Windows-Sicherheitsbaselines: Microsoft SCT, CIS und STIG

Der Bestand an Windows-Gruppenrichtlinien umfasst Tausende Einstellungen. Jede davon selbst auszuwählen ist langsam, fehleranfällig und in einem Audit schwer zu verteidigen. Sicherheitsbaselines lösen das: kuratierte, versionierte Einstellungssätze von Leuten, die sie in Tausenden Umgebungen getestet haben. Ihre Aufgabe ist es, eine auszuwählen, sie anzuwenden, ohne etwas kaputt zu machen, und die Ausnahmen zu verwalten.

Die drei wichtigsten Baselines

Microsoft-Baselines sind bewusst schlank. CIS konfiguriert mehr Einstellungen explizit, was Prüfern hilft, aber mehr GPO-Rauschen erzeugt. STIGs sind am strengsten und setzen einen behördlichen Kontext voraus.

Ein Blick lohnt sich auch auf nationale Vorgaben wie die Empfehlungen der französischen ANSSI für Active Directory und Windows oder das australische Reifegradmodell Essential Eight, die vielen derselben Einstellungen entsprechen.

Schritt 1: das Microsoft Security Compliance Toolkit beschaffen

Das Security Compliance Toolkit (SCT) aus dem Microsoft Download Center enthält pro Produktversion:

• Baseline-Pakete: GPO-Sicherungen (zum Beispiel MSFT Windows 11 24H2 - Computer, MSFT Windows Server 2025 - Member Server, - Domain Controller), Dokumentationstabellen, die jede Einstellung samt Begründung auflisten, und Skripte zur lokalen Installation.
• Policy Analyzer: vergleicht Sätze von GPOs und lokaler Richtlinie und hebt Konflikte und Unterschiede hervor.
• LGPO.exe: importiert, exportiert und wendet lokale Gruppenrichtlinien an, für Systeme ohne Domäne und für Tests.

Es gibt eigene Baselines für Microsoft 365 Apps und Microsoft Edge, die genauso wichtig sind wie die Betriebssystem-Baseline: Einstellungen zu Office-Makros und Add-ins gehören zu den wirksamsten Maßnahmen, die Sie anwenden können.

Schritt 2: mit dem Bestehenden vergleichen

Bevor Sie etwas importieren, prüfen Sie, wie weit Ihre aktuellen GPOs von der Baseline entfernt sind. Sichern Sie Ihre vorhandenen GPOs (Backup-GPO -All -Path C:\GPOBackup) und gehen Sie dann in Policy Analyzer so vor:

1. Ihre GPO-Sicherungen als einen Richtlinien-Regelsatz hinzufügen (Add).
2. Die Baseline-GPOs als weiteren hinzufügen.
3. View / Compare: Das Raster zeigt jede Einstellung mit ihrem Wert in jedem Satz und hebt Konflikte hervor (gleiche Einstellung, unterschiedliche Werte).

Exportieren Sie den Vergleich nach Excel. Das ist Ihre Lückenliste, und sie enthält meist Überraschungen: alte GPOs, die den Standard schwächen (etwa LM-Hashes oder SMBv1 wieder aktivieren), widersprüchliche Einstellungen verschiedener Teams und Einstellungen, die niemand erklären kann.

Sie können auch die effektive lokale Richtlinie eines laufenden Rechners mit der Baseline vergleichen und so Abweichungen durch Skripte, lokale Änderungen oder Software-Installer erkennen.

Schritt 3: importieren und in Ringen verknüpfen

Erstellen Sie neue GPOs aus den Baseline-Sicherungen, statt sie in bestehende einzumischen, damit die Baseline identifizierbar und aktualisierbar bleibt:

Import-GPO -BackupGpoName "MSFT Windows 11 24H2 - Computer" `
  -Path "C:\SCT\Windows 11 24H2 Security Baseline\GPOs" `
  -TargetName "BL - Win11 24H2 - Computer" -CreateIfNeeded

Dann:

• Verknüpfen Sie zuerst mit einer Pilot-OU mit repräsentativer Hardware und repräsentativen Benutzern.
• Lassen Sie Baseline-GPOs unverändert. Legen Sie Ihre Abweichungen in ein separates GPO mit höherer Priorität, benannt nach seinem Zweck, zum Beispiel BL-Exceptions - Win11 - Legacy scanner SMB.
• Verknüpfen Sie mit den Produktions-OUs Ring für Ring, wie bei den Update-Ringen.

