Microsoft heeft een einde gemaakt aan een storing waardoor gebruikers zonder beheerdersrechten geen Remote Desktop-verbinding konden opzetten met Windows 11-pc's. De oplossing zit in de optionele update KB5127936 van 28 oktober 2026. Het probleem raakte vooral beheerde omgevingen waar Administrator protection actief is.
Wat was er aan de hand?
Gebruikers zonder beheerdersrechten kregen bij het verbinden met een pc waarop Administrator protection was ingeschakeld de foutcode 0xC000000D. De Remote Desktop-client meldde dat het aangeboden authenticatietoken ongeldig was, waarna de verbinding direct werd verbroken. De fout trof dus precies de gewone medewerkers die op afstand willen werken.
Welke Windows-versies zijn getroffen?
Het probleem speelde op Windows 11 24H2, 25H2, 26H1 en 26H2. Volgens berichtgeving is Windows Server 2025 niet getroffen. De fout dook op na de optionele preview-update van september (KB5124010) en bleef daarna aanwezig in latere updates.
Hoe herken je het probleem?
Het herkenbaarste kenmerk is de foutcode 0xC000000D met de melding over een ongeldig token, direct bij het opbouwen van de verbinding. Treedt dit alleen op bij gebruikers zonder beheerdersrechten en alleen op pc's waar Administrator protection aanstaat, dan wijst dat sterk op deze fout.
Waarom was dit lastig op te lossen?
Een eerdere noodupdate bracht geen oplossing. Tot 28 oktober bleef daardoor één tijdelijke maatregel over: de functie zelf uitschakelen. Dat is voor veel organisaties een stap terug, omdat Administrator protection juist bedoeld is om beheerdersrechten af te schermen.
Wat is Administrator protection?
Administrator protection beperkt gebruikers tot standaardrechten. Voor een handeling die verhoging vereist, wordt een geïsoleerd beheerdersprofiel gebruikt dat alleen na bevestiging beschikbaar komt. Zo kan malware minder makkelijk onopgemerkt beheerdersrechten overnemen. Volgens berichtgeving schakelt de Windows Security Baseline de functie na de beveiligingsupdates van oktober 2026 standaard in voor beheerde omgevingen.
Wat kun je doen?
Wie nog niet kan updaten, heeft twee opties om verbindingen te herstellen. De tweede is alleen bedoeld als tijdelijke noodoplossing.
- Installeer KB5127936 of een nieuwere update. Daarna is geen verdere actie nodig.
- Schakel Administrator protection tijdelijk uit via Intune of groepsbeleid, door het beleid User Account Control: Behavior of the elevation prompt for administrators terug te zetten. Een herstart is daarna nodig.
Wat betekent dit voor beheerders?
De update is optioneel en dus niet automatisch aanwezig. Controleer eerst of de fout in je omgeving voorkomt: meldt een medewerker zonder beheerdersrechten dat Remote Desktop niet werkt, en toont de client 0xC000000D, dan is dit een waarschijnlijke oorzaak. Test de update op een kleine groep voordat je hem breed uitrolt. Dezelfde update verhelpt overigens ook een ander probleem: Always On VPN-verbindingen die bleven hangen bij automatische protocolkeuze tussen IKEv2 en SSTP.
Wat kun je hieruit meenemen?
Een beveiligingsfunctie die standaard wordt ingeschakeld, kan onverwachte bijwerkingen hebben in bestaande werkprocessen. Hier bleek Remote Desktop voor gebruikers zonder beheerdersrechten het slachtoffer, en duurde het ruim een maand voordat er een definitieve oplossing kwam.
Voor organisaties die Remote Desktop gebruiken op Windows 11-clients is de boodschap helder: installeer KB5127936 of een latere update en laat het uitschakelen van Administrator protection alleen een tijdelijke maatregel zijn. Zo blijft de extra bescherming behouden zonder dat gebruikers buiten de boot vallen. Omdat KB5127936 een optionele update is, moet je de installatie zelf inplannen in plaats van op automatische uitrol te wachten.
