Windows & Server

Gruppenrichtlinien (Group Policy)

Allgemeine Infos

Gruppenrichtlinien (Group Policy) sind der klassische Weg, Windows-Clients und -Server in einer Active-Directory-Domäne zentral zu konfigurieren. Ein Gruppenrichtlinienobjekt (GPO) bündelt Einstellungen für Computer und Benutzer, etwa Kennwort- und Überwachungsrichtlinien, Firewall-Regeln, Laufwerks- und Druckerzuordnungen, Skripte oder Registry-Werte.

GPOs werden mit Standorten, Domänen oder Organisationseinheiten (OUs) verknüpft. Die Computerrichtlinie greift beim Start, die Benutzerrichtlinie bei der Anmeldung, danach aktualisiert Windows die Richtlinien periodisch im Hintergrund. Lokale Gruppenrichtlinien (gpedit.msc) gelten nur für den einzelnen Rechner.

Abgrenzung: Für Geräte, die nur in Microsoft Entra ID eingebunden sind, greifen GPOs nicht. Dort übernimmt Microsoft Intune mit Konfigurationsprofilen und dem Einstellungskatalog diese Rolle. Hybride Umgebungen nutzen oft beides, was zu Konflikten führt, wenn dieselbe Einstellung aus zwei Quellen kommt. Die Microsoft-Learn-Doku zu Group Policy gilt für Windows Server 2016 bis 2025 und wurde zuletzt im April 2026 überarbeitet.

Funktionsweise & Details

Ein GPO besteht aus zwei Teilen, die getrennt gespeichert und repliziert werden:

  1. Der Gruppenrichtliniencontainer liegt in der Domänenpartition von Active Directory und enthält Version, Status und Verknüpfungen.
  2. Die Gruppenrichtlinienvorlage liegt im SYSVOL-Ordner jedes Domain Controllers und wird per DFS Replication verteilt.
  3. Der Client ermittelt beim Start und bei der Anmeldung die zutreffenden GPOs in der Reihenfolge lokal, Standort, Domäne, OU (LSDOU). Später verarbeitete GPOs überschreiben frühere, sofern keine Erzwingung oder Vererbungssperre gesetzt ist.
  4. Sicherheitsfilterung und WMI-Filter grenzen ein, für welche Benutzer, Gruppen oder Computer ein verknüpftes GPO tatsächlich gilt.
  5. Clientseitige Erweiterungen (CSEs) setzen die Einstellungen um, etwa für Sicherheit, Skripte, Softwareinstallation oder Gruppenrichtlinien-Einstellungen (Preferences).

Verwaltet wird mit der Gruppenrichtlinienverwaltungskonsole (GPMC). Zur Diagnose dienen gpresult /r bzw. gpresult /h und die Gruppenrichtlinienergebnisse in der GPMC, gpupdate /force stößt eine sofortige Aktualisierung an.

Vorteile & Nutzen

  • Eine Einstellung wird einmal definiert und gilt für alle Objekte der verknüpften OU, das verhindert Abweichungen zwischen einzelnen Rechnern.
  • Sicherheitsvorgaben wie Kennwortrichtlinie, Überwachung oder SMB-Signierung lassen sich nachweisbar durchsetzen, was Audits und NIS2-Nachweise erleichtert.
  • Ohne Zusatzsoftware und ohne Cloud-Anbindung nutzbar, weil die Funktion Teil von Active Directory ist.
  • Über ADMX-Vorlagen lassen sich auch Microsoft Edge, Microsoft 365 Apps und viele Drittanbieter-Programme steuern.
  • gpresult und die GPMC zeigen nachvollziehbar, welches GPO welche Einstellung geliefert hat.

Praxisbeispiel

Ein Hersteller von Messtechnik mit 250 Mitarbeitenden und zwei Standorten vergab Laufwerkszuordnungen bisher per Anmeldeskript und lokale Admin-Rechte uneinheitlich. Die IT baut eine OU-Struktur nach Standort und Rolle auf, ersetzt die Skripte durch Gruppenrichtlinien-Einstellungen mit Zielgruppenadressierung und verteilt eine Sicherheitsbaseline als eigenes GPO. Ein zentraler Speicher (Central Store) für ADMX-Dateien sorgt dafür, dass alle Admins dieselben Vorlagen sehen. Ergebnis: Neue Rechner sind nach dem Domänenbeitritt ohne Handarbeit eingerichtet, und Änderungen laufen über eine dokumentierte GPO-Freigabe.

Worauf sollte man achten?

  • Verknüpfe GPOs nicht an der Domänenwurzel, wenn sie nur für eine Teilmenge gelten sollen, und nutze die Default Domain Policy nur für Kennwort-, Sperr- und Kerberos-Richtlinien.
  • Lege einen Central Store für ADMX-Vorlagen in SYSVOL an und aktualisiere ihn mit jeder neuen Windows-Version, sonst fehlen neue Einstellungen.
  • Halte GPOs klein und sprechend benannt, und sichere sie vor Änderungen mit Backup-GPO.
  • Prüfe in Hybrid-Umgebungen, ob Intune dieselbe Einstellung setzt, und lege pro Einstellung eine führende Quelle fest.
  • Gespeicherte Kennwörter in Gruppenrichtlinien-Einstellungen (cpassword) sind seit MS14-025 gesperrt, alte GPOs mit solchen Werten sofort bereinigen.

Lizenz & Verfügbarkeit

Bestandteil von Active Directory Domain Services in Windows Server Standard und Datacenter, keine separate Lizenz. Clients benötigen für den Domänenbeitritt Windows Pro, Enterprise oder Education; zugreifende Benutzer oder Geräte brauchen die üblichen Windows Server CALs. Die GPMC ist Teil der RSAT. Stand: Oktober 2026.

Fazit

Gruppenrichtlinien bleiben für domänengebundene Windows-Umgebungen das wichtigste Konfigurationswerkzeug. Lege bei hybriden Geräten klar fest, welche Einstellungen aus GPO und welche aus Intune kommen.

Weiterführende Links

Verwandte Artikel