Gruppenrichtlinien absichern (2)
Gut gemeint, falsch gemacht
Veröffentlicht in Ausgabe 10/2026 - SCHWERPUNKT
Der über administrative Vorlagen zu verwaltende Teil von Gruppenrichtlinien enthält Konfigurationen für nahezu jedes Subsystem von Windows. Alle Missbrauchsmöglichkeiten dieser Einstellungen aufzulisten, würde ein ganzes Buch füllen. Die folgende Auflistung erhebt daher keinen Anspruch auf Vollständigkeit, sondern beschränkt sich auf die "Highlights".
Missbrauch von Vorlagen
Mit Druckerrichtlinien hebelt ein Hacker die Härtungsmaßnahmen gegen Attacken wie PrintNightmare aus. Gerade die Point- &Print-Einschränkungen sind hier begehrt, denn deren Deaktivierung macht Systeme anfällig für viele Abwandlungen des Original-Exploits.
DNS-Client-Richtlinien erlauben es dem Eindringling, die Multicast-Namensauflösung, die Windows ohnehin standardmäßig zulässt, in der Reihenfolge der Verwendung nach vorn zu stellen. Damit könnte ein Angreifer legitimen Benutzern und Computern per Multicast Netzwerkserver vorgaukeln, ohne dafür DNS-Spoofing zu benötigen.
Der über administrative Vorlagen zu verwaltende Teil von Gruppenrichtlinien enthält Konfigurationen für nahezu jedes Subsystem von Windows. Alle Missbrauchsmöglichkeiten dieser Einstellungen aufzulisten, würde ein ganzes Buch füllen. Die folgende Auflistung erhebt daher keinen Anspruch auf Vollständigkeit, sondern beschränkt sich auf die "Highlights".
Missbrauch von Vorlagen
Mit Druckerrichtlinien hebelt ein Hacker die Härtungsmaßnahmen gegen Attacken wie PrintNightmare aus. Gerade die Point- &Print-Einschränkungen sind hier begehrt, denn deren Deaktivierung macht Systeme anfällig für viele Abwandlungen des Original-Exploits.
DNS-Client-Richtlinien erlauben es dem Eindringling, die Multicast-Namensauflösung, die Windows ohnehin standardmäßig zulässt, in der Reihenfolge der Verwendung nach vorn zu stellen. Damit könnte ein Angreifer legitimen Benutzern und Computern per Multicast Netzwerkserver vorgaukeln, ohne dafür DNS-Spoofing zu benötigen.
Mit Policys für LanMan-Arbeitsstation und LanMan-Server reduziert ein Hacker SMB-Dialekte auf ältere Varianten, beeinflusst die Verschlüsselung im SMB-Verkehr und öffnet weitere Anfälligkeiten des SMB-Protokolls. Zu diesem Bereich gehört auch die Verwaltung gehärteter UNC-Pfade.
LAPS-Richtlinien bieten dem Angreifer etliche Angriffsmöglichkeiten. Eine davon: unbemerkt das Verwalten des DSRM-Kennworts auf Domain-Controllern aktivieren. Damit speichert das System das DSRM-Kennwort im Active Directory selbst; bei einer Kompromittierung des gesamten Forests lässt es sich dann nicht mehr ohne großen Aufwand rekonstruieren. Doch auch das Setzen von Kennwörtern des lokalen Administrators, etwa auf Admin-Jumphosts, kann dem Eindringling assistieren, Anmeldedaten der dort arbeitenden Administratoren anzugreifen.
Die Ereignisprotokoll-Richtlinien helfen einem Angreifer ebenfalls, die Spuren seiner Tätigkeit zu verschleiern: Er setzt die Größe der relevanten Ereignisprotokolle sehr niedrig und die Aufbewahrung auf "Ereignisse bei Bedarf überschreiben". Haben Sie keinen Agenten, der die Logs in nahezu Echtzeit in ein SIEM ableitet, gehen so wichtige Events unwiederbringlich verloren.
Sonderheft II/2026: IT-Security
Angreifer schlafen nicht, und wer als Admin trotzdem ruhig schlafen will, braucht mehr als eine Firewall und gute Vorsätze. Unser neues Sonderheft II/2026 zum Thema IT-Security liefert das Rüstzeug, um Netze, Identitäten und Cloudumgebungen so abzusichern, dass Angreifer draußen bleiben – und Admins nicht bei jedem Alarm die Nerven verlieren.
