Windows 10 20H2: Domain-Join endet in Boot-Schleife

[English]Ein Blog-Leser hat das Problem, dass ein System mit Windows 10 Version 20H2 nicht in eine Domäne eingebunden werden kann. Denn der Vorgang endet für den Client mit einer Dauer-Boot-Schleife, die nur über Reaktivierung eines Wiederherstellungspunkts unterbrochen werden kann. Ich bereite es mal hier separat auf, vielleicht ist noch jemand betroffen – oder es gibt eine Lösung.

Eine Leserinformation

Blog-Leser Michael K. hatte mich die Tage bereit per Mail kontaktiert, weil er mit seinem IT-Service in ein fettes Problem gerauscht ist. Er hat den Sachverhalt auch kurz im Diskussionsbereich gepostet – da diese Texte irgendwann gelöscht werden, ziehe ich das Ganze mal heraus:

Bin mit Win 10 20H2 und dem Versuch, diese in eine Domäne einzubinden, schier am verzweifeln! Nachdem ich diese [Kiste] per Adminkonto hinzugefügt habe und der Neustart ansteht, läuft sie in eine Dauerbootschleife und lässt sich nur stoppen, indem man Stecker zieht und die Kiste auf einen Wiederherstellungspunkt zurücksetzt. Hatte dies schon wer und wie evtl. gelöst?

Das Ganze ist natürlich übel und ein Alptraum für einen IT-Supporter bzw. Administrator. So viel zum Sachverhalt und die Frage, ob noch jemand in das Problem gerauscht ist.

Domain-Join, die Windows 10-Archillesferse?

Ich habe mal eine schnelle Suche durchgeführt und bin durch Google sofort auf meinen alten Blog-Beitrag Windows 10 V1803: Domain join bug and a workaround zur Windows 10 V1803 Pro/ Enterprise geschleudert worden (der deutsche Artikel ist am Textanfang verlinkt). Es ging dort zwar um das Problem, dass die Domäne zur Beitritt nicht gefunden werden konnte und ich hatte ein Offline-Domain-Join vorgeschlagen. Mag aber in obigem Fall nicht zu helfen, müsste der Betroffene ausprobieren.

GPO zeigt auf fehlerhaften SSLCipher Suite-String

Aber eine Befragung von Google zeigt mir, dass es das Problem eines Domänenbeitritts, der in einer Boot-Schleife endet, schon seit Beginn der glorreichen Windows 10-Area gibt. Dieser Technet-Forenbeitrag stammt vom 14. März 2016 und bezieht sich auf das März 2016-Update, welches alle Windows 10 Enterprise x64 (Version 1507-1511) Clients bei der Einbindung in einer Domäne in eine Boot-Schleife zwang.

Der betroffene Administrator hat das Ganze recht ausführlich dokumentiert. Am Ende des Tages stellte sich heraus, dass fehlerhafte Gruppenrichtlinieneinstellungen die Ursache waren. Dazu heißt es:

The issue has been resolved. We discovered a GPO that had an invalid setting. The specific GP setting was Computer Configuration>Policies>Administrative Templates>Network>SSL Configuration Setting>SSL Cipher Suite Order.

The order of the SSL Cipher Suites was correct, but what happened was that one of our employees was removing one of the suites and did not delete all of the suite string, leaving a large, malformed cipher suite as the first entry. Here is the first malformed string (error in italics):

TLS_RSA_WITH_AES_128TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384_P384

After correcting the entry, our Windows 10 machines exhibit no more odd behavior. It seems odd that something so small could be so catastrophic to Windows 10.

Hier verwies die Richtlinie auf eine nicht korrekten String für eine Cipher-Suite zur Verschlüsselung. Bei Bedarf könnt ihr die Details im Technet-Forum nachlesen. Warum das aber gerade nach dem Einspielen eines monatlichen Updates passierte, bleibt mir an dieser Stelle schleierhaft.

Auch dieser älter Forenpost bei Broadcom beklagt eine Boot-Schleife nach einem Domänenbeitritt. Am Ende des Tages stellten sich fehlerhafte GPO-Einstellungen (Details blieb der Betroffene schuldig) als Ursache heraus. In diesem Microsoft Answers-Forenthread sorgen möglicherweise Gruppenrichtlinien, dass das Startmenü nach einer Domänenanbindung nicht mehr richtig funktioniert. 

Weitere Fälle von Domain-Join-Boot-Schleifen

Mir ist bei der Suche noch der Technet-Forenthread Join Domain Issue – Joins domain, but pc goes into loop aufgefallen. Dort trat das Problem unter Windows 10 Version 1803 auf, wobei das Installationsabbild für diese Version vom betreffenden angepasst worden war. Der Thread von 2019 ist gesperrt, es gibt keine Antworten und keine Lösung. Hier könnte es mit dem sysprep oder dem Image Capture des Installationsabbilds zusammen hängen.

Denkbar wäre auch, dass die in 20H2 berichteten Probleme mit LSASS, Zertifikaten oder das Thema Windows 10 20H2: Installation von Update KB4598242 erzeugt BSOD mit rein spielen. Abschließendes Frage: Noch jemand betroffen, oder gibt es noch Ideen, was schief laufen könnte, bzw. wo man ansetzen könnte?

Windows 10 Version 1909 hat keine Probleme

Mir ging beim Schreiben dieses Beitrags der Gedanke "Lösung wäre, eine ältere Windows 10-Version zu versuchen" durch den Kopf. Allerdings wollte ich warten, ob eine Rückmeldung aus der Leserschaft kommt. Nach Veröffentlichung des Blog-Beitrags hat sich Blog-Leser Michael K. nochmals per Mail mit folgendem Hinweis gemeldet:

Es scheint zwar kein Einzelfall zu sein, aber ich habe hierüber noch keinen Hinweis oder Forumsbeitrag gefunden, aber das Problem konnte ich mit dieser 20H2 Vers. auch mit Test DCs nachstellen, das Verhalten war genauso, teils mit Server 2016 und 2019 noch extremer! Hier führte die versuchte Anmeldung mit dem Administrator Account, sofort zum Rechnerabsturz!

Seine Lösung ist dann im Sinne meines obigen Satzes, denn er schrieb: Ich habe nun die betreffenden Rechner mit der 1903 neu aufgesetzt und zack, sofort ohne Probleme! Wie heißt es so schön: Windows as a Surprise (WaaS). Aber vielleicht gibt es noch eine andere Rückmeldung.