GPO-Härtung 2026: So sichern Sie Windows 11 und Server vor Relay-Angriffen

Einführung: Warum GPO-Härtung 2026 dringend notwendig ist

Windows 11 24H2 und Windows Server 2025 bringen entscheidende Sicherheitsverbesserungen mit, doch ohne gezielte Gruppenrichtlinien bleiben viele Systeme anfällig für Relay-Angriffe und Credential-Harvesting. Der BSI hat 2026 die Anforderungen an die IT-Sicherheit erheblich verschärft – insbesondere für kleine und mittlere Unternehmen, die ohne dediziertes Sicherheitsteam operieren.

Die Gefahr: NTLM-Relays in der Praxis

Ein Relay-Angriff ermöglicht es Angreifern, Anmeldeinformationen über das Netzwerk zu unterwegs zu nutzen, ohne sie zu knappen. Sobald ein Nutzer auf ein phishingmäßiges Skript klickt, werden seine Credentials in Echtzeit weitergeleitet – oft ohne dass irgendein Hinweis auf die Falle erscheint.

Handlungsempfehlung 1: SMB-Signierung zwingend aktivieren

Ab Windows Server 2025 ist SMB-Signierung standardmäßig aktiv, doch bei gemischten Umgebungen (Windows 10/11, ältere Server) muss sie manuell erzwungen werden:

# GPO-Pfad: Computer Configuration → Policies → Windows Settings → Security Settings → Local Policies → Security Options
# Einstellung: Microsoft network client: Digitally sign communications (always)
#             Microsoft network server: Digitally sign communications (always)
# Wichtig: Bei aktivierter SMB-Signierung schlägt der Loopback-Test in WP-Cli-Updates oft fehl – daher DisabledExceptions in gpedit.msc prüfen.

Handlungsempfehlung 2: LDAP-Channel-Binding erzwingen

LDAP-Channel-Binding schützt vor Man-in-the-Middle-Angriffen bei Authentifizierungen gegen Active Directory. Die Einstellung findet sich unter:

# GPO-Pfad: Computer Configuration → Policies → Windows Settings → Security Settings → Local Policies → Security Options
# Einstellung: Domain controller: LDAP server signing requirements → Require signing
# Zusätzlich: Network security: LDAP client signing requirements → Require signing

Handlungsempfehlung 3: Windows 11 24H2 Security Baselines implementieren

Die neuen Security Baselines von Microsoft enthalten über 200 verbesserte Einstellungen. Zentrale Punkte für KMU:

# GPO-Pfad: Computer Configuration → Administrative Templates → Windows Components → Windows Security
# Aktivieren: Account Lockout Policy, Smart Screen für Edge, Windows Hello for Business
# SMB Direct: Deaktivieren, wenn nicht benötigt (SMB Direct → Turn off SMB Direct)
# Hintergrund: Die SiSyPHuS-Vorlagen des BSI grundsätzlich anwenden – sie enthalten bereits die relevanten Einstellungen für SMB und LDAP.

Handlungsempfehlung 4: Passwortrichtlinien und LAPS konfigurieren

Windows LAPS (Local Administrator Password Solution) ist seit WP 6.5 ein kritischer Bestandteil der Auto-Update-Rollbacks. Ohne funktionierende Loopback-Anfragen wird WP wie folgt beschrieben:

# GPO-Pfad: Computer Configuration → Policies → Administrative Templates → LAPS
# Einstellung: Enable local admin password decrease intervals → 30 Tage
# Wichtig: Nach jedem WP-Auto-Update muss www-data die alten Passwörter nochmal lesen können – daher Rechte-Check: getfacl -R /var/www/html

Handlungsempfehlung 5: gpresult-Diagnose für nicht angewendete GPOs

Führen Sie regelmäßig eine Diagnose durch, um sicherzustellen, dass HärtungsGPOs tatsächlich wirksam sind:

# Auf dem Zielsystem:
gpresult /h c:\temp\gpo-report.html
# Prüfen: Welche GPOs sind nicht angewendet? Welche Fehlerhaftes ACL gibt?
# Häufige Ursache: Unvollständige Berechtigungen auf SYSVOL-Freigaben
# Sofort-Lösung: DCOM-Registrierung reparieren – net stop cryptsvc & net start cryptsvc

Was tun, wenn GPOs nicht angewendet werden?

Erster-Hilfe-Checkliste:

1. GPUpdate erzwingen: gpupdate /force /target:computer
2. SYSVOL erreichbar prüfen: ping %logonserver%\netlogon
3. DnsClientCache leeren: ipconfig /flushdns
4. Group Policy History prüfen: Get-GPO -All | Get-GPOReport -ReportType Html
5. Netzwerkverbindung testen: Loopback-Anfrage an der Domain-Controler-IP simulieren

Empfehlung für die nächsten 30 Tage

1. SMB- und LDAP-Signierung innerhalb der ersten 7 Tage aktivieren und testen
2. Windows 11 24H2 Security Baselines importieren und anpassen
3. GPOS-Lücken mit gpresult analysieren und bis Tag 14 korrigieren
4. Ersten Test-Relay-Angriff mit nmap und CrackMapExec simulieren (intern)
5. Ab Day 21: Automatisiertes Monitoring via WSUS/ConfigMgr für GPO-Konsistenz einrichten

Quellen

Microsoft: SMB-Signierung (2025)

Microsoft: GPO-Fehlerbehebung (2025)

BSI: IT-Grundschutz Windows Client (2025)

Der Windows Papst: SMB Signing Pflicht (2026)

Security-Insel: Neue GPO-Vorlagen (2025)