Statt einzelner Feuerwehreinsätze setzt das Heft auf durchdachte Prozesse: Wie lässt sich ein Sicherheitsvorfall früh erkennen und sein Schaden realistisch einschätzen, und wie steht es tatsächlich um Zero Trust, wenn der Hype verflogen ist?
Von dort aus geht es tief hinein in die Infrastruktur: Patches und Softwareverteilung schließen die Lücken und Gruppenrichtlinien lassen sich mit Intune endlich in geordnete Bahnen lenken. Und weil der klassische Netzwerkrand längst der Vergangenheit angehört, rückt die Identität selbst ins Zentrum der Verteidigung. Den Abschluss bildet die Cloud, längst kein Neuland mehr, aber immer noch voller Stolperfallen.
Das Sonderheft II/2026 "IT-Security" bringt Admins genau das Wissen, das sie brauchen, um Sicherheit nicht dem Zufall zu überlassen, sondern selbst in die Hand zu nehmen. Es ist ab Ende Oktober 2026 verfügbar und kostet für Abonnenten des IT-Administrator 24,90 Euro, für Nichtabonnenten werden 29,90 Euro fällig.
Extrem kritisch ist der ADMX-Bereich auch für die Konfiguration des Microsoft-Defender-Malwareschutzes. Dieser lässt sich mittels Group Policy vollständig deaktivieren. Gleichzeitig ist es ebenfalls möglich, das Windows-Sicherheitscenter auszublenden, sodass der Endbenutzer den nun fehlenden Virenschutz nicht bemerkt.
Über PowerShell-Richtlinien schwächt ein Angreifer die Execution Policy ab und deaktiviert Transkript- sowie Script-Block-Protokollierung. Kombiniert mit der Abschaltung von AMSI über die Defender-Richtlinie lassen sich damit genau jene Skripte ausführen, die PowerShell zeitweise so viel negative Presse eingebracht haben.
Die Windows-Updaterichtlinien erlauben es Hackern, Updates zeitweise zu blockieren – beispielsweise dann, wenn sich herumspricht, dass eine im aktuellen Angriff aktiv genutzte Anfälligkeit am kommenden "Patch Tuesday" geschlossen werden soll. Doch damit ist noch viel mehr möglich: So besteht die Option, Updatedownloads auf andere Adressen umzuleiten oder HTTPS auf HTTP abzuschwächen und damit manipulierte Pakete in den Updateprozess einschleusen.
Kleine XML-Dateien mit großer Wirkung
Der ADMX-basierte Teil der Gruppenrichtlinie beinhaltet extrem viele Einstellungen, doch die meisten davon ermöglichen jeweils nur kleine Schritte in einer langen Eskalationskette. Die GPP-Funktionen, die Desktop Standard damals hinzugefügt hat, sind grundlegend und selbsterklärend. Damit ist auch das Eskalationspotenzial dieser Funktionen entsprechend groß und unmittelbar. Erschwerend kommt hinzu, dass XML-Dateien innerhalb des GPO all diese Funktionen repräsentieren; sie lassen sich ohne Probleme sowohl auswerten als auch – Schreibrechte vorausgesetzt – manipulieren.
Der erste kritische GPP-Abschnitt ist "Dateien": Greift diese Konfiguration im Maschinenkontext oder bei einem Administrator, kopiert der Angreifer damit Dateien aus einer Netzwerkfreigabe an beliebige Orte auf dem Computer – ohne die Windows-Firewall und die Rechte der übergeordneten Verzeichnisse überwinden zu müssen. So platziert er beispielsweise Skripte und Angriffswerkzeuge an Orten, die AppLocker als vertrauenswürdig betrachtet oder die Defender als Ausnahme behandelt. Diese Orte lassen sich aus den jeweiligen Gruppenrichtlinien auslesen, was den Wert von GPOs auch für die Reconnaissance noch einmal unterstreicht. Und hat der Bösewicht einen Schritt in der Angriffskette erfolgreich vollzogen, löscht er damit Dateien und Ordner gleich wieder.
Ebenso wichtig sind Verknüpfungen, denn Menschen klicken bekanntlich ohne Bedenken auf Verknüpfungen, die sie bereits kennen. Gelingt es dem Eindringling, das Ziel einer bereits über GPP bereitgestellten Verknüpfung durch die Bearbeitung von XML-Dateien zu manipulieren, lässt er Benutzer Malware aufrufen oder lenkt sie auf eine präparierte Webseite, wo sie nichtsahnend ihre Anmeldedaten preisgeben.
