Gruppenrichtlinien (GPO) Grundlagen mit Praxisbeispielen

Gruppenrichtlinien (Group Policy Objects, GPO) setzen Benutzer- und Computereinstellungen in einer Active-Directory-Domäne einheitlich durch. Mit der Gruppenrichtlinien-Verwaltungskonsole (GPMC) oder PowerShell verteilen Sie Einstellungen auf Organisationseinheiten (OUs), Sites oder die ganze Domäne. Diese Anleitung erklärt die LSDOU-Verarbeitungsreihenfolge und Vererbung und zeigt drei Praxisbeispiele: Kennwortrichtlinie mit Account-Lockout, Netzlaufwerk-Mapping per GPP (Drive Maps) und Bildschirmsperre-Timeout.

Voraussetzungen

• Active-Directory-Domäne vorhanden – siehe Active Directory Domäne einrichten, Benutzer und OUs anlegen
• Windows Server 2019, 2022 oder 2025 als Domain Controller (DC), 64-Bit-CPU, mindestens 2 GB RAM (mit Desktopdarstellung 4 GB) und 32 GB Speicher
• Anmeldung mit einem Konto mit Domänen-Admin-Rechten
• GPMC auf dem Verwaltungsrechner installiert (Feature Gruppenrichtlinienverwaltung über Server-Manager oder RSAT)
• PowerShell-Modul GroupPolicy verfügbar (ab Windows Server 2012 R2 integriert)
• Beispieldomäne: contoso.com, ersetzen Sie sie durch Ihre eigene

Schritt 1: GPMC starten und Überblick verschaffen

Öffnen Sie die Gruppenrichtlinien-Verwaltungskonsole als Administrator.

GUI

1. Drücken Sie Win+R, geben Sie gpmc.msc ein und bestätigen Sie mit OK.
2. Im linken Baum sehen Sie die Gesamtstruktur mit der Domäne contoso.com.
3. Unter der Domäne liegen Gruppenrichtlinienobjekte (alle GPOs) und Ihre OUs mit verlinkten GPOs.
4. Klicken Sie auf eine OU: Rechts unter Verknüpfte Gruppenrichtlinienobjekte stehen Reihenfolge und Erzwingen-Status.

PowerShell

# Modul laden (falls nicht automatisch)
Import-Module GroupPolicy

# Alle vorhandenen GPOs der Domäne auflisten
Get-GPO -All | Select-Object DisplayName, GpoStatus, CreationTime

Verifizieren: Die GPMC zeigt Ihre Domäne mit der Default Domain Policy, und Get-GPO -All listet mindestens die beiden Standard-GPOs Default Domain Policy und Default Domain Controllers Policy.

Schritt 2: Verarbeitungsreihenfolge LSDOU verstehen

GPOs werden in fester Reihenfolge verarbeitet; jede spätere Ebene überschreibt die vorherige:

Stufe	Buchstabe	Beispiel	Anwendungszeit
Lokal	L	gpedit.msc auf dem Client	Immer zuerst
Site	S	AD-Site Berlin	Vor Domänen-GPOs
Domäne	D	Default Domain Policy	Überschreibt Site
OU (hierarchisch)	OU	Mitarbeiter → Marketing	Zuletzt; tiefste OU gewinnt

Erzwingen (Enforced): Ein erzwungener GPO-Link ignoriert Vererbungssperren untergeordneter OUs. Vererbung blockieren: Verhindert, dass GPOs höherer Ebenen auf eine OU wirken, außer erzwungene. Setzen Sie es sparsam ein und dokumentieren Sie es.

Eine GPO besteht aus dem Gruppenrichtlinien-Container (in AD) und der Gruppenrichtlinien-Vorlage im SYSVOL (\\DC\SYSVOL\contoso.com\Policies). Die Replikation zwischen Domain Controllern dauert etwa 15–30 Minuten.

Verifizieren: Klicken Sie in der GPMC auf eine OU und öffnen Sie den Reiter Gruppenrichtlinienvererbung. Die Liste zeigt die wirksamen GPOs in der Reihenfolge, in der sie gewinnen (Rang 1 hat Vorrang).

Schritt 3: Neue GPO erstellen und verknüpfen

Erst die GPO erstellen, dann mit OU oder Domäne verknüpfen.

