Die wichtigsten Gruppenrichtlinien für mehr Windows-Sicherheit

Gruppenrichtlinien für mehr Windows-Sicherheit schützen Benutzerkonten, Arbeitsplätze und Server zentral vor typischen Angriffen. Besonders in einer Active-Directory-Domäne sind sie ein wichtiges Werkzeug. Administratoren können damit verbindliche Sicherheitsvorgaben für viele Computer gleichzeitig durchsetzen.

Eine einzelne Richtlinie verhindert jedoch noch keinen Cyberangriff. Entscheidend ist das Zusammenspiel verschiedener Schutzmaßnahmen. Dazu gehören sichere Anmeldungen, eine aktive Firewall und Festplattenverschlüsselung. Außerdem müssen Microsoft Defender, Windows LAPS und die Ereignisprotokollierung richtig konfiguriert sein.

Dabei sollten Unternehmen nicht jede verfügbare Einstellung sofort aktivieren. Zu strenge Vorgaben können Anwendungen, Anmeldungen oder administrative Abläufe stören. Deshalb empfiehlt sich ein kontrollierter Prozess mit Testgruppen, Dokumentation und regelmäßiger Überwachung.

Dieser Artikel zeigt die wichtigsten Gruppenrichtlinien für Windows 11 und Windows Server. Sie erfahren außerdem, welche Einstellungen besonders sinnvoll sind. Konkrete Pfade erleichtern die Umsetzung. Zusätzlich erhalten Sie eine praktische Anleitung für einen sicheren GPO-Rollout.

Kurz erklärt

Was ist das Thema? Zentrale Windows-Sicherheit mit Gruppenrichtlinien.
Warum ist es wichtig? Einheitliche Regeln reduzieren Fehlkonfigurationen und Angriffsflächen.
Wer profitiert davon? Unternehmen, Administratoren, IT-Dienstleister und Betreiber von Active-Directory-Umgebungen.

Das Wichtigste in 30 Sekunden

Nutzen Sie Microsoft-Sicherheitsbaselines als Ausgangspunkt.

Verwalten Sie lokale Administratorkennwörter mit Windows LAPS.

Härten Sie Defender, Firewall, BitLocker und Anmelderichtlinien.

Testen Sie ASR-Regeln zunächst im Überwachungsmodus.

Rollen Sie neue GPOs schrittweise und kontrolliert aus.

Table of Contents

Was sind Gruppenrichtlinien?

Gruppenrichtlinien, kurz GPOs, sind zentrale Konfigurationsobjekte in Windows-Umgebungen. GPO steht für „Group Policy Object“. Ein solches Objekt enthält Einstellungen für Computer oder Benutzer.

In einer Active-Directory-Domäne verwalten Administratoren diese Objekte über die Gruppenrichtlinienverwaltung. Anschließend verknüpfen sie die GPOs mit Standorten, Domänen oder Organisationseinheiten. Windows verarbeitet die Einstellungen beim Start, bei der Anmeldung und während regelmäßiger Aktualisierungen.

Ohne Active Directory lassen sich viele Einstellungen lokal konfigurieren. Dafür steht der Editor gpedit.msc bereit. Eine zentrale Verwaltung vieler Systeme ist damit jedoch nicht möglich.

Gruppenrichtlinien können unter anderem folgende Bereiche steuern:

Kennwort- und Kontosperrungsrichtlinien
Microsoft Defender Antivirus
Windows Defender Firewall
BitLocker-Laufwerkverschlüsselung
Windows LAPS
Benutzerrechte und Sicherheitsoptionen
PowerShell und Skriptprotokollierung
USB-Geräte und Wechseldatenträger
Ereignisprotokolle und Überwachungsrichtlinien
Windows Update und Neustartverhalten

Dadurch entsteht auf allen verwalteten Geräten ein einheitlicher Sicherheitsstandard. Gleichzeitig sinkt das Risiko manueller Fehlkonfigurationen.

Wichtig: Eine GPO ist keine einmalige Konfiguration. Unternehmen müssen ihre Richtlinien regelmäßig kontrollieren, testen und aktualisieren.

Gruppenrichtlinien für mehr Windows-Sicherheit richtig planen

Eine sichere Konfiguration beginnt nicht im Gruppenrichtlinien-Editor. Zuerst benötigen Sie eine nachvollziehbare Struktur. Sonst entstehen schnell widersprüchliche oder schwer wartbare Einstellungen.