Über den Abschnitt "Registrierung" beeinflusst der Hacker das Verhalten von Windows und anderen Programmen, ohne den Umweg über die jeweilige Registry-basierte Policy zu nehmen. Solange Administratoren lediglich die Gruppenrichtlinien prüfen und nicht zusätzlich die Registry-Werte auf dem betroffenen Computer auswerten, übersehen sie mit guter Wahrscheinlichkeit genau jene Werte, die GPP gesetzt hat.
Gefährlich sind ebenso "Geplante Tasks": Damit führt der Angreifer – zeitgesteuert oder sofort nach Anwendung der Richtlinie – Aufgaben auf Computern aus. Zusammen mit der GPP für Dateien rollt er so beispielsweise Ransomware aus.
Die Dienste-GPP ist in gewisser Weise sogar mächtiger als der Abschnitt "Systemdienste" im Richtlinienteil des GPO. Lassen die Richtlinien lediglich das Festlegen der Startart eines Dienstes zu, erlaubt die GPP, das Gewünschte sofort umzusetzen statt erst beim nächsten Systemstart – der Hacker beendet oder startet den Dienst also unmittelbar, je nach seiner Absicht.
Über die "Laufwerk-Zuordnungen" kann der Angreifer den Benutzern einen von ihm manipulierten Server als Ziel eines Mappings unterschieben. So fliegen ihm legitime Anmeldeversuche zu, die er für seine Zwecke missbraucht.
Bei "Lokale Benutzer und Gruppen" dürfen Sie sich nicht vom Begriff "Lokal" täuschen lassen – wendet ein Administrator diese GPP auf einen Domain-Controller an, fügt sie die angegebenen Benutzer oder Gruppen zu den standardmäßigen Administrator- oder Operator-Gruppen hinzu. Der Angreifer kann diese Policy aber auch nutzen, um legitime Administratoren aus den Admin-Gruppen zu entfernen. So erschwert er den Verteidigern das Lokalisieren seiner Spuren und das Verbannen des Bösewichts aus der Umgebung.
Neben ihrer offensichtlichen Funktion bergen diese fünf Kategorien von GPPs möglicherweise ein dunkles Geheimnis, das Angreifer für ihre Zwecke missbrauchen können.
Kennwörter in GPPs: Ein schwieriges Erbe
Die frühen 2000er Jahre waren in Bezug auf IT-Sicherheit eine Zeit der Unschuld. Und so hielt Desktop Standard es für eine gute Idee, das Hinterlegen von Kennwörtern in den GPO-Erweiterungen zu ermöglichen. 2014 knackte und veröffentlichte jemand erfolgreich den statischen Verschlüsselungsschlüssel, der die Kennwörter bis dahin schützte. Microsoft deaktivierte daraufhin die Kennwortfelder im Gruppenrichtlinien-Editor, nicht jedoch die Umsetzung der Funktionalität in den jeweiligen CSEs.
Dies hat zwei Implikationen: Sind in Ihrer Umgebung noch alte GPOs mit hinterlegten Kennwörtern vorhanden, entschlüsselt der Angreifer diese ohne große Mühe. Sehr häufig gehören die betroffenen Kennwörter zu Accounts, die nach wie vor aktiv sind, selbst wenn das GPO selbst längst nicht mehr verknüpft ist. Schafft es der Eindringling umgekehrt, verschlüsselte Kennwörter in die XML-Dateien einzuschleusen, entschlüsselt Windows diese Kennwörter und verwendet sie gemäß den Einstellungen in der GPP.
Die gefährlichste Richtlinie ist ohne Zweifel "Lokale Benutzer und Gruppen". Damit erzeugt der Angreifer lokale Benutzer mit ihm bekannten Passwörtern – es sei denn, die Richtlinie wirkt auf Domain-Controller. Dann erzeugt sie durchaus auch Domänenbenutzer und fügt diese, falls die Richtlinie auch das Hinzufügen zu Gruppen konfiguriert, entsprechenden Domänengruppen hinzu.
