Video-Tipp #71: Harden Windows Security Windows 11 härten mit PowerShell-Modul „Harden Windows Security“

Harden Windows Security ist ein quelloffenes PowerShell-Modul, das sicherheitsrelevante Einstellungen in Windows durchgängig dokumentiert, automatisiert und härtet. Damit können Administratoren und erfahrene Anwender Windows-Installationen auf Basis unterstützter Microsoft-Mechanismen absichern. In diesem Video-Tipp zeigen wir, wie das Tool funktioniert und wie man die Ergebnisse auch kontrolliert.

Mit dem kostenlosen Open Source-Tool „Harden Windows Security“ können Anwender oder Admins mit Bordmitteln in Windows die Sicherheit von Windows-Installationen deutlich verbessern. Das Tool verwendet ausschließlich Funktionen, die Microsoft in Windows implementiert hat, darunter Gruppenrichtlinien, Registry-Einträge, PowerShell-Cmdlets, WMI, CIM und Windows-APIs. Das Tool kann auch lokale Richtlinien setzen und lädt dazu automatisch LGPO auf den PC herunter. Das Modul erkennt, ob SmartScreen oder Smart App Control aktiv sind und nutzt auch diese Funktionen zur Absicherung.

Es modifiziert keine Systemkomponenten, sondern arbeitet innerhalb dokumentierter Schnittstellen. Im Fokus des Tools steht es die immer umfangreicheren Sicherheitsoptionen von Windows zentral zu bündeln und umzusetzen. Das Tool bietet eine grafische Oberfläche, kann aber auch skriptbasiert und vollständig automatisiert genutzt werden. Auch die Verwendung mit Microsoft Intune ist möglich.

In diesem Video-Tipp und der Bildergalerie zeigen wir, wie man mit dem quelloffenen PowerShell-Modul „Harden Windows Security“ Windows-11-PCs einfach und schnell sicherer macht.

Bildergalerie

Installation über PowerShell Gallery und flexible Bedienmodi

Die Installation erfolgt direkt über die PowerShell Gallery. Für die Verwendung sollte die aktuelle PowerShell-Version ab 7.5.x verwendet werden. Die Installation der aktuellen PowerShell-Version lässt sich mit WinGet direkt in der PowerShell durchführen:

In der PowerShell kann danach das Modul installiert werden:

Nach erfolgreicher Installation kann die Härtung über drei Modi durchgeführt werden:

• GUI: Start über Protect-WindowsSecurity -GUI, mit vollem Zugriff auf alle Funktionen über eine strukturierte Benutzeroberfläche.

• CLI: Skriptfähiger Betrieb per Protect-WindowsSecurity -Categories, geeignet für Automatisierung oder serverseitige Nutzung.

• Unattended Mode: Geplante und interaktive Ausführung, zum Beispiel für Softwareverteilung oder Baseline-Deployment.

Die zur Verfügung stehenden Cmdlets lassen sich ebenfalls mit der PowerShell anzeigen:

Zusätzlich lässt sich das Tool als kompiliertes C#-Programm betreiben. Die zugrunde liegende Architektur basiert zu 99 Prozent auf .NET-Code, der initial über PowerShell geladen wird. Das ermöglicht portable Nutzung, schnelle Ausführung und eine tiefe Integration in bestehende Admin-Werkzeuge. Mehr dazu ist auf der GitHub-Seite des Projektes zu finden. Für die Verwendung des Tools in der PowerShell sind natürlich administrative Rechte notwendig.

Sicherheitsempfehlungen von Microsoft automatisiert umsetzen

Security-Baseline für Windows Server 2022 und Windows 11

Umfangreiche Konfigurationskategorien für abgestufte Schutzniveaus

Harden Windows Security unterteilt Sicherheitsfunktionen in granular steuerbare Kategorien. Dazu zählen unter anderem:

• MicrosoftSecurityBaselines: Anwendung der offiziellen Microsoft Security Baselines ohne optionale Overrides.

• MicrosoftDefender: Aktivierung und Feinjustierung von Defender-Einstellungen, inklusive Blockierung potenziell unerwünschter Anwendungen, Kontrolle von Diagnosedaten, ASR-Regeln und Smart App Control.

• BitLockerSettings: Aktivierung von TPM-gestützter Verschlüsselung, Schutz mit PIN und Startschlüssel, Backup der Wiederherstellungsschlüssel.

• AttackSurfaceReductionRules: Detaillierte Steuerung aller ASR-Richtlinien über GUI oder CLI.

