- und WLAN-Authentifizierung.

BleepingComputer listet weitere Folgen der September-Updates: Probleme mit Hyper-V, Remotedesktopdiensten und USB-Audio, die Notfall-Patches außer der Reihe brauchten, ein Anmeldeproblem mit Domänen-Anmeldedaten samt vorläufiger Umgehung und einen Fehler im Dateiversionsverlauf, an dem Microsoft noch arbeitet. Zwei harte Monate für Windows-Admins.

Alle VPNs im direkten Vergleich? Unser vollständiger VPN-Vergleich zeigt Bewertungen nach 18 Kriterien.

Checkliste für Administratoren

Wer Always On VPN betreut, sollte diese Woche kurz Folgendes prüfen: Welche Profile stehen noch auf automatischer Protokollwahl? Wurde die Umgehung nach dem 13. Oktober irgendwo zurückgenommen? Gibt es im Helpdesk gehäuft Tickets mit „Verbindung wird hergestellt“ oder der Port-Meldung? Und ist ein Pilotring definiert, auf dem die angekündigte Korrektur zuerst landet? Wer diese vier Fragen beantwortet hat, ist für das nächste Update gut aufgestellt.

Unsere Einschätzung

Fehler passieren. Einen Fehler als behoben zu markieren, der es nicht ist, ist schlimmer, weil Administratoren dann glauben, sie könnten ihre Umgehung zurücknehmen. Wer seine Always-On-VPN-Profile nach dem 13. Oktober wieder auf Automatik gestellt hat, hat seinen Nutzern womöglich selbst den Fernzugriff zerschossen.

Unser Rat an IT-Teams: Behalten Sie die Ein-Protokoll-Umgehung bei, ignorieren Sie „Gelöst“-Markierungen bei diesem Problem, bis Microsoft eine konkrete Korrektur veröffentlicht und dokumentiert, und testen Sie diese an einer Pilotgruppe, bevor Sie sie breit ausrollen. Für Organisationen, die ihre Abhängigkeit von einem einzigen VPN-Tunnel ohnehin hinterfragen, lohnt unser Beitrag VPN vs. Zero Trust.

Wir aktualisieren diesen Artikel, sobald Microsoft die Korrektur veröffentlicht.