Team Data GmbH - IT-Systemhaus Osnabrück Logo
WhatsApp
0541 50798808
Fernwartung

WLAN oder VPN fragt ständig nach Passwort: Credential Guard

Kurz gesagt: Wenn WLAN, VPN oder Remotedesktop nach einem Windows-Update bei jeder Anmeldung erneut das Kennwort verlangen, steckt oft Credential Guard dahinter. Seit Windows 11 Version 22H2 und Windows Server 2025 wird es auf geeigneten Geräten standardmäßig aktiviert und blockiert das Single Sign-On für unsichere Verfahren wie MS-CHAPv2 und NTLMv1. Die saubere Lösung ist der Wechsel auf zertifikatbasierte Anmeldung (EAP-TLS oder PEAP-TLS). Credential Guard abzuschalten geht schneller, macht die Anmeldedaten aber angreifbar.

Stand: 03.11.2026

Warum fragt WLAN oder VPN ständig nach dem Passwort?

Credential Guard ist eine Schutzfunktion von Windows, die Anmeldedaten in einem isolierten Bereich ablegt, damit Schadsoftware sie nicht aus dem Speicher auslesen kann. Microsoft beschreibt in der Dokumentation ein bekanntes Problem: Nach dem Upgrade auf Windows 11 Version 22H2 oder Windows Server 2025 funktioniert das Single Sign-On für Netzwerkdienste nicht mehr, wenn diese auf unsichere, kennwortbasierte Protokolle setzen. Betroffen sind 802.1x-WLAN und kabelgebundene Netze, Remotedesktop und VPN-Verbindungen. Nutzer müssen sich bei jeder neuen Windows-Sitzung erneut anmelden.

Der Grund: Credential Guard blockiert laut Microsoft das Single Sign-On für MS-CHAP, WDigest und NTLMv1 und verhindert, dass diese Verfahren die gespeicherten Windows-Anmeldedaten verwenden. Die Protokolle selbst funktionieren weiter, aber nur, wenn der Nutzer die Anmeldedaten jedes Mal eingibt. Genau das ist die ständige Kennwortabfrage. Microsoft begründet das damit, dass WLAN- und VPN-Endpunkte auf Basis von MS-CHAPv2 ähnlichen Angriffen ausgesetzt sind wie NTLMv1.

Du kommst nicht weiter? Wir übernehmen das für dich, meist per Fernwartung. Ruf an: 0541 507 988 08, schreib uns oder buch ein Erstgespräch.

Welche Geräte sind betroffen?

Laut Microsoft wird Credential Guard ab Windows 11 Version 22H2 und Windows Server 2025 auf geeigneten Geräten standardmäßig aktiviert, sofern es nicht ausdrücklich deaktiviert wurde. Das betrifft Geräte mit Enterprise-Lizenzen (E3 und E5) und Education-Lizenzen sowie einige Pro-Geräte, die die Hardware-Mindestanforderungen erfüllen. Auch Windows-Pro-Geräte, auf denen Credential Guard früher mit einer passenden Lizenz lief und die später auf Pro zurückgestuft wurden, erhalten die automatische Aktivierung. Auf Windows Server 2025 ist Credential Guard auf allen domänenbeigetretenen Servern aktiv, die keine Domänencontroller sind.

Als Nebeneffekt nennt Microsoft außerdem: Vom Remotedesktop-Client gespeicherte Windows-Anmeldedaten können nicht mehr an den Remote-Host gesendet werden; der Versuch endet mit der Meldung „Anmeldeversuch fehlgeschlagen“. Auch bestimmte Drittprodukte sind laut Microsoft nicht kompatibel, darunter MS-CHAPv2-Konfigurationen mit Cisco ISE.

Wie prüfst du, ob Credential Guard die Ursache ist?

  1. Credential Guard-Status prüfen: Klicke auf Start, tippe msinfo32.exe ein und öffne die Systeminformationen. Unter Systemübersicht (System Summary) steht bei Ausgeführte Dienste für virtualisierungsbasierte Sicherheit (Virtualization-based Security Services Running) der Eintrag „Credential Guard“, wenn es läuft.
  2. Alternativ per PowerShell (als Administrator): Der Befehl (Get-CimInstance -ClassName Win32_DeviceGuard -Namespace rootMicrosoftWindowsDeviceGuard).SecurityServicesRunning liefert 1, wenn Credential Guard läuft, und 0, wenn nicht.
  3. Ereignisanzeige prüfen: Öffne eventvwr.exe und navigiere zu Anwendungs- und Dienstprotokolle, Microsoft, Windows, NTLM, Operational. Ereignis-ID 4013 (Warnung) zeigt, dass NTLMv1 durch Credential Guard blockiert wurde, Ereignis-ID 4014 (Fehler) einen blockierten Zugriff auf den Anmeldeschlüssel.
  4. Verbindung prüfen: Schau in der WLAN- oder VPN-Konfiguration nach, ob PEAP-MSCHAPv2 oder EAP-MSCHAPv2 eingestellt ist. Dann passt das Fehlerbild.

