Netzwerksicherheit: LAN Manager-Authentifizierungsebene
Der DWORD-Wert `5` entspricht der Sicherheitseinstellung **Nur NTLMv2-Antworten senden.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (1)
HKLM\SYSTEM\CurrentControlSet\Control\Lsa\LmCompatibilityLevel
Der DWORD-Wert 5 entspricht der Sicherheitseinstellung Nur NTLMv2-Antworten senden. LM und NTLM verweigern. Bei Netzwerkanmeldungen, für die NTLM-basierte Anforderungs-/Antwortauthentifizierung verwendet wird, erzeugt der Computer als Client ausschließlich NTLMv2-Antworten. NTLMv2-Sitzungssicherheit wird verwendet, sofern die Gegenstelle sie unterstützt.
Auf einem Domänencontroller bewirkt der Wert außerdem, dass eingehende LM- und NTLMv1-Authentifizierungen abgelehnt werden. Der Domänencontroller akzeptiert für diese Authentifizierungsart nur NTLMv2.
Hinweise
Sicherheit
Die Einstellung verhindert die Verwendung der älteren LM- und NTLMv1-Antwortverfahren und reduziert damit die Risiken, die aus deren schwächeren Authentifizierungsmechanismen entstehen. NTLMv2 verwendet gegenüber den älteren Verfahren zusätzliche Daten wie eine clientseitige Anforderung und einen Zeitstempel, wodurch unter anderem einfache Wiederholungsangriffe erschwert werden.
Der Wert deaktiviert NTLM nicht vollständig und erzwingt auch nicht die Verwendung von Kerberos. Er bestimmt die zulässige NTLM-Variante, wenn eine Netzwerkanmeldung über die NTLM-Protokollfamilie erfolgt. Andere Risiken NTLM-basierter Authentifizierung werden dadurch nicht grundsätzlich beseitigt.
Mögliche Nebenwirkungen
Ältere Geräte, Betriebssysteme, Dienste oder Anwendungen, die ausschließlich LM oder NTLMv1 unterstützen, können sich nicht mehr über diese Verfahren authentifizieren. Dies kann insbesondere zu fehlgeschlagenen Domänenanmeldungen oder zum Verlust des Zugriffs auf Domänenressourcen führen.
Hinweise
LmCompatibilityLevel ist ein computerweiter DWORD-Wert. Die beschriebenen Auswirkungen gelten für den Datenwert 5; andere Werte dieses Registry-Eintrags erlauben abweichende Kombinationen aus LM, NTLMv1 und NTLMv2.
Die Einstellung betrifft die Anforderungs-/Antwortauthentifizierung für Netzwerkanmeldungen. Kerberos bleibt in Active-Directory-Domänen das bevorzugte Authentifizierungsprotokoll, sofern es erfolgreich ausgehandelt werden kann.
Microsoft-Dokumentation
Microsoft Learn: Referenz zur Azure Policy-Gastkonfigurationsbaseline für Windows
Microsoft Learn: Technische Übersicht über Kennwörter