Windows-11-Updates unterbrechen „Always On“-VPN-Verbindungen

Microsoft hat bestätigt, dass die Sicherheitsupdates dieses Monats bei einigen Windows-11-Nutzern „Always On VPN“-Verbindungen unterbrechen. Betroffen sind die Updates KB5124012 für Windows 11 26H1 sowie KB5124008 für Windows 11 25H2 und 24H2. An einer dauerhaften Lösung wird derzeit noch gearbeitet.

Always On VPN ist Microsofts Technologie für den Remote-Zugriff, der Nachfolger des älteren DirectAccess, und steht auf Windows 10, Windows 11 sowie Windows Server zur Verfügung. Die Funktion arbeitet mit domänenbezogenen, nicht-domänenbezogenen und Microsoft-Entra-ID-eingebundenen Geräten zusammen. Sie unterstützt sowohl die Tunnelprotokolle IKEv2 als auch SSTP in Kombination mit Multi-Faktor-Authentifizierung und baut den sicheren Tunnel automatisch im Hintergrund auf, sobald sich ein Gerät mit dem Internet verbindetherstellt.

Was läuft schief?

Das Problem tritt laut BleepingComputer bei Always On VPN-Profilen auf, die für die automatische Protokollauswahl konfiguriert sind: Dabei versucht der Client zuerst eine IKEv2-Verbindung und fällt auf SSTP zurück, falls dieser Verbindungsversuch fehlschlägt. Nach der Installation des September-Updates bricht dieser Rückfallprozess ab. Betroffene Verbindungen verharren im Status „Verbinden“ oder versuchen wiederholt und ohne Erfolg, eine Verbindung aufzubauen.

Nachfolgende Versuche können die Fehlermeldung „Der angegebene Port wird bereits verwendet“ anzeigen. Die Warnung von Microsoft wurde unter anderem von Microsoft MVP Susan Bradley verbreitet. In der Praxis verhindert ein solcher Ausfall von Always On VPN, dass betroffene Geräte über den automatischen Tunnel auf interne Unternehmensressourcen zugreifen können, bis der Workaround angewendet wird.

Microsofts vorläufige Abhilfe

Während Microsoft an einer dauerhaften Lösung arbeitet, empfiehlt das Unternehmen IT-Administratoren, das Always-On-VPN-Profil von der automatischen Protokollauswahl auf ein einzelnes Protokoll umzustellen – entweder ausschließlich SSTP oder ausschließlich IKEv2 –, je nach ihrer Umgebung, ihren Sicherheits- und Bereitstellungsanforderungen.

Microsoft hat kein spezifisches Verwaltungstool für diese Änderung vorgegeben; Administrator sollten sie daher über die Methode anwenden, die sie ohnehin zur Konfiguration ihrer Always-On-VPN-Profile nutzen. Dies ist eines von mehreren Problemen im Zusammenhang mit den kumulativen Updates vom September 2026.

In der vergangenen Woche hat Microsoft Notfall-Updates veröffentlicht, um Hyper-V-Probleme, Ausfälle bei Remote Desktop Services und USB-Audio-Probleme zu beheben, die ebenfalls durch dieselben Updates verursacht wurden. Zudem hat das Unternehmen einen Workaround für ein separates Problem bereitgestellt, das einige Nutzer daran hindert, sich mit gültigen Domänen-Anmeldedaten anzumelden, und arbeitet nach eigenen Angaben an einem Fehler, der die Windows-Dateiversionsverlauf-Sicherungsfunktion beeinträchtigt.