Mobile-Menu

Windows Server 2025 kommt mit neuen Gruppenrichtlinien Windows 11 und Windows Server 2025 mit GPOs absichern

Von Thomas Joos 4 min Lesedauer

Windows Server 2025 bringt einige Neuerungen, die sich auch mit Gruppenrichtlinien (GPOs) steuern lassen. Dazu kommen neue Baselines mit Einstellungen, die sich über das Windows Admin Center speziell auf Servern umsetzen lassen. Der Beitrag zeigt die Möglichkeiten.

Windows Server 2025 bringt zahlreiche neue Gruppenrichtlinien für Sicherheit, Updates, Energiesparmodus, SMB over QUIC und mehr – zentral steuerbar per Admin Center.(Bild: Joos | Microsoft)
Windows Server 2025 bringt zahlreiche neue Gruppenrichtlinien für Sicherheit, Updates, Energiesparmodus, SMB over QUIC und mehr – zentral steuerbar per Admin Center.
(Bild: Joos | Microsoft)

Unternehmen, die auf Windows 11 und Windows Server 2025 setzen, können mit neuen Richtlinien und Einstellungen arbeiten, um die Windows-Server und Arbeitsstationen im Netzwerk zentral zu steuern.

Richtlinien mit dem Windows Admin Center umsetzen – nach Microsoft-Empfehlungen

Dazu kommen neue Möglichkeiten im Windows Admin Center, die es, zusammen mit dem PowerShell-Modul „OSConfig“ ermöglichen, Sicherheitseinstellungen lokal auf einem Server umzusetzen, ohne dabei auf Active Directory zu setzen. Dabei müssen sich Admins nicht mit der PowerShell beschäftigen, sondern können die Einstellungen direkt im Windows Admin Center umsetzen.

Bildergalerie
Bildergalerie mit 12 Bildern

Hinweis: Der Menüpunkt „Sicherheitsbaseline“ kommt zum Einsatz. Die Richtlinien lassen sich nach der Serverrolle umsetzen, unabhängig von Active Directory.

SMB over QUIC zentral steuern

Mit Windows Server 2025 erhalten alle Editionen Zugriff auf SMB over QUIC. Die Steuerung erfolgt über Gruppenrichtlinien. Damit kann auch der Zugriff von Clients mit Windows 11 gesteuert werden. Wichtige Einstellungen dazu finden sich in den Gruppenrichtlinien über:

Computerkonfiguration -> Administrative Vorlagen -> Netzwerk -> LanMan-Arbeitsstation -> LanMAN-Server

Hier sind zahlreiche Einstellungen zu finden, mit denen sich vor allem SMB absichern lässt.

Featureupdates mit Gruppenrichtlinien steuern

Microsoft ermöglicht ein direktes Upgrade auf Windows Server 2025 über Windows Update. Das sogenannte „Featureupdate“ steht für Systeme mit Windows Server 2019 oder 2022 bereit. Organisationen können damit Serverversionen ohne Neuinstallation aktualisieren.

Um das Update zu kontrollieren, lässt sich in Gruppenrichtlinien eine Zielversion definieren. Die Richtlinieneinstellung „Zielfeatureupdateversion auswählen“ befindet sich unter:

Administrative Vorlagen > Windows-Komponenten > Windows Update > Vom Windows Update angebotene Updates verwalten

So wird’s gemacht: Nach dem Öffnen per Rechtsklick und „Bearbeiten“ wird die Option „Aktiviert“ gesetzt. Das Feld für die gewünschte Windows-Version bleibt leer. Im Feld „Zielversion für Funktionsupdates“ verhindert der Eintrag „hold“ die automatische Bereitstellung. Erst durch den Eintrag „2025“ beginnt das Upgrade.

Die Einstellung greift lokal über „gpedit.msc“ oder zentral über ein Gruppenrichtlinienobjekt. In einer Active Directory-Umgebung ist ein Benutzerkonto mit Mitgliedschaft in der Gruppe „Gruppenrichtlinienadministratoren“ erforderlich. Zusätzliche Anforderung: Auf dem Verwaltungsrechner muss das RSAT-Paket installiert sein.

Diese Aktualisierungen sollen auch für Funktionsupdates von Windows Server 2025 funktionieren.

