NTLMv1-Sperre per Standard: Was BlockNtlmv1SSO jetzt ändert

Seit Herbst 2025 protokolliert Windows 11 24H2 still mit, wenn NTLMv1-abgeleitete Anmeldedaten für Single Sign-On erzeugt werden. Ab Oktober 2026 kippt Microsoft den Standard: Ist der Registry-Wert BlockNtlmv1SSO nicht gesetzt, wird aus dem Audit eine Sperre. Wer die Protokolle bisher nicht angesehen hat, sollte das jetzt tun.

Worum es geht

NTLMv1 ist seit Jahren als unsicher bekannt. Die Antworten lassen sich mit überschaubarem Aufwand knacken, und Relay- sowie Pass-the-Hash-Angriffe sind gut dokumentiert. Microsoft entfernt NTLM schrittweise aus Windows. In Windows 11 24H2 und Windows Server 2025 ist NTLMv1 als Protokoll bereits entfallen. Der neue Schalter BlockNtlmv1SSO regelt nun, ob Windows aus den zwischengespeicherten Anmeldedaten überhaupt noch NTLMv1-abgeleitetes Material für SSO erzeugt.

Der Schalter und seine Ereignisse

Pfad: HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0, Typ REG_DWORD. Die Ereignisse landen im Protokoll Microsoft-Windows-NTLM/Operational, Quelle NTLM.

Schritt 1: Die Clients auswerten

Zuerst klären, ob überhaupt Ereignis 4024 auftaucht. Lokal oder per WinRM über mehrere Rechner:

# NTLMv1-SSO-Ereignisse der letzten 30 Tage
$computer = Get-Content .\clients.txt
Invoke-Command -ComputerName $computer -ErrorAction SilentlyContinue -ScriptBlock {
    Get-WinEvent -LogName 'Microsoft-Windows-NTLM/Operational' -ErrorAction SilentlyContinue `
        -FilterXPath "*[System[(EventID=4024 or EventID=4025) and
                      TimeCreated[timediff(@SystemTime) <= 2592000000]]]" |
        Select-Object TimeCreated, Id, Message
} | Sort-Object PSComputerName, TimeCreated |
    Format-Table PSComputerName, TimeCreated, Id -AutoSize

# Aktuellen Stand des Schalters abfragen
Invoke-Command -ComputerName $computer -ScriptBlock {
    Get-ItemPropertyValue 'HKLM:\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0' `
        -Name BlockNtlmv1SSO -ErrorAction SilentlyContinue
}

Schritt 2: NTLMv1 auf den Domänencontrollern finden

Unabhängig vom neuen Schalter gehört NTLMv1 im ganzen Netz abgeschaltet. Die Quellen findet man auf den Domänencontrollern: Bei aktivierter Überwachung erfolgreicher Anmeldungen enthält Ereignis 4624 das verwendete NTLM-Paket. Einträge für ANONYMOUS LOGON können dabei ignoriert werden.

# NTLMv1-Anmeldungen auf einem DC (Feld LmPackageName)
Get-WinEvent -ComputerName DC01 -LogName Security `
    -FilterXPath "*[System[EventID=4624] and
                  EventData[Data[@Name='LmPackageName']='NTLM V1']]" |
    ForEach-Object {
        $x = [xml]$_.ToXml()
        $d = @{}; $x.Event.EventData.Data | ForEach-Object { $d[$_.Name] = $_.'#text' }
        [pscustomobject]@{
            Zeit      = $_.TimeCreated
            Konto     = $d.TargetUserName
            Quelle    = $d.WorkstationName
            IP        = $d.IpAddress
        }
    } | Where-Object Konto -ne 'ANONYMOUS LOGON' |
    Group-Object Quelle | Sort-Object Count -Descending

Typische Fundstellen: alte Multifunktionsgeräte mit Scan-to-Folder, NAS-Systeme, Industrie- und Medizintechnik, Linux-Dienste mit veralteter Samba-Konfiguration und Eigenentwicklungen mit hart kodierter Authentifizierung.

Schritt 3: Bewusst entscheiden statt überrollen lassen

Sind die Quellen bereinigt, setzt man den Wert aktiv. Eine native ADMX-Vorlage gibt es dafür nicht. Am einfachsten geht es per Gruppenrichtlinien-Einstellung (Computerkonfiguration → Einstellungen → Windows-Einstellungen → Registrierung):

Struktur:  HKEY_LOCAL_MACHINE
Pfad:      SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0
Name:      BlockNtlmv1SSO
Typ:       REG_DWORD
Wert:      1   (Enforce)

Parallel gehört die LAN-Manager-Authentifizierungsebene domänenweit auf die strengste Stufe: „Netzwerksicherheit: LAN Manager-Authentifizierungsebene“ = Nur NTLMv2-Antworten senden. LM & NTLM verweigern (entspricht LmCompatibilityLevel = 5).

Compliance-Bezug

Das Abschalten veralteter Authentifizierungsverfahren ist Basisanforderung in BSI IT-Grundschutz APP.2.2 (Active Directory Domain Services) und ORP.4 (Identitäts- und Berechtigungsmanagement). CIS Control 4 (sichere Konfiguration) fordert dasselbe, ebenso die CIS Benchmarks für Windows. Unter NIS2 fällt es unter die Konzepte zur Kryptografie nach Art. 21 Abs. 2 lit. h.

Fazit

Der neue Standard ist ein kleiner Schritt mit klarer Botschaft: NTLMv1 hat keine Zukunft mehr in Windows. Wer jetzt die Ereignisse 4024 auswertet, die NTLMv1-Quellen auf den Domänencontrollern aufspürt und den Schalter bewusst setzt, behält die Kontrolle. Wer abwartet, erfährt von seinen Altlasten erst durch fehlschlagende Anmeldungen.

Quellen: Microsoft KB5066470 „Upcoming changes to NTLMv1 in Windows 11, version 24H2 and Windows Server 2025“; Microsoft Learn „Audit use of NTLMv1 on a Windows Server-based domain controller“ (KB4090105); BSI IT-Grundschutz-Kompendium (APP.2.2, ORP.4)