Leitfäden
Ausführliche Leitfäden zur Windows-Härtung mit Gruppenrichtlinienpfaden, Registrierungswerten, PowerShell und Prüfschritten.
49 Leitfäden12 Bereiche
Hier starten
Checkliste Windows-Härtung: ein 30/60/90-Tage-Plan
Eine priorisierte 90-Tage-Checkliste zur Windows-Härtung: zuerst schnelle Erfolge, dann Credential- und Lateral-Movement-Pfade, dann strukturelle Maßnahmen.
Bereich 01 · 4 Leitfäden
Konten & privilegierter Zugriff
Eindeutige lokale Admin-Kennwörter, Admin-Tiering und ein kleines, geschütztes Tier 0.
- 01Windows LAPS einführen: eindeutige lokale Admin-KennwörterGemeinsame lokale Administratorkennwörter durch Windows LAPS ersetzen: Schema, Berechtigungen, Gruppenrichtlinie, Verschlüsselung, Abruf und Prüfungen.
- 02Admin-Tiering und Protected Users für Active DirectoryDas Tier-Modell für Active Directory in der Praxis: was in Tier 0 gehört, Anmeldeeinschränkungen per GPO, Protected Users, PAWs und die Prüfungen dazu.
- 03Lokale Admin-Rechte entziehen, ohne Chaos zu stiftenBenutzern lokale Admin-Rechte entziehen: Bestand erheben, Mitgliedschaft per GPO oder Intune erzwingen, Erhöhung mit EPM regeln, Notfallzugang behalten.
- 04UAC härten und Windows Administrator protectionUAC richtig konfigurieren: Admin Approval Mode, sicherer Desktop, FilterAdministratorToken, Remote-UAC für lokale Konten und Administrator protection in Windows 11.
Bereich 02 · 4 Leitfäden
Schutz von Anmeldedaten
Geheimnisse mit Credential Guard und LSA-Schutz aus dem LSASS-Speicher fernhalten.
- 01Credential Guard und LSA-Schutz: LSASS absichernWie Credential Guard und LSA-Schutz (RunAsPPL) Credential Dumping stoppen, wie man sie aktiviert und prüft, was sie brechen und welche Altlasten man abschaltet.
- 02Zwischengespeicherte Anmeldungen, WDigest und Co.Weniger Anmeldedaten auf Datenträger und im Speicher: Anzahl zwischengespeicherter Anmeldungen, WDigest, Bereinigung nach Abmeldung und Anmeldeinformationsverwaltung.
- 03RDP ohne Credential-Preisgabe: RCG und Restricted AdminVerhindern, dass RDP wiederverwendbare Anmeldedaten auf Servern hinterlässt: Remote Credential Guard, Restricted Admin, DisableRestrictedAdmin und Delegierung.
- 04Windows Hello for Business: Vertrauensmodelle und PINWindows Hello for Business mit Cloud-Kerberos-Vertrauensstellung oder Key Trust einführen, TPM-Schlüssel verlangen, PIN-Richtlinie setzen und Bereitstellung prüfen.
Bereich 03 · 4 Leitfäden
Reduzierung der Angriffsfläche
Die Verhaltensweisen blockieren, auf die Malware angewiesen ist: Office-Kindprozesse, LSASS-Zugriffe, Skript-Dropper.
- 01ASR-Regeln: GUIDs und sicherer RolloutPraxisreferenz zu den ASR-Regeln von Microsoft Defender: was jede Regel blockiert, ihre GUID, was zuerst erzwingen, Überwachungsmodus, Ereignis-IDs und Ausnahmen.
- 02Exploit-Schutz: System- und anwendungsspezifische MaßnahmenDen Windows-Exploit-Schutz, Nachfolger von EMET, konfigurieren: Systemstandards, Maßnahmen pro App, Überwachungsmodus, XML-Export/-Import und Verteilung per GPO/Intune.
- 03Microsoft Office härten: Makros, OLE und Add-insMicrosoft 365 Apps absichern: Internetmakros blockieren, XLM abschalten, VBA per AMSI scannen, geschützte Ansicht behalten, signierte Add-ins, OLE und DDE stoppen.