GUI

1. Rechtsklick auf Gruppenrichtlinienobjekte → Neu.
2. Namen eingeben, z. B. Sicherheit-Kennwort, Kommentar optional, OK.
3. Rechtsklick auf die Ziel-OU (z. B. Mitarbeiter) → Vorhandenes Gruppenrichtlinienobjekt verknüpfen.
4. GPO auswählen, OK.
5. Zum Erzwingen: Rechtsklick auf den Link in der OU → Erzwungen aktivieren.

PowerShell

# GPO erstellen
New-GPO -Name 'Sicherheit-Kennwort' -Comment 'Kennwortrichtlinie fuer alle Mitarbeiter'

# GPO mit OU verknüpfen
New-GPLink -Name 'Sicherheit-Kennwort' -Target 'ou=Mitarbeiter,dc=contoso,dc=com' -LinkEnabled Yes

# Link als Erzwungen markieren
Set-GPLink -Name 'Sicherheit-Kennwort' -Target 'ou=Mitarbeiter,dc=contoso,dc=com' -Enforced Yes

Verifizieren: Get-GPInheritance -Target 'ou=Mitarbeiter,dc=contoso,dc=com' listet unter GpoLinks die neue GPO mit Enabled True (und Enforced True, falls gesetzt).

Schritt 4: Computer- vs. Benutzerkonfiguration

Jede GPO enthält zwei unabhängige Konfigurationsbereiche:

Bereich	Registry-Hive	Wann angewendet	Typische Einstellungen
Computerkonfiguration	HKLM	Systemstart / Shutdown	Kennwortrichtlinien, Firewall, Windows Update, Softwareinstallation
Benutzerkonfiguration	HKCU	Anmeldung / Abmeldung	Startmenü, Desktop, Laufwerksmapping, Bildschirmschoner, IE/Edge-Einstellungen

Wichtig: Kennwortrichtlinien und Account-Lockout gehören in die Computerkonfiguration und müssen an der Domäne (nicht an einer OU) verknüpft sein. Für Fine-Grained Password Policies (FGPP) gibt es einen separaten Mechanismus in AD.

Sicherheitsfilterung und WMI-Filter beschränken eine GPO auf Sicherheitsgruppen oder Computereigenschaften (z. B. Betriebssystemversion). Standard-Sicherheitsfilter ist Authentifizierte Benutzer; für selektiven Einsatz ersetzen Sie ihn durch Ihre Zielgruppe. Seit MS16-072 braucht Authentifizierte Benutzer (oder Domänencomputer) weiterhin Leserecht im Reiter Delegierung, sonst wird die GPO nicht angewendet.

Verifizieren: Im Reiter Einstellungen einer GPO zeigt die GPMC-Berichtsansicht, ob Einträge unter Computerkonfiguration oder Benutzerkonfiguration stehen, und im Reiter Bereich sehen Sie den aktiven Sicherheitsfilter.

Schritt 5: Praxisbeispiel 1 – Kennwortrichtlinie und Account-Lockout

Die Default Domain Password Policy gilt für alle Domänenbenutzer und muss auf Domänenebene verknüpft sein.

GUI (GPMC)

1. Öffnen Sie in GPMC die Default Domain Policy (oder legen Sie eine neue GPO auf Domänenebene an).
2. Rechtsklick → Bearbeiten → Gruppenrichtlinienverwaltungs-Editor öffnet sich.
3. Navigieren Sie zu: Computerkonfiguration → Richtlinien → Windows-Einstellungen → Sicherheitseinstellungen → Kontorichtlinien → Kennwortrichtlinie.
4. Setzen Sie folgende Werte:
   • Minimale Kennwortlänge: 12 Zeichen
   • Kennwort muss Komplexitätsvoraussetzungen entsprechen: Aktiviert
   • Maximales Kennwortalter: 90 Tage
   • Kennwortchronik: 24 gespeicherte Kennwörter
5. Wechseln Sie zu Kontorichtlinien → Kontosperrungsrichtlinie.
6. Setzen Sie:
   • Kontosperrungsschwellenwert: 5 ungültige Anmeldeversuche
   • Kontosperrdauer: 30 Minuten
   • Zurücksetzungsdauer des Kontosperrungszählers: 30 Minuten
7. Editor schließen; die Änderung ist sofort gespeichert.

