GPO wird nicht angewendet – Diagnose mit gpresult

Wenn eine Gruppenrichtlinie (GPO) nicht beim Client ankommt, ist die Ursache selten offensichtlich. Dieser Beitrag zeigt einen reproduzierbaren Diagnoseweg mit gpresult, der Ereignisanzeige und den typischen Fehlerquellen.

Typische Ursachen

Bevor Werkzeuge zum Einsatz kommen, lohnt sich eine kurze Checkliste: Ist die GPO aktiviert und mit der richtigen OU verknüpft? Ist die Vererbung blockiert? Liegt der Client in der erwarteten OU? Stimmt die Sicherheitsfilterung? Diese Fragen klären 80 % der Fälle.

Diagnose mit gpresult

gpresult /r – schneller Überblick

Auf dem betroffenen Client in einer erhöhten Eingabeaufforderung:

gpresult /r

Die Ausgabe listet unter „Angewendete Gruppenrichtlinienobjekte“ alle wirksamen GPOs sowie unter „Die folgenden GPOs wurden nicht angewendet“ die abgelehnten mit Begründung (z. B. „Leer“, „Deaktiviert“, „Sicherheitsfilterung“).

gpresult /h – HTML-Bericht

Für eine detaillierte Auswertung erzeugt man einen HTML-Bericht:

gpresult /h C:tempgpreport.html /f

Der Bericht zeigt Einstellungen, Verknüpfungen, Sicherheitsfilterung und WMI-Filter pro GPO. Ideal zur Weitergabe an Kollegen oder zur Dokumentation.

gpupdate /force – Neuanwendung erzwingen

gpupdate /force

Danach erneut gpresult /r ausführen. Bleibt die GPO aus, liegt es nicht an der Aktualisierungsrate, sondern an Filtern oder Berechtigungen.

Ereignisanzeige und Gruppenrichtlinien-Protokoll

Unter Anwendungs- und Dienstprotokolle → Microsoft → Windows → GroupPolicy → Operational finden sich Warnungen und Fehler mit Event-ID und GPO-GUID. Besonders relevant: Event-ID 1058 (Verarbeitung fehlgeschlagen) und 1112 (Richtlinienverarbeitung abgebrochen).

Häufige Fehlerfälle

• Sicherheitsfilterung: Fehlt „Authentifizierte Benutzer“ in der Delegierung, werden Computerkonten nicht erfasst. Lösung: GPO → Delegierung → „Authentifizierte Benutzer“ mit Leserecht hinzufügen.
• WMI-Filter: Ein fehlerhafter WMI-Filter schließt Clients aus. Testen mit gpresult /r (Zeile „WMI-Filter“).
• Blockierte Vererbung: Eine OU mit „Vererbung blockieren“ verhindert übergeordnete GPOs. Im Gruppenrichtlinienverwaltungs-Editor prüfen.
• Replikationsprobleme: Auf Domänencontrollern repadmin /showrepl prüfen; SYSVOL-Replikation (DFSR) muss konsistent sein.
• Loopback-Verarbeitungsmodus: Bei Terminalservern kann der Loopback-Modus GPOs überschreiben oder ausblenden.
• Langsame Verarbeitung: Bei instabilem Netzwerk wird die Verarbeitung übersprungen („Keine Netzwerkverbindung“).

Lösungsschritte in der Praxis

1. gpresult /r auf dem Client – fehlende GPO identifizieren.
2. Ursache aus der Begründung ableiten (Leer/Deaktiviert/Sicherheitsfilterung).
3. GPO in der Gruppenrichtlinienverwaltung prüfen: Status, Verknüpfung, Sicherheitsfilterung, WMI-Filter.
4. gpupdate /force und erneut gpresult /r.
5. Ereignisanzeige auf Event-ID 1058/1112 prüfen.
6. Bei Replikationsverdacht repadmin /showrepl und SYSVOL prüfen.

FAQ

Warum zeigt gpresult /r eine GPO als „nicht angewendet“ mit Grund „Leer“?

Die GPO enthält keine konfigurierten Einstellungen oder ist deaktiviert. Status in der GPO-Verwaltung prüfen.

Hilft gpupdate /force immer?

Nein – bei Sicherheitsfilterung oder blockierter Vererbung bleibt die GPO aus. Dann muss die Konfiguration angepasst werden.

Wo finde ich den HTML-Bericht von gpresult?

Der Pfad wird beim Aufruf von gpresult /h angegeben, z. B. C:tempgpreport.html.

Quellen

• Microsoft Learn: Anleitungen zur Fehlerbehebung für Gruppenrichtlinien (12.02.2026)
• AdminSignal: Group Policy Not Applying – Diagnosis (31.03.2026)

Hinweis: Dieser Beitrag wurde mit Unterstützung künstlicher Intelligenz (KI) erstellt.