Gruppenrichtlinien Best Practices: Ein kompletter Leitfaden für Administratoren

Gruppenrichtlinien ermöglichen es Organisationen, eine Vielzahl von Aktivitäten in der IT-Umgebung zu steuern. Beispielsweise können Sie Gruppenrichtlinien verwenden, um die Nutzung von USB-Laufwerken zu verhindern, ein bestimmtes Skript beim Start oder Herunterfahren des Systems auszuführen, Software zu verteilen oder dafür zu sorgen, dass für jeden Active Directory-Benutzer im Netzwerk eine bestimmte Startseite geöffnet wird.

Dieser Leitfaden bietet sowohl allgemeine Best Practices für Gruppenrichtlinien als auch Empfehlungen für spezifische Einstellungen. Er bietet auch Anleitungen zur Fehlerbehebung bei Problemen mit Ihren Gruppenrichtlinienobjekten (GPOs).

Allgemeine Best Practices für Gruppenrichtlinien

Richten Sie separate Organisationseinheiten (OUs) für Benutzer und Computer ein

Eine gute OU-Struktur erleichtert das Anwenden und die Fehlersuche von Gruppenrichtlinien. Insbesondere das Platzieren von Active Directory-Benutzern und Computern in separaten OUs vereinfacht das Anwenden von Computer-Richtlinien auf alle Computer und Benutzer-Richtlinien auf alle Benutzer.

Beachten Sie, dass die Stammordner Benutzer und Computer in Active Directory keine OUs sind. Wenn ein neues Benutzer- oder Computerobjekt in diesen Ordnern erscheint, verschieben Sie es sofort in die entsprechende OU.

Verwenden Sie verschachtelte OUs für eine granulare Steuerung

Um Berechtigungen an bestimmte Benutzer oder Gruppen zu delegieren, platzieren Sie diese Objekte in einer entsprechenden verschachtelten OU (Unter-OU) und verknüpfen Sie das GPO damit. Beispielsweise könnten Sie innerhalb der OU Benutzer eine Unter-OU für jede Abteilung erstellen und GPOs mit diesen Unter-OUs verknüpfen.

Setzen Sie eine klare Benennungsrichtlinie durch

Die Möglichkeit, die Funktion einer GPO einfach durch Betrachten des Namens zu bestimmen, wird die Verwaltung von Gruppenrichtlinien erheblich erleichtern. Zum Beispiel könnten Sie die folgenden Präfixe verwenden:

• U für GPOs, die sich auf Benutzer beziehen, wie U_SoftwareRestrictionPolicy
• C für GPOs, die sich auf Computerkonten beziehen, wie C_DesktopSettings

Fügen Sie Ihren GPOs Kommentare hinzu

Fügen Sie jedem Gruppenrichtlinienobjekt (GPO) einen Kommentar hinzu, der dessen Zweck und Einstellungen erklärt. Dies wird Ihre Gruppenrichtlinie transparenter und leichter zu warten machen.

Verstehen Sie die GPO-Präzedenz

Mehrere GPOs können gleichzeitig auf dasselbe Active Directory-Objekt angewendet werden. Sie werden in einer bestimmten Reihenfolge angewendet, und neue Einstellungen überschreiben diejenigen, die von zuvor angewendeten GPOs gesetzt wurden. Diese Reihenfolge LSDOU steht für:

• Lokal: Gruppenrichtlinieneinstellungen, die auf lokaler Computerebene angewendet werden, haben die niedrigste Priorität.
• Site: Einstellungen für Active Directory-Standorte werden als Nächstes angewendet.
• Domain: Als Nächstes folgen Gruppenrichtlinieneinstellungen, die alle OUs in der Domain betreffen.
• OU: Zuletzt angewendete sind GPO-Einstellungen auf der OU-Ebene.

