RDP-Fehler 0xC000000D unter Windows 11: Administrator protection prüfen und gezielt abschalten

Benutzer ohne Adminrechte kommen per Remotedesktop nicht mehr auf einen Windows-11-Rechner. Der Client meldet den RDP-Fehler 0xC000000D mit dem Text „The token that was passed to the function is invalid.“ Microsoft hat das am 13.10.2026 als bekanntes Problem bestätigt: Auslöser ist das Vorschau-Update KB5124010 vom 22.09.2026, wenn auf dem Zielrechner die Funktion Administrator protection (deutsch: Administratorschutz) aktiv ist.

Eine Korrektur gibt es noch nicht, auch nicht im Oktober-Update. Dieser Beitrag zeigt, welche Rechner betroffen sind, wie du das mit einem Befehl prüfst und wie der Workaround aussieht.

Betroffen sind nur Windows-11-Rechner mit Administrator protection

Laut Release Health müssen drei Bedingungen zusammenkommen:

1. Der Zielrechner läuft mit Windows 11 und hat das Update vom 22.09.2026 oder ein späteres. Das Oktober-Update KB5127648 vom 13.10. zählt dazu.
2. Auf dem Zielrechner ist Administrator protection eingeschaltet.
3. Das anmeldende Konto hat auf dem Zielrechner keine Administratorrechte.

Windows 11	Update vom 22.09.2026	Betroffen ab Build
24H2 / 25H2 / 26H2	KB5124010	26100.9550 / 26200.9550 / 26300.9550
26H1	KB5124006	28000.3086

Windows Server ist nicht betroffen. Terminalserver und RDS-Farmen auf Server-Betriebssystemen sind damit außen vor. Es trifft Windows-11-Rechner, auf die sich Benutzer per RDP verbinden: Arbeitsplatz-PCs mit Fernzugriff, Sprungrechner, VDI-Desktops im eigenen Rechenzentrum.

Für Sitzungshosts in Azure Virtual Desktop und für Windows 365 unterstützt Microsoft Administrator protection ohnehin nicht. Ob Citrix-Sitzungen (HDX) auf Windows-11-VDAs betroffen sind, sagt Microsoft nicht, und Citrix hat dazu bis heute keinen Artikel veröffentlicht.

Die Security Baseline schaltet Administrator protection ein

Mit Administrator protection arbeiten Administratoren im Alltag nur mit einem eingeschränkten Token, das ist ein Satz Rechte für die laufende Sitzung. Erst wenn eine Aktion Adminrechte braucht, fragt Windows nach und erzeugt dafür ein eigenes Token über ein verstecktes Systemkonto. Die Funktion kam mit dem August-Vorschau-Update KB5120998 und ist in Windows standardmäßig aus.

Eingeschaltet wird sie über die Richtlinie User Account Control: Configure type of Admin Approval Mode. Und hier liegt der Grund, warum der Fehler jetzt in vielen Umgebungen auftaucht: Microsoft hat Administrator protection in die Security Baselines für Windows 11 24H2, 25H2 und 26H2 aufgenommen. Laut der Dokumentation zu Administrator protection wird die Funktion dort mit dem Oktober-Sicherheitsupdate aktiv. Eine Umgebung, die die Baseline per Gruppenrichtlinie oder Intune verteilt, hat sie nach dem Oktober-Patchday und einem Neustart also eingeschaltet, oft ohne dass jemand die Einstellung bewusst gesetzt hat.

Die Ursache im Code nennt Microsoft nicht. Bekannt ist nur die Kombination aus Update, Administrator protection und Anmeldung ohne Adminrechte.

Administrator protection und Build per PowerShell prüfen

Der Block liest Version, Build und die Einstellung von Administrator protection aus der Registry. Er ändert nichts und braucht keine Adminrechte. Ausführen auf dem Zielrechner der RDP-Verbindung.

$cv  = Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion'
$uac = Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System'

# Erster Build mit dem Update vom 22.09.2026 je Windows-11-Version
$ab = @{ '26100' = 9550; '26200' = 9550; '26300' = 9550; '28000' = 3086 }

[pscustomobject]@{
    Version         = $cv.DisplayVersion
    Build           = '{0}.{1}' -f $cv.CurrentBuild, $cv.UBR
    UpdateAb2209    = $ab.ContainsKey($cv.CurrentBuild) -and $cv.UBR -ge $ab[$cv.CurrentBuild]
    AdminProtection = $uac.TypeOfAdminApprovalMode -eq 2
}

Ausgabe auf einem nicht betroffenen Rechner:

Version Build      UpdateAb2209 AdminProtection
------- -----      ------------ ---------------
25H2    26200.9278        False           False

So liest du das Ergebnis:

• Beide Spalten True: Der Rechner ist betroffen. Benutzer ohne Adminrechte kommen per RDP nicht hinein.
• Nur AdminProtection ist True: Der Fehler tritt auf, sobald das Update vom 22.09. oder ein späteres installiert ist. Das ist der Fall, den man vor dem Ausrollen des Oktober-Updates finden möchte.
• AdminProtection ist False: Nicht betroffen, unabhängig vom Build.

Der Registry-Wert TypeOfAdminApprovalMode steht für die eingestellte Richtlinie: 1 ist der bisherige Modus, 2 ist Administrator protection. Er wirkt erst nach einem Neustart. Ein Rechner, der den Wert gerade erst bekommen hat, verhält sich bis zum nächsten Start noch wie vorher.

