Windows-Update sperrt Domain-Nutzer aus

Microsoft räumt weitere unerwünschte Nebenwirkungen der Sicherheitsupdates für Windows-Desktop-Betriebssysteme vom September-Patchday ein. Davon sind Geräte in On-Premise Active-Directory-Installationen betroffen.

Im Message-Center der Windows-Release-Health-Notizen schreiben die Entwickler, dass nach der Installation der Windows-Patches mit Credential Guard geschützte Maschinenkonten den sicheren Kanal zu On-Premises-ADs verlieren können. In dem Fall können sich User nicht mehr interaktiv an der Domäne anmelden und erhalten eine Rückmeldung, dass die Vertrauensbeziehung zwischen Gerät und Domäne fehlgeschlagen sei. Die Offline-Anmeldung mit gecachten Credentials soll dann jedoch weiterhin klappen.

Microsoft führt aus, dass seit dem September-Sicherheitsupdate die „Machine Identity Isolation“ aktiviert wird. Die Einstellung selbst erzwingt die Durchsetzung jedoch nicht, sondern führt dazu, dass Windows bestehende oder Richtlinien-basierte Einstellungen berücksichtigt, die diese Erzwingung vorgeben. Die Funktion unterstützt jedoch lediglich Umgebungen, die Windows Server 2025 Domain Functional Level (DFL) oder höher einsetzen. In anderen Umgebungen sollte das Feature daher deaktiviert werden. Alle Maschinen unter Windows 11 26H1, 25H2 und 24H2 mit aktivierter Machine Identity Isolation, die nicht in solch einer Windows-Server-2025-Umgebung laufen, sind von dem Problem betroffen.

Gegenmaßnahme: Registry-Hacks

Als temporäre Gegenmaßnahme schlägt Microsoft vor, die Option zu deaktivieren. Wo das mittels Intune- oder Gruppen-Richtlinie geschehen ist, lässt es sich in den Richtlinien auch wieder richten. Wer jedoch Hand an die Registry gelegt hat, muss das Feature auch dort wieder deaktivieren. Microsoft nennt die Registry-Zweige

HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MachineIdentityIsolation
HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard\MachineIdentityIsolation

Steht dort der Wert von MachineIdentityIsolation auf 2, sollen Admins ihn zurück auf 0 setzen. Im Anschluss ist ein Neustart betroffener Maschinen nötig, um die Änderung zu aktivieren. Allerdings sind Admins dann noch nicht durch mit dem Thema, sondern müssen noch den Secure Channel zurücksetzen. Das gelingt mit dem Befehl 'Test-ComputerSecureChannel -Repair -Credential (Get-Credential)', erklärt Microsoft. Die Entwickler arbeiten jedoch an einem kommenden Windows-Update, das temporär die Erzwingung von Machine Identity Isolation nicht durchsetzt und Verbesserungen der Funktion liefert.

Microsoft hat zuletzt ein weniger glückliches Händchen bei den Windows-Updates. So hat Microsoft in der Nacht zum Dienstag dieser Woche ein Update mit ungeplanten Sicherheitskorrekturen für Windows nachgereicht, das bereits am August-Patchday ausgeliefert werden sollte und dort schlicht vergessen wurde, auch mit auszuliefern.