PowerShell (prüfen und setzen)

# Aktuelle Account-Lockout-Policy prüfen
Get-ADDefaultDomainPasswordPolicy | Select-Object LockoutDuration, LockoutObservationWindow, LockoutThreshold

# Account-Lockout setzen (PowerShell-Weg)
Set-ADDefaultDomainPasswordPolicy `
  -LockoutThreshold 5 `
  -LockoutDuration (New-TimeSpan -Minutes 30) `
  -LockoutObservationWindow (New-TimeSpan -Minutes 30)

Hinweis: Set-ADDefaultDomainPasswordPolicy ändert die Standard-Kennwortrichtlinie direkt am Domänenobjekt, nicht in einer GPO oder FGPP. Die übrigen Einstellungen setzen Sie wie oben im GPMC-Editor.

Faustregel: Ein Lockout-Schwellenwert unter 5 Versuchen belastet den Helpdesk und erlaubt absichtliches Sperren fremder Konten (DoS). 5 Versuche mit 30 Minuten Reset-Fenster sind ein bewährter Kompromiss.

Verifizieren: Get-ADDefaultDomainPasswordPolicy zeigt MinPasswordLength 12, ComplexityEnabled True und LockoutThreshold 5. Auf einem Client liefert net accounts nach gpupdate /force dieselben Werte.

Schritt 6: Praxisbeispiel 2 – Netzlaufwerk per GPP (Drive Maps)

Group Policy Preferences (GPP) verbinden Laufwerke ohne Anmelde-Skript. Sie liegen unter Benutzerkonfiguration und greifen beim Anmelden.

GUI (GPMC)

1. Erstellen Sie eine neue GPO, z. B. Drive-Map-Marketing, und verknüpfen Sie sie mit der OU Marketing.
2. Rechtsklick auf die GPO → Bearbeiten.
3. Navigieren Sie zu: Benutzerkonfiguration → Einstellungen → Windows-Einstellungen → Laufwerkzuordnungen.
4. Rechtsklick → Neu → Zugeordnetes Laufwerk.
5. Setzen Sie folgende Werte:
   • Aktion: Erstellen (oder Ersetzen, wenn das Laufwerk schon existiert)
   • Speicherort: \\fileserver\Marketing
   • Bezeichnung: Marketing-Freigabe (optional)
   • Laufwerkbuchstabe: M:
   • Verbinden als: leer lassen (nutzt die Anmeldedaten des Benutzers)
   • Beim Anmelden erneut verbinden: aktivieren
6. Reiter Allgemein: Element-Zielgruppenadressierung aktivieren, falls Sie innerhalb derselben GPO nach Sicherheitsgruppe filtern möchten.
7. OK. Editor schließen.

PowerShell (GPO erstellen und verknüpfen)

# GPO erstellen und direkt mit OU verknüpfen
New-GPO -Name 'Drive-Map-Marketing' | `
  New-GPLink -Target 'ou=Marketing,dc=contoso,dc=com' -LinkEnabled Yes

# Hinweis: Die eigentliche Drive-Map-Einstellung wird in der
# GPMC (GUI-Editor) unter GPP konfiguriert – es gibt kein
# direktes Set-GPPreference-Cmdlet fuer Drive Maps in der
# Standardinstallation.

Tipp: Aktion Ersetzen statt Erstellen wählen, wenn das Laufwerk schon aus einem alten Skript existiert, sonst entstehen Duplikate. UNC-Syntax: \\server\freigabe (Backslashes).

Verifizieren: Nach Ab- und Anmeldung eines Benutzers aus der OU Marketing erscheint im Explorer das Laufwerk M:, und net use zeigt M: \\fileserver\Marketing.

Schritt 7: Praxisbeispiel 3 – Bildschirmsperre-Timeout per GPO

Ein Bildschirmschoner mit Kennwortschutz sichert unbeaufsichtigte Arbeitsplätze. Die Einstellung gehört in die Benutzerkonfiguration.

GUI (GPMC)

1. Erstellen Sie eine neue GPO Desktop-Sicherheit und verknüpfen Sie sie mit der Ziel-OU oder der Domäne.
2. Rechtsklick → Bearbeiten.
3. Navigieren Sie zu: Benutzerkonfiguration → Richtlinien → Administrative Vorlagen → Systemsteuerung → Anpassung.
4. Aktivieren und setzen Sie:
   • Bildschirmschoner aktivieren: Aktiviert
   • Bildschirmschoner-Kennwortschutz: Aktiviert
   • Wartezeit für Bildschirmschoner: 900 Sekunden (= 15 Minuten)
   • Bildschirmschoner: scrnsave.scr (leerer Bildschirmschoner, ressourcenschonend)
5. Editor schließen.

