Anwendungssteuerung
App Control: Managed Installer, ISG, ergänzende Richtlinien
App Control for Business wartbar halten: Intune oder ConfigMgr als Managed Installer vertrauen, ISG mit Bedacht nutzen und per ergänzender Richtlinie delegieren.
Experte
Florian Amette
Security engineer writing practical, baseline-aligned hardening guides for Windows endpoints, servers and Active Directory.
Anwendungssteuerung
AppLocker-Rollout: Skripte, Installer und App-Pakete
AppLocker sicher ausrollen: Dienst Anwendungsidentität, Überwachungsmodus, Herausgeberregeln für EXE, Skripte, MSI und App-Pakete sowie Lücken in beschreibbaren Ordnern.
Fortgeschritten
BitLocker & Startsicherheit
BitLocker-Wiederherstellungsschlüssel sicher verwalten
BitLocker-Wiederherstellungsschlüssel richtig verwalten: in AD DS oder Entra ID hinterlegen, Abdeckung nachweisen, Lesezugriff beschränken, überwachen und rotieren.
Grundlagen
Schutz von Anmeldedaten
Zwischengespeicherte Anmeldungen, WDigest und Co.
Weniger Anmeldedaten auf Datenträger und im Speicher: Anzahl zwischengespeicherter Anmeldungen, WDigest, Bereinigung nach Abmeldung und Anmeldeinformationsverwaltung.
Grundlagen
Sicherheitsbaselines
Konfigurationsdrift: OSConfig, DSC und Compliance-Berichte
Konfigurationsdrift unter Windows erkennen und korrigieren: OSConfig auf Server 2025, PowerShell DSC mit Autokorrektur, GPO-Neuverarbeitung, Änderungsereignisse, Berichte.
Experte
Microsoft Defender
Überwachter Ordnerzugriff: Ransomware-Schutz, der wirkt
Überwachten Ordnerzugriff von Defender gegen Ransomware ausrollen: Überwachungsmodus, Ereignisse 1123 und 1124, Apps zulassen, Ordner schützen und in Ringen erzwingen.
Fortgeschritten
Microsoft Defender
Microsoft-Defender-Ausschlüsse prüfen und minimieren
Jeden Defender-Ausschluss aus GPO, Intune und lokaler Konfiguration finden, begründen oder entfernen, den Rest eingrenzen, vor Admins verbergen und Änderungen überwachen.
Grundlagen
PowerShell-Sicherheit
Bösartige PowerShell mit Skriptblockprotokollierung erkennen
PowerShell-Protokolle zu Erkennungen machen: 4104-Skriptblöcke zusammensetzen, AMSI- und Engine-Ereignisse nutzen, Verschleierung erkennen, Admin-Rauschen filtern.
Fortgeschritten
Reduzierung der Angriffsfläche
Microsoft Edge per Gruppenrichtlinie und Intune härten
Microsoft Edge per Richtlinie härten: erzwungener SmartScreen, Allowlist für Erweiterungen, erweiterter Sicherheitsmodus, Downloadbeschränkungen und schnelle Updates.
Grundlagen
Microsoft Defender
EDR im Blockmodus, passiver Modus und Dritt-Virenschutz
Wie sich Defender Antivirus neben anderem Virenschutz verhält: aktiv, passiv, EDR im Blockmodus, passiver Modus auf Servern, was verloren geht und wie Sie es prüfen.
Experte
Reduzierung der Angriffsfläche
Exploit-Schutz: System- und anwendungsspezifische Maßnahmen
Den Windows-Exploit-Schutz, Nachfolger von EMET, konfigurieren: Systemstandards, Maßnahmen pro App, Überwachungsmodus, XML-Export/-Import und Verteilung per GPO/Intune.
Fortgeschritten
Windows-Firewall
Windows-Firewall: Protokollierung und Überwachung
Die Windows-Firewall als Erkennungsquelle: pfirewall.log konfigurieren, WFP-Ereignisse 5156/5157 und Regeländerungen 4946-4950 überwachen und zentral weiterleiten.
