Bereits seit einiger Zeit gilt der vor über 30 Jahren eingeführte Windows-Authentifizierungsmechanismus NTLM (New Technology LAN Manager) als veraltet. Aktuell dient er zwar noch als Fallback-Variante, wenn Kerberos-basierte Verfahren nicht verfügbar sind.
Microsoft will den vergleichsweise unsicheren NTLM zugunsten stärkerer Protokolle jetzt definitiv zurückziehen. Organisationen, die ihn noch nutzen, würden verschiedene Risiken eingehen: keine Server-Authentifizierung, Verwundbarkeit gegen verschiedene Arten von Attacken wie etwa NTLM-Relay-Angriffe, schwache Kryptographie sowie nur eingeschränkte diagnostische Daten und Visibility für Audits.
Der NTLM-Ausstieg erfolgt in drei Phasen. Zunächst liefert Microsoft verbesserte Auditing-Möglichkeiten für NTLM. Damit lässt sich ermitteln, wo in der Autorisation NTLM noch eingesetzt wird und wo die Gründe dafür liegen könnten. Das erweiterte Auditing ist Teil von Windows Server 2025 und Windows 11 ab Version 24H2.
In einer zweiten Phase räumt Microsoft in der zweiten Jahreshälfte 2026 verschiedene Hindernisse aus, die Unternehmen bis jetzt daran gehindert haben, NTLM abzulösen. Dazu führt der Hersteller neue Features wie IAKerb und ein lokales Key Distribution Center (KDC) ein, um den bisher in gewissen Situationen durch den Domain Controller erzwungenen NTLM-Fallback zu eliminieren. Das lokale KDC stellt zudem sicher, dass die Authentifizierung lokaler Accounts keinen NTLM-Fallback mehr generiert. Ausserdem werden Windows-Kernkomponenten so aktualisiert, dass sie zuerst Kerberos nutzen.
Die dritte Phase macht praktisch endgültig Schluss mit NTLM. Das Protokoll wird im nächsten grossen Windows Server Release standardmässig deaktiviert und muss, falls trotzdem gewünscht, via Policy explizit reaktiviert werden. NTLM wird somit auch in dieser Phase noch nicht vollständig aus Windows entfernt, steht aber per Default nicht mehr ohne weitere Massnahmen zur Verfügung. Das Betriebssystem setzt jedoch prinzipiell auf modernere und sicherere Kerberos-basierte Verfahren und erlaubt ohne Reaktivierung keinen NTLM-Fallback mehr.
(ubi)