- 04Microsoft Edge per Gruppenrichtlinie und Intune härtenMicrosoft Edge per Richtlinie härten: erzwungener SmartScreen, Allowlist für Erweiterungen, erweiterter Sicherheitsmodus, Downloadbeschränkungen und schnelle Updates.
Bereich 04 · 4 Leitfäden
Microsoft Defender
Den integrierten Virenschutz zum gehärteten Sensor machen: Cloud-, Manipulations- und Netzwerkschutz.
- 01Microsoft Defender Antivirus über den Standard hinaus härtenMicrosoft Defender Antivirus auf Widerstandsfähigkeit trimmen: Cloudschutz, Block at First Sight, Manipulationsschutz, PUA, Netzwerkschutz und saubere Ausschlüsse.
- 02Microsoft-Defender-Ausschlüsse prüfen und minimierenJeden Defender-Ausschluss aus GPO, Intune und lokaler Konfiguration finden, begründen oder entfernen, den Rest eingrenzen, vor Admins verbergen und Änderungen überwachen.
- 03Überwachter Ordnerzugriff: Ransomware-Schutz, der wirktÜberwachten Ordnerzugriff von Defender gegen Ransomware ausrollen: Überwachungsmodus, Ereignisse 1123 und 1124, Apps zulassen, Ordner schützen und in Ringen erzwingen.
- 04EDR im Blockmodus, passiver Modus und Dritt-VirenschutzWie sich Defender Antivirus neben anderem Virenschutz verhält: aktiv, passiv, EDR im Blockmodus, passiver Modus auf Servern, was verloren geht und wie Sie es prüfen.
Bereich 05 · 4 Leitfäden
Anwendungssteuerung
Mit App Control for Business (WDAC) und AppLocker festlegen, was ausgeführt werden darf.
- 01App Control for Business (WDAC) oder AppLockerApp Control for Business (vormals WDAC) oder AppLocker wählen, mit Microsofts Beispielrichtlinien starten, überwachen, Code-Integrity-Ereignisse lesen und erzwingen.
- 02App Control: Managed Installer, ISG, ergänzende RichtlinienApp Control for Business wartbar halten: Intune oder ConfigMgr als Managed Installer vertrauen, ISG mit Bedacht nutzen und per ergänzender Richtlinie delegieren.
- 03Microsoft-Sperrliste für anfällige Treiber: BYOVD stoppenDie Microsoft-Sperrliste für anfällige Treiber auf Clients und Servern aktivieren und prüfen, aktuell halten und Bring-Your-Own-Vulnerable-Driver-Angriffe erkennen.
- 04AppLocker-Rollout: Skripte, Installer und App-PaketeAppLocker sicher ausrollen: Dienst Anwendungsidentität, Überwachungsmodus, Herausgeberregeln für EXE, Skripte, MSI und App-Pakete sowie Lücken in beschreibbaren Ordnern.
Bereich 06 · 4 Leitfäden
Legacy-Protokolle
SMBv1, NTLMv1, LLMNR und NBT-NS abschalten; SMB- und LDAP-Signierung erzwingen.
- 01LLMNR, NBT-NS, SMBv1, NTLMv1 abschalten, Signierung fordernWindows-Protokolle hinter Hash-Diebstahl und Relay messen und abschalten: LLMNR, NBT-NS, mDNS, WPAD, SMBv1, NTLMv1, dazu SMB- und LDAP-Signierung mit Kanalbindung.
- 02TLS und Schannel unter Windows härtenSSL, TLS 1.0/1.1 und schwache Cipher in Schannel abschalten, die Cipher-Suite-Reihenfolge per GPO setzen und .NET nach Bestandsaufnahme auf starke Kryptografie umstellen.
- 03Remotedesktop (RDP) unter Windows härtenRemotedesktop absichern mit NLA, TLS-Sicherheitsschicht, PKI-Zertifikaten, eingeschränkten Benutzern, Firewall-Begrenzung, Sitzungslimits und den richtigen Protokollen.