Grundlagen
Windows-Firewall
Windows-Firewall im großen Maßstab mit GPO und Intune
Firewallrichtlinien flottenweit betreiben: wie GPO- und Intune-Regeln zusammenwirken, warum Block vor Allow gilt, lokale Regeln abschalten, aktiven Speicher prüfen.
Fortgeschritten
Patches & Updates
Windows Server: Hotpatch und clusterfähiges Aktualisieren
Windows Server mit weniger Ausfallzeit patchen: Hotpatch unter Server 2025 mit Azure Arc oder Azure Edition, Baseline-Monate, Voraussetzungen und clusterfähiges Aktualisieren.
Experte
Sicherheitsbaselines
Intune-Baselines, Einstellungskatalog und GPO-Konflikte
Intune-Sicherheitsbaselines ohne Konflikte verteilen: Versionen, Schichten im Einstellungskatalog, Überschneidung mit Endpunktsicherheit, MDMWinsOverGP und Prüfung am Gerät.
Fortgeschritten
Windows-Firewall
Domänen- und Serverisolation mit IPsec
IPsec-Verbindungssicherheitsregeln, damit nur authentifizierte Domänencomputer Ihre Server erreichen: Domänen- und Serverisolation, Kryptoauswahl, sicherer Rollout.
Experte
PowerShell-Sicherheit
Just Enough Administration (JEA) Schritt für Schritt
JEA-Endpunkte bauen, die Operatoren genau die nötigen Befehle geben: Rollenfunktionsdateien, Sitzungskonfigurationen, virtuelle Konten, gMSAs und Überwachung.
Experte
Reduzierung der Angriffsfläche
Microsoft Office härten: Makros, OLE und Add-ins
Microsoft 365 Apps absichern: Internetmakros blockieren, XLM abschalten, VBA per AMSI scannen, geschützte Ansicht behalten, signierte Add-ins, OLE und DDE stoppen.
Grundlagen
Sicherheitsbaselines
Policy Analyzer und LGPO: Baselines vergleichen, anwenden
Mit Policy Analyzer GPOs, Baselines und effektive Richtlinie vergleichen und mit LGPO.exe lokale Richtlinien auf Einzelrechnern und Labor-Builds testen, anwenden, exportieren.
Fortgeschritten
Legacy-Protokolle
Druckwarteschlange und Point and Print härten
PrintNightmare-Risiken schließen: Druckwarteschlange wo ungenutzt abschalten, Treiberinstallation auf Admins beschränken, Package Point and Print mit Freigabeliste.
Fortgeschritten
Schutz von Anmeldedaten
RDP ohne Credential-Preisgabe: RCG und Restricted Admin
Verhindern, dass RDP wiederverwendbare Anmeldedaten auf Servern hinterlässt: Remote Credential Guard, Restricted Admin, DisableRestrictedAdmin und Delegierung.
Fortgeschritten
Legacy-Protokolle
Remotedesktop (RDP) unter Windows härten
Remotedesktop absichern mit NLA, TLS-Sicherheitsschicht, PKI-Zertifikaten, eingeschränkten Benutzern, Firewall-Begrenzung, Sitzungslimits und den richtigen Protokollen.
Grundlagen
Konten & privilegierter Zugriff
Lokale Admin-Rechte entziehen, ohne Chaos zu stiften
Benutzern lokale Admin-Rechte entziehen: Bestand erheben, Mitgliedschaft per GPO oder Intune erzwingen, Erhöhung mit EPM regeln, Notfallzugang behalten.
Grundlagen
BitLocker & Startsicherheit
Secure Boot, UEFI und die BlackLotus-Gegenmaßnahmen
Die Windows-Startkette härten: Secure Boot prüfen, die Sperrungen zu CVE-2023-24932 (BlackLotus) anwenden, die 2023-Zertifikate einführen und UEFI sperren.