Microsoft stellt Sicherheitsbaselines mit empfohlenen Windows-Einstellungen bereit. Diese Baselines sind ein sinnvoller Ausgangspunkt. Sie müssen jedoch an Betriebssysteme, Anwendungen und Geschäftsprozesse angepasst werden. Die Baselines umfassen unter anderem Einstellungen für Authentifizierung, Defender, Firewall, Geräteschutz und Überwachung. Microsoft dokumentiert die Baseline-Einstellungen für verwaltete Windows-Geräte ausführlich.

GPOs nach Aufgaben trennen

Erstellen Sie keine einzige große Sicherheits-GPO. Teilen Sie die Einstellungen stattdessen nach Funktion und Zielgruppe auf.

Eine übersichtliche Struktur könnte so aussehen:

Gruppenrichtlinie	Zweck	Ziel
`SEC-Client-Baseline`	Allgemeine Sicherheitseinstellungen	Windows-Arbeitsplätze
`SEC-Server-Baseline`	Härtung der Mitgliedsserver	Windows Server
`SEC-Domain-Controller`	Besondere DC-Schutzmaßnahmen	Domain Controller
`SEC-Defender-ASR`	Defender und Angriffsflächenreduzierung	Unterstützte Endgeräte
`SEC-BitLocker`	Laufwerkverschlüsselung	Notebooks und Clients
`SEC-Windows-LAPS`	Lokale Administratorkonten	Clients und Server
`SEC-Audit-Logging`	Überwachung und Protokollierung	Alle Systeme

Diese Trennung erleichtert Änderungen und Fehlersuchen. Außerdem erkennen Administratoren sofort, welche Richtlinie einen bestimmten Bereich steuert.

Microsoft-Baselines nicht ungeprüft übernehmen

Eine Sicherheitsbaseline enthält viele sinnvolle Empfehlungen. Dennoch passt nicht jede Einstellung zu jeder Infrastruktur.

Besonders ältere Anwendungen nutzen teilweise veraltete Protokolle. Außerdem können Produktionsmaschinen oder Spezialsoftware besondere Anforderungen besitzen. Eine ungeprüfte Übernahme kann deshalb Geschäftsprozesse beeinträchtigen.

Gehen Sie bei jeder Baseline in drei Schritten vor:

Vergleichen Sie die Empfehlung mit Ihrer vorhandenen Konfiguration.
Prüfen Sie mögliche Auswirkungen in einer Testumgebung.
Dokumentieren Sie Abweichungen mit einer fachlichen Begründung.

Damit bleibt die Umgebung sicher und gleichzeitig betriebsfähig.

Konten und Anmeldungen durch Gruppenrichtlinien absichern

Gestohlene oder erratene Zugangsdaten gehören zu den häufigsten Einstiegswegen. Deshalb müssen Konten und Anmeldungen besonders geschützt werden.

Kennwortrichtlinien sinnvoll konfigurieren

Die klassische Kennwortrichtlinie finden Sie unter:

Computerkonfiguration > Richtlinien > Windows-Einstellungen > Sicherheitseinstellungen > Kontorichtlinien > Kennwortrichtlinien

Aktivieren Sie mindestens folgende Vorgaben:

Kennwortchronik erzwingen
Minimale Kennwortlänge festlegen
Komplexitätsvoraussetzungen aktivieren
Umkehrbare Verschlüsselung von Kennwörtern deaktivieren

Für privilegierte Konten sollten Sie längere Kennwörter oder Passphrasen einsetzen. Noch besser ist eine phishingresistente Multifaktor-Authentifizierung, sofern die Umgebung sie unterstützt.

Starre, sehr kurze Änderungsintervalle sind hingegen nicht immer sinnvoll. Benutzer wählen dadurch häufig vorhersehbare Varianten. Wechseln Sie Kennwörter insbesondere bei einem vermuteten Missbrauch. Ergänzend sollten Sie kompromittierte oder schwache Kennwörter technisch blockieren.

Kontosperrung gegen automatisierte Angriffe

Die zugehörigen Einstellungen befinden sich unter:

Computerkonfiguration > Richtlinien > Windows-Einstellungen > Sicherheitseinstellungen > Kontorichtlinien > Kontosperrungsrichtlinien

Ein praxistauglicher Ausgangspunkt ist beispielsweise:

Kontosperrung nach 10 fehlgeschlagenen Versuchen
Sperrdauer von 15 Minuten
Zurücksetzen des Fehlerzählers nach 15 Minuten

Diese Werte sind keine universelle Vorgabe. Sie müssen zu Ihrer Bedrohungslage und Ihren Supportprozessen passen. Eine extrem niedrige Schwelle erleichtert hingegen gezielte Kontosperrungen durch Angreifer.

