Microsoft hat bestätigt, dass die Sicherheitsupdates des September-Patchdays 2026 für Windows 11 (26H1, 25H2 und 24H2) eine neue 'Machine Identity Isolation'-Funktion einführen, die Benutzer von On-Premise-Active-Directory-Domain-Anmeldungen aussperren kann.
Das Problem betrifft Maschinen mit aktiviertem Credential Guard, die nicht in einer Windows Server 2025 Domain Functional Level (DFL)-Umgebung laufen. Nach der Installation der Patches verlieren betroffene Maschinen den sicheren Kanal zum On-Premises-AD, und Benutzer erhalten eine Fehlermeldung, dass die Vertrauensbeziehung zwischen diesem Computer und der primären Domäne fehlgeschlagen sei. Offline-Anmeldung mit gecachten Credentials funktioniert jedoch weiterhin.
Microsoft erklärt, dass das September-Update Machine Identity Isolation standardmäßig aktiviert, das dann vorhandene oder richtlinienbasierte Einstellungen durchsetzt. Die Funktion unterstützt jedoch nur Windows Server 2025 DFL-Umgebungen — in allen anderen Umgebungen sollte sie deaktiviert werden.
Der Workaround ist mehrstufig und umständlich: Administratoren müssen den MachineIdentityIsolation-Registry-Wert von 2 auf 0 zurücksetzen (unter zwei Registry-Pfaden), die Maschine neu starten und dann den Secure Channel mit dem PowerShell-Befehl Test-ComputerSecureChannel -Repair -Credential (Get-Credential) zurücksetzen.
Microsoft gibt an, dass ein kommendes Windows-Update die Durchsetzung von Machine Identity Isolation vorübergehend deaktiviert und Verbesserungen der Funktion liefert. Dies ist die neueste in einer Reihe von problematischen Windows-Updates — Microsoft hatte zuvor einen verspäteten August-Patchday-Korrektur nachgeliefert, der bei der ursprünglichen Veröffentlichung schlicht vergessen worden war.