- 04Druckwarteschlange und Point and Print härtenPrintNightmare-Risiken schließen: Druckwarteschlange wo ungenutzt abschalten, Treiberinstallation auf Admins beschränken, Package Point and Print mit Freigabeliste.
Bereich 07 · 4 Leitfäden
Windows-Firewall
Eingehend standardmäßig verweigert, Admin-Ports auf Managementnetze begrenzt, kein SMB zwischen Clients.
- 01Windows-Firewall gegen Lateral Movement härtenWindows Defender Firewall als Schutz vor Lateral Movement: alle Profile per GPO erzwingen, lokale Regeln ignorieren, RDP/WinRM/SMB begrenzen, Relevantes protokollieren.
- 02Windows-Firewall: Protokollierung und ÜberwachungDie Windows-Firewall als Erkennungsquelle: pfirewall.log konfigurieren, WFP-Ereignisse 5156/5157 und Regeländerungen 4946-4950 überwachen und zentral weiterleiten.
- 03Windows-Firewall im großen Maßstab mit GPO und IntuneFirewallrichtlinien flottenweit betreiben: wie GPO- und Intune-Regeln zusammenwirken, warum Block vor Allow gilt, lokale Regeln abschalten, aktiven Speicher prüfen.
- 04Domänen- und Serverisolation mit IPsecIPsec-Verbindungssicherheitsregeln, damit nur authentifizierte Domänencomputer Ihre Server erreichen: Domänen- und Serverisolation, Kryptoauswahl, sicherer Rollout.
Bereich 08 · 4 Leitfäden
BitLocker & Startsicherheit
Jedes Volume verschlüsseln, Wiederherstellungsschlüssel hinterlegen und die Startkette mit TPM und Secure Boot schützen.
- 01BitLocker härten: XTS-AES 256, TPM+PIN, SchlüsselsicherungBitLocker gegen reale Bedrohungen: Verschlüsselungsmethode, TPM vs. TPM+PIN, Hinterlegung in AD oder Entra ID, Secure Boot, DMA-Schutz und Prüfung der Flotte.
- 02BitLocker-Wiederherstellungsschlüssel sicher verwaltenBitLocker-Wiederherstellungsschlüssel richtig verwalten: in AD DS oder Entra ID hinterlegen, Abdeckung nachweisen, Lesezugriff beschränken, überwachen und rotieren.
- 03Secure Boot, UEFI und die BlackLotus-GegenmaßnahmenDie Windows-Startkette härten: Secure Boot prüfen, die Sperrungen zu CVE-2023-24932 (BlackLotus) anwenden, die 2023-Zertifikate einführen und UEFI sperren.
- 04VBS, Speicherintegrität (HVCI) und Kernel DMA ProtectionVirtualisierungsbasierte Sicherheit, Speicherintegrität (HVCI) und Kernel DMA Protection aktivieren: Voraussetzungen, GPO und Intune, Treibertests, Überprüfung.
Bereich 09 · 4 Leitfäden
PowerShell-Sicherheit
Protokollieren, was PowerShell ausführt, v2 entfernen und die Sprache dort einschränken, wo sie niemand braucht.
- 01PowerShell-Sicherheit: Logging, v2-Entfernung, CLM und JEAPowerShell transparent und begrenzt machen: Skriptblock-, Modul- und Transkriptionsprotokollierung, PowerShell 2.0 entfernen, CLM per App Control, dazu JEA.
- 02Just Enough Administration (JEA) Schritt für SchrittJEA-Endpunkte bauen, die Operatoren genau die nötigen Befehle geben: Rollenfunktionsdateien, Sitzungskonfigurationen, virtuelle Konten, gMSAs und Überwachung.
- 03Bösartige PowerShell mit Skriptblockprotokollierung erkennenPowerShell-Protokolle zu Erkennungen machen: 4104-Skriptblöcke zusammensetzen, AMSI- und Engine-Ereignisse nutzen, Verschleierung erkennen, Admin-Rauschen filtern.
- 04WinRM und PowerShell-Remoting härtenWinRM absichern: Listener inventarisieren, Kerberos erzwingen, Basic, Digest und CredSSP sperren, HTTPS-Listener, TrustedHosts leer lassen, Firewall begrenzen.