Wie löst du das Problem dauerhaft?

Microsoft empfiehlt, von MSCHAPv2-basierten Verbindungen wie PEAP-MSCHAPv2 und EAP-MSCHAPv2 auf zertifikatbasierte Authentifizierung zu wechseln, etwa PEAP-TLS oder EAP-TLS. Zertifikatbasierte Anmeldung wird von Credential Guard nicht blockiert, und sie ist gleichzeitig deutlich sicherer, weil kein Kennwort mehr über das Netz geht. Dafür brauchst du eine Zertifizierungsstelle (zum Beispiel Active Directory Certificate Services), Computer- oder Benutzerzertifikate auf den Geräten und einen RADIUS-Server, der EAP-TLS akzeptiert. Für VPN gilt das Gleiche: Die Anmeldung auf Zertifikate umstellen oder, wo der VPN-Hersteller es anbietet, auf eine moderne Anmeldung über Microsoft Entra ID.

Für Remotedesktop- und Delegationsszenarien empfiehlt Microsoft Kerberos, eingeschränkte Kerberos-Delegierung oder ressourcenbasierte eingeschränkte Delegierung statt CredSSP. Allgemein rät Microsoft, ergänzend zu Credential Guard von Kennwörtern auf Windows Hello for Business, FIDO2-Sicherheitsschlüssel oder Smartcards umzusteigen.

Was ist mit dem schnellen Weg, Credential Guard abzuschalten?

Microsoft nennt das Deaktivieren ausdrücklich als schnellere, aber weniger sichere Lösung. Credential Guard kennt keine Ausnahmen für einzelne Protokolle oder Anwendungen, es lässt sich nur ein- oder ausschalten. Ist es aus, sind gespeicherte Domänen-Anmeldedaten wieder anfällig für Diebstahl. Deaktivieren geht laut Microsoft zum Beispiel über Intune: Im Einstellungskatalog die Kategorie Device Guard, Einstellung Credential Guard auf Deaktiviert (Disabled) setzen, der Gruppe zuweisen und das Gerät neu starten. Wurde Credential Guard mit UEFI-Sperre aktiviert, ist zusätzlich ein Eingriff vor Ort am Gerät nötig, weil die Einstellung in der Firmware gespeichert ist.

Wer verhindern will, dass Credential Guard beim nächsten Upgrade automatisch aktiv wird, muss es laut Microsoft vor dem Upgrade ausdrücklich deaktivieren. Steht die Einstellung auf „nicht konfiguriert“, aktiviert ein geeignetes Gerät Credential Guard nach dem Update von selbst. Unser Rat: Nutze die Abschaltung höchstens als Überbrückung und plane den Umstieg auf Zertifikate.

So unterstützen wir dich

Wir stellen WLAN und VPN bei Unternehmen in Osnabrück und Umgebung auf zertifikatbasierte Anmeldung um, richten die Zertifizierungsstelle und den RADIUS-Server ein und verteilen die Zertifikate über Gruppenrichtlinien oder Intune. Weiter entfernte Kunden betreuen wir per Fernwartung. Mehr dazu auf unserer Seite IT-Support in Osnabrück.

Häufige Fragen

Warum tritt das Problem erst nach dem Windows-Update auf?

Weil Credential Guard laut Microsoft ab Windows 11 Version 22H2 und Windows Server 2025 auf geeigneten Geräten automatisch aktiviert wird, sofern es vorher nicht ausdrücklich deaktiviert war.

Ist das ein Fehler von Windows?

Nein. Credential Guard arbeitet wie vorgesehen und blockiert unsichere Verfahren. Das Fehlerbild zeigt, dass die Netzwerkanmeldung auf einem veralteten Protokoll beruht.

Reicht es, das Kennwort im WLAN-Profil zu speichern?

Nein. Credential Guard verhindert genau diese Weitergabe gespeicherter Anmeldedaten an MS-CHAPv2. Das Kennwort muss bei jeder Sitzung neu eingegeben werden, solange das Protokoll nicht umgestellt ist.

Betrifft das auch Windows 10?

Die automatische Aktivierung gilt laut Microsoft ab Windows 11 Version 22H2 und Windows Server 2025. Auf Windows 10 tritt das Verhalten nur auf, wenn Credential Guard dort bewusst eingeschaltet wurde.

Quellen