Beschreibung: Seit KB5124010 können Standardbenutzer bei aktiviertem Administratorschutz ausgesperrt werden. Betroffene Builds, sichere Prüfung und Microsofts Übergangslösung.
Kurzantwort: Microsoft bestätigt, dass seit dem Vorschauupdate KB5124010 vom 22. September 2026 Remotedesktop-Anmeldungen von Standardbenutzern mit 0xC000000D scheitern können, wenn auf dem Windows-11-Zielrechner Administrator protection aktiviert ist. Stand 18. Oktober gibt es eine Übergangslösung, aber noch keinen angekündigten dauerhaften Fix.
Betroffene Versionen und Builds
Entscheidend ist der Zielrechner, der die Verbindung annimmt, nicht nur der Client. Laut Microsoft treffen ein betroffenes Update, aktivierter Administratorschutz auf dem Host und ein Konto ohne Administratorrechte zusammen. Firmen-Sicherheitsbaselines können die Funktion automatisch einschalten; nicht jede RDP-Verbindung ist betroffen.
| Ziel-PC | Oktober-Update | OS-Build |
|---|---|---|
| Windows 11 24H2 | KB5127648 | 26100.9711 |
| Windows 11 25H2 | KB5127648 | 26200.9711 |
| Windows 11 26H2 | KB5127648 | 26300.9711 |
| Windows 11 26H1 | KB5127646 | 28000.3231 |
Das erste damit verknüpfte Update ist KB5124010 vom 22. September; der Fehler begann nicht zwingend erst im Oktober.
Sichere Prüfschritte
- Notieren Sie 0xC000000D und „The token that was passed to the function is invalid“. Andere Token-Fehler können anders entstehen.
- Führen Sie auf dem Zielrechner
winveraus und prüfen Sie Version, Build sowie Einstellungen → Windows Update → Updateverlauf. - Lassen Sie die IT klären, ob Administrator protection durch Intune, Gruppenrichtlinien oder eine Sicherheitsbaseline aktiviert wurde.
- Wenn die Merkmale nicht passen, prüfen Sie VPN, Host-Erreichbarkeit, RDP-Berechtigungen und Windows-Edition. Windows 11 Home ist normalerweise kein unterstützter integrierter RDP-Host.
Offizielle Abhilfe und Sicherheitsfolgen
Microsoft empfiehlt IT-Administratoren ausschließlich auf betroffenen Hosts, die Richtlinie User Account Control: Configure type of Admin Approval Mode über Intune oder Gruppenrichtlinien auf Legacy Admin Approval Mode (Default) zurückzusetzen. Danach neu starten und testen. Halten Sie den ursprünglichen Wert und einen Wiederherstellungsplan fest.
Das schwächt eine Schutzfunktion. Schalten Sie nicht die gesamte Benutzerkontensteuerung ab, machen Sie Standardbenutzer nicht zu Administratoren und entfernen Sie keine Sicherheitsupdates auf eigene Faust. Ein Windows-Reset oder das Löschen von Profilen kann Daten und Firmeneinstellungen kosten.
Fix-Status und Beleglage
Die Hinweise vom 13. Oktober zu KB5127648 und KB5127646 führen den Fehler weiterhin. Die genaue interne Ursache und Häufigkeit sind öffentlich nicht abschließend belegt. Communityberichte über Citrix-VDA-Registrierungsprobleme beweisen keine gemeinsame Ursache mit gewöhnlichen RDP-Fehlern.
Fazit
Prüfen Sie Host-Update, Administratorschutz und Kontotyp und lassen Sie die IT gegebenenfalls eine eng begrenzte Übergangslösung anwenden.
Quellen (6)
- Microsoft KB5127648 (known issue)
- Microsoft KB5127646 (26H1)
- Microsoft KB5124010 (September preview)
- Microsoft Learn (Administrator protection)
- Microsoft (Remote Desktop requirements)
- Citrix community report (not confirmed as same defect)
Geprüft am 18. Oktober 2026 um 09:53 Uhr (JST). Offizielle Unterlagen abgeglichen; Citrix ist ein Communitybericht, kein unabhängiger Nachtest.