Experte
Überwachung & Protokollierung
Sysmon im großen Maßstab verteilen und optimieren
Eine Sysmon-Konfiguration wählen, Rauschen ohne blinde Flecken reduzieren, Updates sicher auf Tausende Hosts ausrollen und Sysmon selbst überwachen.
Fortgeschritten
Patches & Updates
Drittanbieter-Apps unter Windows mit winget patchen
Drittanbieter-Apps unter Windows inventarisieren, priorisieren und patchen: Browser und Runtimes zuerst, winget als SYSTEM, App-Installer-Richtlinien, Entfernen.
Grundlagen
Legacy-Protokolle
TLS und Schannel unter Windows härten
SSL, TLS 1.0/1.1 und schwache Cipher in Schannel abschalten, die Cipher-Suite-Reihenfolge per GPO setzen und .NET nach Bestandsaufnahme auf starke Kryptografie umstellen.
Fortgeschritten
Konten & privilegierter Zugriff
UAC härten und Windows Administrator protection
UAC richtig konfigurieren: Admin Approval Mode, sicherer Desktop, FilterAdministratorToken, Remote-UAC für lokale Konten und Administrator protection in Windows 11.
Fortgeschritten
BitLocker & Startsicherheit
VBS, Speicherintegrität (HVCI) und Kernel DMA Protection
Virtualisierungsbasierte Sicherheit, Speicherintegrität (HVCI) und Kernel DMA Protection aktivieren: Voraussetzungen, GPO und Intune, Treibertests, Überprüfung.
Fortgeschritten
Anwendungssteuerung
Microsoft-Sperrliste für anfällige Treiber: BYOVD stoppen
Die Microsoft-Sperrliste für anfällige Treiber auf Clients und Servern aktivieren und prüfen, aktuell halten und Bring-Your-Own-Vulnerable-Driver-Angriffe erkennen.
Fortgeschritten
Überwachung & Protokollierung
Windows Event Forwarding im großen Maßstab
Windows Event Forwarding, das trägt: Collectors, quellinitiierte Abonnements, XPath-Abfragen, Zustellungsoptimierung, Zugriff aufs Sicherheitsprotokoll und Zustandsprüfungen.
Fortgeschritten
Leitfaden
Checkliste Windows-Härtung: ein 30/60/90-Tage-Plan
Eine priorisierte 90-Tage-Checkliste zur Windows-Härtung: zuerst schnelle Erfolge, dann Credential- und Lateral-Movement-Pfade, dann strukturelle Maßnahmen.
Grundlagen
Schutz von Anmeldedaten
Windows Hello for Business: Vertrauensmodelle und PIN
Windows Hello for Business mit Cloud-Kerberos-Vertrauensstellung oder Key Trust einführen, TPM-Schlüssel verlangen, PIN-Richtlinie setzen und Bereitstellung prüfen.
Fortgeschritten
Überwachung & Protokollierung
Windows-Sicherheitsereignis-IDs, die wirklich zählen
Praxisreferenz der Windows-Ereignis-IDs, die sich zu erfassen und alarmieren lohnen: Anmeldungen, Fehlercodes, Kerberos, Kontoänderungen, Persistenz, Manipulation.
Grundlagen
Patches & Updates
Windows Update-Richtlinien: Rückstellung, Fristen, Neustart
Windows Update-Clientrichtlinien per GPO und Intune konfigurieren: Rückstellungen für Qualitäts- und Funktionsupdates, Fristen, Toleranzzeiträume, Neustarts, Prüfung.
Fortgeschritten
PowerShell-Sicherheit
WinRM und PowerShell-Remoting härten
WinRM absichern: Listener inventarisieren, Kerberos erzwingen, Basic, Digest und CredSSP sperren, HTTPS-Listener, TrustedHosts leer lassen, Firewall begrenzen.
Fortgeschritten
Sicherheitsbaselines
Windows-Sicherheitsbaselines: Microsoft SCT, CIS und STIG
Microsoft Security Compliance Toolkit, CIS Benchmarks und DISA STIGs vergleichen, eine Baseline mit Policy Analyzer und LGPO anwenden und jede Abweichung nachverfolgen.
