Mobile-Menu

LAPS-Verbesserungen und Datenschutz-Fallen Neue Gruppenrichtlinien für mehr Sicherheit in Windows 11 23H2

Von Thomas Joos 4 min Lesedauer

Anbieter zum Thema

FTAPI Software GmbH

Mit Windows 11 23H2 hat Microsoft auch verschiedene, neue Sicherheits­einstellungen implementiert, mit denen Admins das Netzwerk und die Windows 11-Arbeitsstationen besser absichern können. Wir geben in diesem Beitrag einen Überblick und zeigen, wie die Einrichtung einfach und stressfrei klappt.

Die Local Administrator Password Solution (LAPS) ist mittlerweile fest in das Betriebssystem integriert. Kommt Windows 11 23H2 auf den Clients zum Einsatz, verbessert sich die Lösung deutlich.(Bild: tippapatt - stock.adobe.com)
Die Local Administrator Password Solution (LAPS) ist mittlerweile fest in das Betriebssystem integriert. Kommt Windows 11 23H2 auf den Clients zum Einsatz, verbessert sich die Lösung deutlich.
(Bild: tippapatt - stock.adobe.com)

Mit jeder neuen Windows 11-Version veröffentlicht Microsoft auch neue Sicherheitstechnologien und Gruppenrichtlinien, mit denen sich die Sicherheitstechnologien besser in Active Directory steuern lassen. Alles, was Admins tun müssen, ist die Implementation der aktuellen ADMX/ADML-Dateien auf die Domänencontroller, zum Beispiel in das Verzeichnis „C:\Windows\PolicyDefinitions“.

Wir gehen auf dieses Thema auch in einem eigenen Beitrag ein. Die aktuellen ADMX-Dateien und die zugehörigen ADML-Sprachdateien lassen sich kostenlos bei Microsoft herunterladen. Generell ist es sinnvoll die aktuelle Dokumentation der verfügbaren Richtlinien als Excel-Tabelle bei Microsoft herunterzuladen.

Bildergalerie

Hier sind ebenfalls die Neuerungen und auch die bereits vorhandenen Einstellungen zu finden. Parallel dazu sind die neuen Einstellungen in der Microsoft Security Baseline zu finden, die mittlerweile ebenfalls für Windows 11 23H2 zur Verfügung stehen.

LAPS in Windows 11 23H2 wird verbessert

Die Local Administrator Password Solution (LAPS) ist mittlerweile fest in das Betriebssystem integriert. Es sind keinerlei Installationen notwendig, um die Sicherheitslösung zum Verwalten von lokalen Administrator-Konten zu nutzen. Angesichts der ständig steigenden Cyberattacken ist es in Unternehmen mehr als sinnvoll diese Lösung zu nutzen. Kommt Windows 11 23H2 auf den Clients zum Einsatz, verbessert sich die Lösung deutlich.

Neben dem Vorteil nichts mehr installieren zu müssen, lassen sich die lokalen Kennwörter auch in Active Directory oder in Azure AD/Entra ID speichern. Das erleichtert den Umgang und macht ihn sicherer. Wir haben uns bereits im Beitrag „Lokale Kennwörter in AD mit Microsoft LAPS schützen“ mit dem Thema umfassend auseinandergesetzt. In Windows 11 23H2 hat Microsoft neun weitere Einstellungen zur Steuerung von LAPS integriert. Die Gruppenrichtlinieneinstellungen für LAPS sind über „Computerkonfiguration -> Richtlinien -> Administrative Vorlagen -> System -> LAPS“ zu finden. Interessant ist hier vor allem die Einstellung „Kennwortsicherungsverzeichnis konfigurieren“.

