Microsofts Sicherheitsupdate für Windows 11 vom Oktober 2026 sorgt bei manchen VPN-, WLAN- und Kabelnetzen für fehlgeschlagene Anmeldungen. Das Update KB5127648 schaltet standardmäßig eine NTLMv1-Sperre scharf, und alles, was sich noch per MS-CHAPv2 anmeldet, kann ausfallen.

Wenn Sie unter Windows 11 einen Firmen-VPN oder das Büro-WLAN nutzen und seit Dienstag keine Verbindung mehr bekommen, könnte das der Grund sein. Nutzen Sie dagegen eine VPN-App wie NordVPN oder Proton VPN, sind Sie sehr wahrscheinlich nicht betroffen. Die Details.

Was passiert ist

Microsoft hat KB5127648 am 13. Oktober im Rahmen des monatlichen Patchday veröffentlicht. Es betrifft Windows 11 in den Versionen 24H2, 25H2 und 26H2. Ein passendes Update, KB5126646, erschien für Windows Server 2025.

Innerhalb von zwei Tagen meldeten IT-Administratoren, dass sich Laptops nicht mehr mit WPA2-Enterprise-WLANs verbinden. Pureinfotech berichtete am 15. Oktober, dass betroffene PCs die 802.1X/PEAP-Anmeldung starten, aber nie abschließen, während private WPA2-Personal-Netze weiter funktionieren. Ein Thread auf Microsoft Q&A sammelt ähnliche Berichte.

Am 16. Oktober schrieb Windows Report, Microsoft habe bestätigt, dass die Updates bei manchen WLAN-, Ethernet- und VPN-Verbindungen zu Anmeldefehlern führen können, und zwar in Netzen, die auf MS-CHAPv2 setzen.

Die Ursache: NTLMv1 wechselt vom Audit- in den Sperrmodus

Dahinter steckt eine Sicherheitshärtung. Windows bereitet seit Längerem den Abschied von NTLMv1 vor, einem alten und schwachen Anmeldeprotokoll. Bisher lief die zuständige Einstellung BlockNtlmv1SSO im Audit-Modus: Alte Anmeldungen funktionierten noch, Windows schrieb nur eine Warnung ins Protokoll.

Mit KB5127648 setzt Windows die Sperre jetzt durch, und zwar auf Geräten, auf denen Credential Guard deaktiviert ist und die Einstellung nicht ausdrücklich gesetzt wurde. MS-CHAPv2, das viele ältere VPN- und Netzwerkkonfigurationen zur Prüfung von Benutzername und Passwort nutzen, hängt von Anmeldedaten ab, die aus NTLMv1 abgeleitet sind. Sperrt man das eine, scheitert das andere.

Ein Bug ist das also eigentlich nicht. Microsoft macht eine alte Tür zu, und manche Netze sind noch durch sie gegangen.

MS-CHAPv2 lebt seit Jahren auf Abruf

Überraschen sollte das Administratoren nicht. MS-CHAPv2 ist alt, und seine Schwächen sind bekannt. Schon im August 2012 veröffentlichte Microsoft die Sicherheitsempfehlung 2743314, nachdem Code aufgetaucht war, der aus einem abgefangenen MS-CHAPv2-Handshake bei PPTP-VPNs die Anmeldedaten zurückgewinnen konnte. Microsofts Rat damals: MS-CHAPv2 in PEAP einpacken oder auf einen stärkeren Tunnel wie L2TP, IKEv2 oder SSTP umsteigen.

Viele Organisationen haben die erste Variante gewählt, PEAP-MSCHAPv2, und es dabei belassen. Genau diese Konfiguration scheitert jetzt, denn PEAP stützt sich darunter weiter auf dieselben NTLMv1-basierten Anmeldedaten. Vierzehn Jahre später erzwingt Microsoft endlich das Aufräumen.

Für Privatnutzer ist die Lehre einfacher: Bietet ein VPN noch PPTP an, nutzen Sie diese Option nicht. Unser Beitrag VPN-Protokolle erklärt zeigt, welche Protokolle 2026 sicher sind.