Benutzerrechte nach dem Minimalprinzip vergeben

Benutzer sollten im Alltag keine lokalen Administratorrechte besitzen. Schadsoftware erhält sonst schnell umfassende Berechtigungen.

Kontrollieren Sie außerdem die Zuweisung wichtiger Benutzerrechte:

Computerkonfiguration > Richtlinien > Windows-Einstellungen > Sicherheitseinstellungen > Lokale Richtlinien > Zuweisen von Benutzerrechten

Besonders relevant sind folgende Rechte:

Lokale Anmeldung zulassen
Anmeldung über Remotedesktopdienste zulassen
Zugriff vom Netzwerk auf diesen Computer
Herunterfahren des Systems
Sichern und Wiederherstellen von Dateien
Debuggen von Programmen
Übernehmen des Besitzes an Dateien

Vergeben Sie kritische Rechte ausschließlich an benötigte administrative Gruppen. Dokumentieren Sie zusätzlich jede Ausnahme.

Windows LAPS als wichtige Gruppenrichtlinie für mehr Windows-Sicherheit

Gleiche lokale Administratorkennwörter stellen ein erhebliches Risiko dar. Kennt ein Angreifer dieses Kennwort, kann er sich möglicherweise auf weitere Systeme bewegen. Dieser Vorgang wird als laterale Bewegung bezeichnet.

Windows LAPS löst dieses Problem. LAPS steht für „Local Administrator Password Solution“. Die Funktion erzeugt individuelle Kennwörter für lokale Administratorkonten. Zusätzlich wechselt sie diese automatisch und speichert sie geschützt im Verzeichnis.

Windows LAPS kann Kennwörter in Active Directory oder Microsoft Entra ID sichern. Außerdem kann es das DSRM-Kennwort von Domain Controllern verwalten. Microsoft beschreibt die unterstützten Funktionen in der Windows-LAPS-Übersicht.

Windows LAPS per GPO konfigurieren

Die Einstellungen befinden sich je nach ADMX-Version unter:

Computerkonfiguration > Richtlinien > Administrative Vorlagen > System > LAPS

Konfigurieren Sie insbesondere folgende Punkte:

Ziel für die Kennwortsicherung
Zu verwaltendes lokales Konto
Kennwortlänge und Kennwortkomplexität
Maximales Kennwortalter
Verschlüsselung des Kennworts in Active Directory
Zulässige Entschlüsselungsgruppe
Kennwortwechsel nach einer Authentifizierung

Lange, zufällige Kennwörter erschweren Brute-Force-Angriffe deutlich. Gleichzeitig sollte nur eine kleine administrative Gruppe die Kennwörter abrufen dürfen.

Praxis-Tipp: Prüfen Sie die LAPS-Verarbeitung im Ereignisprotokoll unter Anwendungs- und Dienstprotokolle > Microsoft > Windows > LAPS > Operational.

Microsoft Defender mit Gruppenrichtlinien härten

Microsoft Defender Antivirus ist in modernen Windows-Versionen integriert. Seine Schutzwirkung hängt jedoch von der Konfiguration ab.

Die wichtigsten Einstellungen finden Sie unter:

Computerkonfiguration > Richtlinien > Administrative Vorlagen > Windows-Komponenten > Microsoft Defender Antivirus

Aktivieren oder prüfen Sie folgende Funktionen:

Echtzeitschutz
Cloudbasierter Schutz
Automatische Übermittlung von Beispielen
Verhaltensüberwachung
Prüfung heruntergeladener Dateien und Anhänge
Prüfung von Skripten
Netzwerkschutz
Schutz vor Manipulation
Erkennung potenziell unerwünschter Anwendungen

Definieren Sie keine pauschalen Ausnahmen für komplette Laufwerke. Solche Ausnahmen schaffen große blinde Flecken. Verwenden Sie stattdessen möglichst enge Datei-, Ordner- oder Prozessausnahmen.

ASR-Regeln gegen typische Angriffstechniken

ASR steht für „Attack Surface Reduction“. Diese Regeln blockieren riskantes Verhalten von Office-Anwendungen, Skripten und anderen Prozessen.