Für viele Rechner auf einmal lässt sich derselbe Block über die Softwareverteilung oder per PowerShell-Remoting ausführen.

RDP-Fehler 0xC000000D und die beiden September-Fehler

Seit August gab es drei Fehlerbilder rund um Remotedesktop. Sie haben verschiedene Auslöser und verschiedene Lösungen:

Fehlerbild	Auslöser	Betrifft	Stand 15.10.2026
RDS hängt nach einigen Minuten, „Bitte warten“	KB5124008 vom 08.09.	Client und Server	behoben am 14.09. (Beitrag)
Schwarzer Bildschirm nach der Anmeldung	KB5120998 vom 27.08.	Windows 11, VDI mit Profillösung	behoben mit KB5127648 vom 13.10.
0xC000000D direkt bei der Anmeldung	KB5124010 vom 22.09.	Windows 11 mit Administrator protection, Konto ohne Adminrechte	offen, Workaround

Die Kennung KB5124010 taucht noch an einer zweiten Stelle auf: Der Known Issue Rollback (KIR, eine Gruppenrichtlinie, mit der Microsoft eine einzelne Änderung eines Updates zurücknimmt) für den schwarzen Bildschirm heißt „KB5124010 260924_20021 Known Issue Rollback“. Der Name bezieht sich nur auf das Update, auf das er wirkt. Gegen 0xC000000D hilft dieser KIR nicht, für diesen Fehler gibt es keinen.

Workaround: Administrator protection auf dem Zielrechner ausschalten

Microsoft nennt einen Workaround: Administrator protection auf den betroffenen Zielrechnern vorübergehend ausschalten. Damit gilt dort wieder die Benutzerkontensteuerung wie vor dem August-Update. Die Einstellung zu ändern ist ein Eingriff in die Sicherheitskonfiguration. Deshalb nur dort, wo Benutzer ohne Adminrechte per RDP arbeiten müssen, und als Ausnahme dokumentiert.

Gruppenrichtlinie: Computerkonfiguration > Windows-Einstellungen > Sicherheitseinstellungen > Lokale Richtlinien > Sicherheitsoptionen, dort User Account Control: Configure type of Admin Approval Mode (in der deutschen Microsoft-Dokumentation „Benutzerkontensteuerung: Art des Admin-Genehmigungsmodus konfigurieren“) auf Legacy Admin Approval Mode stellen. Danach ist ein Neustart nötig.

Intune: Im Einstellungskatalog unter Local Policies Security Options die Einstellung User Account Control Type Of Admin Approval Mode für eine Gruppe mit den betroffenen Rechnern auf den Legacy-Modus setzen. Auch hier wirkt die Änderung erst nach dem Neustart.

Zwei Dinge entscheiden darüber, ob der Workaround hält:

• An der Quelle ändern. Kommt die Einstellung aus der Security Baseline, setzt die Baseline sie beim nächsten Abgleich wieder. Die Ausnahme gehört also in die Baseline-Zuweisung oder in eine eigene Richtlinie mit Vorrang, nicht auf den einzelnen Rechner.
• Ausdrücklich auf Legacy stellen. Sicherheitsoptionen aus einer Gruppenrichtlinie bleiben in der Registry stehen, wenn die Richtlinie nur entfernt wird. Der Prüfblock oben zeigt nach dem Neustart, ob AdminProtection wirklich False ist.

Das Oktober-Update zu deinstallieren ist kein Weg: Es enthält die Sicherheitskorrekturen vom Patchday und behebt den Fehler nicht.

Kommt die Korrektur von Microsoft, gehört Administrator protection auf diesen Rechnern wieder eingeschaltet. Wie man ein Update so testet, dass Anmeldefehler wie dieser vor dem Ausrollen auffallen, steht im Beitrag Dein Patchtest hat die Sitzung offen gelassen.

Kurz zusammengefasst

Der RDP-Fehler 0xC000000D trifft Windows-11-Rechner mit Administrator protection ab dem Update vom 22.09.2026, sobald sich ein Konto ohne Adminrechte anmeldet. Server sind nicht betroffen.

Ob ein Rechner betroffen ist, zeigt der Registry-Wert TypeOfAdminApprovalMode (2 = aktiv) zusammen mit dem Build. Der Workaround ist der Legacy-Modus per Richtlinie mit Neustart, gesetzt an der Stelle, von der die Einstellung kommt.

Quellen

• Windows 11 24H2: bekannte Probleme, Microsoft Release Health (gilt auch für 25H2 und 26H2)
• Windows 11 26H1: bekannte Probleme, Microsoft Release Health
• KB5124010: Vorschau-Update vom 22.09.2026, Microsoft
• KB5127648: Sicherheitsupdate vom 13.10.2026, Microsoft
• Administrator protection, Microsoft Learn
• Policy CSP LocalPoliciesSecurityOptions, Microsoft Learn: Werte 1 und 2 der Richtlinie

---

Stand dieses Beitrags: 15.10.2026. Der Fehler ist zu diesem Zeitpunkt offen. Kommt die Korrektur, trage ich sie datiert am Kopf des betroffenen Abschnitts nach, statt den Text still zu korrigieren.