Netzwerksicherheit: LAN Manager-Hashwert bei der nächsten Kennwortänderung nicht speichern
Der DWORD-Wert `NoLMHash` mit den Wertdaten `1` verhindert, dass Windows beim nächsten Festlegen oder Ändern eines Kontokennworts einen LAN-Manager-Kennworthash (LM-Hash) erzeugt und speichert.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (1)
HKLM\System\CurrentControlSet\Control\Lsa\NoLMHash
Der DWORD-Wert NoLMHash mit den Wertdaten 1 verhindert, dass Windows beim nächsten Festlegen oder Ändern eines Kontokennworts einen LAN-Manager-Kennworthash (LM-Hash) erzeugt und speichert. Für lokale Konten betrifft dies die lokale SAM-Datenbank; auf Domänencontrollern betrifft es die in Active Directory gespeicherten Kennwortdaten der Domänenkonten.
Die Einstellung verhindert nicht die Speicherung des NT-Hashs. NTLM, NTLMv2 und Kerberos können weiterhin den NT-Hash verwenden und sind daher nicht grundsätzlich auf einen LM-Hash angewiesen.
Hinweise
Sicherheit
LM-Hashes bieten erheblich weniger Schutz gegen Brute-Force- und Kennwort-Cracking-Angriffe als NT-Hashes. Wird eine Kontodatenbank kompromittiert, erschwert das Unterbinden der LM-Hash-Speicherung deshalb die Ermittlung der zugehörigen Kennwörter und deren missbräuchliche Verwendung zur Identitätsübernahme.
Die Einstellung schützt weder die SAM-Datenbank noch Active Directory selbst vor Zugriffen. Sie entfernt lediglich die schwächere Kennwortdarstellung und beseitigt nicht die Risiken, die von kompromittierten NT-Hashes oder anderen Anmeldeinformationen ausgehen.
Mögliche Nebenwirkungen
Sehr alte Betriebssysteme und Anwendungen, die für die Authentifizierung zwingend einen LM-Hash benötigen, können sich anschließend möglicherweise nicht mehr authentifizieren. Dies betrifft insbesondere historische Windows-Clients und kann auch einzelne ältere Anwendungen anderer Hersteller betreffen. Authentifizierungsverfahren, die den NT-Hash verwenden, werden durch das Fehlen des LM-Hashs nicht unmittelbar deaktiviert.
Hinweise
Die Wirkung ist nicht rückwirkend: Bereits gespeicherte LM-Hashes verschwinden erst, wenn das jeweilige Kennwort nach Wirksamwerden der Einstellung neu festgelegt oder geändert wird.
Microsoft führt die zugehörige Sicherheitsoption für Windows 10 und Windows 11. In den dokumentierten Windows-Server-Sicherheitsbaselines ist der Registry-Wert bis Windows Server 2022 erfasst. Unter Windows Server 2025 ist die zugehörige Gruppenrichtlinieneinstellung nicht mehr vorhanden und gilt laut Microsoft nicht für diese neue Windows-Version.
Microsoft-Dokumentation
Microsoft Learn: Technische Übersicht über Kennwörter
Microsoft Learn: Neuigkeiten in Windows Server 2025