Windows 11: September-Updates legen Always On VPN lahm – Microsoft nennt Workaround
Die September-Updates für Windows 11 sorgen in manchen Unternehmensumgebungen für ein weiteres Problem: Always On VPN kann nach der Installation bestimmter Updates keine Verbindung mehr aufbauen. Microsoft hat die Störung inzwischen bestätigt und einen vorläufigen Workaround genannt.
Welche Windows-Versionen betroffen sind
Bei Windows 11 24H2 und 25H2 steht das Problem im Zusammenhang mit KB5124008; bei Windows 11 26H1 nennt Microsoft KB5124012. Da spätere kumulative Updates die vorherigen Änderungen übernehmen, kann der Fehler auch nach neueren September-Paketen weiter auftreten.
Betroffene VPN-Verbindungen bleiben laut Microsoft teilweise dauerhaft im Status „Verbindung wird hergestellt“, starten immer wieder neue Verbindungsversuche oder melden bei späteren Versuchen, dass der angegebene Port bereits verwendet werde.
Automatische Protokollwahl ist der Knackpunkt
Das Problem tritt insbesondere dann auf, wenn ein Always-On-VPN-Profil so konfiguriert ist, dass Windows nach einem fehlgeschlagenen Verbindungsversuch automatisch auf ein anderes Tunnelprotokoll wechselt. Ein typisches Beispiel ist die automatische Auswahl zwischen IKEv2 und SSTP.
Always On VPN ist vor allem in Unternehmen relevant, weil sich verwaltete Geräte damit automatisch mit internen Netzen verbinden können. Fällt der Tunnel aus, können Nutzer je nach Konfiguration den Zugriff auf interne Dienste, Dateifreigaben oder Anwendungen verlieren.
Microsofts Workaround
Bis ein endgültiger Fix bereitsteht, empfiehlt Microsoft Administratoren, die automatische Protokollauswahl zu deaktivieren und das betroffene VPN-Profil vorübergehend auf nur IKEv2 oder nur SSTP festzulegen. Welches Protokoll sinnvoll ist, hängt von der jeweiligen Infrastruktur und den Sicherheitsanforderungen ab.
Ein komplettes Entfernen des Sicherheitsupdates ist damit nicht die bevorzugte Lösung. Gerade auf Unternehmensrechnern sollte ein sicherheitsrelevantes kumulatives Update nur nach sorgfältiger Abwägung zurückgerollt werden.
Was Admins jetzt prüfen sollten
Unternehmen sollten zunächst feststellen, ob die betroffenen Clients tatsächlich automatische Protokollauswahl verwenden. Anschließend kann die Konfiguration über die bereits eingesetzte Verwaltung – beispielsweise Intune oder andere MDM-Lösungen – testweise auf ein einzelnes Protokoll umgestellt werden. Microsoft arbeitet nach eigenen Angaben an einer dauerhaften Korrektur.
Mehr zum Thema: Windows 11 KB5124010: Optionales September-Update mit neuen Funktionen und Fehlerkorrekturen
Beitragsbild: Symbolbild: Petter Lagson / Unsplash
Quellen
BleepingComputer: Microsoft bestätigt den Always-On-VPN-Fehler
Microsoft Learn: Always On VPN