• DeviceGuard: Aktivierung von VBS, Hypervisor-Protected Code Integrity und Mandatory Mode.

• DownloadsDefenseMeasures: Deployment von WDAC-Richtlinien zum Blockieren potenziell schadhafter Skript-Hosts oder Dateitypen.

In diesem Video-Tipp und der Bildergalerie zeigen wir, wie man mit dem quelloffenen PowerShell-Modul „Harden Windows Security“ Windows-11-PCs einfach und schnell sicherer macht.

Bildergalerie

Die grafische Oberfläche des Tools lässt sich ebenfalls direkt über die PowerShell öffnen:

Optional lassen sich auch einzelne Richtlinien direkt ansteuern:

Um zum Beispiel alle Optionen zu setzen, die Microsoft über die Baseline für Windows, Defender und der Reduzierung der Angriffsfläche (ASR) empfiehlt, verwendet man den folgenden Befehl:

Die Umsetzung der Einstellungen lässt sich ebenfalls in der PowerShell überprüfen:

Mit dem Cmdlet lassen sich sämtliche Richtlinien auf Einhaltung überprüfen. Die Prüfung erfasst auch durch Intune MDM, Gruppenrichtlinien, Registry oder PowerShell gesetzte Einstellungen und berücksichtigt sämtliche Kategorien der Sicherheitskonfiguration. Die Ergebnisse können optional exportiert werden:

Die Auswertung erfolgt exakt entlang der Richtlinienstruktur des Repositories. Selbst kleinste Abweichungen werden als nicht konform markiert, was eine präzise Bewertung ermöglicht.

Mehr Sicherheit für Windows Server 2025 und Windows 11

Neue Gruppenrichtlinien und Security Baselines für Windows 11 24H2

Offline-Härtung für isolierte Systeme

Der Offline-Modus ermöglicht die Härtung vollständig abgeschotteter Systeme. Dazu werden lokal gespeicherte ZIP-Dateien mit den offiziellen Microsoft-Vorlagen verwendet. Beispiel für eine vollständige Offline-Konfiguration:

Die Offline-Härtung steht in der GUI auch über den Menüpunkt "Offline Configuration" zur Verfügung. Hier lassen sich die einzelnen Dateien hinterlegen, auf deren Basis das Tool die Absicherung durchführen soll.

Alle Onlinefunktionen, einschließlich automatischer Updates, sind in diesem Modus deaktiviert. Wir haben uns mit der Security Baseline auch in einem eigenen Beitrag auseinandergesetzt. Auch zu den Neuerungen in Windows Server 2025 und Windows 11 24H2 sind wir in einem eigenen Beitrag eingegangen. Diese Richtlinienvorlagen kann das Windows Hardening Security-Tool nutzen und umsetzen.

Firewall, Malware-Schutz, LAPS und Updates zentral in Netzwerken steuern

Microsoft kündigt WSUS ab – Zeit für den Umstieg auf Intune?

App- und Treiberbereinigung mit GUI-Unterstützung

Das Harden Windows Security-Tool entfernt auch unerwünschte OEM-Treiber, vorinstallierte Windows-Apps und optionale Systemkomponenten. Über die grafische Oberfläche lassen sich alle installierten Apps anzeigen und deinstallieren. Dabei werden auch Benutzerkonten berücksichtigt, die zum Zeitpunkt der Entfernung noch nicht existieren, neue Profile erhalten ein bereinigtes System. Auch Treiberpakete, die Windows standardmäßig für OEM-Kompatibilität mitliefert (Intel, Broadcom, Marvell, Ralink, Qualcomm), lassen sich entfernen, sofern die Hardware nicht verwendet wird.

Protokollierung und Rücknahme der Aktionen

Jeder Vorgang innerhalb des Moduls wird protokolliert. Zusätzlich können Pfade für Logdateien definiert werden:

Mit Unprotect-WindowsSecurity lassen sich gesetzte Maßnahmen wieder zurücknehmen. Dabei lassen sich auch selektiv einzelne Kategorien oder WDAC-Policies wie Downloads Defense Measures entfernen. BitLocker und Device Guard bleiben aus Sicherheitsgründen unverändert, sofern sie durch Hardware- oder Firmware-Lock gesichert wurden.

Hotpatching für Windows 11

Windows-Updates ohne Neustart installieren

In diesem Video-Tipp und der Bildergalerie zeigen wir, wie man mit dem quelloffenen PowerShell-Modul „Harden Windows Security“ Windows-11-PCs einfach und schnell sicherer macht.

Bildergalerie

(ID:50474103)