Zu den besonders relevanten ASR-Regeln gehören:

Office-Anwendungen dürfen keine untergeordneten Prozesse starten.
Office-Anwendungen dürfen keinen ausführbaren Inhalt erzeugen.
Anmeldedaten aus dem LSASS-Prozess werden vor Diebstahl geschützt.
Missbrauch kopierter oder imitierter Systemwerkzeuge wird blockiert.
Ausführbare Inhalte aus E-Mail- und Webmail-Clients werden blockiert.
JavaScript und VBScript dürfen heruntergeladene Programme nicht starten.
Adobe Reader darf keine untergeordneten Prozesse erzeugen.
WMI-Ereignisabonnements werden vor Persistenztechniken geschützt.

ASR-Regeln adressieren Verhaltensweisen, die Schadsoftware häufig nutzt. Dazu gehören verschleierte Skripte, Code-Injektion und nachgeladene Dateien. Die vollständige ASR-Regelreferenz stellt Microsoft online bereit.

ASR-Regeln zuerst im Überwachungsmodus testen

Aktivieren Sie unbekannte Regeln nicht sofort im Blockiermodus. Nutzen Sie zunächst den Überwachungsmodus, auch Audit Mode genannt.

Microsoft empfiehlt einen schrittweisen Rollout. Dabei prüfen Sie ausgelöste Ereignisse und notwendige Ausnahmen. Anschließend wechseln geeignete Regeln in den Warn- oder Blockiermodus. Microsoft erläutert diesen Testprozess im ASR-Bereitstellungsleitfaden.

Ein sinnvoller Ablauf sieht so aus:

ASR-Regel im Überwachungsmodus aktivieren.
Ereignisse mindestens zwei bis vier Wochen sammeln.
Betroffene Anwendungen und Arbeitsabläufe untersuchen.
Notwendige Ausnahmen möglichst eng definieren.
Regel auf einer Pilotgruppe blockierend einsetzen.
Auswirkungen und Sicherheitsereignisse überwachen.
Richtlinie schrittweise auf weitere Geräte erweitern.

Dadurch erkennen Sie Fehlalarme vor dem unternehmensweiten Rollout.

Windows Defender Firewall zentral konfigurieren

Eine aktive Host-Firewall begrenzt unerwünschte Netzwerkverbindungen. Sie schützt dabei auch Geräte innerhalb des Unternehmensnetzes.

Konfigurieren Sie alle drei Firewallprofile:

Domänenprofil
Privates Profil
Öffentliches Profil

Die Einstellungen finden Sie unter:

Computerkonfiguration > Richtlinien > Windows-Einstellungen > Sicherheitseinstellungen > Windows Defender Firewall mit erweiterter Sicherheit

Eingehende Verbindungen sollten standardmäßig blockiert sein. Erstellen Sie anschließend nur die tatsächlich benötigten Freigaben. Ausgehende Verbindungen dürfen je nach Sicherheitskonzept erlaubt oder gezielt eingeschränkt werden.

Protokollieren Sie außerdem verworfene Pakete. Bei erhöhtem Schutzbedarf können Sie erfolgreiche Verbindungen ebenfalls erfassen. Die Microsoft-Sicherheitsbaseline sieht für die Profile standardmäßig blockierte eingehende Verbindungen und die Protokollierung verworfener Pakete vor.

Firewallregeln präzise begrenzen

Eine gute Firewallregel enthält mehr als einen offenen Port. Begrenzen Sie sie zusätzlich nach:

Programm oder Windows-Dienst
Protokoll und Port
Quell- und Zieladresse
Netzwerkprofil
autorisiertem Benutzer oder Computer
lokaler und entfernter IP-Adresse

Eine RDP-Regel sollte zum Beispiel nicht weltweit gelten. Erlauben Sie Port 3389 nur aus einem Verwaltungsnetz oder über einen sicheren Zugangsdienst.

BitLocker mit Gruppenrichtlinien steuern

BitLocker verschlüsselt interne Laufwerke und Wechseldatenträger. Dadurch bleiben gespeicherte Daten bei Verlust oder Diebstahl besser geschützt.

