Fabian Niesen

Microsoft Technologien (Office365, ADFS, Exchange, Active Directory), Social Media und vieles weitere rund um Informationstechnologie

[fabian-niesen]

Azure Local Disconnected Operations: Grundlagen

Azure Local Disconnected Operations (ALDO) erweitern Azure Local um eine lokale Control Plane für Umgebungen, die nicht dauerhaft oder garnicht mit der Azure Public Cloud verbunden sein können oder dürfen. Das macht die Lösung vor allem für souveräne, regulierte oder isolierte Szenarien interessant. Gleichzeitig steigt der Planungs- und Betriebsaufwand deutlich, weil neben den eigentlichen Workloads auch Management Cluster, Netzwerkzonen, DNS, Active Directory, Active Directory Federation Service (ADFS), PKI, Monitoring und Supportpfade sauber aufgebaut werden müssen.

Der folgende Artikel ordnet Azure Local Disconnected Operations technisch ein, zeigt die Unterschiede zum normalen Azure-Local-Betrieb, beschreibt Anforderungen und Grenzen und beleuchtet zusätzlich Compliance, Datenschutz, IT-Grundschutz sowie den betrieblichen Mehraufwand. So lässt sich realistisch bewerten, für welche Umgebungen sich Azure Local Disconnected Operations (ALDO) wirklich eignet.

Wichtiger Hinweis: Azure Local Disconnected Operations sind kein gewöhnlicher Offline-Modus von Azure Local. Der wesentliche Unterschied ist das lokale Control Plane. Genau daraus ergeben sich höhere Anforderungen an Architektur, Identität, PKI, Security und Betrieb.

Was ist Azure Local Disconnected Operations?

Azure Local im Überblick

Azure Local ist Microsofts lokale Infrastrukturplattform für den Betrieb von virtuellen Maschinen, Kubernetes und ausgewählten Azure-nahen Diensten in der eigenen Umgebung. Die Plattform richtet sich an Unternehmen, die moderne und klassische Workloads nicht ausschließlich in der Public Cloud betreiben möchten, sondern Teile ihrer Infrastruktur bewusst lokal im eigenen Rechenzentrum oder an verteilten Standorten halten. Dabei verbindet Azure Local bekannte On-Premises-Technologien mit einer Verwaltungslogik, die sich an Azure orientiert.

Die Grundidee von Azure Local besteht darin, lokale Infrastruktur nicht mehr isoliert zu betreiben, sondern sie mit einheitlichen Verwaltungs- und Betriebsmodellen zu versehen. Unternehmen können damit Ressourcen lokal bereitstellen und gleichzeitig auf Werkzeuge, Prozesse und Rollenmodelle setzen, die aus Azure bekannt sind. Das vereinfacht die Administration, weil sich lokale und hybride Umgebungen besser standardisieren, automatisieren und steuern lassen. Für IT-Abteilungen bedeutet das vor allem mehr Konsistenz zwischen klassischer Infrastruktur im eigenen Haus und modernen Cloud-nahen Betriebsmodellen.

Relevant ist Azure Local deshalb sowohl für hybride als auch für rein lokale Szenarien. In hybriden Umgebungen hilft die Plattform dabei, lokale Systeme enger an zentrale Verwaltungs- und Governance-Prozesse anzubinden. In lokalen Szenarien ist Azure Local interessant, wenn Workloads aus technischen, organisatorischen oder regulatorischen Gründen bewusst vor Ort betrieben werden sollen. Dazu gehören zum Beispiel Standorte mit besonderen Anforderungen an Datenhoheit, geringe oder instabile Anbindung oder Umgebungen, in denen klassische Infrastruktur und moderne Plattformdienste gemeinsam bereitgestellt werden müssen. Genau diese Verbindung aus lokaler Ausführung und Azure-konsistenter Verwaltung macht Azure Local für viele Unternehmen zu einer interessanten Plattform.

Wichtig ist auch, das Azure.Local zertifizierte Hardware benötigt, ansonsten gibt es keinen Support!

Was „Disconnected Operations“ konkret bedeutet

Disconnected Operations bedeuten, dass Azure Local nicht nur Workloads lokal ausführt, sondern auch die dafür notwendige Steuerungs- und Verwaltungsebene lokal bereitstellt. Azure Local Instanzen können damit ohne Verbindung zur Azure Public Cloud bereitgestellt und verwaltet werden. Microsoft beschreibt dafür ein lokales Control Plane, das eine vertraute Nutzung von Azure-Portal und Azure CLI ermöglicht und ausgewählte Azure-Arc-nahe Dienste lokal einbindet.

