Speichertipp: Microsoft deaktiviert Legacy-Authentifizierung schrittweise in Windows Server NTLM vor dem Aus

Anbieter zum Thema

FAST LTA GmbH

Impossible Cloud GmbH

Microsoft beendet 2026 die langjährige Fallback-Rolle von NTLM in Windows-Domänen. In drei Phasen reduziert der Hersteller zunächst die Abhängigkeiten, schafft technische Alternativen und deaktiviert das Protokoll im nächsten großen Windows-Server-Release standardmäßig. Kerberos bildet damit die alleinige Authentifizierungsbasis.

Authentifizierung bildet das Fundament jeder Windows-Domäne. Über Jahrzehnte begleitet NTLM (NT LAN Manager) diesen Prozess als fester Bestandteil des Protokollstacks. Mit der schrittweisen Abschaltung endet eine Ära, die technisch längst von Kerberos abgelöst ist, in vielen Infrastrukturen jedoch weiterhin fortwirkt.

Sicherheitsdefizite eines Legacy-Protokolls

NTLM basiert auf einem Challenge-Response-Verfahren ohne gegenseitige Authentifizierung. Ein Client überprüft nicht zuverlässig, ob der angefragte Dienst legitim agiert. Angreifer nutzen diese Eigenschaft für NTLM-Relay-Szenarien, indem sie Authentifizierungsdaten an andere Systeme weiterreichen. Hinzu kommen kryptografische Verfahren, die aktuellen Anforderungen nicht mehr entsprechen, sowie eingeschränkte Protokollierungs- und Analyseoptionen. In komplexen Active-Directory-Umgebungen erschwert das eine saubere Nachvollziehbarkeit von Authentifizierungsflüssen.

Kerberos arbeitet dagegen ticketbasiert. Ein Key Distribution Center auf dem Domänencontroller stellt zeitlich begrenzte Tickets aus und erzwingt gegenseitige Authentifizierung zwischen Client und Dienst. Das reduziert die Angriffsfläche deutlich und verbessert die Transparenz in Security-Logs. Windows priorisiert Kerberos seit Jahren; NTLM bleibt jedoch als Fallback für Altanwendungen, lokale Konten oder spezielle Netzwerkszenarien aktiv.

Drei Phasen für den vollständigen Rückzug

Microsoft strukturiert den Ausstieg klar. In der ersten Phase erweitert das Unternehmen die Audit-Funktionen. Windows Server 2025 und Windows 11 ab Version 24H2 erfassen detailliert, an welchen Stellen NTLM noch genutzt wird. Administratoren identifizieren damit gezielt Dienste, Anwendungen oder Systeme mit verbleibender Abhängigkeit. Die erweiterten Ereignisprotokolle liefern eine belastbare Datengrundlage für Migrationsprojekte.

Die zweite Phase startet in der zweiten Jahreshälfte 2026. Microsoft integriert technische Neuerungen, die bisherige Gründe für einen NTLM-Fallback eliminieren. IAKerb erweitert Kerberos für Szenarien, in denen bislang NTLM einspringt. Zusätzlich implementiert das System ein lokales Key-Distribution-Center, das Authentifizierungen lokaler Accounts verarbeitet, ohne NTLM zu verwenden. Windows-Kernkomponenten greifen vorrangig auf Kerberos zurück und initiieren keinen automatischen Wechsel mehr auf NTLM, sobald ein Domänencontroller temporär nicht erreichbar ist.

Standarddeaktivierung im nächsten Server-Release

In der dritten Phase deaktiviert das nächste große Windows-Server-Release NTLM standardmäßig. Eine Reaktivierung bleibt über Gruppenrichtlinien oder Sicherheitsrichtlinien möglich, erfolgt jedoch nur explizit. Ohne entsprechende Anpassung akzeptiert das Betriebssystem keine NTLM-Authentifizierung mehr und erzwingt Kerberos-basierte Verfahren.

Für Organisationen bedeutet das eine konsequente Überprüfung aller Authentifizierungsflüsse. Domänen, Vertrauensstellungen, Dienstkonten und Altanwendungen müssen Kerberos vollständig unterstützen. Die in Windows Server 2025 integrierten Audit-Mechanismen bieten dafür den technischen Ausgangspunkt. Mit der Default-Deaktivierung entfällt ein langjähriger Angriffsvektor aus der Standardkonfiguration moderner Windows-Umgebungen.

Aktuelles eBook

Ransomware-Schutz durch Object Lock und WORM

Um ein Storage-System effektiv von Ransomware-Angriffen zu schützen, bieten sich neben Backup/Disaster Recovery und Verschlüsselung vor allem Object Lock und WORM an. Das gelingt nicht nur im eigenen Haus, sondern auch in der Hybrid-Cloud.

Die Themen im Überblick:

• Ransomware-Trends
• Air-Gapping
• Amazon S3 Object Lock
• WORM mit Bandspeicher
• Schutz durch Algorithmen

eBook „Ransomware-Schutz durch Object Lock und WORM“ kostenlos downloaden

(ID:50717045)