Erstellen Sie kleinere GPOs für spezifische Anwendungsfälle

Richten Sie jede GPO auf einen spezifischen Zweck aus, damit sie leichter zu verwalten sind und die Vererbung verständlicher wird. Hier sind einige Beispiele für eng fokussierte GPOs:

• Browsereinstellungen
• Sicherheitseinstellungen
• Software-Installationseinstellungen
• AppLocker-Einstellungen
• Netzwerkeinstellungen
• Laufwerkszuordnungen

Beachten Sie jedoch, dass das Laden vieler kleiner GPOs beim Anmelden mehr Zeit und Verarbeitung erfordern kann, als wenn Sie einige wenige GPOs haben, die jeweils mehr Einstellungen enthalten.

Setzen Sie GPOs auf der OU-Ebene anstatt auf der Domänenebene

Jede auf Domänenebene festgelegte Gruppenrichtlinienobjekt (GPO) wird auf alle Active Directory-Objekte in der Domäne angewendet, was dazu führen kann, dass einige Einstellungen auf unangemessene Benutzer und Computer angewendet werden. Die einzige GPO, die auf Domänenebene festgelegt werden sollte, ist die Standarddomänenrichtlinie.

Wenden Sie stattdessen GPOs auf der OU-Ebene an. Eine untergeordnete OU erbt die Richtlinien, die auf die übergeordnete OU angewendet wurden; Sie müssen die Richtlinie nicht mit jeder untergeordneten OU verknüpfen. Wenn Sie Benutzer oder Computer haben, die eine Einstellung nicht erben sollen, platzieren Sie sie in ihrer eigenen OU.

Vermeiden Sie das Blockieren von Richtlinienvererbung und Richtliniendurchsetzung

Das Blockieren der Richtlinienvererbung und die Durchsetzung von Richtlinien machen die Verwaltung und Fehlerbehebung von Gruppenrichtlinienobjekten (GPO) wesentlich schwieriger. Streben Sie stattdessen nach einer gut durchdachten OU-Struktur, die diese Einstellungen überflüssig macht.

Statt eine GPO zu deaktivieren, löschen Sie deren Verknüpfung

Das Deaktivieren einer GPO verhindert deren Anwendung auf jede OU in der Domäne, was Probleme verursachen könnte. Daher sollten Sie, wenn eine GPO mit einer bestimmten OU verknüpft ist, wo sie nicht angewendet werden soll, stattdessen die Verknüpfung löschen anstatt die GPO zu deaktivieren. Das Löschen der Verknüpfung wird die GPO nicht löschen.

Vermeiden Sie die Verwendung der 'Verweigern'-Berechtigung in der Gruppenrichtlinie

Administratoren können einem Benutzer oder einer Gruppe explizit die Möglichkeit verweigern, von einer bestimmten GPO ausgeschlossen zu werden. Obwohl diese Funktionalität in bestimmten Szenarien nützlich sein kann, kann sie leicht zu unbeabsichtigten Konsequenzen führen, da es nicht klar sein wird, dass eine GPO nicht auf bestimmte Objekte angewendet wird. Um herauszufinden, welche Benutzer oder Gruppen blockiert wurden, müssten Administratoren jede GPO separat untersuchen.

Implementieren Sie das Change Management und die Change-Auditing für Group Policy

Änderungen an GPOs können tiefgreifende Auswirkungen auf Sicherheit, Produktivität, Compliance und mehr haben. Daher sollten alle Änderungen geplant und vollständig dokumentiert werden. Zusätzlich sollten Sie alle Änderungen an der Gruppenrichtlinie verfolgen und bei kritischen Änderungen alarmiert werden. Leider sind beide Ziele mit den nativen Tools schwierig zu erreichen: Die Sicherheitsprotokolle liefern keinen Aufzeichnung darüber, welche Einstellungen genau geändert wurden, und Alarme zu erhalten erfordert PowerShell-Skripting. Für einen umfassenderen und bequemeren Ansatz investieren Sie in eine Drittanbieterlösung wie Netwrix Auditor for Active Directory.

Um mehr darüber zu erfahren, wie man Änderungen an der Gruppenrichtlinie verfolgt, siehe das Group Policy Auditing Quick Reference Guide.

