Security-Insider berichtet am 27.10.2026, dass Windows-Domänencontroller nach dem Juli-Update keinen Audit-Modus für RC4 mehr kennen. RC4 (Rivest Cipher 4) bleibt nur dort erlaubt, wo ein Konto oder der Domänenstandard es ausdrücklich zulässt. Kerberos nutzt RC4 als RC4-HMAC mit dem NT-Hash des Kennworts ohne Salt als Schlüssel. Solche Tickets lassen sich offline deutlich schneller knacken als AES-Tickets. Für jedes Konto mit Service Principal Name darf jeder angemeldete Benutzer ein Dienstticket anfordern. Die Sicherheitslücke CVE-2026-20833 ermöglicht laut Microsoft dieses sogenannte Kerberoasting mit RC4-Tickets. Der Beitrag zeigt, wie Administratoren verbliebene Ausnahmen über Windows-Ereignisprotokolle und PowerShell-Skripte aufspüren. Praxishinweis von Qvestcon: Banken und Versicherer sollten die Konten mit gesetztem RC4-Merkmal als Liste führen, jedem Konto einen Verantwortlichen zuordnen und einen Termin zum Abbau festlegen. Diese Liste gehört in den Nachweis der IT-Sicherheit. Aus unserer Erfahrung bei Kunden aus Versicherung und Bank sind es meist Altanwendungen und Dienstkonten, die RC4 weiter benötigen.