Always On VPN: Microsoft behebt Fehler aus September-Update

Microsoft hat ein bekanntes Problem behoben, durch das Always-On-VPN-Verbindungen auf Windows-11-Systemen nach der Installation der Sicherheitsupdates vom September 2026 nicht mehr funktionierten.

Die Korrektur steckt in den kumulativen Updates KB5127648 und KB5127646, die der Konzern am Dienstag im Rahmen seines Patch Tuesday im Oktober 2026 veröffentlicht hat. Laut Microsoft beheben beide Updates das Problem auf allen betroffenen Systemen.

Was Always On VPN macht

Always On VPN ist Microsofts Lösung für den Fernzugriff und der Nachfolger der älteren DirectAccess-Technologie. Sie unterstützt Geräte mit Windows 10, Windows 11 und Windows Server, egal ob sie einer Domäne angehören, keiner Domäne angehören oder in Microsoft Entra ID eingebunden sind, den cloudbasierten Identitätsdienst des Unternehmens, der früher Azure Active Directory hieß.

Die Funktion arbeitet unauffällig im Hintergrund. Sobald ein Gerät eine Internetverbindung hat, baut es automatisch einen sicheren Tunnel zurück ins Firmennetz auf, sodass Nutzer das VPN nicht selbst starten müssen. Das macht die Lösung zu einer beliebten Wahl für Unternehmen mit Mitarbeitern im Homeoffice und in hybriden Arbeitsmodellen - und bedeutet auch, dass ein Ausfall Beschäftigte ohne große Vorwarnung von internen Ressourcen abschneiden kann.

Wie sich der Fehler bemerkbar machte

Microsoft informierte IT-Administratoren erstmals Ende September in einer Servicemeldung über das Problem. Betroffen waren aktuelle Geräte mit Windows 11 24H2 und neuer.

Auslöser war ein fehlgeschlagener erster Verbindungsversuch. Viele Always-On-VPN-Installationen nutzen die automatische Protokollauswahl: Der Client probiert ein Tunnelprotokoll aus und weicht auf ein anderes aus, wenn das erste nicht funktioniert. Ein typisches Beispiel ist ein Profil, das entweder IKEv2 oder SSTP verwenden kann. Auf Systemen mit den September-Updates lief dieser Ausweichmechanismus nicht wie vorgesehen.

"Wenn die automatische Protokollauswahl oder ein Protokoll-Fallback konfiguriert war, konnten betroffene VPN-Verbindungen nach einem fehlgeschlagenen ersten Verbindungsversuch im Status 'Verbindung wird hergestellt' hängen bleiben oder keine Verbindung aufbauen", erklärte Microsoft.

Ein erneuter Versuch half nicht immer. "In einigen Fällen konnte bei nachfolgenden Verbindungsversuchen die Fehlermeldung 'Der angegebene Port wird bereits verwendet' erscheinen", ergänzte das Unternehmen.

Übergangslösung bei verzögertem Patchen

Nicht jedes Unternehmen kann kumulative Updates noch am Tag ihrer Veröffentlichung verteilen. Für alle, die mehr Zeit brauchen, hat Microsoft eine vorübergehende Abhilfe beschrieben, die den Ausweichmechanismus außen vor lässt.

"IT-Administratoren können das Problem entschärfen, indem sie das Always-On-VPN-Profil von der automatischen Protokollauswahl auf ein einzelnes Protokoll umstellen, also entweder nur SSTP oder nur IKEv2, je nach Umgebung und Konfiguration", so Microsoft.

Eine Empfehlung für eines der beiden Protokolle gab der Konzern nicht. "Unternehmen sollten das Protokoll anhand ihrer Umgebung sowie ihrer Sicherheits- und Bereitstellungsanforderungen auswählen", hieß es.

Der Kompromiss liegt auf der Hand: Wer ein Profil auf ein einziges Protokoll festlegt, umgeht den Fehler, verzichtet aber auch auf die Ausfallsicherheit, die die automatische Auswahl eigentlich bieten soll. Administratoren, die diese Übergangslösung nutzen, werden wohl wieder zurückwechseln wollen, sobald die Oktober-Updates installiert sind.

Teil eines größeren Musters

Das VPN-Problem ist nicht die einzige Nebenwirkung der September-Updates 2026. Im vergangenen Monat musste Microsoft Notfall-Updates nachschieben, um Ausfälle der Remotedesktopdienste, Probleme mit Hyper-V und Störungen bei USB-Audio zu beheben, die sowohl Privat- als auch Unternehmensnutzer von Windows trafen. Alle diese Fehler ließen sich auf dasselbe September-Release zurückführen.

Diese Woche bestätigte Microsoft zudem ein weiteres Remotedesktop-Problem. Nutzer ohne Administratorrechte haben nach der Installation aktueller Windows-Updates möglicherweise Schwierigkeiten, sich per Remotedesktop mit Geräten zu verbinden, wenn die Sicherheitsfunktion "Administratorschutz" aktiviert ist.

Warum das wichtig ist

Für Unternehmen, die auf Always On VPN setzen, sollte dieser Fix Vorrang haben. Ein Fernzugriffswerkzeug, das stillschweigend keine Verbindung aufbaut, landet beim Helpdesk meist als Flut einzelner Tickets statt als offensichtlicher Ausfall - und das kann es schwerer machen, die eigentliche Ursache zu erkennen. Administratoren, die ihre Profile übergangsweise auf ein einzelnes Protokoll umgestellt haben, sollten diese Änderung nach dem Patchen wieder überprüfen.

Die eigentliche Geschichte ist aber die Zahl der Probleme, die auf ein einziges Monatsupdate zurückgehen. VPN-Ausfälle, kaputter Remotedesktop, Hyper-V-Probleme und Audiofehler haben alle ihren Ursprung in den September-Updates. Das deutet darauf hin, dass Funktionen für den Unternehmenseinsatz weiterhin bei jedem kumulativen Update ein echtes Risiko für Regressionen tragen. Und es setzt IT-Teams unter Druck, die aus Sicherheitsgründen schnell patchen wollen, gleichzeitig aber auf einen stabilen Fernzugriff angewiesen sind.

Dieses Spannungsfeld wird nicht verschwinden, zumal Microsoft weitere große Änderungen an der Wartung von Windows vornimmt, etwa das bevorstehende Ablaufen des Windows-Update-Zertifikats, das ältere PCs betreffen wird. Ein gestaffelter Rollout mit einer Pilotgruppe, zu der auch VPN- und Remotedesktop-Nutzer gehören, bleibt ein vernünftiger Weg, solche Probleme frühzeitig zu erkennen. Beobachten sollte man außerdem, ob die Oktober-Updates eigene neue bekannte Probleme mitbringen und ob Microsoft das Problem mit dem Administratorschutz und Remotedesktop in den kommenden Wochen löst.