Bestätigt: Windows 11-Clients verlieren Vertrauensstellung zur Domäne durch Windows Sept. 2026-Update

Die Windows Sicherheitsupdates vom 8. September 2026 bewirken, dass Windows 11-Clients ihre Vertrauensstellung zur Domäne verlieren. Ich hatte diesen Sachverhalt nach Leserberichten hier im Blog erwähnt. Inzwischen hat Microsoft dieses Problem offiziell bestätigt und erklärt auch die Hintergründe. Man will demnächst mit Updates nachbessern. Zudem gibt Redmond einen Workaround an.

Kurzer Rückblick auf das Thema

Microsoft hat zum 8. September 2026 eine Reihe an Sicherheitsupdates für die unterstützten Windows-Versionen freigegeben. Die Updates für die Windows-Clients samt den vorgenommenen Korrekturen sind im Beitrag Patchday: Windows 10/11 Updates (8. September 2026) beschrieben. Die Patches für die Server-Varianten finden sich im Beitrag Patchday: Windows Server-Updates (8. September 2026). Die 974 geschlossenen Schwachstellen sind teilweise im Beitrag Microsoft Security Update Summary (8. September 2026) angesprochen worden. Am Artikelende finden sich Verlinkungen auf Blog-Beiträge, die bereits einige Probleme im Zusammenhang mit dem September 2026-Patchday behandeln.

Im Blog-Beitrag Windows September 2026 Patchday-Nachlese: Schwarzer Bildschirm, Secure Boot, Vertrauensstellung zur Domäne hatte ich bereits zum 11. September 2026 das Problem aufgegriffen, dass die Clients die Vertrauensstellung zur Domäne nach Installation dieses September 2026-Updates verlieren. Konkret bezieht sich die Aussage auf Clients mit Windows 11 25H2 und das Update KB5124008 (mutmaßlich ist auch Windows 11 24H2 betroffen).

Verlieren betroffene Rechner ihren sicheren Domänenkanal, können Benutzer sich nicht mehr interaktiv an der Domäne anmelden. Ich hatte im Beitrag Meldungen von Blog-Lesern sowie aus dem Internet referenziert. Eine genaue Erklärung lag mir nicht vor – ein reddit.com-Beitrag, den ich verlinkt hatte, wurde sogar nachträglich gelöscht. Mein bisheriger Stand war: Das Problem des Domain-Trust-Lost tritt auf, die Ursache ist aber unbekannt.

Microsoft bestätigt das Problem

Gestern sind mir erste Hinweise im Web aufgefallen, dass Microsoft am Thema "Clients verlieren die Vertrauensstellung zur Domäne" dran sei. Blog-Leser "Hase" hat gerade in diesem Kommentar auf den betreffenden Supportbeitrag omain-joined devices might lose their secure trust relationship with the domain Microsofts vom 16. September 2026 im Release Health-Dashboard von Windows 11 25H2 hingewiesen.

Diese Konstellationen sind betroffen

Microsoft bestätigt, dass nach der Installation des Windows-Sicherheitsupdates vom 8. September 2026 (KB5124008) oder späterer Updates das Problem auftreten könne, dass einige durch Credential Guard geschützte Computerkonten ihren sicheren Kanal zu einer lokalen Active Directory (AD)-Domäne verlieren. Betroffen sind nach meinem bisherigen Informationsstand ausschließlich Clients mit Windows 11 in den Versionen 24H2, 25H2 und 26H1 (nur für ARM verfügbar). Das ist bereits mehr Information, als ich im oben genannten Blog-Beitrag im Internet recherchieren sowie von betroffenen Blog-Lesern in Erfahrung bringen konnte.

Diese Folgen hat das Problem

Die Folge ist, dass Benutzer sich dann möglicherweise über Windows 11-Clients nicht mehr interaktiv mit gültigen Domänenanmeldeinformationen anmelden können. Sofern der Fehler auftritt, findet sich auf den Clients möglicherweise eine Meldung, dass die Vertrauensbeziehung zwischen dem Gerät und der Domäne fehlgeschlagen ist.

Die Offline-Anmeldung mit zuvor zwischengespeicherten Anmeldeinformationen funktioniert laut Microsoft möglicherweise weiterhin. Die AD-Replikation und die AD-Dienste auf den Domänencontrollern sind von diesem Problem nicht betroffen.