PowerShell

# Bildschirmschoner-Timeout auf 15 Minuten setzen (Benutzerkonfiguration = HKCU)
Set-GPRegistryValue `
  -Name 'Desktop-Sicherheit' `
  -Key 'HKCU\Software\Policies\Microsoft\Windows\Control Panel\Desktop' `
  -ValueName 'ScreenSaveTimeOut' `
  -Value '900' `
  -Type String

# Bildschirmschoner-Kennwortschutz aktivieren
Set-GPRegistryValue `
  -Name 'Desktop-Sicherheit' `
  -Key 'HKCU\Software\Policies\Microsoft\Windows\Control Panel\Desktop' `
  -ValueName 'ScreenSaverIsSecure' `
  -Value '1' `
  -Type String

Beide Werte legt die Vorlage als Zeichenfolge (REG_SZ) ab, nicht als DWORD. Mit -Type DWORD gesetzt, ignoriert Windows sie.

Optional – SmartScreen per GPO erzwingen: Unter Computerkonfiguration → Administrative Vorlagen → Windows-Komponenten → Windows Defender SmartScreen → Explorer setzen Sie Windows Defender SmartScreen konfigurieren auf Aktiviert: Warnen und Umgehung verhindern. Nur „Warnen“ bringt wenig, Benutzer klicken Warnungen weg.

Verifizieren: Auf einem Client zeigt reg query "HKCU\Software\Policies\Microsoft\Windows\Control Panel\Desktop" nach gpupdate /force die Werte ScreenSaveTimeOut REG_SZ 900 und ScreenSaverIsSecure REG_SZ 1. Nach 15 Minuten ohne Eingabe wird der Bildschirm gesperrt.

Schritt 8: GPOs anwenden und prüfen

Clients aktualisieren Gruppenrichtlinien alle 90 Minuten (plus zufälliger Offset bis 30 Minuten). Im Test erzwingen Sie die Aktualisierung manuell.

gpupdate

# Computer- UND Benutzerkonfiguration sofort anwenden
gpupdate /force

# Nur Computerkonfiguration
gpupdate /force /target:computer

# Nur Benutzerkonfiguration
gpupdate /force /target:user

# GPO erzwingen + Benutzer abmelden (nötig bei Folder Redirection u.a.)
gpupdate /force /logoff

# GPO erzwingen + Neustart (nötig bei manchen Computer-CSEs)
gpupdate /force /boot

# Remote-Computer aktualisieren (PowerShell)
Invoke-GPUpdate -Computer 'PC01' -Force

gpresult – angewendete Richtlinien prüfen

# Übersicht: welche GPOs wurden angewendet (User + Computer)
gpresult /r

# Nur Benutzerkonfiguration für bestimmten Benutzer
gpresult /user contoso\testuser /scope user /r

# Detaillierte Computerrichtlinien mit Vorrang
gpresult /scope computer /v

# Vollständigen Report in Datei exportieren
gpresult /z > policy.txt

Achtung: gpresult ohne Administrator-Rechte zeigt die Computerkonfiguration nicht an; immer als Admin ausführen.

Verifizieren: gpresult /r listet unter Angewendete Gruppenrichtlinienobjekte (Computer- und Benutzereinstellungen) Ihre neuen GPOs, etwa Desktop-Sicherheit und Drive-Map-Marketing.

Troubleshooting

• GPO wirkt auf niemanden: Sicherheitsfilter prüfen. Bei eigener Gruppe muss das Konto Mitglied sein; nach Gruppenänderungen neu anmelden (Token-Cache).
• Einstellung wird nicht angewendet, obwohl GPO verknüpft: Falscher Konfigurationsbereich (Computer statt Benutzer oder umgekehrt). Mit gpresult /r prüfen, ob die GPO unter Applied GPOs erscheint.
• Computerkonfiguration fehlt in gpresult: cmd.exe / PowerShell als Administrator starten.
• GPO repliziert nicht auf alle DCs: SYSVOL-Replikation prüfen (dcdiag /test:sysvolcheck; dfsrmig /getglobalstate zeigt nur, ob SYSVOL bereits per DFSR repliziert wird). Ändern Sie eine GPO nur auf dem PDC-Emulator, um Replikationskonflikte zu vermeiden.
• Bildschirmsperre oder Drive Map wirkt erst nach Neuanmeldung: Benutzer-CSEs laufen beim Anmelden. gpupdate /force /logoff erzwingt die Abmeldung.
• Zu viele GPOs verlangsamen den Login: Nicht mehr als 30–50 GPOs pro OU-Pfad; ungenutzte GPO-Bereiche deaktivieren (z. B. Computerkonfiguration bei reinen Benutzereinstellungen).
• Ältere ADMX-Vorlagen führen zu fehlenden Richtlinien: Aktualisieren Sie den Zentralen Speicher (\\contoso.com\SYSVOL\contoso.com\Policies\PolicyDefinitions) mit den ADMX-Dateien der aktuellen Windows-Version.
• WMI-Filter schlägt fehl: Die Abfrage muss syntaktisch korrekt sein und auf dem Zielsystem antworten. Test auf dem Client: Get-CimInstance -Query 'SELECT * FROM Win32_OperatingSystem'. wmic ist in aktuellen Windows-11-Versionen nicht mehr standardmäßig installiert.

