Windows-Sicherheitsgrundlagen: 12 GPO-Einstellungen für jede Domäne
IT-Administratoren kennen den Alltag: Sicherheitschecks verlangen strenge Gruppenrichtlinien, aber die Dokumentation ist oft verstreut.
1. LAPS aktivieren
Microsoft LAPS verwaltet lokale Admin-Passwörter automatisch.
# GPO: Computer Config → System → LAPS
gpupdate /force
2. SMB-Signing erziefen
Schutz vor Relay-Angriffen durch Signierung.
# GPO: Computer Config → Security Settings → Local Policies
3. Windows Defender ASR-Regeln aktivieren
Blockiere riskante Ausführungen.
# GPO: Defender Antivirus Policy → ASR-Regeln
4. E-Mail-Abnahme ohne HTML
# GPO: User Config → Microsoft Outlook
5. Lokale Administrator-Reste entfernen
# GPO: Security Settings → Local Policies → Security Options
6. Netzwerzfreigaben blockieren
# GPO: System → Removable Disks
7. Kerberos-Timeouts konfigurieren
# GPO: Kerberos Max lifetime = 600 Minuten
8. Windows-Update automatisch akzeptieren
# GPO: Windows Update → Configure Automatic Updates = Mode 4
9. Firewall-Profil für Domänenverbindung
# GPO: Windows Firewall → Domain mode = Blockierend
10. Event-Log-Ringe konfigurieren
# Security = 200 MB, System = 100 MB
11. BitLocker-Recovery-Schlüssel in AD speichern
# GPO: BitLocker → Store recovery info in AD
12. Speicherausführungen verhindern
# GPO: System → Removable Storage Access
Quellen
Microsoft Security Compliance Toolkit 2024, gpsearch.azurewebsites.net, BSI-Grundschutz, 4sysops.
Fazit
Diese 12 GPO-Einstellungen bilden eine solide Grundanlage für Windows-Domänensicherheit.
Hinweis: Dieser Beitrag wurde mit Unterstützung künstlicher Intelligenz (KI) erstellt.
No responses yet