Wer betroffen ist

Die Fehler treffen Verbindungen, die sich per MS-CHAPv2 anmelden. In der Praxis heißt das:

  • Firmen-WLAN mit 802.1X und PEAP-MSCHAPv2 (üblich in Büros, Hochschulen und Kliniken)
  • Kabelgebundenes 802.1X in manchen Firmennetzen
  • Firmen-VPNs, die über den in Windows eingebauten VPN-Client mit Benutzername und Passwort per MS-CHAPv2 eingerichtet sind, oft als L2TP-, PPTP- oder SSTP-Profil
  • Verwaltete VPN-Umgebungen, die PEAP-MSCHAPv2 zur Benutzeranmeldung nutzen

Privates WLAN mit normalem Passwort (WPA2 oder WPA3 Personal) ist nach den bisherigen Berichten nicht betroffen.

Betrifft das NordVPN, Proton VPN und andere VPN-Apps?

Sehr unwahrscheinlich. VPN-Apps für Privatkunden bringen ihren eigenen Client mit und verbinden sich über moderne Protokolle, vor allem WireGuard, OpenVPN und IKEv2 mit zertifikatsbasierter Anmeldung. Den MS-CHAPv2-Weg von Windows nutzen sie nicht.

Keiner der Berichte, die wir gelesen haben, nennt eine VPN-App für Privatkunden, die durch dieses Update kaputtgegangen wäre. TechRadar schrieb am 15. Oktober, ein Reddit-Nutzer habe seine Surfshark-Verbindung nach dem Update sogar als schneller und stabiler empfunden. Das ist eine Anekdote, kein Test, passt aber zum technischen Bild.

Funktioniert Ihr Privat-VPN nach dem Update nicht mehr, suchen Sie zuerst woanders: zurückgesetzter Netzwerkadapter, Firewall-Regel, App mit fälligem Update. Unser Beitrag VPN trennt die Verbindung: Lösungen deckt die üblichen Ursachen ab. Haben Sie einen VPN von Hand in den Windows-Einstellungen mit Benutzername und Passwort eingerichtet (statt über die App des Anbieters), ist das der eine Fall, den Sie prüfen sollten. Der Umstieg auf die offizielle App ist dann die einfachste Lösung. Unsere Anleitung VPN unter Windows 11 einrichten zeigt beide Wege.

So erkennen Sie, ob KB5127648 die Ursache ist

Bevor Sie etwas ändern, klären Sie, ob das Update wirklich schuld ist.

  1. Öffnen Sie Einstellungen, dann Windows Update und Updateverlauf. Suchen Sie unter den Qualitätsupdates nach KB5127648 (oder KB5127646 unter Windows 11 26H1), installiert am 13. Oktober oder später.
  2. Schauen Sie, was scheitert. Funktioniert das WLAN zu Hause, aber nicht im Büro, oder lehnt der Firmen-VPN ein Passwort ab, das er letzte Woche noch akzeptiert hat, passt das ins Muster.
  3. Prüfen Sie, welchen VPN Sie nutzen. Ist es die App Ihres Anbieters mit WireGuard oder OpenVPN, ist das Update kaum die Ursache. Ist es eine Verbindung unter Einstellungen > Netzwerk und Internet > VPN mit Benutzername und Passwort, ist es möglich.
  4. Bitten Sie einen Kollegen mit noch nicht aktualisiertem Rechner, dasselbe Netz zu testen. Verbindet er sich und Sie nicht, haben Sie Ihre Antwort.

Die Ironie: Dasselbe Update behebt einen anderen VPN-Fehler

KB5127648 behebt auch ein echtes VPN-Problem. CyberInsider berichtet, dass es Ausfälle bei Always On VPN behebt, bei denen Verbindungen mit automatischer Protokollwahl hängen blieben oder scheiterten, teils mit der Meldung, der angegebene Port sei bereits in Verwendung. Für manche Organisationen hat das Update also ein VPN-Problem gelöst und ein anderes geschaffen.