Die Einstellungen befinden sich unter:

Computerkonfiguration > Richtlinien > Administrative Vorlagen > Windows-Komponenten > BitLocker-Laufwerkverschlüsselung

Konfigurieren Sie mindestens diese Bereiche:

Verschlüsselung für Betriebssystemlaufwerke
Sicherung des Wiederherstellungsschlüssels
Vorgaben zur Verschlüsselungsmethode
TPM-Nutzung
Verhalten beim Systemstart
Schutz fester Datenlaufwerke
Schutz von Wechseldatenträgern

Der Wiederherstellungsschlüssel muss vor Beginn der Verschlüsselung sicher hinterlegt sein. In einer lokalen Domäne kann Active Directory diesen Schlüssel speichern. Cloudverwaltete Geräte können ihn dagegen in Microsoft Entra ID sichern.

Achtung: Aktivieren Sie BitLocker nicht flächendeckend, bevor Sie die Schlüsselwiederherstellung getestet haben. Ein nicht erreichbarer Schlüssel kann den Zugriff auf wichtige Daten verhindern.

Makros, PowerShell und Skripte absichern

Skripte und Office-Makros sind leistungsfähige Werkzeuge. Allerdings missbrauchen Angreifer sie häufig für Schadcode.

Blockieren Sie deshalb Makros aus nicht vertrauenswürdigen Internetquellen. Erlauben Sie signierte Makros nur dort, wo Geschäftsprozesse sie benötigen. Ergänzend sollten Sie geschützte Ansichten und die ASR-Regeln für Office aktivieren.

Für PowerShell sind folgende Maßnahmen sinnvoll:

Skriptblockprotokollierung einschalten
Modulprotokollierung für relevante Module aktivieren
PowerShell-Transkription geschützt speichern
ältere PowerShell-Versionen entfernen oder deaktivieren
administrative Skripte signieren
privilegierte Ausführung begrenzen

Die Einstellungen finden Sie unter:

Computerkonfiguration > Richtlinien > Administrative Vorlagen > Windows-Komponenten > Windows PowerShell

Protokolle allein verhindern keinen Angriff. Dennoch liefern sie wichtige Spuren für Incident Response und forensische Untersuchungen.

Speichern Sie sicherheitsrelevante Ereignisse zusätzlich auf einem zentralen System. Ein Angreifer mit lokalen Administratorrechten könnte lokale Protokolle verändern oder löschen.

USB-Geräte und Wechseldatenträger kontrollieren

USB-Speicher können Schadsoftware einschleusen oder Daten aus dem Unternehmen transportieren. Ein pauschales Verbot ist jedoch nicht immer praktikabel.

Gruppenrichtlinien erlauben eine abgestufte Kontrolle. Sie können beispielsweise:

Schreibzugriffe auf nicht verschlüsselte Datenträger blockieren
bestimmte Geräteklassen sperren
nur genehmigte Hardwarekennungen zulassen
ausführbare Dateien von Wechseldatenträgern blockieren
BitLocker To Go für USB-Datenträger verlangen
Lese- und Schreibzugriffe getrennt steuern

Microsoft unterscheidet zwischen Geräteinstallationsrichtlinien, BitLocker-Vorgaben und der erweiterten Gerätesteuerung von Defender for Endpoint. Dadurch sind auch Regeln nach Gerätetyp, Benutzergruppe und Zugriffsart möglich. Microsoft beschreibt diese Möglichkeiten in der Device-Control-Dokumentation.

Ein Krankenhaus benötigt beispielsweise andere USB-Regeln als ein normales Büro. Deshalb sollten Sie zuerst die tatsächlichen Anforderungen erfassen.

Überwachung und Protokollierung verbessern

Schutzmaßnahmen müssen Angriffe erschweren. Gleichzeitig müssen Administratoren verdächtige Vorgänge erkennen können.

Nutzen Sie die erweiterten Überwachungsrichtlinien unter:

Computerkonfiguration > Richtlinien > Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinienkonfiguration

Erfassen Sie mindestens folgende Ereignisgruppen:

erfolgreiche und fehlgeschlagene Anmeldungen
Kontosperrungen
Änderungen an Benutzerkonten und Gruppen
Änderungen an Sicherheitsrichtlinien
Prozessstarts
Nutzung besonderer Berechtigungen
Änderungen an geplanten Aufgaben
Kerberos- und NTLM-Authentifizierung
Firewallereignisse
Defender- und ASR-Ereignisse

Passen Sie zusätzlich die maximale Größe wichtiger Ereignisprotokolle an. Kleine Standardgrößen führen sonst zu kurzen Aufbewahrungszeiten.

Relevante Ereignisse zentral sammeln

Leiten Sie Protokolle an ein SIEM-System oder einen zentralen Logserver weiter. SIEM bedeutet „Security Information and Event Management“. Es sammelt und korreliert Ereignisse aus unterschiedlichen Quellen.