Der praktische Unterschied zum normalen Betrieb liegt also nicht nur in „kein Internet“, sondern in der Verlagerung zentraler Management-Funktionen in die eigene Umgebung. Dadurch lassen sich virtuelle Maschinen und containerisierte Anwendungen lokal betreiben und verwalten, ohne dass die Steuerung in Azure liegen muss. Genau das macht das Modell für souveräne, regulierte oder isolierte Umgebungen interessant, in denen Daten, Betrieb und Kontrolle innerhalb der eigenen organisatorischen Grenzen bleiben sollen.

Gleichzeitig steigt damit der technische und organisatorische Aufwand. Microsoft weist ausdrücklich darauf hin, dass für Disconnected Operations zusätzliche Kapazität für die Appliance und das lokale Control Plane eingeplant werden muss. Deshalb sind die Hardware-Anforderungen höher als bei einer gewöhnlichen Azure-Local-Bereitstellung, und aktuell ist ein dedizierter Management Cluster erforderlich. Disconnected Operations sind damit kein einfacher Offline-Modus, sondern ein eigenständiges Betriebsmodell mit mehr Anforderungen an Planung, Betrieb und Infrastruktur.

Unterschied zwischen Azure Local und Azure Local Disconnected Operations

Die Unterschiede zwischen Azure Local im normalen Betriebsmodell und Azure Local Disconnected Operations zeigen sich vor allem im Betrieb und nicht bei der Grundidee der Plattform. Beide Varianten setzen auf dieselbe zugelassene Azure-Local-Hardware aus dem Solutions Catalog. Azure Local Disconnected Operations (ALDO) verlangt aber zusätzlich, dass der Kunde einen belastbaren fachlichen Grund für den disconnected Betrieb nachweist, ein passendes Vertragsmodell hat und den Freigabeprozess über Microsoft beziehungsweise das Account Team durchläuft. Microsoft beschreibt dafür ausdrücklich ein Beschaffungs- und Prüfverfahren mit Formular und Freigabeentscheidung. Technisch kommt hinzu, dass für ALDO ein dedizierter Management Cluster erforderlich ist, weil dort die lokale Control Plane als Appliance betrieben wird. Dieser Cluster ist kein normaler Infrastruktur- oder Workload-Cluster, sondern muss genügend Kapazität für die Appliance und die Kernkomponenten von Azure Local bereitstellen.

Genau hier beginnt der eigentliche Mehraufwand von Azure Local Disconnected Operations (ALDO). Im Standardmodell kann Azure Local lokal Workloads ausführen, während zentrale Verwaltungsfunktionen Cloud gestützt bleiben. Bei ALDO wird dagegen die Steuerung lokal aufgebaut. Deshalb braucht der Kunde zusätzliche Infrastruktur für Management, Identität, PKI, Netzwerk, Support und Betrieb. Besonders deutlich wird das bei Monitoring und Backup. Monitoring ist bei ALDO nicht als fertiger integrierter Microsoft-Cloud-Dienst vorhanden, sondern muss über externe Lösungen eingebunden werden. Microsoft nennt dafür ausdrücklich System Center Operations Manager als mögliche Lösung, allerdings kann auch jeder andere Lösung verwendet werden. Beim Backup ist die Lage ebenfalls wichtiger als oft angenommen: Aktuell gibt es dafür keine entsprechende Lösung, so muss der Kunde sich selber überlegen, was und wie die Datensicherung erfolgen soll. Wer ALDO produktiv einsetzen will, muss daher Monitoring, Backup und Wiederherstellung selbst als eigenes Betriebsmodell entwerfen und umsetzen.

Praxis-Tipp: In der Einleitung sollte sehr früh klargestellt werden, dass Azure Local Disconnected Operations (ALDO) nicht nur eine technische Option, sondern ein eigenes und komplexes Betriebsmodell ist. Das verhindert spätere Missverständnisse in Projekten und hilft beim Erwartungsmanagement gegenüber Management und Fachbereichen. Hier werden aktuell noch entsprechende Betriebsressourcen für die Lokalen Abhängigkeiten benötigt.

Unterschied zwischen Azure Local und Azure Local Disconnected Operations

Warum Unternehmen Azure Local Disconnected Operations einsetzen

Azure Local Disconnected Operations sind vor allem für Organisationen interessant, die ihre Infrastruktur nicht nur lokal betreiben, sondern auch die Steuerung und Verwaltung bewusst in der eigenen Umgebung halten wollen. Der wichtigste Treiber ist dabei meist nicht die Technik selbst, sondern eine Kombination aus regulatorischen, organisatorischen und betrieblichen Anforderungen. Besonders in Bereichen mit hohen Vorgaben an Datenhoheit, Nachvollziehbarkeit und kontrollierte Betriebsgrenzen kann ein lokales Control Plane ein entscheidender Vorteil sein.

