Windows-Updates legen Remotedesktop mit Adminschutz lahm
Microsoft hat bestätigt, dass aktuelle Updates für Windows 11 Nutzer ohne Administratorrechte daran hindern können, sich per Remotedesktop mit Geräten zu verbinden. Das Problem tritt auf Rechnern auf, auf denen die Sicherheitsfunktion "Administratorschutz" aktiviert ist.
Laut Microsoft betrifft der Fehler Systeme mit Windows 11 24H2, 25H2, 26H1 und 26H2. Er zeigt sich nach der Installation des optionalen Vorschauupdates KB5124010 vom September 2026 oder eines späteren Updates. Microsoft hat das Problem am Dienstag eingeräumt und arbeitet noch an einer Lösung.
Eine Funktion, die bei vielen Organisationen jetzt standardmäßig aktiv ist
Der Administratorschutz kam erstmals im Oktober 2025 mit dem kumulativen Vorschauupdate KB5067036 auf Systeme mit Windows 11 24H2 und 25H2. Er beschränkt angemeldete Nutzer auf die Rechte eines Standardbenutzers. Wollen sie neue Apps installieren oder die Windows-Registrierung ändern, müssen sie sich über Windows Hello authentifizieren, entweder per PIN oder biometrisch.
Anfangs war die Funktion optional. Das hat sich geändert. Bei Organisationen, die auf die Windows-Sicherheitsbaselines setzen, ist sie nach der Installation des Windows-Sicherheitsupdates vom Oktober 2026 standardmäßig aktiviert. Sicherheitsbaselines sind die von Microsoft empfohlenen Konfigurationseinstellungen zur Härtung von Windows, und viele Unternehmen nutzen sie als Ausgangspunkt für ihre eigenen Richtlinien.
"Wenn Ihre Organisation Windows-Sicherheitsbaselines verwendet, die über das Microsoft Security Compliance Toolkit veröffentlicht werden, ist der Administratorschutz in den Sicherheitsbaselines für Windows 11, Version 24H2, 25H2 und 26H2, standardmäßig aktiviert, sofern Ihre Organisation die Richtlinie nicht anders konfiguriert hat", so Microsoft.
Manche IT-Teams könnten also auf den Fehler stoßen, ohne die Funktion je bewusst eingeschaltet zu haben.
Fehlermeldung zu ungültigem Token
Betroffene Nutzer sehen, wie ihre Verbindungsversuche per Remotedesktop mit dem Fehlercode 0xC000000D scheitern.
"Verbindungsversuche können mit dem Fehler 0xC000000D fehlschlagen und die Meldung 'Das an die Funktion übergebene Token ist ungültig' anzeigen. Dieses Problem betrifft in erster Linie von Unternehmen verwaltete Remotegeräte, die als Remotedesktop-Hosts dienen und bei denen der Administratorschutz aktiviert ist, unabhängig davon, wie die Funktion aktiviert wurde", erklärte Microsoft.
Die Folgen treffen vor allem Unternehmensumgebungen. Gefährdet sind Geräte, die in verwalteten Netzwerken als Remotedesktop-Hosts arbeiten, während Heimanwender seltener auf den Fehler stoßen dürften.
Behelfslösung: Funktion abschalten
Bis eine dauerhafte Lösung erscheint, empfiehlt Microsoft, den Administratorschutz auf betroffenen Geräten zu deaktivieren. IT-Administratoren können das mit dem Richtlinienverwaltungstool erledigen, das sie ohnehin nutzen.
Bei Organisationen, die Microsoft Intune oder Gruppenrichtlinien einsetzen, muss dafür die Richtlinie "User Account Control Type Of Admin Approval Mode" zurückgesetzt werden.
Die Behelfslösung hat ihren Preis. Wer den Administratorschutz abschaltet, entfernt eine Schutzschicht, die einschränkt, was angemeldete Nutzer und jede unter ihrem Konto laufende Schadsoftware ohne zusätzliche Authentifizierung tun können. Administratoren müssen den Fernzugriff für ihre Mitarbeiter gegen diese zusätzliche Härtung abwägen, bis Microsoft einen richtigen Patch veröffentlicht.
Nicht der erste Ausfall beim Remotedesktop
Windows-Updates haben den Remotedesktop schon früher in Mitleidenschaft gezogen. Im März 2025 behob Microsoft ein ähnliches Problem, das nach der Installation von Updates ab Januar 2025 zu Verbindungsabbrüchen bei Remotedesktop und RDS führte.
Im vergangenen Monat musste der Konzern außerdem Notfall-Updates außerhalb des regulären Zyklus für Windows Server nachschieben. Diese behoben Ausfälle der Remotedesktopdienste, die durch die Sicherheitsupdates vom September 2026 ausgelöst worden waren.
Der Update-Zyklus vom September 2026 hat noch weitere Probleme verursacht. Microsoft hat kürzlich einen Fehler bei Always On VPN behoben, der auf dieselbe Update-Runde zurückging.
Unsere Einschätzung
Dieser Fehler zeigt ein bekanntes Spannungsfeld in der Windows-Administration. Microsoft treibt strengere Standardeinstellungen wie den Administratorschutz voran, was ein sinnvoller Schritt gegen den Missbrauch von Zugangsdaten und unerwünschte Softwareinstallationen ist. Wird eine Härtungsfunktion aber über Sicherheitsbaselines eingeschaltet und gerät dann mit einem zentralen Werkzeug wie dem Remotedesktop in Konflikt, müssen Administratoren zwischen Sicherheit und Verfügbarkeit wählen.
Der Zeitpunkt macht die Sache schwieriger. Viele Organisationen spielen noch die Updates vom Oktober-Patchday 2026 ein, und genau dieses Update aktiviert die Funktion im Rahmen der Baselines standardmäßig. Teams, die auf den Remotedesktop angewiesen sind, sollten vor einer breiten Verteilung zunächst eine kleine Gruppe von Hosts testen und jede Behelfslösung eng eingrenzen, statt den Schutz in der gesamten Umgebung abzuschalten.
Die Updates vom September und Oktober haben inzwischen mehrere voneinander unabhängige Regressionen beim Fernzugriff verursacht. Das spricht dafür, dass Tests rund um Remote-Verbindungen mehr Aufmerksamkeit verdienen, sowohl bei Microsoft als auch in den Patch-Prozessen der Unternehmen. Es lohnt sich zu beobachten, ob Microsoft die Lösung über ein reguläres kumulatives Update oder ein weiteres außerplanmäßiges Update ausliefert und ob der Konzern in der Zwischenzeit die Standardwerte der Baselines anpasst.