Häufige Fragen

Was ist der Unterschied zwischen einer GPO und einer Gruppenrichtlinieneinstellung?

Die GPO ist der Container, vergleichbar mit einer Konfigurationsdatei; eine Einstellung ist ein einzelner Wert darin (z. B. Kennwortlänge = 12). Verknüpft wird immer die GPO, nicht einzelne Einstellungen.

Warum gilt meine Kennwortrichtlinie auf OU-Ebene nicht?

Kontorichtlinien greifen nur bei Verknüpfung auf Domänenebene, auf OU-Ebene werden sie ignoriert. Für unterschiedliche Richtlinien je Benutzergruppe nutzen Sie FGPP über das Active Directory-Verwaltungscenter.

Wann brauche ich „Erzwungen“ und wann „Vererbung blockieren“?

Erzwungen für unternehmensweite Sicherheitsrichtlinien, die untergeordnete OUs nicht aushebeln dürfen (z. B. Kennwortrichtlinie, SmartScreen). Vererbung blockieren nur in begründeten Ausnahmen (z. B. isolierte Test-OU). Beides im GPO-Kommentarfeld dokumentieren.

Wie kann ich GPOs für nur bestimmte Computer oder Benutzer einschränken?

(1) Sicherheitsfilterung wie in Schritt 3 beschrieben (Leserecht für Authentifizierte Benutzer unter Delegierung bleibt nötig). (2) WMI-Filter, z. B. SELECT * FROM Win32_OperatingSystem WHERE Version LIKE '10.%' für Windows 10/11; sie verlangsamen die Verarbeitung leicht.

Wie prüfe ich, welche GPO eine bestimmte Einstellung setzt (Vorrang)?

Mit dem Gruppenrichtlinienergebnisassistent in GPMC (Rechtsklick auf Gruppenrichtlinienergebnisse) oder gpresult /scope computer /v. Dort sehen Sie je Einstellung, welche GPO „gewonnen“ hat.

Muss ich nach jeder GPO-Änderung gpupdate ausführen?

Im Produktivbetrieb nicht zwingend, Clients holen Änderungen automatisch (siehe Schritt 7). Einige CSEs (Client-Side Extensions) wie Ordnerumleitung oder Softwareinstallation erfordern Abmeldung oder Neustart.

Fazit

Die LSDOU-Reihenfolge bestimmt, welche GPO gewinnt; Computer- und Benutzerkonfiguration greifen zu unterschiedlichen Zeitpunkten. gpupdate /force und gpresult /r liefern sofortiges Feedback. Halten Sie GPOs klein: eine GPO pro Thema.

Weiterführende Anleitungen und Quellen

• Active Directory Domäne einrichten, Benutzer und OUs anlegen – AD-Domäne mit OU-Struktur als Voraussetzung.
• Dateiserver mit NTFS- und Freigabeberechtigungen einrichten – die Freigabe, die Sie per Drive Map verbinden.
• WMIC verschwindet aus Windows 11 – Ersatz für wmic-Befehle in Skripten und Filtertests.
• Alle Windows-Server-Anleitungen auf s-edv.com
• Microsoft Learn: Gruppenrichtlinienübersicht für Windows Server
• Microsoft Learn: Gruppenrichtlinienverarbeitung
• Microsoft Learn: Account Lockout Policy
• Microsoft Learn: SmartScreen-Einstellungen per GPO
• windowspro.de: Netzlaufwerke mit Group Policy Preferences verknüpfen