Ein zentrales Einsatzszenario sind souveräne oder stark regulierte Umgebungen. Dazu gehören beispielsweise Behörden, KRITIS-nahe Bereiche, Gesundheitswesen, Verteidigung oder Unternehmen mit besonders sensiblen Daten. Auch regulatorische Vorgaben wie NIS-2 oder DORA erhöhen den Druck, Cyberrisiken systematisch zu steuern, Abhängigkeiten sauber zu bewerten und die betriebliche Resilienz der eigenen IT nachweisbar zu stärken. NIS-2 erweitert die Anforderungen an Cybersicherheitsmaßnahmen und macht sie für deutlich mehr Einrichtungen relevant. DORA schafft für den Finanzsektor einen EU-weiten Rahmen für den Umgang mit ICT- und Cyberrisiken sowie für die digitale operationelle Resilienz.

Ein weiterer wichtiger Anwendungsfall sind Darksites und andere stark abgeschottete Umgebungen. Dort ist eine dauerhafte oder direkte Verbindung zu externen Cloud-Diensten oft nicht gewünscht oder gar nicht erlaubt. Das kann technische, sicherheitspolitische oder regulatorische Gründe haben. In solchen Szenarien reicht es nicht aus, dass nur die Workloads lokal laufen. Auch Management, Bereitstellung und Steuerung sollen innerhalb der eigenen Infrastrukturgrenzen bleiben. Genau hier setzt ALDO an, weil nicht nur die Datenverarbeitung, sondern auch die Management-Ebene lokal verankert wird. Diese Logik passt auch zu Standorten mit eingeschränkter Anbindung, etwa in abgelegenen Niederlassungen, Industrieumgebungen oder besonders geschützten Netzsegmenten.

Hinzu kommt der Sicherheitsaspekt. Viele Organisationen möchten externe Abhängigkeiten bewusst reduzieren und die Angriffsfläche ihrer Management-Ebene verkleinern. Ein lokales Control Plane kann dabei helfen, weil zentrale Verwaltungsfunktionen nicht mehr zwangsläufig über externe Cloud-Dienste laufen. Das bedeutet aber nicht automatisch weniger Aufwand. Im Gegenteil: Ein Teil der Verantwortung, die im Standardmodell stärker bei cloudgestützten Diensten liegt, wandert bei Azure Local Disconnected Operations (ALDO) in die eigene Betriebsorganisation. Genau deshalb ist ALDO vor allem für Unternehmen sinnvoll, die diesen zusätzlichen Aufwand nicht nur technisch, sondern auch organisatorisch tragen können.

Am Ende ist Azure Local Disconnected Operations (ALDO) also keine Lösung für jede lokale Infrastruktur. Der Mehrwert entsteht vor allem dort, wo Souveränität, Isolation, regulatorische Anforderungen oder besondere Standortbedingungen eine echte lokale Steuerung rechtfertigen. Wer hingegen nur virtuelle Maschinen lokal betreiben möchte, ohne die zusätzlichen Anforderungen an Management, PKI, Identität, Monitoring und Betrieb aufzubauen, ist mit dem normalen Azure-Local-Betriebsmodell in vielen Fällen besser aufgestellt.

Weiter geht es in dieser Reihe mit dem Artikel "Azure Local Disconnected Operations: Architektur und Anforderungen".

[fabian-niesen]

Windows 11 - Microsoft Copilot und KI-Funktionen deaktivieren

Windows 11 entwickelt sich von einem klassischen Desktop-Betriebssystem zu einer Plattform mit integrierten KI-Funktionen. Das Ziel ist nicht die „Spielerei“, sondern die konkrete Arbeitserleichterung: Inhalte sollen schneller gefunden, Texte schneller erstellt, Medien einfacher bearbeitet und typische Handgriffe direkt im Kontext ausgeführt werden können – ohne dass ständig zwischen Apps gewechselt werden muss.

Im Mittelpunkt steht Microsoft Copilot. Copilot ist ein KI-Assistent, der in Windows 11 als App bereitsteht und bei Recherchen, Textentwürfen, Zusammenfassungen und Systemfragen unterstützt. Vor allem die Nähe zum Betriebssystem ist praktisch: Copilot kann Nutzer gezielt zu passenden Einstellungen führen und damit Support- und Self-Service-Szenarien vereinfachen.

