![](data:image/svg+xml, %3Csvg xmlns='http://www.w3.org/2000/svg' height='64' class='font-weight-bold' style='font: 600 30.11764705882353px "SegoeUI", Arial' width='64'%3E%3Ccircle fill='hsl(54.400000000000006, 74%, 15%)' cx='32' cy='32' r='32' /%3E%3Ctext x='50%25' y='55%25' dominant-baseline='middle' text-anchor='middle' fill='%23FFF' %3EMK%3C/text%3E%3C/svg%3E)
![](data:image/svg+xml, %3Csvg xmlns='http://www.w3.org/2000/svg' height='64' class='font-weight-bold' style='font: 600 30.11764705882353px "SegoeUI", Arial' width='64'%3E%3Ccircle fill='hsl(284.8, 33%, 37%)' cx='32' cy='32' r='32' /%3E%3Ctext x='50%25' y='55%25' dominant-baseline='middle' text-anchor='middle' fill='%23FFF' %3EDV%3C/text%3E%3C/svg%3E)
Hallo,
der Fehlercode 0x80072EFD in deinem Event Log ist entscheidend. Dieser Code bedeutet „WININET_E_CANNOT_CONNECT“ – sprich, der WebAuthN‑Client kann die Verbindung zum Microsoft‑Backend nicht aufbauen. Das erklärt, warum die Passkey‑Registrierung auf diesen Windows 11 25H2 Clients fehlschlägt, während sie auf anderen Maschinen funktioniert. Es ist kein Bluetooth‑Problem, sondern ein Netzwerk‑/TLS‑Problem beim Hybrid‑Ctap‑Handshake.
Die Funktion „Passkey über mobiles Gerät“ nutzt den WebAuthN‑Stack und muss über HTTPS mit den Microsoft Identity Diensten kommunizieren. Wenn die Clients keinen direkten Zugriff auf login.microsoftonline.com, device.login.microsoftonline.com oder die FIDO2‑Endpoints haben, oder wenn ein Proxy/Firewall die Verbindung blockiert, kommt genau dieser Fehler. Dass es auf anderen Clients funktioniert, zeigt, dass die Umgebung grundsätzlich passt, aber diese betroffenen Clients entweder falsche Proxy‑Einstellungen, Zertifikatsprobleme oder eine Policy haben, die den Zugriff verhindert.
Der beste Diagnoseweg ist:
Mit netsh winhttp show proxy prüfen, ob die betroffenen Clients über einen Proxy laufen. Wenn ein PAC‑Script oder falsche Proxy‑Konfiguration aktiv ist, kann der WebAuthN‑Dienst keine Verbindung aufbauen.
Mit certutil -verifyCTL AuthRootWU sicherstellen, dass die Root‑Zertifikate aktuell sind. Ein abgelaufenes oder fehlendes Root‑CA führt ebenfalls zu 0x80072EFD.
In den Logs unter Applications and Services Logs → Microsoft → Windows → WebAuthN → Operational gezielt nach „Ctap SendCommand“ Fehlern suchen. Wenn sie alle 0x80072EFD zeigen, ist es definitiv ein Connectivity‑Problem.
Testweise den Zugriff auf https://login.microsoftonline.com im Edge/Chrome Browser von den betroffenen Clients prüfen. Wenn das nicht geht oder nur mit Zertifikatswarnung, liegt hier die Ursache.
Da du bereits Bluetooth‑Treiber, Windows Hello und Firewall ausgeschlossen hast, bleibt nur der Netzwerkpfad. In Unternehmensumgebungen ist es oft ein Proxy, der den CTAP‑Hybridverkehr nicht korrekt weiterleitet. Microsoft dokumentiert, dass für Passkey‑Registrierung die Clients direkten HTTPS‑Zugriff auf die Microsoft Identity Endpoints benötigen.
Domic Vo.