Die anderen Richtlinien, die Kennwörter beinhalten können, sind:
- ODBC-Datenquellen: Sind hier Datenbank-Anmeldedaten hinterlegt, handelt es sich häufig nicht um hochprivilegierte Windows Credentials, sondern um datenbankspezifische Benutzer. Allerdings kann der Zugriff auf die Datenbankdaten bereits das Ziel des Angreifers oder zumindest ein Teil davon sein. Ist der Datenbankserver so konfiguriert, dass er Systembefehle ausführen kann (in Microsoft SQL etwa mittels xp_cmdshell), sorgt bereits ein Datenbankbenutzer für Eskalation innerhalb von AD.
- Laufwerkzuordnungen: Liegen hier Benutzername und Kennwort hinterlegt vor, geschah dies nicht ohne Grund. Der beabsichtigte Zweck ist entweder der Zugriff auf einen Fileserver, der keine AD-Anmeldung akzeptiert, oder die Bereitstellung von Zugriffen, die den Benutzern mit ihren regulären Berechtigungen sonst nicht möglich gewesen wären. Beides kann eine Eskalation oder zumindest Lateral Movement ermöglichen, die ohne die offengelegten Credentials erheblich schwerer gewesen wäre.
- Dienste: Ein hier hinterlegtes Konto verfügt normalerweise zumindest über das Recht "Anmelden als Dienst" auf den Zielmaschinen. Sehr häufig besitzen diese Accounts viel zu weitreichende Berechtigungen.
- Geplante Tasks: Sind hier explizite Anmeldedaten hinterlegt, bestand für diese Accounts zumindest zu einem bestimmten Zeitpunkt das Recht "Anmelden als Stapelverarbeitungsauftrag". Doch auch für Task-Accounts vergaben Administratoren traditionell übermäßige Berechtigungen, die sich der Angreifer mit Kenntnis des Kennworts zunutze macht.
Sind in Ihrer Umgebung eine oder mehrere dieser Funktionen im Einsatz, sollten Sie so schnell wie möglich einen anderen Weg finden und die Konfigurationselemente mit Kennwörtern aus den GPPs entfernen. Vergessen Sie nicht, die Kennwörter für die betroffenen Accounts anschließend zu ändern, denn ein Angreifer könnte über einen früheren Stand der XML-Dateien verfügen.
Gruppenrichtlinien vor Missbrauch schützen
Das einzige Mittel, das Ihnen wirklich hilft, Ihr Gruppenrichtlinien-Konstrukt vor Missbrauch zu schützen, ist die rigorose Berechtigungsvergabe auf allen Ebenen, die im ersten Teil dieses Artikels beschrieben sind. Denken Sie daran, dass es sich dabei um vier Bereiche handelt, in denen Sie Berechtigungen vergeben können und müssen: das Anlegen eines neuen GPO, die Bearbeitung eines GPO im Sinne des AD-Objekts (CSEs, Computer-/User-Aktivierung, Name, Version), die Bearbeitung eines GPO im Sinne des Inhalts (Dateien in SYSVOL) sowie die Verknüpfung eines GPO an AD-Orte – auch an Standorte! Nimmt ein GPO Bezug auf Speicherorte außerhalb des eigenen SYSVOL-Ordners, etwa bei Softwarepaketen, Dateikopien oder Verknüpfungen, berücksichtigen Sie auch die Berechtigungen an diesen Orten.
Machen Sie sich diese Berechtigungstrennung zunutze, um das Gesamtkonstrukt zu härten. Soll ein GPO nur Benutzereinstellungen beinhalten, deaktivieren Sie administrativ seinen Maschinenzweig, und umgekehrt. Setzen Sie ein GPO außer Betrieb, deaktivieren Sie beide Zweige und entziehen Sie die Bearbeitungsberechtigung – das aktualisiert übrigens auch die Berechtigungen in SYSVOL. Es spricht auch nichts dagegen, nicht mehr verwendete GPOs zu sichern und anschließend zu löschen – auch dies reduziert die potenzielle Angriffsfläche erheblich.
Das Verknüpfen von GPOs auf Domänen, Standorte, Domain-Controller-OUs und andere Tier-0-Container ist ein Tier-0-Vorgang; delegieren Sie es entsprechend restriktiv. Falls bei Ihnen noch keine formale Tier-0-Abgrenzung existiert, beschränken Sie das Recht, GPOs an diese Orte zu verknüpfen, auf Domain Admins. Auch das Bearbeiten von WMI-Filtern ist eindeutig eine Tier-0-Tätigkeit.