Dazu kommen neue, stärker „kontextbasierte“ Funktionen, die nicht primär über Chat laufen. Zwei zentrale Bausteine sind Microsoft Recall und Click to Do:

- Microsoft Recall erstellt – nach Aktivierung/Opt-in – in regelmäßigen Abständen Momentaufnahmen („Snapshots“) vom Bildschirm und macht diese lokal durchsuchbar. So lassen sich Inhalte wiederfinden, die man „irgendwann mal gesehen“ hat, z. B. in Apps, Websites oder Dokumenten. Recall ist als optionales Windows-Feature umgesetzt und kann je nach Gerät/Verwaltung aktiviert oder entfernt werden. - Click to Do analysiert den aktuellen Bildschirminhalt und bietet passende Aktionen zu ausgewähltem Text oder Bildern an, zum Beispiel Zusammenfassen/Umschreiben von Text oder einfache Bildaktionen. Das Feature ist außerdem administrierbar (Client-Management), was für Unternehmensumgebungen relevant ist.

Aus technischer Sicht ist die Unterscheidung zwischen Cloud- und On-Device-KI wichtig. Viele neue KI-Funktionen von Windows 11 sind an „Copilot+ PCs“ gekoppelt. Diese Geräteklasse setzt unter anderem eine NPU (Neural Processing Unit) voraus, einen Prozessorbereich für KI-Berechnungen, damit bestimmte Funktionen lokal und performant laufen können.

Für Unternehmen sind damit sofort klassische Fragen verbunden: Welche Daten werden lokal verarbeitet, welche verlassen das Gerät? Wie greifen Richtlinien und Compliance-Vorgaben und wie werden neue Features wie „Recall” oder „Click to Do” im Rollout kontrolliert? Zusätzlich müssen in der EU die Anforderungen der Datenschutz-Grundverordnung (DSGVO) berücksichtigt werden, insbesondere bei Funktionen, die Inhalte aus dem Nutzerkontext erfassen, analysieren oder durchsuchbar machen. Dazu gehören Themen wie Zweckbindung, Datenminimierung, Transparenz/Informationspflichten, Rollen und Verantwortlichkeiten (Verantwortlicher/Auftragsverarbeiter) sowie technisch-organisatorische Maßnahmen wie Protokollierung, Zugriffsschutz und klare Deaktivierungs- bzw. Ausschlussoptionen.

In der Praxis kommt außerdem die betriebliche Mitbestimmung hinzu: Betriebs- und Personalräte sind typischerweise früh einzubinden, wenn neue Funktionen geeignet sind, Verhaltens- oder Leistungsdaten zu erzeugen oder Arbeitsabläufe messbar zu machen. Dies betrifft nicht nur die Funktion selbst, sondern auch die Telemetrie, Audit-Logs, zentrale Steuerungsmöglichkeiten und die Frage, wie transparent die Nutzung für Mitarbeitende gestaltet wird. Diese Einleitung ordnet Copilot, Recall und Click to Do in Windows 11 ein und schafft die Basis für die technischen, rechtlichen und organisatorischen Entscheidungen, die vor einer Einführung geklärt sein sollten.

Was ist Windows Copilot in Windows 11

Windows 11 Copilot ist ein KI-Assistent von Microsoft, der als eigenständige App in Windows verfügbar ist. Er dient als zentrale Oberfläche für KI-gestützte Hilfe. Typische Funktionen sind das Beantworten von Fragen, das Zusammenfassen von Inhalten, das Erstellen und Überarbeiten von Texten sowie die Recherche über Web-Quellen. In Windows ist Copilot somit vor allem ein „Arbeitsdialog“: Du gibst einen Prompt (Eingabeaufforderung) ein, Copilot erzeugt eine Antwort und liefert je nach Modus auch Quellenlinks.

Wichtig ist die Unterscheidung zwischen Privat- und Unternehmensnutzung, da sich Identität, Datenschutzzusagen und Governance unterscheiden.

Privat (Microsoft-Konto)

- Die Anmeldung erfolgt typischerweise mit einem privaten Microsoft-Konto. - Es gibt nutzerseitige Einstellungen für die Privatsphäre, z. B. ob Unterhaltungen für das Modelltraining verwendet werden dürfen (Opt-out/Opt-in je nach Einstellung). - Es gibt in der Regel weniger zentrale Kontrollmöglichkeiten durch Richtlinien, da keine Tenant-Steuerung (Mandantensteuerung) wie in Unternehmen dahintersteht.

