Zo lost u de waarschuwing “LSA package is not signed as expected” op in Windows 11

Krijgt u op uw Windows 11-systeem de waarschuwing “LSA package is not signed as expected”? Geen paniek: deze melding hoort bij het Local Security Authority (LSA)-beveiligingsproces van Windows, dat beveiligingsbeleid afdwingt, waaronder aanmeldingsverificatie en het beheer van referenties.

Gebruikers krijgen deze waarschuwing meestal wanneer Windows vaststelt dat een of meer LSA-plug-ins niet correct zijn ondertekend volgens de beveiligingsvereisten van Microsoft, terwijl LSA-beveiliging wel is ingeschakeld. Vergelijk het met een vertraagde levering: u hebt het product online gekocht, maar de bezorgwagen die naar uw adres onderweg was, hield zijn locatie niet goed bij – sterker nog, hij verdween plotseling en stond daarna opeens voor uw deur! Ook al staat de bezorger pal voor uw neus, dan nog is het verstandig het pakket niet aan te nemen, want u weet niet zeker of het de juiste persoon is of dat hij het juiste pakket bij zich heeft.

Microsoft raadt aan om LSA-beveiliging in te schakelen om het risico op diefstal van referenties te beperken. Krijgt u toch de waarschuwing “LSA protection is on, but the LSA package is not signed as expected”? Dan kunt u het volgende doen:

Wilt u dit onderwerp liever visueel uitgelegd zien? Bekijk dan Zo lost u de waarschuwing “LSA package is not signed as expected” op in Windows

Hardnekkige waarschuwingen over een niet-ondertekend LSA-pakket oplossen

Voordat u begint, zijn er een paar technische voorwaarden:

• Windows-updates: installeer alle openstaande Windows-updates zodat uw systeem up-to-date is.
• Beheerdersrechten: werkt u in een beheerde omgeving? Dan moet u mogelijk contact opnemen met uw IT-beheerder.
• Veilig opstarten en VBS: Veilig opstarten en virtualisatiegebaseerde beveiliging (VBS) moeten ingeschakeld zijn.
• HVCI-ondersteuning: de device moet Hypervisor-protected Code Integrity (HVCI) ondersteunen.

Stap 1: controleer de status van de LSA-beveiliging

Methode A: via de grafische interface

1. 1. Ga naar Instellingen > Privacy en beveiliging > Windows-beveiliging > Apparaatbeveiliging
   2. Klik op Details van kernisolatie of Beveiligingsprocessor (afhankelijk van uw systeemconfiguratie).
   3. Controleer de status van uw LSA-beveiliging onder het kopje Local Security Authority-beveiliging. Er kunnen drie meldingen verschijnen:
      • ✅ LSA-beveiliging is ingeschakeld
      • ⚠️ LSA-beveiliging is ingeschakeld, maar het LSA-pakket is niet ondertekend zoals verwacht
      • 🛑 LSA-beveiliging is uitgeschakeld
   4. Start uw systeem opnieuw op om tijdelijke meldingen te wissen.

💡 Soms is de grafische interface onbetrouwbaar of ontbreekt deze. Deze methode werkt dan mogelijk niet bij u. Andere methoden die u kunt proberen:

Methode B: via het gebeurtenissenlogboek van Windows

1. 1. Open Logboeken. Typ hiervoor “Logboeken” in de Windows-zoekbalk.
   2. Ga naar Logboeken voor toepassingen en services > Microsoft > Windows > CodeIntegrity > Operational.
   3. Zoek naar gebeurtenis-ID 3089 of 3065:
      • Gebeurtenis-ID 3089: geeft aan dat LSA niet als beveiligd proces draait.
      • Gebeurtenis-ID 3065: geeft aan dat LSA wel beveiligd draait, maar niet-ondertekende plug-ins is tegengekomen.

Methode C: via msinfo32

1. 1. Druk op Win + R, typ msinfo32 en druk op Enter.
   2. Scroll omlaag en controleer de volgende velden:
      • Virtualisatiegebaseerde beveiliging: hier moet “Wordt uitgevoerd” staan. Zo niet, dan is er een fout.
      • Credential Guard: als LSA-beveiliging aanstaat, staat hier “Wordt uitgevoerd”.

Stap 2: schakel LSA-beveiliging in

Methode A: via de Register-editor

1. 1. Druk op Win + R, typ regedit en klik op Enter.
   2. Ga naar de sleutel: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
   3. Controleer de volgende twee waarden en stel ze in zoals beschreven:
      1. RunAsPPL
         • Bestaat de DWORD RunAsPPL al? Dubbelklik erop en stel de waarde in op 1.
         • Bestaat deze niet:
           • Klik met de rechtermuisknop op een lege plek en kies Nieuw > DWORD (32-bits)-waarde.
           • Noem de waarde RunAsPPL.
           • Stel de waarde in op 1
      2. RunAsPPLBoot
         • Bestaat de DWORD RunAsPPLBoot al? Dubbelklik erop en stel de waarde in op 1.
         • Bestaat deze niet:
           • Klik met de rechtermuisknop op een lege plek en kies Nieuw > DWORD (32-bits)-waarde.
           • Noem de waarde RunAsPPLBoot.
           • Stel de waarde in op 1.
   4. Start uw systeem opnieuw op om de wijzigingen door te voeren.

