Team Data GmbH - IT-Systemhaus Osnabrück Logo
WhatsApp
0541 50798808
Fernwartung

NTLM wird abgekündigt: was Firmen jetzt prüfen sollten

Kurz gesagt: Microsoft hat im Juni 2024 alle NTLM-Versionen, also LANMAN, NTLMv1 und NTLMv2, als veraltet (deprecated) eingestuft. NTLMv1 ist seit Windows 11 Version 24H2 und Windows Server 2025 entfernt, NTLMv2 funktioniert weiterhin, soll aber laut Microsoft in einer künftigen Windows-Server-Version entfernt werden. Firmen sollten jetzt herausfinden, welche Geräte und Programme noch NTLM nutzen, und auf Kerberos umstellen.

Stand: 03.11.2026

Was hat Microsoft zu NTLM genau angekündigt?

NTLM ist ein altes Anmeldeverfahren in Windows-Netzen. Im Domänennetz ist eigentlich Kerberos der Standard, NTLM springt aber ein, wenn Kerberos nicht klappt, etwa beim Zugriff über eine IP-Adresse statt über einen Namen, bei Geräten außerhalb der Domäne oder bei älterer Software.

In der Liste der veralteten Windows-Funktionen steht seit Juni 2024: Alle NTLM-Versionen, einschließlich LANMAN, NTLMv1 und NTLMv2, werden nicht mehr aktiv weiterentwickelt und sind veraltet. NTLM funktioniert laut Microsoft weiterhin in der nächsten Windows-Server-Version und im nächsten jährlichen Windows-Release. Im November 2024 kam ein Nachtrag: NTLMv1 ist ab Windows 11 Version 24H2 und Windows Server 2025 entfernt.

Für Windows Server 2025 formuliert Microsoft es noch deutlicher: NTLMv1 ist entfernt, LANMAN und NTLMv2 sind veraltet. NTLMv2 funktioniert weiter, wird aber in einer künftigen Version aus Windows Server entfernt. Ein konkretes Datum für das Ende von NTLMv2 nennt Microsoft auf diesen Seiten nicht.

Du kommst nicht weiter? Wir übernehmen das für dich, meist per Fernwartung. Ruf an: 0541 507 988 08, schreib uns oder buch ein Erstgespräch.

Was bedeutet „veraltet“ und was „entfernt“?

Das ist der wichtigste Unterschied für die Planung:

  • Veraltet (deprecated): Die Funktion wird nicht mehr aktiv weiterentwickelt und kann in einem künftigen Update entfernt werden. Bei Windows Server betont Microsoft, dass eine veraltete Komponente weiter ausgeliefert wird, für den Produktivbetrieb unterstützt ist und Sicherheits- und Qualitätsupdates erhält.
  • Entfernt (removed): Die Funktion ist im Betriebssystem nicht mehr enthalten. Programme, die darauf angewiesen sind, funktionieren in dieser Version nicht mehr.

Für NTLM heißt das: NTLMv2 läuft heute noch auf allen unterstützten Windows-Versionen. NTLMv1 dagegen ist auf neuen Systemen schon weg. Wer noch Geräte hat, die nur NTLMv1 sprechen, bekommt mit Windows 11 24H2 oder Windows Server 2025 Probleme.

Wo steckt NTLM in einem typischen Firmennetz?

Aus unserer Erfahrung lohnt ein genauer Blick auf diese Stellen:

  • Multifunktionsgeräte und Scanner, die per Scan-to-Folder auf eine Windows-Freigabe schreiben.
  • NAS-Systeme und ältere Speichergeräte mit Windows-Freigaben.
  • Branchensoftware und Datenbankanwendungen, die sich mit festen Konten am Server anmelden.
  • Zugriffe über IP-Adressen statt Servernamen, zum Beispiel in alten Skripten oder Verknüpfungen.
  • WLAN- und VPN-Anmeldungen mit MSCHAPv2. Microsoft weist darauf hin, dass MSCHAPv2 dieselbe Antwortfunktion wie NTLMv1 verwendet und damit für dieselben Angriffe auf die schwache Kryptografie anfällig ist. Abgeschaltet wird MSCHAPv2 nur, wenn Credential Guard aktiviert ist.