Unternehmen (Entra ID / „Work or School Account“)

- Wenn sich Nutzer mit einem Microsoft-Entra-Konto (ehemals Azure AD) anmelden, greift in Microsoft 365 Copilot Chat die „Enterprise Data Protection“ (EDP). EDP ist eine vertragliche und technische Schutzzusage: Prompts und Antworten werden unter den Microsoft-365-Datenschutz- und Compliance-Rahmen gestellt (DPA/Product Terms). - Mit EDP werden Prompts und Antworten protokolliert und können je nach Lizenz/Setup für Audit, eDiscovery (juristische Suche) und Microsoft Purview (Compliance-Werkzeuge) genutzt und aufbewahrt werden. Dies ist für Nachvollziehbarkeit und Compliance wichtig, erhöht jedoch auch die Anforderungen an Richtlinien und Informationsschutz. - Microsoft dokumentiert außerdem, dass Prompts und Antworten im „Work/School“-Kontext nicht zum Training von Foundation-Modellen (Basis-KI-Modellen) verwendet werden.

In verwalteten Windows-Umgebungen lässt sich die Copilot-App gezielt deaktivieren oder entfernen. Auch die Bereitstellung kann je nach Windows-Version und Update-Stand zentral verhindert werden. Dafür stehen typische Windows-Client-Management-Mechanismen wie Microsoft Intune (MDM = Mobile Device Management) oder Gruppenrichtlinien (GPO = Group Policy Object) zur Verfügung. Der Fokus dieses Artikels liegt auf der Unternehmensperspektive: Copilot ist zwar eine einheitliche Oberfläche in Windows 11, das Sicherheits- und Compliance-Niveau ergibt sich jedoch aus dem Betriebsmodell. Von entscheidender Bedeutung sind die Anmeldung über Microsoft Entra ID, eine aktivierte Enterprise Data Protection (EDP) sowie zentrale Unternehmensrichtlinien für Zugriff, Protokollierung und Datenschutz. Funktionen und Einstellungen für private Microsoft-Konten werden hier nur zur Abgrenzung erwähnt.

Microsoft Recall

Microsoft Recall ist eine Windows-11-Funktion, die in festen Abständen Momentaufnahmen des Bildschirms (sogenannte „Snapshots“) erstellt und lokal durchsuchbar macht. Das Ziel besteht darin, Inhalte wiederzufinden, die man bereits gesehen hat, auch wenn man sich nicht mehr daran erinnert, in welcher App, auf welcher Website oder in welchem Dokument sie zu finden waren. Die Suche kann über eine Timeline oder eine Text- bzw. Bedeutungs-Suche erfolgen. Technisch werden die Snapshots als Screenshots gespeichert und lokal ausgewertet, unter anderem mit OCR (Optical Character Recognition, Texterkennung aus Bildern).

Recall ist aktuell opt-in. Ohne aktive Zustimmung werden keine Snapshots gespeichert. Die Daten liegen lokal auf dem Gerät und sind geschützt. Zugriff auf und Änderungen an Recall erfordern Windows Hello (z. B. biometrisch oder PIN). Microsoft positioniert Recall als „On-Device“-Funktion mit zusätzlichen Schutzmechanismen, sodass Inhalte erst nach Benutzerautorisierung verarbeitet und angezeigt werden.

Für Unternehmen sind die Systemvoraussetzungen und die Steuerbarkeit von entscheidender Bedeutung. Recall ist an Copilot+-PCs gekoppelt und benötigt eine NPU (Neural Processing Unit) sowie definierte Mindestwerte bei RAM und Storage. Zusätzlich muss die Geräteverschlüsselung (BitLocker bzw. Device Encryption) aktiviert sein und Windows Hello muss eingerichtet sein. Recall belegt lokalen Speicher. Bei zu wenig freiem Platz pausiert die Funktion automatisch.

In verwalteten Umgebungen ist Recall standardmäßig deaktiviert bzw. nicht verfügbar. Wenn eine Organisation Recall zulassen möchte, erfolgt dies über zentrale Richtlinien. Dabei kann die IT unter anderem steuern, ob Snapshots grundsätzlich gespeichert werden dürfen, wie lange Daten aufbewahrt werden und wie viel Speicher Recall nutzen darf. Zusätzlich sind Filter möglich, um bestimmte Apps oder Websites auszuschließen. Wichtig ist: Die IT kann „Recall“ nicht für Nutzer aktivieren – die eigentliche Erfassung muss vom Nutzer bewusst eingeschaltet werden.

Aus Sicht des Datenschutzes und der Compliance sind drei Punkte von zentraler Bedeutung. Erstens können, auch wenn die Verarbeitung lokal erfolgt, die Inhalte sehr umfassend sein, weil Recall den Bildschirmkontext speichert. Zweitens gibt es einen Mechanismus zur Erkennung sensibler Informationen, der das Speichern bestimmter Inhalte reduzieren soll, aber keine absolute Garantie bietet. Drittens kann Recall mit DLP (Data Loss Prevention, Richtlinien zur Verhinderung von Datenabfluss) kombiniert werden, um das Speichern sensibler Inhalte zu unterbinden. In der EU/EWR existiert zudem eine Exportfunktion, die in verwalteten Umgebungen typischerweise deaktiviert bleibt und bewusst freigegeben werden müsste.

