14. September 2026 | Microsoft Windows | Active Directory | IT-Sicherheit
Mit dem September-2026-Sicherheitsupdate KB5124008 für Windows 11 häufen sich derzeit Berichte über ein ungewöhnliches Problem in klassischen Active-Directory-Umgebungen.
Betroffen sind insbesondere Windows-11-Clients, die Mitglied einer lokalen Active-Directory-Domäne sind. Nach der Installation des Updates kann der Secure Channel zwischen dem Computer und dem Domain Controller beschädigt werden.
Die Folge: Der Rechner ist zwar weiterhin physisch im Netzwerk erreichbar, die Domänenanmeldung funktioniert jedoch plötzlich nicht mehr.
Was ist KB5124008?
Microsoft hat KB5124008 am 8. September 2026 als Sicherheitsupdate für Windows 11 24H2 und 25H2 veröffentlicht.
Unter Windows 11 25H2 führt das Update auf Build 26200.9445, unter Windows 11 24H2 auf Build 26100.9445. Microsoft beschreibt das Update grundsätzlich als Sicherheits- und Qualitätsupdate.
Microsoft dokumentiert derzeit bereits mehrere bekannte Probleme im Zusammenhang mit KB5124008, unter anderem Probleme mit Remote Desktop Services, USB-Audiogeräten und Hyper-V-basierten Linux-VMs. Ein Problem mit dem Active-Directory-Secure-Channel ist in der offiziellen KB-Dokumentation derzeit jedoch noch nicht als Known Issue aufgeführt.
Das eigentliche Problem: Der Secure Channel zur Domäne
Ein Domänencomputer besitzt ein eigenes Computerkonto im Active Directory.
Zwischen dem Computer und einem Domain Controller besteht ein sogenannter Secure Channel. Dieser wird unter anderem für die Vertrauensstellung zwischen Computer und Domäne benötigt.
Wenn dieser Kanal beschädigt wird, kann ein Benutzer unter Umständen plötzlich keine Domänenanmeldung mehr durchführen.
Das besonders Tückische:
Der Benutzername und das Kennwort sind weiterhin korrekt.
Windows meldet beispielsweise:
„Der Benutzername bzw. das Kennwort ist falsch.“
Tatsächlich liegt das Problem aber nicht am Benutzerkennwort, sondern an der Vertrauensstellung des Computers zur Domäne.
Typisches Fehlerbild
In einem von einem Administrator veröffentlichten und reproduzierbaren Fall trat folgendes Verhalten auf:
Windows 11 25H2
Build 26200.9445
Update KB5124008
klassische Active-Directory-Domäne
Domain Controller unter Windows Server 2019
Nach der Installation des Updates funktionierte die Anmeldung zunächst noch. Nach einiger Zeit war die Vertrauensstellung jedoch beschädigt.
Der Administrator konnte den Fehler auf mehreren Geräten reproduzieren: Update installieren → Problem tritt auf → Update entfernen → Problem verschwindet. Nach einer erneuten Installation von KB5124008 trat der Fehler erneut auf.
Interessant ist außerdem, dass auch ein anderer Administrator von Problemen mit Windows Server 2022 Domain Controllern berichtet. In weiteren Erfahrungsberichten wird das Problem sogar bei unterschiedlichen Domain-Controller-Versionen beschrieben. Das spricht aktuell dagegen, vorschnell von einem ausschließlich auf Windows Server 2019 beschränkten Fehler auszugehen.
So lässt sich der Fehler überprüfen
Wenn ein betroffener Rechner noch mit einem lokalen Administratorkonto oder über zwischengespeicherte Domänenanmeldeinformationen gestartet werden kann, lässt sich die Secure-Channel-Verbindung mit PowerShell überprüfen.
Als Administrator:
Test-ComputerSecureChannel
Bei einem funktionierenden Secure Channel sollte zurückgegeben werden:
True
Bei einem betroffenen Rechner kann dagegen:
False
erscheinen.
Zusätzlich kann mit nltest geprüft werden:
nltest /sc_query:DOMAIN
Dabei kann beispielsweise der Fehler
ERROR_NO_TRUST_LSA_SECRET (1786)
auftreten.
Genau dieses Fehlerbild wurde im Microsoft-Q&A-Fall dokumentiert.
Wichtig: Nicht sofort das Benutzerkennwort zurücksetzen
Das Fehlerbild verleitet dazu, zunächst das Kennwort des betroffenen Benutzers zurückzusetzen.
Das ist in diesem Fall jedoch normalerweise nicht die richtige Richtung.
Wenn mehrere Benutzer auf demselben PC plötzlich nicht mehr über die Domäne anmelden können, während beispielsweise ein zwischengespeicherter Login offline noch funktioniert, sollte zunächst die Computervertrauensstellung überprüft werden.
Ein typischer Hinweis ist:
Test-ComputerSecureChannel
liefert:
False
Möglicher Reparaturversuch
Als ersten Reparaturversuch kann man den Secure Channel neu herstellen:
Test-ComputerSecureChannel -Repair
gegebenenfalls zusammen mit den Zugangsdaten eines entsprechend berechtigten Domänenkontos.
Alternativ kann das Computerkonto-Kennwort mit PowerShell zurückgesetzt werden.
Dabei ist allerdings Vorsicht geboten:
In den bisher gemeldeten Fällen ist die Reparatur nicht immer dauerhaft erfolgreich.