Was solltest du jetzt prüfen?

  1. NTLM-Nutzung überwachen: Microsoft empfiehlt, die NTLM-Überwachung zu aktivieren, um herauszufinden, wie NTLM in der Umgebung genutzt wird. Dafür gibt es in den Sicherheitsoptionen der Gruppenrichtlinien die Richtlinien zur Einschränkung von NTLM, darunter die Überwachung der NTLM-Authentifizierung in der Domäne (Network security: Restrict NTLM: Audit NTLM authentication in this domain). Sie schreiben Ereignisse ins Protokoll, ohne etwas zu blockieren.
  2. NTLMv1 aufspüren: Geräte, die noch NTLMv1 benötigen, haben höchste Priorität, weil neue Windows-Versionen das Verfahren nicht mehr können. Hier hilft oft nur ein Firmware-Update oder der Austausch des Geräts.
  3. Software umstellen lassen: Microsoft rät Entwicklern, NTLM-Aufrufe durch Negotiate zu ersetzen. Negotiate versucht zuerst Kerberos und fällt nur bei Bedarf auf NTLM zurück. In vielen Fällen ist das laut Microsoft eine Änderung in einer einzigen Zeile. Frag bei deinen Softwareherstellern nach, wie ihr Plan aussieht.
  4. Kerberos-Voraussetzungen sichern: Saubere DNS-Namen, korrekt gesetzte Dienstprinzipalnamen und Zugriffe über Namen statt IP-Adressen. Für die Fehlersuche bei Kerberos verweist Microsoft auf eigene Anleitungen.
  5. Weitere Altlasten mitnehmen: In derselben Liste für Windows Server 2025 stuft Microsoft auch RC4 bei Kerberos sowie TLS 1.0 und 1.1 als veraltet ein. Wer ohnehin die Anmeldung im Netz aufräumt, sollte diese Punkte gleich mit prüfen.

Wichtig: Schalte NTLM nicht auf Verdacht ab. Ohne vorherige Überwachung riskierst du, dass Scanner, Fachanwendungen oder Freigaben plötzlich nicht mehr funktionieren. Erst messen, dann umstellen, dann einschränken.

Wie eilig ist das Ganze?

Für NTLMv1 ist die Frist faktisch schon erreicht: Jeder neue Client mit Windows 11 24H2 und jeder neue Server mit Windows Server 2025 kann es nicht mehr. Für NTLMv2 gibt es noch Zeit, aber keine Garantie, wie lange. Da Microsoft schreibt, dass NTLM in der jeweils nächsten Version weiter funktioniert, eine Entfernung aber angekündigt ist, ist jetzt der richtige Zeitpunkt für die Bestandsaufnahme. Wer das bei der nächsten Server-Erneuerung ohnehin plant, spart sich hektische Nacharbeit.

So unterstützen wir dich

Wir aktivieren die NTLM-Überwachung in deiner Domäne, werten die Ereignisse aus und erstellen eine Liste der Geräte und Programme, die noch NTLM brauchen. Danach planen wir mit dir die Umstellung Schritt für Schritt. Vor Ort in Osnabrück und Umgebung, sonst per Fernwartung. Mehr zu unseren Leistungen rund um IT-Sicherheit für Unternehmen findest du auf unserer Leistungsseite.

Häufige Fragen

Funktioniert NTLM ab sofort nicht mehr?

Doch, NTLMv2 funktioniert weiterhin. Entfernt ist bisher nur NTLMv1, und zwar ab Windows 11 Version 24H2 und Windows Server 2025.

Gibt es ein festes Datum für das Ende von NTLMv2?

Auf den Microsoft-Seiten zu veralteten Funktionen steht kein Datum. Microsoft schreibt nur, dass NTLMv2 in einer künftigen Version aus Windows Server entfernt wird.

Was ersetzt NTLM?

Kerberos. Anwendungen sollen laut Microsoft Negotiate verwenden, das zuerst Kerberos versucht und nur bei Bedarf auf NTLM zurückfällt.

Kann ich NTLM einfach per Gruppenrichtlinie abschalten?

Technisch ja, aber nicht ohne vorherige Überwachung. Sonst fallen Geräte und Anwendungen aus, die noch auf NTLM angewiesen sind.

Quellen