Unterm Strich ist Recall also kein einfaches „Feature für Komfort“, sondern ein Baustein mit klaren Anforderungen an Governance: technische Mindestvoraussetzungen, zentrale Steuerung, Datenschutzbewertung (DSGVO), Informationsschutz/DLP und – je nach Unternehmenspraxis – die frühzeitige Einbindung von Betriebs- bzw. Personalräten.

Click-to-Do

Click-to-Do ist eine Windows-11-Funktion, die den aktuellen Bildschirminhalt analysiert und basierend darauf passende Aktionen anbietet. Der Nutzer startet Click to Do aktiv, woraufhin Windows einen Screenshot des sichtbaren Desktops erstellt und Text- und Bildbereiche erkennt. Für Text wird OCR (Optical Character Recognition, Texterkennung aus Bildern) verwendet, wodurch kontextbezogene Aktionen wie Kopieren, Übersetzen, Zusammenfassen oder Umformulieren entstehen. Bei Bildern werden typische Schnellaktionen angeboten, etwa Teilen, Speichern oder das Öffnen in passenden Apps zur Bearbeitung.

Für Unternehmen ist es wichtig zu wissen, dass Click to Do als „Kontext-Layer“ arbeitet. Die Funktion erkennt Inhalte und reicht sie – abhängig von der ausgewählten Aktion – an einen Provider weiter. Dies kann lokal (on-device) erfolgen oder an einen Cloud-Dienst/Onlineanbieter weitergeleitet werden, beispielsweise bei der Websuche oder visuellen Suche. Somit ist der Datenfluss nicht pauschal „lokal“, sondern hängt von der konkreten Aktion ab. Zusätzlich können Aktionen an lokale Apps übergeben werden. Dabei können temporäre Dateien entstehen, die nach Abschluss wieder verworfen werden.

Click to Do ist an Copilot+ PCs gekoppelt und setzt eine NPU (Neural Processing Unit, Hardware für KI-Berechnungen) voraus. In verwalteten Umgebungen kann die Funktion zentral gesteuert und bei Bedarf deaktiviert werden, zum Beispiel über Client-Management-Richtlinien. In Bezug auf Datenschutz und Compliance gilt: Auch wenn die Erkennung lokal startet, muss geregelt sein, welche Aktionen erlaubt sind (insbesondere Cloud-/Webaktionen), wie sensibler Bildschirminhalt geschützt wird und wie transparent die Nutzung für Mitarbeitende gestaltet ist.

KI-Systeme und der IT-Grundschutz

Für Copilot und andere cloudbasierte KI-Systeme gilt in jedem Fall der Baustein „OPS.2.2 Cloud-Nutzung”. Besonders relevant sind die IT-Grundschutz-Maßnahmen OPS.2.2.A1, OPS.2.2.A2, OPS.2.2.A3, OPS.2.2.A4, OPS.2.2.A6, OPS.2.2.A7, OPS.2.2.A9, OPS.2.2.A12 und OPS.2.2.A13.

Für alle KI-Systeme sollten auch die Bausteine ORP.5 „Compliance Management” und CON.2 „Datenschutz” genau geprüft werden. Je nachdem, wie die Nutzung der KI-Funktionen organisatorisch geregelt ist – Stichwort Nutzungszwecke – ergibt sich daraus einer der vier Risikotypen und die entsprechenden Anforderungen aus der DSGVO und der neuen EU-KI-Richtlinie. Wenn Copilot beispielsweise für das Schreiben von Arbeitszeugnissen oder Mitarbeiterbewertungen genutzt wird, wäre es wahrscheinlich ein Hoch-Risiko-System nach dem EU-KI-Akt. Wenn Copilot durch die Integration über andere Copilot-Systeme genügend Informationen erhält, um direkt eine Beurteilung der Arbeitsleistung vorzunehmen, könnte das sogar ein verbotenes System mit unannehmbarem Risiko werden. Zur Einstufung lassen Sie sich am besten von einem Rechtsanwalt beraten.

Es ist also gerade im Hinblick auf Compliance und Datenschutz wichtig, die Nutzung zu reglementieren und das Personal zu schulen. Die ausreichende Schulung der Mitarbeiter ist nach allgemeinem Verständnis im EU-KI-Act Pflicht.