Beschleunigen Sie die GPO-Verarbeitung, indem Sie ungenutzte Computer- und Benutzerkonfigurationen deaktivieren

Wenn Sie eine GPO haben, die Computereinstellungen, aber keine Benutzereinstellungen enthält, sollten Sie die Benutzerkonfiguration für diese GPO deaktivieren, um die Verarbeitungszeit der GPO zu beschleunigen.

Zusätzlich sollten Sie die folgenden zusätzlichen Faktoren beachten, die zu langsamen Start- und Anmeldezeiten führen können:

• Anmeldeskripte, die große Dateien herunterladen
• Startskripte, die große Dateien herunterladen
• Zuordnung von Home-Laufwerken, die weit entfernt sind
• Große Druckertreiber über Gruppenrichtlinieneinstellungen bereitstellen
• Übermäßiger Einsatz von Gruppenrichtlinienfilterung durch Active Directory-Gruppenmitgliedschaft
• Benutzerpersönliche Ordner über GPO angewendet
• Verwendung von Windows Management Instrumentation (WMI)-Filtern (siehe den nächsten Abschnitt)

Vermeiden Sie die Verwendung vieler WMI-Filter

WMI enthält eine große Anzahl von Klassen, mit denen Sie nahezu alle Benutzer- und Computereinstellungen beschreiben können. Die Verwendung vieler WMI-Filter wird jedoch das Anmelden von Benutzern verlangsamen und zu einer schlechten Benutzererfahrung führen. Wenn möglich, verwenden Sie stattdessen Sicherheitsfilter, da diese weniger Ressourcen benötigen.

Verwenden Sie Loopback-Verarbeitung für spezifische Anwendungsfälle

Loopback-Verarbeitung beschränkt Benutzereinstellungen auf den Computer, auf den das GPO angewendet wird. Ein häufiger Einsatz von Loopback-Verarbeitung ist, wenn bestimmte Einstellungen nur angewendet werden sollen, wenn Benutzer sich an bestimmten Terminalservern anmelden. Sie müssen ein GPO erstellen, Loopback-Verarbeitung aktivieren und das GPO auf die OU anwenden, die die Server enthält.

Verwenden Sie Advanced Group Policy Management (AGPM)

AGPM bietet GPO-Bearbeitung mit Versionierung und Änderungsverfolgung. Es ist Teil des Microsoft Desktop Optimization Pack (MDOP) für Software Assurance.

Sichern Sie Ihre GPOs

Als Teil fortgeschrittener GPO-Best Practices, stellen Sie immer sicher, dass Ihre GPOs versionskontrolliert und wiederherstellbar sind.

Konfigurieren Sie tägliche oder wöchentliche Sicherungen von Richtlinien mit Power Shell-Skripten oder einer Drittanbieterlösung, damit Sie sie immer in einen bekannten guten Zustand wiederherstellen können.

GPO-Best Practices für die Verwaltung von Einstellungen

Die folgenden bewährten Methoden helfen Ihnen dabei, Ihre GPOs so zu konfigurieren, dass sie eine starke Sicherheit und Produktivität gewährleisten.

Ändern Sie nicht die Default Domain Policy oder die Default Domain Controller Policy

Die Default Domain Policy betrifft alle Benutzer und Computer in der Domäne, daher sollte sie nur für Konten-, Kontosperrungs-, Passwort- und Kerberos-Richtlinieneinstellungen verwendet werden.

Verwenden Sie die Standard-Domänencontroller-Richtlinie nur für die Zuweisungsrichtlinie für Benutzerrechte und die Überwachungsrichtlinie.

Es ist jedoch noch besser, selbst für die oben aufgeführten Richtlinien separate GPOs zu verwenden.

