Das Symptom
Zwei Administratoren lesen dieselbe Zeile in Microsofts Liste der abgekündigten Funktionen: NTLM ist deprecated. Der eine folgert, das Verfahren sei ohnehin erledigt, und sperrt es per Gruppenrichtlinie im ganzen Netz. Am nächsten Morgen kommen die Multifunktionsgeräte nicht mehr an ihre Scan-Freigabe, das NAS im Keller verweigert die Anmeldung, und zwei Rechner, die nie in der Domäne waren, sehen sich gegenseitig nicht mehr.
Der andere liest deprecated als Entwarnung: Das läuft also weiter. Er spielt Windows 11 24H2 und Windows Server 2025 aus, und plötzlich scheitert die Anmeldung einer Branchenanwendung aus dem letzten Jahrzehnt und eines alten Archivsystems. Beide haben die Abkündigung gelesen. Keiner hat den Satz dahinter gelesen.
Die „Layer 8“-Wahrheit
Microsoft hat beide Aussagen in einen einzigen Absatz geschrieben. Im Eintrag vom Juni 2024 heißt es über alle Versionen von NTLM, ausdrücklich einschließlich LANMAN, NTLMv1 und NTLMv2, sie seien „no longer under active feature development and are deprecated.“ Und direkt danach: „Use of NTLM will continue to work in the next release of Windows Server and the next annual release of Windows.“ Abgekündigt heißt also: keine neuen Funktionen mehr, aber weiterhin im Betrieb. Die Server-Fassung der Liste definiert den Begriff ausdrücklich so. Eine abgekündigte Komponente wird weiter ausgeliefert, ist für den Produktivbetrieb unterstützt und erhält Sicherheits- und Qualitätsupdates.
Die Ausnahme steht als Nachtrag vom November 2024 darunter, und sie betrifft genau eine Variante: „NTLMv1 is removed starting in Windows 11, version 24H2 and Windows Server 2025.“ Die Seite für Windows Server 2025 bestätigt das und ergänzt für die übrigen Varianten, dass NTLMv2 weiter funktioniert, aber in einer künftigen Version aus Windows Server entfernt werden soll. Wann, steht dort nicht. Der zweite Administrator wurde also nicht von der Abkündigung getroffen, sondern von der Entfernung von NTLMv1, die ausdrücklich danebensteht.
Den ersten Administrator hat ein anderer Satz erwischt, der in der NTLM-Übersicht steht: „NTLM authentication is still supported and must be used for Windows authentication with systems configured as a member of a workgroup.“ Muss, nicht kann. Kerberos nennt dieselbe Seite als bevorzugtes Verfahren für Active-Directory-Umgebungen; für Arbeitsgruppen bleibt NTLM vorgeschrieben. Wer das Verfahren netzweit sperrt, ohne zu wissen, wer es benutzt, schaltet diese Geräte ab.
Dass NTLM verschwinden soll, ist trotzdem kein Zufall. Microsofts Beschreibung der Überwachungsrichtlinie nennt die Gründe: „NTLM and NTLMv2 authentication is vulnerable to various malicious attacks, including SMB relay, man-in-the-middle attacks, and brute force attacks.“ Der Weg dahin ist aber ebenfalls beschrieben, und er beginnt nicht mit einer Sperre. Microsoft empfiehlt, Aufrufe von NTLM durch Negotiate zu ersetzen, das Kerberos bevorzugt und nur bei Bedarf auf NTLM zurückfällt. Für die Bestandsaufnahme gibt es eine eigene Richtlinie, die eingehenden NTLM-Verkehr protokolliert, genauso wie es die Sperrrichtlinie täte, aber ohne etwas zu blockieren. Erst wenn das Protokoll zeigt, wer noch NTLM braucht, ist der Zeitpunkt für die Sperre gekommen.
Der Unterschied zwischen den beiden Fehlern ist am Ende nur die Leserichtung. Der eine hat beim Wort deprecated aufgehört zu lesen, der andere davor. Die Wahrheit steht in den zwei Sätzen dazwischen.