Bildergalerie

Copilot wegen DSGVO deaktivieren

Mit Windows 11 23H2, beziehungsweise einem Vor-Update zu Windows 11 23H2 implementiert Microsoft den KI-Assistenten Copilot direkt in das Betriebssystem. Derzeit ist dessen Verwendung in Deutschland bezüglich des Datenschutzes noch nicht geklärt. Nutzen Anwender den Copilot in Windows 11, sendet das System die Daten zu Servern von OpenAI/Microsoft, auch in die USA. Außerdem nutzt Copilot die eingegebenen Daten zum eigenen Training der zugrundeliegenden LLM. Geben Anwender hier also personenbezogene Daten ein, werden diese unter Umständen in die USA übertragen, verarbeitet und zum Teil anderen Copilot-Nutzern zur Verfügung gestellt. Das kann sich schnell zu einem Problem entwickeln. Daher ist es sinnvoll diese Funktion zu deaktivieren. Das geht mit den neuen Gruppenrichtlinien über Die Deaktivierung erfolgt über „Benutzerkonfiguration -> Administrative Vorlagen -> Windows-Komponenten -> Windows Copilot -> Windows Copilot deaktivieren“.

Microsoft Defender steuern

Mittlerweile reicht Microsoft Defender als Virenschutz für Windows vollständig aus. Wer das System zentral steuern will, setzt auf Microsoft Intune. Natürlich lässt sich Microsoft Defender auch ohne zentrale Steuerung verwenden, allerdings zentral mit Gruppenrichtlinien konfigurieren. Die Einstellungen dazu sind in den Gruppenrichtlinien bei „Computerkonfiguration -> Administrative Vorlagen -> Windows-Komponenten -> Microsoft Defender Antivirus“ zu finden.

Bildergalerie

Neu bei Microsoft Defender und übrigens auch bei der neuen Security-Baseline von Microsoft sind die Einstellungen „Konfigurieren der Überwachung für eingehende und ausgehende Datei- und Programmaktivitäten“, „Aktivieren von Prozessscans, wenn Echtzeitschutz aktiviert ist“ und „Überprüfen der Aktivitäten von Dateien und Programmen auf Ihrem Computer“. Alle drei Einstellungen sollten zentral aktiviert werden. Eine Konfiguration ist keine notwendig, es reicht die Einstellungen zu aktivieren. Die Konfiguration lässt sich mit der Microsoft Security Baseline durchführen oder direkt in Gruppenrichtlinien oder lokalen Richtlinien, über den oben genannten Pfad. Eine weitere, wichtige Einstellung in Windows 11 23H2 ist in diesem Bereich „Scannen von gepackten ausführbaren Dateien“ im Unterordner „Scans“. Auch diese Einstellung kann einiges an Sicherheit mit sich bringen.

Privatsphäre schützen und Datenübertragung des Windows-Explorer zur Cloud kappen

Die Einstellungen „Deaktivieren von kontobasierten Einblicken, letzten, bevorzugten und empfohlenen Dateien im Datei-Explorer“ und „Zulassen, dass Windows-Apps auf Anwesenheitserkennung zugreifen“ verhindern das Ausspionieren von Benutzern durch Apps und den Windows-Explorer. Diese beiden Richtlinien sollten ebenfalls gesetzt werden.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Dev Drive für Windows 11

Dev Drive sind eine neue Form von Speichervolumes in Windows 11 und Windows Server 2025. Die Laufwerke sind speziell für Entwickler optimiert und für das Speichern von Projektdaten oder für Cache-Daten. Entwickler sollen damit ihre Daten zur Programmierung auf speziellen Laufwerken speichern.

Um die Einstellungen von Dev Drive-Laufwerken mit Gruppenrichtlinien zu konfigurieren, steht bei „Computerkonfiguration -> Windows-Einstellungen -> Administrative Vorlagen -> System -> Dateisystem“ die Einstellung „Dev Drive aktivieren“ zur Verfügung. Durch das Deaktivieren dieser Einstellung ist es nicht mehr möglich ein Dev Drive-Laufwerk auf dem PC zu erstellen. Gibt es bereits Dev Drives löscht Windows diese nicht, aber die Optimierung des Dateisystems werden nicht durchgeführt. Generell sind einem Dev Drive-Laufwerk keine Dateisystemfilter zugeordnet. Das lässt sich über die Einstellung „Richtlinie zum Anfügen von Dev Drive-Filtern“ steuern.

Bildergalerie

(ID:49957195)

Weiterführende Inhalte