Beschränken Sie den Zugriff auf die Systemsteuerung

Es ist wichtig, den Zugriff auf die Systemsteuerung bei Windows-Maschinen zu beschränken. Sie können den Zugriff auf die Systemsteuerung komplett blockieren oder bestimmten Benutzern über die folgenden Richtlinien eingeschränkten Zugriff gewähren:

• Bestimmte Elemente der Systemsteuerung ausblenden
• Zugriff auf die Systemsteuerung und PC-Einstellungen verbieten
• Nur bestimmte Elemente der Systemsteuerung anzeigen

Erlauben Sie keine Wechselmedien

Wechselmedien können gefährlich sein. Wenn jemand ein infiziertes Laufwerk in Ihr System steckt, kann es Malware in das Netzwerk freisetzen. Darüber hinaus sind diese Laufwerke ein Weg für die Datenexfiltration.

Sie können die Verwendung von Wechseldatenträgern mithilfe der Richtlinie „Verhinderung der Installation von Wechseldatenträgern“ deaktivieren. Sie können auch die Verwendung von DVDs, CDs und sogar Diskettenlaufwerken deaktivieren, wenn Sie möchten, obwohl diese ein geringeres Risiko darstellen.

Deaktivieren der automatischen Treiberaktualisierungen auf Ihrem System

Treiberaktualisierungen können ernsthafte Probleme für Windows-Benutzer verursachen: Sie können Windows-Fehler, Leistungseinbußen oder sogar den gefürchteten Bluescreen (BSOD) verursachen. Normale Benutzer können die Aktualisierungen nicht abschalten, da es sich um ein automatisiertes Feature handelt.

Als Administrator können Sie automatische Treiberaktualisierungen deaktivieren, indem Sie die Gruppenrichtlinie „Windows Update-Gerätetreiber-Suche deaktivieren“ verwenden. Sie benötigen die Hardware-IDs der Geräte, die Sie im Geräte-Manager finden können.

Zugriff auf die Eingabeaufforderung beschränken

Die Eingabeaufforderung ist für Systemadministratoren sehr nützlich, aber es könnte Ihrem Netzwerk schaden, wenn Benutzer Befehle ausführen dürfen. Daher ist es am besten, sie für normale Benutzer zu deaktivieren. Das können Sie mit der Richtlinie „Zugriff auf die Eingabeaufforderung verhindern“ tun.

Deaktivieren Sie erzwungene Neustarts

Wenn ein Benutzer seinen Computer nicht ausschaltet, wenn er die Arbeit verlässt und sein Gerät durch Windows Update zwangsweise neu gestartet wird, können sie ihre ungespeicherten Dateien verlieren. Sie können Gruppenrichtlinien verwenden, um diese erzwungenen Neustarts zu deaktivieren.

Verhindern Sie, dass Benutzer Software installieren

Das Verhindern, dass Benutzer Software auf ihren Maschinen installieren, hilft, eine Vielzahl von Problemen zu vermeiden. Sie können die Installation von Software verhindern, indem Sie die AppLocker- und Softwareeinschränkungs-Einstellungen ändern und das Ausführen von Erweiterungen wie „.exe“ deaktivieren.

NTLM-Authentifizierung deaktivieren

Das NTLM-Authentifizierungsprotokoll weist viele Schwachstellen auf, einschließlich schwacher Kryptographie, und ist daher sehr anfällig für Angriffe. Mit Hilfe von Gruppenrichtlinien können Sie die NTLM-Authentifizierung in Ihrem Netzwerk deaktivieren und nur das moderne Kerberos-Protokoll verwenden. Stellen Sie jedoch zunächst sicher, dass keine Anwendungen die NTLM-Authentifizierung benötigen.

PowerShell lokal blockieren

PowerShell wird im Allgemeinen von Geschäftsanwendern nicht benötigt, und indem man deren Nutzung verhindert, kann die Ausführung bösartiger Skripte verhindert werden. Mit Hilfe von Gruppenrichtlinien können Sie die Verwendung von PowerShell auf mit dem Domain verbundenen Computern blockieren.

Administratoren, die PowerShell verwenden müssen, können von der Richtlinie ausgenommen werden. Alternativ können Sie verlangen, dass sie PowerShell-Skripte nur auf einer dafür vorgesehenen Maschine ausführen, um die Sicherheit zu erhöhen.