Methode B: via PowerShell

1. 1. Open PowerShell als administrator.
   2. Voer de opdrachten uit:
      • LSA-beveiliging inschakelen:

New-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "RunAsPPL" -Value 1 -PropertyType DWORD -Force

• • • Beveiliging afdwingen bij het opstarten (optioneel):

New-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "RunAsPPLBoot" -Value 1 -PropertyType DWORD -Force

1. 3. Start het systeem opnieuw op om de wijzigingen door te voeren.

Stap 3: scan op niet-conforme LSA-plug-ins en verwijder ze

Methode A: via de Register-editor

1. 1. Druk op Win + R, typ regedit en klik op Enter.
   2. Ga naar de sleutel: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
   3. Bekijk de verificatiepakketten.
      • Controleer de vermeldingen Authentication Packages en Security Packages op plug-ins van derden.
      • Veelvoorkomende vermeldingen van derden zijn onderdelen van oudere antivirus- of VPN-software.
   4. Verwijder of update software waar nodig.
      • Spoor beveiligingssoftware op die niet van Microsoft afkomstig is en mogelijk niet-ondertekende LSA-plug-ins injecteert.
      • Verwijder deze applicaties of werk ze bij naar een versie die voldoet aan LSA-beveiliging.

Methode B: via Logboeken

1. 1. Druk op Win R, typ eventviewer.msc en druk op Enter.
   2. Ga naar Windows-logboeken > Systeem.
   3. Zoek in de vervolgkeuzelijst Gebeurtenisbronnen en selecteer:
      • LSASS (Local Security Authority Subsystem Service)
      • CodeIntegrity
      • U kunt ook filteren op gebeurtenis-ID 3089 of 3065, die vaak samenhangen met problemen met LSA-beveiliging.
   4. Bekijk de details en analyseer ze. Let op verwijzingen naar specifieke DLL’s of bestandspaden, zeker als die zich buiten C:\Windows\System32 bevinden. Noteer ook de naam en locatie van eventuele plug-ins van derden, bijvoorbeeld van verouderde antivirustools.
   5. Vergelijk dit met wat er al op uw systeem is geïnstalleerd via Instellingen > Apps > Geïnstalleerde apps.
   6. Verwijder de niet-conforme software.
      • Hoort de plug-in bij een bekende applicatie van derden:
        • Verwijder deze via Instellingen > Apps > Geïnstalleerde apps.
        • Gebruik het verwijderprogramma van de leverancier als dat beschikbaar is.
      • Is er een bijgewerkte versie beschikbaar? Download die dan van een betrouwbare bron en installeer hem.
   7. Start het systeem opnieuw op zodat alle wijzigingen worden doorgevoerd.

Stap 4: verhelp problemen met de LSA-integriteit

Methode A: gebruik de optie “Herstellen” in Windows-beveiliging (indien beschikbaar)

1. 1. Ga naar Instellingen > Privacy en beveiliging > Windows-beveiliging > Apparaatbeveiliging.
   2. Klik op Details van kernisolatie of Beveiligingsprocessor (afhankelijk van uw systeemconfiguratie).
   3. Staat er een knop Herstellen of Opnieuw opstarten vereist? Klik erop om het herstel te starten.
   4. Volg de aanwijzingen om het systeem opnieuw op te starten.

💡 Net als bij stap 1 is de grafische interface soms onbetrouwbaar of afwezig. Deze methode werkt dan mogelijk niet bij u. Andere methoden die u kunt proberen:

Methode B: controleer of het register klopt

Zorg dat u de methode via de Register-editor en de methode via PowerShell hebt toegepast om RunAsPPL en eventueel RunAsPPLBoot expliciet in te schakelen. Deze waarden overschrijven het gedrag van de grafische interface en dwingen LSA-beveiliging rechtstreeks op systeemniveau af.

Methode C: onderzoek software van derden handmatig

Houd er rekening mee dat Windows software van derden niet kan verwijderen; dat moet u handmatig doen. Zijn er niet-ondertekende plug-ins aanwezig? Gebruik dan Logboeken, zoals beschreven in stap 3, methode B, om de bron te achterhalen.

Waar u verder op moet letten bij LSA-beveiliging

• In zakelijke omgevingen kunt u Groepsbeleid of Configuration Service Providers (CSP’s) gebruiken om LSA-beveiliging op meerdere systemen af te dwingen.
• Houd er rekening mee dat oudere tools en software van derden vaker niet ondertekend zijn. In dat geval kunt u ze het beste verwijderen of de pakketten bijwerken om de waarschuwing te verhelpen.
• Wij raden aan om Logboeken regelmatig te controleren of PowerShell-scripts te gebruiken om te zoeken naar gebeurtenis-ID 3065 of 3089, die wijzen op problemen met de LSA-integriteit.

De waarschuwing “LSA package is not signed as expected” oplossen

Deze LSA-waarschuwing verschijnt wanneer plug-ins van derden niet voldoen aan de huidige normen voor code-integriteit. Vervelend om te zien, maar het is wel een nuttige manier om uw device tegen dreigingen te beschermen. Met de stappen in deze handleiding lost u de waarschuwing op zodat u ongestoord verder kunt werken.