Mit den Sicherheitsaktualisierungen vom 10. November 2026 hat Microsoft eine stufenweise Absicherung des Authentifizierungsprotokolls NTLM auf Windows Servern eingeleitet.
Die Maßnahme, die unter anderem mit dem Update KB5135557 ausgerollt wird, soll Systeme vor Relay-Angriffen schützen und schließt die Sicherheitslücke mit der Kennung CVE-2026-118737. Im Rahmen des November-Patchdays aktiviert das Unternehmen die NTLM-Nachrichtensignierung für nicht-anonyme Verbindungen standardmäßig und schaltet begleitende Überwachungsfunktionen frei.
In einem weiteren Schritt plant Microsoft für Mai 2027 eine strikte Durchsetzung: Ab diesem Zeitpunkt wird die Signierung auf Windows Servern verpflichtend verlangt, wodurch nicht signierte Client-Verbindungen standardmäßig abgewiesen werden.
Zeitplan bis zur verpflichtenden Blockade im Mai 2027
Für Systemadministratoren beginnt damit eine Übergangsphase. Während die Signierung in Windows 11 sowie in Windows Server 2025 bereits ab Werk aktiv ist, bereitet Microsoft ältere und bestehende Umgebungen auf die Durchsetzung vor.
Ab Mai 2027 quittieren Windows Server Verbindungsversuche von Clients, die keine Signierung unterstützen, mit dem Fehlercode SEC_E_UNSUPPORTED_FUNCTION (0x80090302). Gleichzeitig protokolliert das System diesen Vorgang unter dem Server-Ereignis 4023.
Angesichts der verschärften Sicherheitsvorgaben durch Microsoft ist eine korrekte Systemkonfiguration wichtiger denn je. Wie Sie den bereits integrierten Windows Defender optimal einstellen, um Ihren PC wirksam vor Bedrohungen zu schützen, erfahren Sie in dieser Anleitung. Windows-Schutz jetzt optimal konfigurieren
Nicht von dieser Änderung betroffen sind Verbindungen über das modernere Kerberos-Protokoll, vollständig anonyme Zugriffe sowie Aktivitäten über das integrierte Gastkonto. Administratoren, die die Durchsetzung vorzeitig erzwingen wollen, können dies über den Registry-Wert MSV1_0 mit dem Parameter ServerRequireNtlmSign=1 konfigurieren. Diese Einstellung weist unsignierte Anfragen ab, ohne dass ein Neustart des Servers erforderlich ist.
Diagnosewerkzeuge und betroffene Plattformen
Um Inkompatibilitäten im Netzwerk vor der endgültigen Durchsetzung zu identifizieren, stellt Microsoft Diagnosefunktionen bereit. Das Auditing erfolgt über das Protokoll Microsoft-Windows-NTLM/Operational anhand der Ereignis-IDs 4022 und 4023. Eine Sitzung gilt als vorbereitet und signaturfähig, sobald der Sitzungsschlüsselstatus als vorhanden ausgewiesen ist und die Flags 0x10 (SIGN) sowie 0x40000000 (KEY_EXCH) aktiv gesetzt sind.
Die NTLM-Absicherung betrifft eine breite Palette an Betriebssystemen. Auf Client-Seite umfasst dies Windows 11 ab Version 23H2 sowie Windows 10 Enterprise LTSC 2021. Bei den Server-Betriebssystemen sind die Versionen Windows Server 2016, 2019, 2022 und 2025 über die Update-Pakete KB5131080, KB5131090, KB5131085 und KB5131291 eingebunden. Für Windows Server 2025 bringt das Update KB5131080 das System auf die Build-Nummer 26100.33822.
Zusätzlich verteilt Microsoft die Anpassungen über weitere Aktualisierungen des November-Patchdays: KB5132061 für Windows 11 in den Versionen 24H2, 25H2 und 26H2 (Builds 26100.9974, 26200.9974 und 26300.9974), KB5131087 für Windows 11 23H2 (Builds 22631.7711 beziehungsweise 22631.7582) sowie KB5131096 für Windows 10 Version 21H2 und 22H2 (Builds 19044.7846 und 19045.7846).
Wer im Zuge der aktuellen Sicherheits-Updates einen vollständigen Wechsel auf das modernste Betriebssystem plant, sollte dabei methodisch vorgehen. Dieser kostenlose Praxisleitfaden zeigt, wie der Umstieg auf Windows 11 sicher und ohne Datenverlust gelingt. Schritt-für-Schritt-Anleitung für Windows 11 anfordern
Verschärfte Richtlinien für PowerShell-Skripte
Neben den NTLM-Modifikationen brachten die Aktualisierungen vom 10. November 2026 eine weitere sicherheitsrelevante Neuerung mit sich. Microsoft implementierte eine strengere UTF-8-Validierung für digital signierte PowerShell-Skripte. Um Validierungsfehler bei der Ausführung zu vermeiden, müssen betroffene Skripte künftig mit einem UTF-8-Byte-Order-Mark (BOM) neu signiert werden.