Betrachten Sie die Anlage neuer GPOs ebenfalls als sicherheitsrelevante Tätigkeit und führen Sie sie im Zweifel nach den Regeln der Tier-0-Administration durch. Müssen Sie die anschließende Bearbeitung der Gruppenrichtlinien-Einstellungen an Anwendungs- oder Desktopadministratoren delegieren, legen Sie im Rahmen einer Tier-0-Tätigkeit die Objekte an, verknüpfen sie an die vorgesehenen Orte und delegieren dann die Bearbeitung des Inhalts an eine entsprechende Gruppe.
Gegen Richtlinien, jedoch nicht Einstellungen, die an Standorte verknüpft werden, gibt es ein sehr wirkungsvolles Mittel: Verknüpfen Sie dieselbe Richtlinie mit dem gewünschten Vorgabewert – der durchaus auch dem Default-Verhalten des Betriebssystems entsprechen kann – zusätzlich an einen Ort innerhalb der Domänenpartition. Solche Richtlinien genießen eine höhere Priorität als die an Standorte verknüpften GPOs.
Dieses Konzept ist übrigens nicht neu – die Windows-Härtung nach CIS verfolgt es von Anfang an, denn ein Großteil der CIS-Baseline entspricht bei modernen Windows-Versionen dem Standardverhalten, und dennoch verlangt CIS, dieses Verhalten mittels Policy zu zementieren.
Lücken in den Berechtigungen erkennen und beheben
Lücken in Ihrem Konzept der Berechtigungsvergabe können Sie freilich nur erkennen, wenn Sie dieses auf den Prüfstand stellen und Punkt für Punkt analysieren. Dabei gilt das Prinzip "Kein Recht darf zu Eskalationen führen". Keine User oder Gruppen, die nicht Tier 0 zugeordnet sind, dürfen Richtlinien an Tier-0-Orte (inklusive Standorte) verknüpfen oder Richtlinien bearbeiten, die bereits an solche Orte verknüpft sind. Doch auch unterhalb von Tier 0 sollten Sie Berechtigungen, GPOs zu verknüpfen und zu bearbeiten, möglichst sparsam vergeben.
Um Abweichungen vom Konzept zu entdecken, untersuchen Sie in den meisten Fällen die Berechtigungen sämtlicher OUs, Standorte und GPOs. Für eine erste Einschätzung der Lage können Sie das PowerShell-Tool "GPOZaurr" von Przemyslaw Klys [1] einsetzen. Dieses erzeugt übersichtliche Berichte, die auf Unregelmäßigkeiten in der GPO-Konfiguration und Berechtigungsvergabe hindeuten.
Für Unterordner und Dateien in SYSVOL können Sie sich das Leben maximal einfach machen: Statt Berechtigungen im gesamten Ordnerbaum einzeln zu untersuchen, führen Sie "auf Verdacht" gegen jeden einzelnen GPO-Hauptordner (mit der GUID als Namen) den Befehl
icacls <Ordner> /reset /t /c /l /q
aus. Dieser entfernt alle explizit gesetzten Berechtigungen auf Unterordnern und Dateien und aktiviert die standardmäßige Vererbung vom GUID-Ordner. Protokollieren Sie allerdings den Rückgabecode dieser Operation und untersuchen Sie die Ordnerstruktur gezielt, falls das Ergebnis von Null abweicht.
Setzen Sie im Tier 0 ein Monitoringsystem ein, das anpassbare Tasks auf Domain-Controllern ausführen kann, nehmen Sie Berechtigungsprüfungen im Bereich der Gruppenrichtlinien unbedingt in Ihr Monitoringkonzept auf.
Fazit
Gruppenrichtlinien sind ein mächtiges Werkzeug. Und wie jedes Werkzeug bergen sie das Potenzial, großen Schaden anzurichten, wenn sie in falsche Hände geraten. Das wirkungsvollste Mittel, um die destruktiven Auswirkungen zu begrenzen, ist die rigorose Hygiene der Berechtigungen. Selbst eine Einstufung sämtlicher GPO-bezogenen Tätigkeiten als Tier-0-Aufgaben ist in vielen Organisationen durchaus ein gangbarer Weg.
(dr)
Links
[1] GPOZaurr von Microsoft: https://it-a.eu/q9p71