Für mit Intune verwaltete Geräte verwenden Sie Endpoint security > Security baselines (Windows, Defender for Endpoint, Edge, Microsoft 365 Apps). Es gilt dasselbe Prinzip: Das Baseline-Profil bleibt nah am Standard, Ausnahmen kommen in separate Profile.

Schritt 4: die Einstellungen testen, die häufig etwas kaputt machen

Die meisten Baseline-Einstellungen sind unspektakulär. Diejenigen, die am häufigsten Tickets erzeugen:

Die ausführlichen Leitfäden auf dieser Website behandeln für jeden Bereich den Messschritt: Legacy-Protokolle, Credential Guard, ASR-Regeln.

Schritt 5: ergänzen, was Baselines Ihnen überlassen

Baselines sind das Fundament, nicht das ganze Gebäude. Maßnahmen, die Sie meist zusätzlich brauchen:

• Windows LAPS und Anmeldeeinschränkungen für das Admin-Tiering (spezifisch für Ihr OU- und Gruppendesign).
• ASR-Regeln über die wenigen enthaltenen hinaus sowie Richtlinien für App Control.
• Auf Ihre Managementnetze begrenzte Firewallregeln.
• Einstellungen für Überwachung und Sysmon sowie eine auf Ihr SIEM abgestimmte Log-Weiterleitung.
• Einstellungen zu LLMNR / NetBIOS / WPAD, je nach Baseline-Version.

Schritt 6: Abweichungen dokumentieren und Drift messen

Halten Sie für jede Einstellung, die Sie nicht oder anders anwenden, fest: Einstellung, Baseline-Wert, Ihr Wert, Begründung, Risiko, kompensierende Maßnahme, Verantwortlicher und Prüftermin. Prüfer fragen danach, und es erzwingt jedes Jahr die Frage „Brauchen wir diese Ausnahme noch?“.

Um die Compliance auf Endgeräten zu messen:

• Policy Analyzer gegen die lokale Richtlinie auf Stichprobenrechnern.
• CIS-CAT (Lite kostenlos, Pro für Mitglieder) für die Bewertung nach CIS Benchmark.
• Open-Source-Werkzeuge wie HardeningKitty, das einen Rechner gegen CIS-, Microsoft- und andere Befundlisten prüft und jede Abweichung meldet.
• OSConfig unter Windows Server 2025: eine Baseline per PowerShell anwenden und mit Driftkorrektur dauerhaft durchsetzen:

Install-Module -Name Microsoft.OSConfig -Scope AllUsers -Repository PSGallery -Force
Set-OSConfigDesiredConfiguration -Scenario SecurityBaseline/WindowsServer/2025/MemberServer -Default
Get-OSConfigDesiredConfiguration -Scenario SecurityBaseline/WindowsServer/2025/MemberServer |
  Format-Table Name, @{n='Status';e={$_.Compliance.Status}}, @{n='Reason';e={$_.Compliance.Reason}}

Schritt 7: mit neuen Versionen Schritt halten

Microsoft veröffentlicht mit jedem Windows-Funktionsrelease eine neue Baseline (für Office und Edge häufiger), meist im Blog Microsoft Security Baselines mit einer Liste der Änderungen angekündigt. CIS veröffentlicht neue Benchmark-Versionen in eigenem Rhythmus. Behandeln Sie jedes Release als kleines Projekt: mit Policy Analyzer gegen die Vorversion vergleichen, lesen, was sich warum geändert hat, pilotieren, dann ausrollen.

Checkliste

• Baseline (Microsoft, CIS Level 1 oder STIG) pro Betriebssystem, Office und Edge gewählt
• Aktuelle GPOs mit Policy Analyzer verglichen; schwächende Einstellungen entfernt
• Baseline-GPOs unverändert importiert, Ausnahmen in separaten GPOs
• Ring für Ring ausgerollt, bekannte Problemeinstellungen zuerst gemessen
• Maßnahmen jenseits der Baseline (LAPS, Tiering, ASR, App Control, Firewall, Logging) darübergelegt
• Abweichungsregister mit Verantwortlichen und Prüfterminen
• Compliance gemessen (Policy Analyzer, CIS-CAT, HardeningKitty, OSConfig)
• Neue Baseline-Versionen bei Veröffentlichung geprüft

Eine Baseline macht aus Härtung statt einer Sammlung von Meinungen eine versionierte, überprüfbare Konfiguration. Der Rest dieser Website erklärt die einzelnen Maßnahmen, die am meisten zählen, und warum sie den Aufwand für die Ausnahmen wert sind.