Dadurch lassen sich auffällige Muster schneller erkennen. Mehrere fehlgeschlagene Anmeldungen mit anschließender Gruppenänderung sind beispielsweise verdächtig. Ein einzelner Computer zeigt dieses Gesamtbild oft nicht.

Schritt-für-Schritt: Sichere GPOs kontrolliert einführen

Ein strukturierter Rollout verringert Ausfälle und unerwartete Nebenwirkungen. Folgende Vorgehensweise hat sich in der Praxis bewährt.

1. Bestehende Umgebung erfassen

Dokumentieren Sie Betriebssysteme, Anwendungen und Organisationseinheiten. Prüfen Sie außerdem vorhandene GPOs, Vererbungen und Sicherheitsfilter.

Sichern Sie bestehende Gruppenrichtlinien vor größeren Änderungen. Exportieren Sie zusätzlich einen Bericht über die aktuellen Einstellungen.

2. Sicherheitsbaseline auswählen

Vergleichen Sie Ihre Einstellungen mit der passenden Microsoft-Sicherheitsbaseline. Entscheiden Sie anschließend, welche Empfehlungen übernommen werden können.

Übernehmen Sie nicht automatisch jede Einstellung. Prüfen Sie insbesondere Authentifizierung, Remotezugriff und ältere Netzwerkprotokolle.

3. Pilot-Organisationseinheit erstellen

Erstellen Sie eine eigene Organisationseinheit für Testgeräte. Verwenden Sie darin typische Clients und Anwendungen aus Ihrem Unternehmen.

Die Pilotgruppe sollte verschiedene Abteilungen abbilden. Ein reines IT-Testgerät erkennt Probleme in Fachanwendungen häufig nicht.

4. Neue GPO eindeutig benennen

Verwenden Sie sprechende Namen und eine einheitliche Struktur. Ein Name wie SEC-W11-Defender-ASR-Pilot-v1 zeigt Zweck, Ziel und Status.

Hinterlegen Sie außerdem eine Beschreibung. Nennen Sie dort Verantwortliche, Änderungsdatum und Ticketnummer.

5. Einstellungen testen

Aktualisieren Sie die Richtlinien auf einem Testgerät:

gpupdate /force

Prüfen Sie danach die tatsächlich wirksamen Richtlinien:

gpresult /h C:\Temp\GPO-Bericht.html

Alternativ können Sie die Richtlinienergebnissätze in der Gruppenrichtlinienverwaltung verwenden.

6. Ereignisse und Anwendungen kontrollieren

Testen Sie Anmeldung, Netzwerkzugriffe, Drucker, Office-Anwendungen und Fachsoftware. Kontrollieren Sie außerdem Defender-, LAPS- und PowerShell-Protokolle.

Dokumentieren Sie jede Störung. Erstellen Sie Ausnahmen nur nach technischer Prüfung.

7. Rollout stufenweise erweitern

Erweitern Sie den Geltungsbereich zuerst auf eine kleine Produktivgruppe. Danach folgen weitere Abteilungen oder Standorte.

Planen Sie außerdem eine Rückfallmöglichkeit. Das kann eine deaktivierte Verknüpfung oder eine dokumentierte Gegenrichtlinie sein.

Praxisbeispiel: Ransomware-Schutz für Büroarbeitsplätze

Ein mittelständisches Unternehmen verwendet Windows 11, Microsoft 365 und mehrere Fachanwendungen. Die Mitarbeiter erhalten regelmäßig Office-Dateien per E-Mail.

Für einen besseren Ransomware-Schutz führt die IT folgende GPOs ein:

Defender-Echtzeit- und Cloudschutz
Netzwerkschutz
Blockierung von Makros aus dem Internet
ASR-Regeln gegen Office-Kindprozesse
Blockierung ausführbarer E-Mail-Anhänge
Windows LAPS
BitLocker auf Notebooks
Protokollierung von PowerShell-Skriptblöcken
zentrale Sammlung sicherheitsrelevanter Ereignisse

Die ASR-Regeln laufen zunächst drei Wochen im Überwachungsmodus. Dabei erkennt die IT ein internes Excel-Makro, das einen Prozess startet. Der Ablauf wird geprüft und durch eine sicherere Lösung ersetzt.

Anschließend aktiviert die IT die Regel im Blockiermodus. Dadurch steigt das Schutzniveau, ohne den Geschäftsbetrieb unnötig zu beeinträchtigen.