Weitere relevante IT-Grundschutzmaßnahmen wären: APP.1.1 Office-Produkte bei Copilot für Office, APP.1.2 Webbrowser für Copilot im Microsoft Edge, SYS.2.1.A42, SYS.2.2.3.1.A1, SYS.2.2.3.A2 und SYS.2.2.3.A6.

Bei Steuerung der Systeme über Intune sollte auch ein Blick in den Baustein „SYS.3.2.2 Mobile Device Management” geworfen werden.

Da KI-Systeme im IT-Grundschutz noch nicht behandelt wurden, finden sich relevante Maßnahmen an verschiedenen Stellen, vor allem in den Bausteinen zu den Komponenten, in die sie integriert wurden. Das Thema IT-Grundschutz und KI ist somit nicht einfach, aber die organisatorische Regelung in Bezug auf Compliance und Datenschutz ist noch komplexer.

Bezüglich der Abschaltung weiterer Microsoft-Clouddienste empfehle ich einen Blick in den Artikel „Windows – Kommunikation mit Clouddiensten gemäß IT-Grundschutz steuern”.

Weitere Arten von CoPilot

Neben „Windows 11 Copilot“ gibt es mehrere weitere „Copilot“-Ausprägungen. Sie tragen zwar denselben Namen, unterscheiden sich jedoch deutlich in Bezug auf Datenbasis, Identität (privates Microsoft-Konto vs. Microsoft Entra ID), Schutzmechanismen und administrative Steuerung. In diesem Beitrag liegt der Schwerpunkt auf Windows 11 Copilot sowie Recall und Click to Do.

Microsoft 365 Copilot in Office-Apps (Word, Excel, PowerPoint, Outlook): KI-Funktionen direkt in den Microsoft 365 Apps, zum Erstellen, Analysieren und Überarbeiten von Inhalten innerhalb der jeweiligen Anwendung. In Unternehmen ist vor allem die Richtliniensteuerung für Datenschutz, Diagnosedaten und cloudbasierte Zusatzfunktionen relevant.

Microsoft 365 Copilot Chat mit Unternehmensdatenschutz (EDP): Chat-Erfahrung im Arbeitskontext. Der Schwerpunkt liegt auf organisatorischen Schutzmechanismen und Governance, beispielsweise über Enterprise Data Protection (EDP), Identität über Entra ID sowie Compliance- und Audit-Anforderungen.

Microsoft 365 Copilot in Teams bietet Unterstützung in Meetings und Events, etwa durch Zusammenfassungen, Entscheidungsfindung und Ableitung von Aufgaben. In Unternehmensumgebungen hängt die Nutzung typischerweise von Teams-Richtlinien sowie Voraussetzungen wie Transkription/Recording und deren Aufbewahrung ab.

GitHub Copilot in Visual Studio bietet Entwicklern Unterstützung in Form von Code-Vervollständigung, Chat und kontextbezogenen Vorschlägen aus dem Projekt. Für Unternehmen sind administrative Steuerelemente, Rollout-Optionen und Richtlinien zur Nutzung wichtig (z. B. erlaubte Funktionen, Datenfluss, Telemetrie).

Copilot in Microsoft Edge ist ein Copilot im Browser, der beispielsweise beim Zusammenfassen und Einordnen von Webseiten, PDFs oder Videos hilft. Im Unternehmenskontext ist entscheidend, ob und wie der Arbeitsmodus (Entra ID) genutzt wird und welche Datenschutz- und Sicherheitsvorgaben für Browserdaten und Webzugriffe gelten.

Es existieren weitere Varianten, die nur genannt werden: Copilot-Angebote für spezielle Bereiche wie Azure (Cloud-Betrieb), Security (Security-Analysen/SOC), Power Platform (Automatisierung/Low-Code) und Dynamics 365 (Fachanwendungen) sowie Copilot Studio zur Erstellung eigener KI-Agents und Workflows. Diese Varianten haben jeweils eigene Daten- und Governance-Modelle und werden in diesem Artikel nicht vertieft.

Copilot und KI-Funktionen in Windows 11 deaktivieren

Zum Deaktivieren benötigen Sie die administrativen Vorlagen für Windows 11, Microsoft Visual Studio und Microsoft Office. Am besten nutzen Sie jeweils die neueste Version der administrativen Vorlagen. Eine gepflegte Liste finden Sie im Artikel „Liste verschiedener Gruppenrichtlinien-Vorlagen”.

Copilot App

Microsoft empfiehl die Copilot App über AppLocker Regeln zu Blockieren.