Microsofts Workaround

Microsofts vorübergehender Workaround besteht laut Windows Report und Pureinfotech darin, die NTLMv1-Einstellung zurück in den Audit-Modus zu setzen:

  1. Sichern Sie Ihr System oder legen Sie einen Wiederherstellungspunkt an.
  2. Öffnen Sie den Registrierungs-Editor als Administrator.
  3. Gehen Sie zu HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0.
  4. Legen Sie einen DWORD-Wert (32 Bit) namens BlockNtlmv1SSO an oder öffnen Sie ihn, falls er schon existiert.
  5. Setzen Sie den Wert auf 0.
  6. Verbinden Sie sich neu mit dem Netz und starten Sie neu, falls es weiterhin scheitert.

Administratoren können dieselbe Einstellung per Gruppenrichtlinie verteilen.

Lesen Sie vorher die Warnung. Microsoft selbst sagt, dass die Rückkehr in den Audit-Modus den Sicherheitsschutz schwächt. Es ist eine Notlösung. Die eigentliche Lösung ist, WLAN-, VPN- und Netzwerk-Anmeldungen von NTLMv1-basierten Verfahren wegzubringen, etwa auf zertifikatsbasiertes EAP-TLS fürs WLAN oder IKEv2 mit Zertifikaten fürs VPN.

Manche Nutzer berichten auch, dass es hilft, das WLAN zu entfernen und neu zu verbinden oder KB5127648 zu deinstallieren. Eine Deinstallation entfernt aber alle Sicherheitskorrekturen vom Oktober, einschließlich der für eine Zero-Day-Lücke. Das ist die schlechteste Option.

Wenn Sie Windows 11 24H2 Home oder Pro nutzen

Noch ein Detail aus diesem Monat: Laut CyberInsider ist das Oktober-Update das letzte monatliche Sicherheitsupdate für Windows 11 24H2 Home und Pro. Wer noch auf 24H2 ist, muss auf eine neuere Version wechseln, um weiter Sicherheitsupdates zu bekommen. Das betrifft alles, auch den VPN: Ein ungepatchtes System untergräbt den Schutz eines VPNs. Einen ähnlichen Windows-Patch haben wir dieses Jahr schon bei der SSTP-VPN-Lücke behandelt.

Was Sie jetzt tun sollten

Privatnutzer mit VPN-App: Installieren Sie das Update. Es schließt eine Zero-Day-Lücke und betrifft Ihren VPN sehr wahrscheinlich nicht. Halten Sie auch die VPN-App aktuell.

Firmen-VPN oder Büro-WLAN streikt: Melden Sie sich bei der IT, statt auf einem verwalteten Laptop die Registry zu ändern. Vielleicht verteilt sie den Workaround schon zentral.

Administratoren: Setzen Sie den BlockNtlmv1SSO-Workaround dort ein, wo es nicht anders geht, und planen Sie den Abschied von MS-CHAPv2. Microsoft wird den Audit-Modus erkennbar nicht ewig anbieten.

Alle VPNs im direkten Vergleich? Unser vollständiger VPN-Vergleich zeigt Bewertungen nach 18 Kriterien.

Einen VPN für Windows 11 wählen

Für einen Privat-VPN unter Windows achten Sie auf eine native App mit WireGuard, eine geprüfte No-Logs-Richtlinie und einen funktionierenden Kill Switch. In unserer Datenbank führt NordVPN mit 4,63/5, 5/5 beim Tempo und einer von PwC geprüften No-Logs-Richtlinie. NordVPN kostet 68,85 $ im Jahr (etwa 5,74 $ pro Monat). Proton VPN (4,24/5, 47,88 $ im Jahr) ist die Datenschutz-Wahl. Unser Überblick zum besten VPN für Windows 11 hat die vollständige Liste.

Unser Urteil

KB5127648 ist kein VPN-Weltuntergang. Das Update erzwingt eine NTLMv1-Sperre, die MS-CHAPv2-Anmeldungen bei manchen Firmen-VPNs, Firmen-WLANs und kabelgebundenen 802.1X-Netzen scheitern lässt. VPN-Apps mit WireGuard oder OpenVPN sind sehr wahrscheinlich nicht betroffen. Privatnutzer sollten das Update installieren. Administratoren können vorerst den Workaround BlockNtlmv1SSO=0 nutzen, Microsoft warnt aber, dass er die Sicherheit schwächt. Planen Sie deshalb den Umstieg auf zertifikatsbasierte Anmeldung.