Alex Turner, ein Windows-Administrator, der das Problem in Microsofts Q&A-Foren meldete, berichtet von Windows-11-25H2-Arbeitsplätzen, die vor der Installation von KB5124008 einwandfrei liefen. Nach dem Update und einem Neustart scheiterten die Domänenanmeldungen. Zwischengespeicherte Anmeldedaten funktionierten weiterhin, solange die Systeme offline waren – ein Hinweis darauf, dass das Problem an der Domänenauthentifizierung hängt und nicht an den Passwörtern der Nutzer.
Turners Tests zeigten, dass der sichere Kanal des Rechners zu Active Directory gebrochen war und sich der Fehler zuverlässig reproduzieren ließ: Nach der Deinstallation von KB5124008 und einer Reparatur der Domänenbeziehung war der Zugang wiederhergestellt, eine erneute Installation des Updates führte den Fehler wieder herbei.
Ein Administrator schilderte auf Reddit, dass 11 von rund 256 Geräten – Windows 11 25H2 Enterprise – nach dem Update ihre Vertrauensstellung verloren. Auf den betroffenen Systemen fanden sich zahlreiche fehlgeschlagene Kerberos-Authentifizierungen mit anschließendem Rückfall auf NTLM und Netlogon. Ein weiterer Administrator berichtete, dass nach der Update-Installation sämtliche Windows-11-25H2-Arbeitsplätze im Netz gültige Domänen-Anmeldedaten zurückwiesen.
Turner führte die Ausfälle später auf die Einstellung “Machine Identity Isolation” zurück, die nach der Installation von KB5124008 auf den Wert ‘2’ – den Erzwingungsmodus – gesetzt gewesen sei. Ein anderer Administrator beobachtete dasselbe Verhalten: Auch bei ihm stand ‘MachineIdentityIsolation’ nach dem Update auf ‘2’; das Deaktivieren der Funktion habe verhindert, dass Windows das LSA-Geheimnis des Computerkontos verwirft – ohne dass KB5124008 entfernt werden musste.
Die Funktion gehört zur Konfiguration von Virtualization-Based Security und Credential Guard und kapselt die Anmeldedaten des Computerkontos ab, mit denen sich domänengebundene Rechner gegenüber Active Directory authentifizieren. Im Erzwingungsmodus verschiebt Windows das Geheimnis des Computerkontos in Credential Guard und entfernt die in der LSA gespeicherte Kopie. Steuern lässt sich das Verhalten über einen Registry-Wert.
Einige Administratoren haben betroffene Systeme wiederhergestellt, indem sie ‘MachineIdentityIsolation’ auf ‘0’ setzten, neu starteten und anschließend den sicheren Kanal per PowerShell reparierten. “Nach einem Neustart musste ich den sicheren Kanal mit ‘Test-ComputerSecureChannel -Repair -Credential(Get-Credential)’ wiederherstellen. Seitdem läuft der Rechner, ohne den sicheren Kanal erneut zu verlieren”, erklärte Marcel Zehnder.
Vorsicht ist beim Abschalten der Funktion dennoch geboten: Ein Administrator warnte, dass der Wechsel vom Audit- oder Erzwingungsmodus auf “deaktiviert” in seiner Umgebung flächendeckend Vertrauensstellungsfehler auslöste – auch auf Systemen, auf denen KB5124008 nie installiert worden war. Microsofts Dokumentation weist ebenfalls darauf hin, dass das Deaktivieren nach zuvor aktivem Erzwingungsmodus die Domänenauthentifizierung zerstört und das Gerät aus der Domäne genommen und neu aufgenommen werden muss.
Ob Machine Identity Isolation tatsächlich die Ursache der KB5124008-Ausfälle ist, hat Microsoft bislang nicht bestätigt.