Neue Steuerungsmöglichkeiten für Sicherheit und Systemverwaltung

Unter Computerkonfiguration -> Richtlinien -> Administrative Vorlagen -> System -> Device Guard lässt sich jetzt die Aktivierung von VBS konfigurieren, um Hotpatch-Szenarien ohne Reboot zu ermöglichen. Für den neuen Kontotyp „delegiertes Managed Service Account“ steht eine zentrale Richtlinie bereit unter

Computerkonfiguration -> Administrative Vorlagen -> System -> Kerberos -> Anmeldungen für dMSA aktivieren.

Die Druckinfrastruktur erhält mit Administrative Vorlagen -> Drucker -> Windows Protected Print konfigurieren eine Richtlinie zur Steuerung des neuen treiberlosen Protected Print Mode.

Für die Steuerung von Updateprozessen gibt es zwei neue Richtlinienpfade:

Computerkonfiguration -> Administrative Vorlagen -> Windows Update -> Endbenutzeroberfläche verwalten -> Frist für automatische Updates und Neustarts für Funktionsupdates angeben

Das Gleiche gilt für Qualitätsupdates.

Ergänzend dazu lassen sich Kerberos-Verschlüsselungstypen zentral konfigurieren über:

Computerkonfiguration -> Windows-Einstellungen -> Sicherheitseinstellungen -> Lokale Richtlinien -> Sicherheitsoptionen -> Netzwerksicherheit -> Konfigurieren von zulässigen Kerberos-Verschlüsselungstypen

Neue LDAP-Funktionen, Channel-Binding-Audit-Events und Richtlinien zur Kontrolle des Passwortverhaltens über „SamrUnicodeChangePasswordUser4“ runden die Änderungen ab. Auch die 32k-AD-Datenbankstruktur lässt sich nun über Gruppenrichtlinien aktivieren, was für hochskalierende Umgebungen mit hohem Attributdurchsatz von Relevanz ist.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Zentrale Steuerung des Energiesparmodus über Gruppenrichtlinien in Windows 11

Mit Build 26120.3950 erweitert Microsoft Windows 11 um eine per Gruppenrichtlinie steuerbare Konfiguration des Energiesparmodus. Die Einstellung befindet sich unter:

Computer Configuration -> Administrative Templates -> System -> Power Management -> Energy Saver Settings.

Dort lässt sich die Richtlinie „Energy Saver immer aktivieren“ aktivieren.

Vorteile:

  • Reduziert Displayhelligkeit
  • Drosselt Hintergrundprozesse
  • Passt Energieaufnahme dynamisch an

Bei aktivierter Option bleiben zentrale Funktionen stabil; die Auswirkungen auf Akkulaufzeit und Leistungsaufnahme sind deutlich messbar. Unternehmen mit großen Notebook-Beständen oder hybriden Arbeitsplatzmodellen erhalten damit ein Werkzeug, um den Energieverbrauch übergreifend zu senken.

Gleichzeitig lassen sich betriebliche Vorgaben aus Nachhaltigkeits- und ESG-Richtlinien verbindlich umsetzen. Die Richtlinie ersetzt bisher manuelle Konfigurationen durch zentral durchsetzbare Vorgaben. Dadurch sinkt die Fehleranfälligkeit, das Management wird einheitlich und automatisiert. Windows 11 integriert den Energiesparmodus damit erstmals direkt in das Richtlinienmodell für professionelle IT-Infrastrukturen.

Sudo und Defender mit GPOs steuern

Für die Verwaltung des neuen Windows-„sudo“-Mechanismus steht unter:

Computerkonfiguration -> Administrative Vorlagen -> System

Die Richtlinie „Das Verhalten des Sudo-Befehls konfigurieren“ bereit.

Microsoft Defender Antivirus lässt sich wie gewohnt über Administrative Vorlagen -> Windows-Komponenten -> Microsoft Defender Antivirus konfigurieren.

Neu hinzugekommen sind hier unter anderem:

  • Steuerung der Sichtbarkeit von Ausschlüssen
  • Festlegen von Aktualisierungs- und Aufbewahrungsintervallen
  • Konfiguration von EDR im Sperrmodus
  • Definition von ASR-Ausnahmen
  • Intel-TDT-Integrationslevel
  • Optionen zur Brute-Force-Abwehr

(ID:50673721)

Weiterführende Inhalte