Windows 11: Oktober-Updates blockieren Remotedesktop mit Fehler 0xC000000D
Microsoft bestätigt, dass Benutzer ohne Adminrechte nach aktuellen Updates keine Remotedesktop-Verbindung zu Windows 11 24H2 bis 26H2 mehr aufbauen können, wenn dort der Administratorschutz aktiv ist. Mit den Sicherheitsbaselines ist er seit Oktober Standard. Admins sollten betroffene Hosts gezielt ausnehmen.
Microsoft hat am 13. Oktober 2026 ein neues bekanntes Problem in Windows 11 bestätigt: Benutzer ohne Administratorrechte können sich nach aktuellen Updates nicht mehr per Remotedesktop mit Geräten verbinden, auf denen der Administratorschutz (Administrator protection) aktiv ist. Die Verbindung bricht mit dem Fehler 0xC000000D und der Meldung „Das an die Funktion übergebene Token ist ungültig“ ab. Betroffen sind Windows 11 24H2, 25H2, 26H1 und 26H2 ab dem Vorschauupdate KB5124010 vom 22. September.
Brisant wird das durch das Oktober-Sicherheitsupdate KB5127648. Seitdem ist der Administratorschutz in Umgebungen, die die Windows-Sicherheitsbaselines von Microsoft nutzen, standardmäßig eingeschaltet. Admins, die Clients per Baseline über Gruppenrichtlinie oder Intune härten und Remotedesktop für Standardbenutzer erlauben, sollten heute prüfen, ob Verbindungen scheitern. Wer den Administratorschutz nicht aktiviert hat, ist nicht betroffen. Windows Server ist laut Microsoft ebenfalls nicht betroffen.
Was ist passiert?
Den Eintrag „Remote Desktop connections might fail for non-admin users with error 0xC000000D“ hat Microsoft am 13. Oktober um 09:43 Uhr pazifischer Zeit im Windows Release Health Dashboard eröffnet und mit dem Status „Mitigated“ versehen. Ursprung ist laut Microsoft das nicht sicherheitsrelevante Vorschauupdate KB5124010, alle späteren Updates sind ebenfalls betroffen. Das Problem trifft vor allem verwaltete Unternehmensgeräte, die als Remotedesktop-Host dienen, unabhängig davon, wie der Administratorschutz eingeschaltet wurde.
Laut Günter Born haben Leser seines Blogs nach dem Patchday vom 13. Oktober genau dieses Verhalten gemeldet: In einer Unternehmensumgebung konnten Benutzer ohne Adminrechte keine RDP-Sitzungen zu Clients mit Windows 11 24H2 bis 26H2 mehr aufbauen. Andere Leser berichten von Fernwartungsprogrammen, die nicht mehr zugreifen können. Ob diese Fälle dieselbe Ursache haben, ist nicht bestätigt. Eine Lösung im Update gibt es noch nicht, Microsoft arbeitet nach eigener Aussage daran.
Wer ist betroffen?
- Windows 11 24H2, 25H2, 26H1 und 26H2 mit KB5124010 oder einem späteren Update, darunter das Oktober-Update KB5127648.
- Nur Geräte, die als Remotedesktop-Host dienen und auf denen der Administratorschutz aktiv ist.
- Nur Verbindungen von Benutzern ohne Administratorrechte, etwa Mitarbeiter, die aus dem Homeoffice auf ihren Bürorechner zugreifen.
- Organisationen mit den Sicherheitsbaselines für Windows 11 24H2, 25H2 oder 26H2, sofern die Richtlinie dort nicht abweichend konfiguriert wurde.
Nicht betroffen sind Windows Server, Geräte ohne Administratorschutz und Administratoren selbst. Windows-365-Cloud-PCs und Session Hosts in Azure Virtual Desktop unterstützt der Administratorschutz laut Microsoft ohnehin noch nicht.
Wie kritisch ist das?
Es handelt sich um eine Betriebsstörung, nicht um eine Sicherheitslücke. Für Unternehmen, deren Mitarbeiter per RDP auf feste Arbeitsplätze zugreifen, kann sie aber einen kompletten Ausfall des Fernzugriffs bedeuten. Der von Microsoft vorgeschlagene Workaround hat einen Preis: Wer den Administratorschutz abschaltet, verzichtet auf eine Schutzfunktion, die Rechteerhöhungen über ein getrenntes, kurzlebiges Admin-Token absichert. Der Workaround sollte deshalb gezielt nur für Geräte gelten, die tatsächlich als RDP-Host für Standardbenutzer dienen.
Was sollten Admins jetzt tun?
- Inventar prüfen: welche Windows-11-Clients KB5124010 oder KB5127648 installiert haben und den Administratorschutz aktiv nutzen.
- Klären, welche dieser Geräte von Standardbenutzern per Remotedesktop erreicht werden, und den Fehler mit einer Testverbindung reproduzieren.
- In der eingesetzten Baseline die Richtlinie „User Account Control: Configure type of Admin Approval Mode“ kontrollieren.
- Für betroffene Hosts die Richtlinie per Intune oder Gruppenrichtlinie auf „Legacy Admin Approval Mode (Default)“ zurücksetzen. Ein Neustart ist erforderlich.
- Die Ausnahme über eine eigene Gerätegruppe oder einen GPO-Filter umsetzen, nicht für die gesamte Flotte.
- Die Änderung dokumentieren und nach dem Fix durch Microsoft wieder zurücknehmen.
- Den Status des Eintrags im Release Health Dashboard regelmäßig verfolgen.
Einordnung für Unternehmen
Der Fall zeigt, wie eng neue Schutzfunktionen und Standardvorgaben zusammenhängen. Microsoft hat den Administratorschutz mit den aktualisierten Baselines und dem Oktober-Update zum Standard gemacht, während der RDP-Fehler bereits seit dem September-Vorschauupdate bestand. Kleine Unternehmen, die Baselines unverändert übernehmen, sollten neue Baseline-Versionen künftig zuerst in einem Testring mit typischen Abläufen wie Fernzugriff, Softwareverteilung und Fachanwendungen prüfen. Wer KB5127648 wegen der behobenen VPN- und Explorer-Fehler bereits verteilt hat, sollte den Fernzugriff deshalb gezielt nachtesten.
Passende Anleitungen auf S-EDV
- Windows 11 Oktober-Update KB5127648: Builds, behobene VPN- und Explorer-Fehler und weitere offene Probleme.
- Security Baseline v2 für Windows 11 26H2: Hintergrund zum Administratorschutz und den zugehörigen Richtlinien.
- Gruppenrichtlinien in der Praxis: Ausnahmen per Filter gezielt für einzelne Gerätegruppen setzen.
- Windows-Updates mit WSUS und Update for Business: Updates gestaffelt über Testringe verteilen.