Grundlagen
Patches & Updates
Windows-Patching: Update-Ringe, Fristen, KEV zuerst
Ein Windows-Patchprozess, der jeden Monat abschließt: Update-Ringe mit Fristen, WSUS vs. Update for Business, Hotpatch, KEV-Priorität und Lücken außerhalb von Windows.
Grundlagen
Überwachung & Protokollierung
Windows-Überwachungsrichtlinie und Sysmon: Logging-Baseline
Erweiterte Überwachungsrichtlinie, Befehlszeilen-Erfassung, Loggrößen, Sysmon und Event Forwarding so konfigurieren, dass Windows-Logs wer, was, wo und wann beantworten.
Grundlagen
PowerShell-Sicherheit
PowerShell-Sicherheit: Logging, v2-Entfernung, CLM und JEA
PowerShell transparent und begrenzt machen: Skriptblock-, Modul- und Transkriptionsprotokollierung, PowerShell 2.0 entfernen, CLM per App Control, dazu JEA.
Fortgeschritten
BitLocker & Startsicherheit
BitLocker härten: XTS-AES 256, TPM+PIN, Schlüsselsicherung
BitLocker gegen reale Bedrohungen: Verschlüsselungsmethode, TPM vs. TPM+PIN, Hinterlegung in AD oder Entra ID, Secure Boot, DMA-Schutz und Prüfung der Flotte.
Fortgeschritten
Windows-Firewall
Windows-Firewall gegen Lateral Movement härten
Windows Defender Firewall als Schutz vor Lateral Movement: alle Profile per GPO erzwingen, lokale Regeln ignorieren, RDP/WinRM/SMB begrenzen, Relevantes protokollieren.
Grundlagen
Legacy-Protokolle
LLMNR, NBT-NS, SMBv1, NTLMv1 abschalten, Signierung fordern
Windows-Protokolle hinter Hash-Diebstahl und Relay messen und abschalten: LLMNR, NBT-NS, mDNS, WPAD, SMBv1, NTLMv1, dazu SMB- und LDAP-Signierung mit Kanalbindung.
Grundlagen
Anwendungssteuerung
App Control for Business (WDAC) oder AppLocker
App Control for Business (vormals WDAC) oder AppLocker wählen, mit Microsofts Beispielrichtlinien starten, überwachen, Code-Integrity-Ereignisse lesen und erzwingen.
Fortgeschritten
Microsoft Defender
Microsoft Defender Antivirus über den Standard hinaus härten
Microsoft Defender Antivirus auf Widerstandsfähigkeit trimmen: Cloudschutz, Block at First Sight, Manipulationsschutz, PUA, Netzwerkschutz und saubere Ausschlüsse.
Grundlagen
Reduzierung der Angriffsfläche
ASR-Regeln: GUIDs und sicherer Rollout
Praxisreferenz zu den ASR-Regeln von Microsoft Defender: was jede Regel blockiert, ihre GUID, was zuerst erzwingen, Überwachungsmodus, Ereignis-IDs und Ausnahmen.
Grundlagen
Schutz von Anmeldedaten
Credential Guard und LSA-Schutz: LSASS absichern
Wie Credential Guard und LSA-Schutz (RunAsPPL) Credential Dumping stoppen, wie man sie aktiviert und prüft, was sie brechen und welche Altlasten man abschaltet.
Fortgeschritten
Konten & privilegierter Zugriff
Admin-Tiering und Protected Users für Active Directory
Das Tier-Modell für Active Directory in der Praxis: was in Tier 0 gehört, Anmeldeeinschränkungen per GPO, Protected Users, PAWs und die Prüfungen dazu.
Fortgeschritten
Konten & privilegierter Zugriff
Windows LAPS einführen: eindeutige lokale Admin-Kennwörter
Gemeinsame lokale Administratorkennwörter durch Windows LAPS ersetzen: Schema, Berechtigungen, Gruppenrichtlinie, Verschlüsselung, Abruf und Prüfungen.
Grundlagen