NTLM wird deaktiviert: Was Unternehmen jetzt wissen und vorbereiten müssen
Die Ankündigung von Microsoft, das Authentifizierungsprotokoll NTLM schrittweise zu deaktivieren, ist eine der größten Änderungen in der Windows Security Architektur der letzten 20 Jahre.
Für IT Administratoren bedeutet dies konkrete Maßnahmen, Risiken und dringenden Handlungsbedarf.
Dieser Artikel erklärt:
- Warum NTLM verschwindet
- Die vollständige Zeitleiste
- Auswirkungen auf Active Directory, Drucker, NAS und Legacy-Systeme
- Was Administratoren jetzt prüfen müssen
- Wie Risiken erkannt und behoben werden können
- Wie Security Audits und Pentests helfen können
- Wie Mint Secure unterstützen kann
Was ist NTLM und warum wird es abgeschafft?
NTLM (NT LAN Manager) ist ein Authentifizierungsprotokoll aus den frühen Windows NT Versionen.
Es wird verwendet für:
- Netzwerk-Logins
- SMB-Freigaben
- Authentifizierung gegenüber Servern ohne Kerberos Trust
- Legacy-Systeme und Geräte
Das Problem: NTLM ist anfällig für moderne Angriffe:
- Pass-the-Hash-Angriffe
- NTLM-Relay-Angriffe
- Credential Theft
- Lateral Movement
Ein Klartextpasswort ist nicht erforderlich, ein Hash genügt. NTLM ist daher ein primärer Angriffsvektor moderner Ransomware-Angriffe. 
Offizielle Zeitleiste
Phase 1: Deprecation und Vorbereitung (2022 – 2024)
Status: aktiv / gestartet
- NTLM als deprecated markiert
- NTLMv1 vollständig entfernt
- Audit-Mechanismen eingeführt
- Neue Security Features integriert
Typische betroffene Systeme:
- alte NAS Systeme
- Legacy Drucker und Scanner
- Linux Systeme mit alten Samba Versionen
- alte Unternehmensanwendungen
Phase 2: Audit- und Reduktionsphase (2024 – 2026)
Status: aktuell aktiv kritischste Phase
Microsoft stellt neue Mechanismen bereit:
- NTLM Audit Mode
- NTLM Blocking Policies
- Kerberos Verbesserungen
- erweiterte Event Logs
Relevante Event IDs:
- Event ID 4624
- Event ID 4776
- Event ID 8001 – 8004
Diese zeigen Quelle, Zielsystem, Benutzer und Prozess. 
Phase 3: Standardmäßige Deaktivierung (ab ca. 2026)
- NTLM standardmäßig deaktiviert
- nur noch optional aktivierbar
- Legacy Systeme beginnen auszufallen
Phase 4: vollständige Entfernung
- NTLM vollständig entfernt
- Nur Kerberos und moderne Authentifizierung verbleiben
Konkrete Auswirkungen
Active Directory
- Workgroup Systeme
- nicht domain joined Geräte
- Trust Probleme
- falsch konfigurierte SPNs
Drucker und Multifunktionsgeräte
- Scan to Folder fällt aus
- SMB Authentifizierung schlägt fehl
Typisch betroffen:
- ältere HP Geräte
- Canon Geräte
- Kyocera Geräte
- Ricoh Geräte
NAS Systeme
- alte Synology Systeme
- alte QNAP Firmware
- alte Windows Fileserver
Linux Systeme mit Samba
Ältere Samba Versionen nutzen NTLM und müssen aktualisiert werden.
Legacy Anwendungen
- ERP Systeme
- Web Anwendungen
- IIS Anwendungen
- Backup Systeme
Was Administratoren jetzt tun müssen
NTLM Auditing aktivieren
GPO Setting:
Network Security: Restrict NTLM: Audit NTLM authentication in this domain
Legacy Systeme inventarisieren
- Drucker
- NAS Systeme
- Server
- Applikationen
Active Directory prüfen
- SPNs
- Delegation
- Trusts
- Service Accounts
NTLM Blocking im Audit Mode testen
Restrict NTLM: Deny All (Audit Mode zuerst)
Security Audit und Pentesting durchführen
- Credential Theft erkennen
- Angriffspfade identifizieren
- Domain Kompromittierung verhindern
Security Risiko: Angriffskette
- Client wird kompromittiert
- NTLM Hash wird extrahiert
- Pass-the-Hash Angriff
- Lateral Movement
- Domain Controller Kompromittierung
Wie die Mint Secure GmbH Sie unterstützen kann
Als spezialisierter IT Security Dienstleister unterstützt die Mint Secure GmbH Unternehmen bei der sicheren Migration und Absicherung ihrer Infrastruktur.
Unsere Leistungen umfassen:
NTLM Audit
Wir analysieren:
- wo NTLM verwendet wird
- welche Systeme betroffen sind
- welche Risiken bestehen
Active Directory Security Audit
Wir prüfen:
- Delegationen
- Trust Beziehungen
- Kerberos Konfiguration
- Privilegien
- Fehlkonfigurationen
Active Directory Pentesting
Wir simulieren reale Angriffe:
- NTLM Relay Angriffe
- Pass-the-Hash Angriffe
- Lateral Movement
- Privilege Escalation
Ziel: Angriffspfade identifizieren und eliminieren.
Legacy System Analyse
Wir prüfen:
- Drucker
- NAS Systeme
- Applikationen
- Embedded Devices
und entwickeln Migrationsstrategien.
Migrationsplanung
Wir unterstützen bei:
- NTLM Abschaltung
- Kerberos Migration
- Infrastrukturmodernisierung
Fazit
Die Abschaltung von NTLM ist eine fundamentale Sicherheitsänderung.
- Unternehmen vermeiden Ausfälle
- erhöhen Sicherheit
- reduzieren Angriffsfläche
Jetzt ist der richtige Zeitpunkt zu handeln.