Windows 11 KB5127936: Vorschauupdate behebt Always-On-VPN-Fehler
Microsoft behebt mit KB5127936 für Windows 11 25H2 und 26H2 die Always-On-VPN-Probleme seit September, den RDP-Fehler 0xC000000D und die ausgegraute Smart App Control. Für 24H2 bleibt beim RDP-Fehler nur der Workaround.
Microsoft hat am 28. Oktober 2026 das optionale Vorschauupdate KB5127936 für Windows 11 25H2 und 26H2 veröffentlicht. Es behebt drei Fehler, die Admins seit den Septemberupdates beschäftigen: abbrechende Always-On-VPN-Verbindungen, den RDP-Fehler 0xC000000D auf Hosts mit Administrator protection und eine ausgegraute Option für Smart App Control. Die Builds lauten 26300.9818 (26H2) und 26200.9818 (25H2).
Betroffen sind vor allem Unternehmen mit Always On VPN und Umgebungen, die Administrator protection über Sicherheitsbaselines aktiviert haben. Windows 11 24H2 erhält ab Oktober keine Vorschauupdates mehr. Wer die Fehler aktiv spürt, kann das Update in einer Pilotgruppe testen; alle anderen warten auf den nächsten regulären Patchday im November, in dem die Korrekturen laut Microsoft enthalten sein werden.
Was ist passiert?
Nach den Sicherheitsupdates vom September konnten Always-On-VPN-Verbindungen mit automatischer Protokollauswahl oder Protokoll-Fallback im Status „Connecting“ hängen bleiben oder nach einem fehlgeschlagenen ersten Versuch gar nicht mehr aufbauen. Teilweise erschien die Meldung „The specified port is already in use“. Laut BleepingComputer hatte Microsoft das Problem zuvor fälschlich schon mit den Oktober-Updates als behoben markiert. Die Versionshinweise zu KB5127936 nennen den Fix nun ausdrücklich.
Ebenfalls behoben ist ein Fehler, der seit dem Vorschauupdate KB5124010 vom September Nicht-Administratoren an RDP-Verbindungen zu Geräten mit aktivierter Administrator protection hinderte. Die Verbindung scheiterte mit 0xC000000D und dem Hinweis „The token that was passed to the function is invalid“. In Release Health steht der Eintrag für 25H2 seit dem 28. Oktober auf „Resolved“. Außerdem ließ sich Smart App Control nach dem Ausschalten in der Windows-Sicherheit nicht wieder aktivieren.
Weitere Korrekturen betreffen die Intune-Konfiguration der Richtlinie für vertrauenswürdige .rdp-Herausgeber, die PIN-Eingabe von BitLocker vor dem Start (wiederholte Eingaben konnten eine TPM-Sperre auslösen), HDMI- und DisplayPort-Audio auf bestimmten AMD-Grafikkarten sowie verschachtelte Virtualisierung in WSL2 auf AMD-Prozessoren. Neu sind unter anderem richtlinienbasierte App-Entfernung in Multi-Session-Umgebungen, IPv6 CLAT für WLAN und Ethernet, eine Warnung vor promptbasierten DPAPI-Vorgängen, die im April 2027 entfallen, und die Ausweitung der Speicherintegrität (HVCI). Enthalten ist das Servicing Stack Update KB5132402.
Für wen ist das relevant?
Relevant ist das Update für Organisationen mit Windows 11 25H2 oder 26H2, die Always On VPN mit automatischer Protokollwahl nutzen oder RDP-Hosts mit Administrator protection betreiben. Microsoft weist darauf hin, dass Administrator protection in den Sicherheitsbaselines für 24H2, 25H2 und 26H2 standardmäßig aktiv ist. Für 24H2 meldet Release Health den RDP-Fehler weiterhin als „Mitigated“; dort hilft nur der dokumentierte Workaround.
Wie dringend ist das?
Es handelt sich um ein nicht sicherheitsrelevantes, optionales Update. Dringend ist es nur dort, wo VPN- oder RDP-Ausfälle den Betrieb stören. Ein bekanntes Problem bleibt offen: Einige USB-Audio-Geräte der Klasse 1.0 starten seit dem Septemberupdate nicht (Code 10) oder liefern keinen Ton. Microsoft arbeitet noch an einer Lösung.
Was sollten Admins jetzt tun?
- Inventar prüfen: Versionen und Builds der Windows-11-Geräte erfassen und feststellen, wo Always On VPN, Administrator protection oder Smart App Control im Einsatz sind.
- Bei akuten Störungen KB5127936 in einer Pilotgruppe über „Optionale Updates“ oder den Microsoft Update Catalog installieren und VPN-Aufbau sowie RDP-Anmeldungen testen.
- Ohne Vorschauupdate das Always-On-VPN-Profil von automatischer Protokollwahl auf ein einzelnes Protokoll umstellen, also nur SSTP oder nur IKEv2.
- Für RDP-Probleme auf älteren Builds und unter 24H2 die Richtlinie „User Account Control Type Of Admin Approval Mode“ per Intune oder Gruppenrichtlinie zurücksetzen, was Administrator protection vorübergehend abschaltet.
- Anwendungen mit promptbasiertem DPAPI-Schutz identifizieren und vor April 2027 migrieren.
Einordnung für Unternehmen
Das Vorschauupdate beendet eine wochenlange Fehlerserie, die mit dem Septemberupdate begann und im Oktober nur scheinbar gelöst war. Wer Workarounds wie den Wechsel auf ein einzelnes VPN-Protokoll oder das Abschalten von Administrator protection gesetzt hat, sollte diese nach dem Novemberupdate gezielt zurücknehmen und dokumentieren. Für Umgebungen mit 24H2 bleibt der RDP-Fehler vorerst ungelöst, was ein Argument für die Planung des Wechsels auf 25H2 oder 26H2 sein kann.
Passende Anleitungen auf S-EDV
- Always-On-VPN-Fehler nach den Septemberupdates
- Oktober-Patchday KB5127648: VPN und Explorer
- Smart App Control ausgegraut: Workaround