Gastkonten auf Domänencomputern deaktivieren

Gastkonten haben in der Regel einen eingeschränkten Zugriff und Funktionalität im Vergleich zu regulären Benutzerkonten, stellen jedoch immer noch wichtige Sicherheitsrisiken dar. Durch Deaktivieren mithilfe von Gruppenrichtlinien wird verhindert, dass bösartige Benutzer Zugang zu Ihrer Umgebung erhalten.

Beschränken Sie die Mitgliedschaft in der Gruppe der lokalen Administratoren

Mitglieder der Gruppe der lokalen Administratoren können Software installieren, Systemdateien löschen, Sicherheitseinstellungen ändern und vieles mehr. Dieser erhöhte Zugriff erhöht das Risiko von Malware-Infektionen, versehentlichem Datenverlust und absichtlicher Datenexfiltration sowie Systeminstabilität und Leistungsproblemen.

Mithilfe von Gruppenrichtlinien können Sie unnötige Konten aus der Gruppe der lokalen Administratoren auf allen Computern entfernen.

Benennen Sie das lokale Administrator-Konto um

Das lokale Administrator-Konto ist ein Hauptziel für Angreifer, da es privilegierten Zugriff auf den Rechner bietet. Um das Risiko zu verringern, ist es eine bewährte Methode, das lokale Administrator-Konto umzubenennen. Zusätzlich sollte das Konto nur verwendet werden, wenn es absolut notwendig ist; für routinemäßige Aufgaben sollten andere administrative Konten mit eingeschränkten Privilegien genutzt werden.

Beschränken Sie den anonymen Zugriff auf benannte Pipes und Netzwerkfreigaben

Standardmäßig können benannte Pipes und Freigaben anonym zugegriffen werden, was böswilligen Akteuren ermöglichen kann, auf sensible Daten wie vertrauliche Dateien, Systeminformationen und Netzwerksicherheitseinstellungen zuzugreifen. Daher ist es eine bewährte Methode, Gruppenrichtlinien zu verwenden, um Einschränkungen für den anonymen Zugriff auf benannte Pipes und Freigaben im Netzwerk durchzusetzen.

Durchsetzung aktueller Best Practices für Passwörter

Standardisierungsgremien wie NIST bieten Richtlinien für Passwortrichtlinieneinstellungen, die Ihr Risiko von passwortbasierten Angriffen und der Wiederverwendung von Anmeldeinformationen verringern. Sie können Gruppenrichtlinien verwenden, um diese Empfehlungen in Ihrer Umgebung anzuwenden.

Beachten Sie, dass strenge Anforderungen an Faktoren wie Passwortlänge, Komplexität und Passwortalter theoretisch die Sicherheit erhöhen, dies aber nicht immer in der Praxis funktioniert. Stattdessen können solche Richtlinien dazu führen, dass Benutzer unsichere Umgehungen wie das Aufschreiben von Passwörtern anwenden, um die Mühe von Kontosperrungen zu vermeiden.

Um den vollen Nutzen von starken Passwortrichtlinien zu erhalten, sollten Sie ein Tool wie Netwrix Password Secure in Betracht ziehen, das automatisch Passwörter erstellt, speichert und für Benutzer eingibt. Auf diese Weise können Sie die Sicherheit verbessern, indem Sie verlangen, dass Passwörter lang sind, Sonderzeichen enthalten, häufig geändert werden und so weiter.

Deaktivieren Sie die anonyme SID-Aufzählung

Wenn die anonyme SID-Enumeration aktiviert ist, können Angreifer Informationen über Benutzerkonten und Gruppen sammeln, die für die Planung und Durchführung von Cyberangriffen wertvoll sind. Sie können die anonyme SID-Enumeration deaktivieren, indem Sie diese Registrierungseinstellung ändern:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa

Stellen Sie sicher, dass Sie die Registrierung sichern, bevor Sie Änderungen vornehmen, und gehen Sie vorsichtig vor, wenn Sie Registrierungseinstellungen bearbeiten. Änderungen sollten nur von sachkundigem und autorisiertem Personal durchgeführt werden.

