Wer seit dem Oktober-Patchday plötzlich nicht mehr ins Büro-, Hochschul- oder Hotel-WLAN kommt, hat meist keinen Defekt: Das Windows-11-Update KB5127648 blockiert die automatische Anmeldung mit Windows-Zugangsdaten bei Netzen, die per 802.1X und MS-CHAPv2 abgesichert sind. Microsoft hat das so angekündigt und dokumentiert es im Support-Artikel zu KB5127648. Die gute Nachricht: Manuell eingegebene Zugangsdaten funktionieren weiterhin. Wie Sie wieder online kommen, zeigen die Schritte unten.
Kurz erklärt
- Betroffen sind Windows-11-PCs mit dem Update vom 13. Oktober 2026 (Builds 26100.9711, 26200.9711 und 26300.9711), auf denen Credential Guard ausgeschaltet ist.
- Es trifft WLAN, LAN und VPN, wenn die Anmeldung per MS-CHAPv2 automatisch mit dem Windows-Konto erfolgt (Single Sign-on).
- Heimnetze mit normalem WLAN-Passwort (WPA2-/WPA3-Personal) sind nicht betroffen.
Woran Sie das Problem erkennen
Der Laptop sieht das Netzwerk, bleibt aber bei „Verbindung wird hergestellt“ hängen oder meldet kurz danach „Keine Verbindung mit diesem Netzwerk möglich“. Typisch ist, dass es bis zum Update ohne Passwortabfrage klappte – und dass Kollegen mit noch nicht aktualisierten Geräten problemlos online sind. Laut Berichten von Administratoren tritt das Verhalten unabhängig vom WLAN-Chip auf.
| Situation | Betroffen? |
|---|---|
| Firmen- oder Uni-WLAN, Anmeldung automatisch mit Windows-Konto (PEAP/MS-CHAPv2) | Ja, wenn Credential Guard aus ist |
| Gleiches Netz, aber Benutzername und Kennwort werden selbst eingegeben | Nein |
| Zertifikatbasierte Anmeldung (EAP-TLS, PEAP-TLS) | Nein |
| Heim-WLAN mit WLAN-Schlüssel | Nein |
| VPN oder LAN mit 802.1X und MS-CHAPv2-Single-Sign-on | Ja |
Warum Windows die Anmeldung jetzt blockiert
Bei MS-CHAPv2 werden aus Ihrem Windows-Kennwort Anmeldedaten nach dem veralteten NTLMv1-Verfahren abgeleitet. Microsoft hat das schon im August 2025 im Hinweis KB5066470 angekündigt: Zunächst lief ein Prüfmodus, der solche Anmeldungen nur protokollierte. Mit KB5127648 schaltet Windows auf Erzwingung um, sofern der Registrierungswert BlockNtlmv1SSO nicht gesetzt ist. Der Hintergrund ist Sicherheit: NTLMv1-Daten lassen sich vergleichsweise leicht knacken. Microsoft betrachtet das deshalb nicht als Fehler, sondern als geplante Änderung. Weitere Neuerungen des Updates haben wir im Artikel zum Patchday Oktober 2026 zusammengefasst.
So kommen Sie wieder ins WLAN: Schritt für Schritt
- Ursache prüfen: Klicken Sie mit der rechten Maustaste auf Start und öffnen Sie die Ereignisanzeige. Gehen Sie zu Anwendungs- und Dienstprotokolle → Microsoft → Windows → NTLM → Operational. Ein Eintrag mit der Ereignis-ID 4025 zur Verbindungszeit bestätigt, dass die NTLMv1-Sperre greift.
- Automatische Anmeldung abschalten: Öffnen Sie die Systemsteuerung und wählen Sie Netzwerk- und Freigabecenter → Adaptereinstellungen ändern. Rechtsklick auf WLAN → Status → Drahtloseigenschaften, Registerkarte Sicherheit, dann Einstellungen. Bei der Authentifizierungsmethode „Gesichertes Kennwort (EAP-MSCHAP v2)“ auf Konfigurieren klicken und den Haken bei „Automatisch eigenen Windows-Anmeldenamen und Kennwort (und ggf. Domäne) verwenden“ entfernen. Alles mit OK bestätigen.
- Zugangsdaten selbst eingeben: Trennen Sie das WLAN und verbinden Sie sich neu. Windows fragt jetzt nach Benutzername und Kennwort – geben Sie die Daten Ihres Netzwerkkontos ein, an der Hochschule etwa in der Form kennung@uni-beispiel.de. Unter Erweiterte Einstellungen können Sie die Daten mit „Anmeldeinformationen speichern“ hinterlegen, damit die Abfrage nicht jedes Mal kommt.
- Bei selbst angelegten Profilen neu einrichten: Klappt Schritt 2 nicht, entfernen Sie das Netz unter Einstellungen → Netzwerk und Internet → WLAN → Bekannte Netzwerke verwalten → Entfernen und verbinden Sie sich danach neu – auch dabei werden die Zugangsdaten abgefragt. Bei Profilen, die Ihre IT per Richtlinie verteilt, ist das oft gesperrt.
- VPN und LAN: Nutzt Ihr Windows-VPN MS-CHAPv2, gilt dasselbe Prinzip: In den Eigenschaften der Verbindung unter Sicherheit die automatische Verwendung der Windows-Anmeldedaten deaktivieren und Benutzername sowie Kennwort selbst eintragen. Bei LAN mit 802.1X finden Sie die Option in den Ethernet-Eigenschaften auf der Registerkarte Authentifizierung.
Bei Firmenrechnern sollten Sie Änderungen mit der IT abstimmen – viele Profile sind zentral verwaltet und werden beim nächsten Abgleich überschrieben.
Was tun, wenn das nicht hilft?
Für Administratoren gibt es eine Übergangslösung: Der DWORD-Wert BlockNtlmv1SSO unter HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0 mit dem Wert 0 versetzt Windows zurück in den Prüfmodus, nach einem Neustart funktioniert die automatische Anmeldung wieder. Das ist ausdrücklich eine Sicherheitsausnahme auf Zeit und auf privat genutzten Geräten nur sinnvoll, wenn Sie wissen, was Sie tun.
Dauerhaft empfiehlt Microsoft zwei Wege: Credential Guard aktivieren, wo die Hardware es zulässt – dann greift die Sperre nicht –, oder das Netz auf zertifikatbasierte Verfahren wie EAP-TLS umstellen. Beides ist Aufgabe der IT-Abteilung. Das Update zu deinstallieren, raten wir ab: KB5127648 schließt zahlreiche Sicherheitslücken. Falls das Update gar nicht erst durchläuft, hilft unsere Anleitung zu KB5127648-Installationsfehlern.
Häufige Fragen
Ist mein Heim-WLAN betroffen?
Nein. Router zu Hause nutzen einen gemeinsamen WLAN-Schlüssel (WPA2- oder WPA3-Personal), dabei spielt NTLMv1 keine Rolle. Bricht das Heim-WLAN nach dem Update ab, liegt die Ursache woanders.
Warum funktioniert es bei Kollegen weiterhin?
Entweder ist das Update dort noch nicht installiert, Credential Guard ist aktiv oder die IT hat den Registrierungswert bereits gesetzt. Ob Credential Guard läuft, zeigt das Programm msinfo32 in der Systemübersicht bei den Diensten der virtualisierungsbasierten Sicherheit.
Kommt Microsoft mit einem Fix?
Nach jetzigem Stand nicht – die Sperre ist gewollt. Rechnen Sie also nicht damit, dass ein späteres Update die automatische Anmeldung per MS-CHAPv2 wiederherstellt.