Microsoft will später nachbessern

Microsoft plant laut Supportbeitrag, dieses Problem in einem zukünftigen Windows-Update zu beheben. Dort soll die Durchsetzung der Maschinenidentitätsisolierung vorübergehend ausgesetzt werden, während Verbesserungen an der Funktion vorgenommen werden.

Microsofts Erklärung für das Verhalten

Dieses Problem tritt laut Microsoft auf, weil KB5124008) und spätere Updates die Funktion "Machine Identity Isolation" aktivieren. Das Update erzwingt zwar nicht direkt die "Machine Identity Isolation", führt jedoch dazu, dass Windows alle vorhandenen oder über Richtlinien bereitgestellten Einstellungen berücksichtigt, die die Durchsetzung der "Machine Identity Isolation" aktivieren.

Diese Funktion wird jedoch nur für Umgebungen unterstützt, die mit Domänencontrollern verbunden sind, auf denen die Domänenfunktionsebene (DFL) von Windows Server 2025 oder höher ausgeführt wird. In anderen Umgebungen sollte die Funktion deaktiviert werden.

Alle Geräte, die zuvor für die Verwendung der "Machine Identity Isolation" konfiguriert wurden und nicht mit Windows Server 2025-Domänencontrollern verbunden sind, sind von diesem Problem betroffen und müssen die Funktion deaktivieren.

Dieser Workaround wird vorgeschlagen

Laut obigem Hinweis muss die Verwendung der "Machine Identity Isolation" auf nicht Windows Server 2025-Domänencontrollern deaktiviert werden. Microsoft listet daher als Workaround mehrere Wege auf, um diese Deaktivierung der "Machine Identity Isolation" vorzunehmen.

• Wurde die Isolierung der Geräteidentität über eine Intune-Richtlinie aktiviert,  soll diese auch über Intune deaktiviert werden.
• Sofern die Isolierung der Geräteidentität über eine Gruppenrichtlinie aktiviert wurde, ist die Funktion über die Gruppenrichtlinie zu deaktivieren.
• Falls die "Machine Identity Isolation" aber per Registrierungseintrag eingeschaltet wurde, ist die Deaktivierung auch direkt über diesen Eintrag vorzunehmen.

Für den letztgenannten Fall sollten Administratoren die Registrierungseinstellungen sichern und dann folgende Registrierungsschlüssel unter Windows 11 24H2 – 25H2 bearbeiten:

​HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MachineIdentityIsolation

​HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard\MachineIdentityIsolation

Bei beiden Registrierungsschlüsseln ist der Wert für MachineIdentityIsolation von 2 auf 0 zurück zu setzen. Danach wird ein Neustart erforderlich. Im Anschluss ist diese Funktion deaktiviert.

In einem weiteren Schritt ist die beschädigte Vertrauensbeziehung zwischen einem Windows-Computer und einer Active Directory-Domäne zu reparieren. Dazu ist die PowerShell als Administrator zu öffnen und der nachfolgende Befehl auszuführen:

Test-ComputerSecureChannel -Repair -Credential (Get-Credential)'

Anmerkung: Der Microsoft Supportbeitrag enthält im betreffenden Befehl imho einen Fehler, siehe auch diesen Dell-Support-Beitrag.

Ähnliche Artikel:
Microsoft Security Update Summary (8. September 2026)
Patchday: Windows 10/11 Updates (8. September 2026)
Patchday: Windows Server-Updates (8. September 2026)
Patchday: Microsoft Office Updates (8. September 2026)

Microsoft Office: Update vom 8. September 2026 macht (Excel-)Probleme (Copy&Paste)
Microsoft bestätigt Copy & Paste-Problem in Excel
Outlook zeigt plötzlich "Einen Dienst hinzufügen" (Sept. 2026)
Word-Abstürze in Version 2608, Build 20326.x bestätigt

Windows Server: RDP-Nutzer fliegen nach Sept. 2026-Updat aus Session
Windows: Remote Desktop Services (RDS)-Probleme durch Sept. 2026-Update bestätigt
Windows Sept. 2026 RDS-Bug: Microsoft liefert KIR-Lösung
Windows Out-of-Band-Update korrigiert RDS-Probleme (14.9.2026)
Windows 11: Sept. 2026-Updates stören USB Class-1.0-Audiogeräte
WSUS-Sync-Problem durch September 2026-Updates gefixt?
Windows September 2026 Patchday-Nachlese: Schwarzer Bildschirm, Secure Boot, Vertrauensstellung zur Domäne