Häufige Fehler bei Sicherheits-GPOs

Auch gut gemeinte Richtlinien können neue Risiken verursachen. Besonders häufig treten folgende Fehler auf.

Zu viele Einstellungen in einer einzigen GPO

Eine große Richtlinie erschwert Fehlersuche und Änderungen. Teilen Sie die Konfiguration deshalb nach Sicherheitsfunktion auf.

Änderungen direkt auf allen Systemen

Ein ungeprüfter Rollout kann Anmeldungen oder Fachanwendungen blockieren. Nutzen Sie daher immer Pilotgruppen.

Default Domain Policy als Sammelstelle

Die Default Domain Policy sollte hauptsächlich domänenweite Kontorichtlinien enthalten. Zusätzliche Sicherheitsbereiche gehören in eigene GPOs.

Veraltete ADMX-Vorlagen

Fehlende oder alte administrative Vorlagen verhindern den Zugriff auf neue Einstellungen. Pflegen Sie deshalb einen aktuellen Central Store.

Widersprüchliche Verwaltungssysteme

GPO, Intune und Configuration Manager können dieselbe Einstellung unterschiedlich konfigurieren. Dokumentieren Sie daher, welches System für welchen Bereich verantwortlich ist.

Unkontrollierte Ausnahmen

Breite Defender- oder Firewallausnahmen schwächen den Schutz erheblich. Begrenzen und überprüfen Sie jede Ausnahme regelmäßig.

Fehlende Überwachung

Eine Richtlinie kann technisch verknüpft sein und trotzdem nicht wirken. Kontrollieren Sie deshalb Richtlinienergebnisse, Ereignisprotokolle und Sicherheitsberichte.

Vorteile und Nachteile von Sicherheits-Gruppenrichtlinien

Gruppenrichtlinien bieten viele Vorteile. Dennoch besitzen sie auch technische und organisatorische Grenzen.

Vorteile	Nachteile
Zentrale und einheitliche Konfiguration	Komplexe Vererbung möglich
Schnelle Verteilung auf viele Geräte	Fehler können viele Systeme betreffen
Umfangreiche Windows-Integration	Moderne Cloudgeräte benötigen oft Intune
Nachvollziehbare Richtlinienobjekte	Fehlende integrierte Echtzeitberichte
Delegierbare Verwaltung	Abhängigkeit von korrekter AD-Struktur
Gute Ergänzung zu Sicherheitsbaselines	Hoher Test- und Pflegeaufwand

Für klassische Active-Directory-Umgebungen bleiben GPOs sehr wichtig. Bei mobilen und cloudverwalteten Geräten ergänzt Intune die zentrale Verwaltung. Viele Unternehmen nutzen deshalb ein hybrides Modell.

Zusammenfassende Checkliste

Nutzen Sie diese Checkliste zur ersten Bewertung Ihrer Windows-Umgebung:

Sicherheitsbaselines wurden geprüft und angepasst.
Clients, Server und Domain Controller erhalten getrennte GPOs.
Normale Benutzer besitzen keine lokalen Administratorrechte.
Kennwort- und Kontosperrungsrichtlinien sind definiert.
Windows LAPS verwaltet lokale Administratorkennwörter.
Defender-Echtzeit-, Cloud- und Netzwerkschutz sind aktiv.
ASR-Regeln wurden im Überwachungsmodus getestet.
Die Windows-Firewall ist in allen Profilen aktiviert.
Eingehende Verbindungen sind standardmäßig blockiert.
BitLocker-Schlüssel werden sicher gesichert.
Makros aus dem Internet werden blockiert.
PowerShell-Aktivitäten werden protokolliert.
USB- und Wechseldatenträger unterliegen klaren Regeln.
Erweiterte Überwachungsrichtlinien sind aktiviert.
Ereignisprotokolle besitzen ausreichende Größen.
Kritische Ereignisse werden zentral gesammelt.
GPO-Änderungen durchlaufen eine Pilotphase.
Ausnahmen sind begründet und dokumentiert.
Gruppenrichtlinien werden regelmäßig gesichert.
Verantwortlichkeiten und Änderungsprozesse sind festgelegt.

Fazit: Gruppenrichtlinien für mehr Windows-Sicherheit gezielt einsetzen

Gruppenrichtlinien für mehr Windows-Sicherheit schaffen ein einheitliches Schutzniveau für Arbeitsplätze und Server. Besonders wichtig sind Windows LAPS, Microsoft Defender, ASR-Regeln, Firewall und BitLocker. Außerdem müssen Unternehmen Konten, PowerShell und Ereignisprotokolle absichern.