Bereich 10 · 4 Leitfäden
Überwachung & Protokollierung
Erweiterte Überwachungsrichtlinie, Befehlszeilen-Erfassung, Sysmon und Log-Weiterleitung, die einen Vorfall überstehen.
- 01Windows-Überwachungsrichtlinie und Sysmon: Logging-BaselineErweiterte Überwachungsrichtlinie, Befehlszeilen-Erfassung, Loggrößen, Sysmon und Event Forwarding so konfigurieren, dass Windows-Logs wer, was, wo und wann beantworten.
- 02Sysmon im großen Maßstab verteilen und optimierenEine Sysmon-Konfiguration wählen, Rauschen ohne blinde Flecken reduzieren, Updates sicher auf Tausende Hosts ausrollen und Sysmon selbst überwachen.
- 03Windows Event Forwarding im großen MaßstabWindows Event Forwarding, das trägt: Collectors, quellinitiierte Abonnements, XPath-Abfragen, Zustellungsoptimierung, Zugriff aufs Sicherheitsprotokoll und Zustandsprüfungen.
- 04Windows-Sicherheitsereignis-IDs, die wirklich zählenPraxisreferenz der Windows-Ereignis-IDs, die sich zu erfassen und alarmieren lohnen: Anmeldungen, Fehlercodes, Kerberos, Kontoänderungen, Persistenz, Manipulation.
Bereich 11 · 4 Leitfäden
Patches & Updates
Ringbasierter Rollout mit erzwungenen Fristen, dazu Treiber, Firmware und Apps außerhalb von Windows Update.
- 01Windows-Patching: Update-Ringe, Fristen, KEV zuerstEin Windows-Patchprozess, der jeden Monat abschließt: Update-Ringe mit Fristen, WSUS vs. Update for Business, Hotpatch, KEV-Priorität und Lücken außerhalb von Windows.
- 02Windows Update-Richtlinien: Rückstellung, Fristen, NeustartWindows Update-Clientrichtlinien per GPO und Intune konfigurieren: Rückstellungen für Qualitäts- und Funktionsupdates, Fristen, Toleranzzeiträume, Neustarts, Prüfung.
- 03Drittanbieter-Apps unter Windows mit winget patchenDrittanbieter-Apps unter Windows inventarisieren, priorisieren und patchen: Browser und Runtimes zuerst, winget als SYSTEM, App-Installer-Richtlinien, Entfernen.
- 04Windows Server: Hotpatch und clusterfähiges AktualisierenWindows Server mit weniger Ausfallzeit patchen: Hotpatch unter Server 2025 mit Azure Arc oder Azure Edition, Baseline-Monate, Voraussetzungen und clusterfähiges Aktualisieren.
Bereich 12 · 4 Leitfäden
Sicherheitsbaselines
Von Microsoft- und CIS-Baselines ausgehen, Abweichungen messen, jede Ausnahme dokumentieren.
- 01Windows-Sicherheitsbaselines: Microsoft SCT, CIS und STIGMicrosoft Security Compliance Toolkit, CIS Benchmarks und DISA STIGs vergleichen, eine Baseline mit Policy Analyzer und LGPO anwenden und jede Abweichung nachverfolgen.
- 02Policy Analyzer und LGPO: Baselines vergleichen, anwendenMit Policy Analyzer GPOs, Baselines und effektive Richtlinie vergleichen und mit LGPO.exe lokale Richtlinien auf Einzelrechnern und Labor-Builds testen, anwenden, exportieren.
- 03Intune-Baselines, Einstellungskatalog und GPO-KonflikteIntune-Sicherheitsbaselines ohne Konflikte verteilen: Versionen, Schichten im Einstellungskatalog, Überschneidung mit Endpunktsicherheit, MDMWinsOverGP und Prüfung am Gerät.
- 04Konfigurationsdrift: OSConfig, DSC und Compliance-BerichteKonfigurationsdrift unter Windows erkennen und korrigieren: OSConfig auf Server 2025, PowerShell DSC mit Autokorrektur, GPO-Neuverarbeitung, Änderungsereignisse, Berichte.