Im ursprünglichen Microsoft-Q&A-Fall reichte Test-ComputerSecureChannel -Repair beispielsweise nicht aus. Dort musste der Rechner letztlich aus der Domäne entfernt und anschließend wieder in die Domäne aufgenommen werden.
Andere Administratoren berichten dagegen, dass der Repair-Befehl zumindest vorübergehend geholfen hat. Das Fehlerbild scheint daher nicht bei allen betroffenen Systemen identisch zu sein.
Wenn die Reparatur nicht reicht
Wenn der Secure Channel weiterhin defekt ist, kann als aufwendigere Maßnahme ein erneuter Domain Join erforderlich sein.
Vereinfacht:
Lokale Anmeldung mit einem Administratorkonto ermöglichen
Computer aus der Domäne entfernen
Rechner neu starten
Rechner wieder in die Domäne aufnehmen
Erneut neu starten
Domänenanmeldung testen
Im dokumentierten Reproduktionsfall war genau dieser Vorgang notwendig, um den Fehler dauerhaft zu beseitigen.
Soll KB5124008 derzeit zurückgehalten werden?
Hier sollte man differenzieren.
KB5124008 ist ein Sicherheitsupdate und sollte nicht einfach pauschal in allen Umgebungen deinstalliert werden.
Gleichzeitig sollten Administratoren mit klassischen Active-Directory-Umgebungen die Installation derzeit besonders aufmerksam beobachten.
Microsoft veröffentlicht mit KB5124008 wichtige Sicherheitsverbesserungen. Das Update wird außerdem über Windows Update, Windows Update for Business und WSUS verteilt.
Für produktive Umgebungen empfiehlt sich daher ein kontrollierter Rollout:
Testgruppe → beobachten → größere Gruppe → vollständiger Rollout
und nicht unbedingt:
Alle Clients gleichzeitig aktualisieren.
Gerade bei Geräten, die für die tägliche Anmeldung der Benutzer benötigt werden, sollte außerdem ein lokales Administratorkonto beziehungsweise eine funktionierende Recovery-Möglichkeit vorhanden sein.
Was wir aktuell empfehlen
Für Unternehmen mit klassischem Active Directory empfehlen wir derzeit:
1. Betroffene Windows-11-Versionen prüfen
Auf einem Client:
winver
oder:
Get-ComputerInfo | Select WindowsProductName, WindowsDisplayVersion, OsBuildNumber
2. Prüfen, ob KB5124008 installiert wurde
Get-HotFix -Id KB5124008
3. Bei Anmeldeproblemen den Secure Channel prüfen
Test-ComputerSecureChannel
4. Bei False zunächst eine Reparatur versuchen
Test-ComputerSecureChannel -Repair
5. Bei wiederkehrenden Problemen Ursache dokumentieren
Insbesondere sollten folgende Informationen festgehalten werden:
Windows-Version
OS Build
installierte KB-Updates
Version des Domain Controllers
Zeitpunkt des Auftretens
Ergebnis von Test-ComputerSecureChannel
Ergebnis von nltest /sc_query
Ereignisse auf Client und Domain Controller
Damit lässt sich wesentlich besser feststellen, ob tatsächlich ein Zusammenhang mit dem Update besteht.
Noch keine endgültige Ursache bestätigt
An dieser Stelle ist eine wichtige Einschränkung notwendig:
Der Zusammenhang zwischen KB5124008 und beschädigten Domain-Secure-Channels wird derzeit von Administratoren reproduzierbar berichtet, ist aber nach aktuellem Stand nicht als entsprechendes Known Issue in der offiziellen Microsoft-KB-Dokumentation aufgeführt.
Der ursprüngliche Microsoft-Q&A-Bericht beschreibt eine reproduzierbare Situation mit Windows 11 25H2 und Windows Server 2019 Domain Controllern. Weitere Administratoren melden ähnliche Probleme unter anderem mit Windows Server 2022.
Auch deshalb sollte man nicht vorschnell behaupten, dass KB5124008 definitiv die Ursache jedes aktuellen „Trust Relationship“-Fehlers ist.
Andere Ursachen wie DNS-Probleme, Zeitabweichungen, Probleme mit dem Computerkonto oder Netzwerk-/VPN-Komponenten müssen weiterhin ausgeschlossen werden.
Fazit
KB5124008 sollte aktuell bei Active-Directory-Umgebungen besonders genau beobachtet werden.
Wenn nach dem September-Update plötzlich mehrere Benutzer eines Windows-11-PCs keine Domänenanmeldung mehr durchführen können, obwohl die Zugangsdaten korrekt sind, lohnt sich ein Blick auf die Computervertrauensstellung.
Der wichtigste erste Test lautet:
Test-ComputerSecureChannel
Liefert der Befehl False, liegt sehr wahrscheinlich ein Problem mit dem Secure Channel des Computers zur Domäne vor.
Da die bisherigen Berichte zeigen, dass eine einfache Reparatur nicht bei allen Systemen dauerhaft hilft, sollte man betroffene Geräte genau dokumentieren und nicht vorschnell Benutzerkonten oder Kennwörter verändern.
Stand dieses Beitrags: 14. September 2026.
Wir beobachten die Entwicklung rund um KB5124008 und aktualisieren diesen Beitrag, sobald Microsoft eine offizielle Stellungnahme oder einen entsprechenden Fix veröffentlicht.