Der größte Nutzen entsteht jedoch nicht durch möglichst viele Einstellungen. Entscheidend sind passende Richtlinien, saubere Tests und eine nachvollziehbare Einführung. Nutzen Sie Microsoft-Sicherheitsbaselines deshalb als Ausgangspunkt und nicht als unveränderliche Vorlage.

Beginnen Sie mit einer kleinen Pilotgruppe. Beobachten Sie mögliche Auswirkungen und dokumentieren Sie notwendige Ausnahmen. Anschließend können Sie die Einstellungen schrittweise ausrollen.

So entsteht eine robuste Windows-Umgebung, die Angriffe erschwert und verdächtige Aktivitäten schneller sichtbar macht.

FAQ zu Windows-Gruppenrichtlinien und Sicherheit

Welche Gruppenrichtlinien für mehr Windows-Sicherheit sind besonders wichtig?

Besonders wichtig sind Richtlinien für Windows LAPS, Defender, ASR-Regeln, Firewall und BitLocker. Ergänzend sollten Sie Anmeldungen, PowerShell und Sicherheitsprotokolle absichern. Die genaue Auswahl hängt jedoch von Ihrer Infrastruktur und den eingesetzten Anwendungen ab.

Gelten Gruppenrichtlinien nur in einer Active-Directory-Domäne?

Nein. Einzelne Einstellungen lassen sich über den lokalen Gruppenrichtlinien-Editor konfigurieren. Eine zentrale und skalierbare Verwaltung entsteht jedoch erst mit Active Directory. Cloudverwaltete Geräte erhalten vergleichbare Einstellungen häufig über Microsoft Intune.

Sollte man die Microsoft-Sicherheitsbaseline vollständig übernehmen?

Nicht ungeprüft. Die Baseline ist eine gute Referenz, kann jedoch Anwendungen oder betriebliche Abläufe beeinträchtigen. Testen Sie deshalb jede Baseline in einer Pilotgruppe. Dokumentieren Sie außerdem bewusst gewählte Abweichungen.

Was ist der Unterschied zwischen GPO und Intune?

GPOs eignen sich besonders für klassische Active-Directory-Umgebungen. Intune verwaltet dagegen Geräte über die Cloud und funktioniert auch außerhalb des Unternehmensnetzes. In hybriden Umgebungen werden beide Systeme häufig kombiniert. Dabei müssen Zuständigkeiten eindeutig festgelegt sein.

Warum ist Windows LAPS so wichtig?

Windows LAPS erzeugt individuelle Kennwörter für lokale Administratorkonten. Dadurch kann ein gestohlenes lokales Kennwort nicht einfach auf weiteren Geräten verwendet werden. Außerdem werden Kennwörter automatisch gewechselt und geschützt hinterlegt.

Können Gruppenrichtlinien Ransomware verhindern?

Keine einzelne Richtlinie bietet vollständigen Schutz. Dennoch erschweren Defender, ASR-Regeln, Makroblockierung und eingeschränkte Benutzerrechte viele typische Angriffswege. Ergänzend benötigen Unternehmen sichere Backups, Patch-Management und eine zentrale Überwachung.

Wie prüfe ich, welche Gruppenrichtlinien auf einem Computer gelten?

Führen Sie gpresult /h Bericht.html in einer administrativen Eingabeaufforderung aus. Der HTML-Bericht zeigt angewendete und abgelehnte Richtlinien. Zusätzlich bietet die Gruppenrichtlinienverwaltung einen Assistenten für Richtlinienergebnisse.

Wie oft sollten Sicherheits-GPOs geprüft werden?

Eine vollständige Prüfung sollte mindestens jährlich erfolgen. Zusätzlich ist sie nach größeren Windows-Upgrades, Sicherheitsvorfällen und Infrastrukturänderungen sinnvoll. Kritische Einstellungen und Ausnahmen sollten deutlich häufiger überwacht werden.

Empfehlung zum Weiterlesen

Ist Ihre Windows-Umgebung bereits ausreichend abgesichert? Nutzen Sie die Checkliste aus diesem Artikel und prüfen Sie Ihre wichtigsten Sicherheits-GPOs. Weitere verständliche Anleitungen zu Active Directory, Windows Server und IT-Sicherheit finden Sie bei Lumio Studios.