Windows Update sperrt Domänen-Nutzer aus
Ein Windows Update verursacht bei bestimmten Firmenrechnern Anmeldeprobleme. Microsoft bestätigt die Störung und arbeitet bereits an einer dauerhaften Lösung.
Microsoft bestätigt Probleme mit einem aktuellen Windows Update, das bei bestimmten Firmenrechnern die Anmeldung an lokalen Domänen erneut verhindern kann. Betroffen sind Geräte mit Active Directory, deren geschützte Computerkonten nach dem Windows Update den sicheren Verbindungskanal zur Domäne verlieren können.
Nutzer können sich anschliessend trotz korrekter Zugangsdaten nicht mehr interaktiv anmelden, während gespeicherte Anmeldedaten offline weiterhin problemlos genutzt werden können. «Heise» berichtet, dass Betroffene stattdessen eine Meldung über eine fehlgeschlagene Vertrauensbeziehung zwischen Gerät und Domäne beim Anmeldeversuch erhalten können.
Microsoft weist zudem darauf hin, dass die betroffenen Geräte trotz der Anmeldeprobleme weiterhin mit gespeicherten Zugangsdaten offline genutzt werden können. Damit unterscheidet sich die fehlerhafte Domänenanmeldung von einer grundsätzlich ungültigen Benutzerkennung oder einem falschen Kennwort.
Windows Update verursacht Probleme durch neues Feature
Die Untersuchungen führten schliesslich zu «Machine Identity Isolation», einer Funktion, die mit den September-Updates entsprechend konfigurierter Systeme aktiviert wird. Das Feature kann den sicheren Kanal zwischen Computerkonto und Domänencontroller beeinträchtigen, wenn keine dafür unterstützte Serverumgebung vorhanden ist.
Ein Administrator konnte das Problem auf sechs Rechnern reproduzieren und stoppte deshalb zunächst den unternehmensweiten Rollout des Updates. Dabei wurden laut «IT-Administrator» unter anderem DNS-Probleme, Zeitabweichungen, Replikationsfehler und Kontosperrungen als mögliche Ursachen systematisch im Vorfeld des Rollouts ausgeschlossen.
Auch das Zurücksetzen des Computerpassworts konnte den Fehler im beschriebenen Praxisfall zunächst nicht beheben, wie der Administrator feststellte. Erst das vollständige Verlassen und anschliessende erneute Beitreten zur Domäne stellte die Verbindung wieder her und ermöglichte die Anmeldung erneut.
Microsoft arbeitet an dauerhafter Lösung
Microsoft erklärt, dass «Machine Identity Isolation» nur zusammen mit Windows Server 2025 unterstützt wird und ältere Domänencontroller Probleme verursachen können. Betroffen sind laut «Golem» die Windows-Versionen 26H1, 25H2 und 24H2 mit entsprechenden Einstellungen auf den jeweiligen Geräten im Unternehmen.
Bis zu einer endgültigen Lösung können Administratoren «Machine Identity Isolation» auf den betroffenen Geräten vorübergehend auf den betroffenen Rechnern deaktivieren. Je nach bisheriger Konfiguration erfolgt dies über Intune, Gruppenrichtlinien oder entsprechende Einstellungen in der Windows-Registry des jeweiligen Systems.
Anschliessend müssen die betroffenen Geräte neu gestartet und der sichere Kanal zur Domäne mit einem Reparaturbefehl wiederhergestellt werden. Microsoft arbeitet laut den vorliegenden Angaben an einem Update, das die problematische Erzwingung vorübergehend entschärfen und die Funktion verbessern soll.