Verhindern Sie, dass Benutzer Windows Defender deaktivieren

Sie sollten sicherstellen, dass der integrierte Antivirus- und Antimalware-Schutz auf allen Windows-Systemen aktiv bleibt. Gehen Sie dazu im Gruppenrichtlinien-Editor zum folgenden Pfad:

Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten > Windows Defender Antivirus

Konfigurieren Sie die Gruppenrichtlinieneinstellung "Windows Defender Antivirus deaktivieren" als Deaktiviert.

Wie Netwrix Endpoint Policy Manager helfen kann

Group Policy ist ein effektives Werkzeug für detailliertes Einstellungsmanagement in einer Windows-Umgebung. Herausforderungen wie die Zunahme von Group Policy Objects (GPO), organisatorische Veränderungen aufgrund von Fusionen, Übernahmen, Abspaltungen, schwankenden Mitarbeiterzahlen und die Bildung neuer Einheiten haben das Management jedoch zunehmend komplex gemacht. Netwrix Endpoint Policy Manager begegnet diesen Herausforderungen, indem er die Ausbreitung von GPOs reduziert und den Managementprozess durch die Zusammenführung mehrerer GPOs in weniger Einheiten vereinfacht. Diese Konsolidierung führt zu verbesserten Anmeldezeiten, erhöhter Sicherheit, gesteigerter Systemzuverlässigkeit und reduzierten Konfigurationsfehlern. Netwrix Endpoint Policy Manager ermöglicht es Administratoren auch, nahezu 100% der Group Policy Einstellungen auf Microsoft Intune zu übertragen, ohne die zusätzliche Komplexität von OMA-URI.

Tipps zur Fehlerbehebung bei Gruppenrichtlinien

Die folgenden Tipps zur Fehlerbehebung helfen Ihnen bei der Untersuchung von Problemen mit der Gruppenrichtlinie.

• In Windows 10 und Windows Server 2016 verwenden Sie den Befehl gpresult, um Gruppenrichtlinieninformationen für einen entfernten Benutzer und Computer anzuzeigen, einschließlich der Dauer der Verarbeitung der GPO.
• Überprüfen Sie den Ereignisanzeiger auf Fehler oder Warnungen, die mit Gruppenrichtlinien zusammenhängen.
• Verwenden Sie das Tool Gruppenrichtlinienergebnisse, um zu sehen, welche Richtlinien auf einen bestimmten Benutzer oder Computer angewendet werden und welche nicht.
• Verwenden Sie das Group Policy Modeling-Tool, um die Anwendung von Gruppenrichtlinien für einen bestimmten Benutzer oder Computer zu simulieren und mögliche Probleme zu identifizieren.
• Überprüfen Sie, ob der betroffene Benutzer oder Computer im richtigen OU in Active Directory ist und dass die Gruppenrichtlinie mit dem richtigen OU verknüpft ist.
• Überprüfen Sie mit dem Resultant Set of Policy (RSoP)-Tool, ob es widersprüchliche Gruppenrichtlinienobjekte gibt, die die gewünschten Einstellungen überschreiben könnten.
• Verwenden Sie die Group Policy Management Console, um zu überprüfen, ob der Benutzer oder der Computer die erforderlichen Berechtigungen hat, um die GPO-Einstellungen anzuwenden.
• Überprüfen Sie, ob Netzwerkverbindungsprobleme vorliegen, die verhindern könnten, dass der Benutzer oder der Computer die Gruppenrichtlinieneinstellungen erhält.
• Überprüfen Sie, ob die Gruppenrichtlinieneinstellungen korrekt konfiguriert sind.
• Bei Problemen mit den Einstellungen der Group Policy Preferences verwenden Sie die Group Policy Preferences-Fehlerbehebungserweiterung.
• Wenn alles andere fehlschlägt, erwägen Sie, die Gruppenrichtlinieneinstellungen für den betroffenen Benutzer oder Computer zurückzusetzen, indem Sie den Befehl "gpupdate /force" ausführen oder die Option "Gruppenrichtlinieneinstellungen zurücksetzen" in der Gruppenrichtlinienverwaltungskonsole verwenden.