Also der Mann, der dafür verantwortlich ist, ist nicht der Meinung, dass das Verhalten hartkodiert ist, und ich meine auch, dass NLA durchaus für User funktioniert, die in Protected Users Mitglied sind:
https://syfuhs.net/how-authentication-works-when-you-use-remote-desktop. Auch Artikel über Remote Credential Guard sagen nichts dazu, dass man dafür NLA abschalten muss.
*wenn* man natürlich IP-Adressen für die RDP-Verbindung verwendet *und* keine IP-basierten SPNs ausgerollt hat, *dann* wird NTLM zwingend verwendet werden.