Copilot in Windows

Auch wenn es von Microsoft nicht mehr Empfohlen ist, würde ich es zusätzlich noch über die GPO Einstellung für die Benutzer Deaktivieren:

- Benutzerkonfiguration>Administrative Vorlagen>Windows-Komponenten>Windows Copilot>Windows Copilot deaktivieren => Aktiviert Copilot in Microsoft Edge

Die normalen Gruppenrichtlinien Vorlagen die bei Windows für den Edge dabei sind, haben keine Einstellungen für Copilot. Da ich eh immer die Verwendung des "Microsoft Edge for Business" früher mal "Edge Enterprise" empfehle, nutze ich auch diese Gruppenrichtlinien Vorlagen.

- Computerkonfiguration>Administrative Vorlagen>Microsoft Edge>Aktiviert die Generierung von DALL-E-Designs. => Deaktiviert - Computerkonfiguration>Administrative Vorlagen>Microsoft Edge>Copilot-Zugriff auf Microsoft Edge Seiteninhalt für Entra-Kontobenutzerprofile steuern, wenn Copilot im Microsoft Edge Seitenbereich verwendet wird => Deaktiviert - Computerkonfiguration>Administrative Vorlagen>Microsoft Edge>Das Freigeben des vom Mandanten genehmigten Browserverlaufs mit Microsoft 365 Copilot-Suche zulassen => Deaktiviert - Computerkonfiguration>Administrative Vorlagen>Microsoft Edge>Hubs-Seitenleiste anzeigen => Deaktiviert - Computerkonfiguration>Administrative Vorlagen>Microsoft Edge>Seiten dürfen die integrierten KI-APIs verwenden. => Deaktiviert - Computerkonfiguration>Administrative Vorlagen>Microsoft Edge>Steuern Sie den Zugriff von Copilot auf Seitenkontext für Microsoft Entra ID-Profile. => Deaktiviert - Computerkonfiguration>Administrative Vorlagen>Microsoft Edge>Steuern, ob Microsoft 365 Copilot Chat auf der Microsoft Edge for Business-Symbolleiste angezeigt wird => Deaktiviert - Computerkonfiguration>Administrative Vorlagen>Microsoft Edge>Zugriff auf die Schreibunterstützung von Microsoft 365 Copilot in Microsoft Edge for Business steuern => Deaktiviert - Computerkonfiguration>Administrative Vorlagen>Microsoft Edge>Zugriff auf KI-gestützte Suche im Verlauf steuern => Deaktiviert - Computerkonfiguration>Administrative Vorlagen>Microsoft Edge>Generative KI>Einstellungen für das lokale GenAI-Basismodell => Aktiviert > Einstellungen für das lokale GenAI-Basismodell: Modell nicht herunterladen => Deaktiviert - Benutzerkonfiguration>Administrative Vorlagen>Microsoft Edge>Copilot-Zugriff auf Microsoft Edge Seiteninhalt für Entra-Kontobenutzerprofile steuern, wenn Copilot im Microsoft Edge Seitenbereich verwendet wird => Deaktiviert - Benutzerkonfiguration>Administrative Vorlagen>Microsoft Edge>Das Freigeben des vom Mandanten genehmigten Browserverlaufs mit Microsoft 365 Copilot-Suche zulassen => Deaktiviert - Benutzerkonfiguration>Administrative Vorlagen>Microsoft Edge>Hubs-Seitenleiste anzeigen => Deaktiviert - Benutzerkonfiguration>Administrative Vorlagen>Microsoft Edge>Steuern Sie den Zugriff von Copilot auf Seitenkontext für Microsoft Entra ID-Profile.

[fabian-niesen]

Liste verschiedener Gruppenrichtlinien Vorlagen (Updated Q2 2026)

Active Directory Gruppenrichtlinien, auch Group Policy Object (GPO) genannt, sind eines meiner Kernthemen. Ich habe viel damit in verschieden Projekten und als Microsoft Trainer zu tun. Dadurch habe ich einige Vorlagen und Links angesammelt. Diese Link Sammlung soll Ihnen das suchen ein wenig vereinfachen. Hier sind nur Vorlagen der jeweiligen Hersteller oder Projekte gelistet. Ich habe bewusst auf Drittanbieter Richtlinien verzichtet.

Kennen Sie noch eine Vorlage die Fehlt? Schreiben Sie mir bitte einen Kommentar oder eine Mail mit dem Link. Ich pflege diese Liste dann nach.

Microsoft

Windows Clients vor Windows 10 - Administrative Templates (.admx) for Windows Vista - Administrative Templates (ADMX) for Windows Server 2008 R2 and Windows 7 - Administrative Templates (.admx) for Windows 8 and Windows Server 2012 - Deutsch - Administrative Templates (.admx) for Windows 8.1 and Windows Server 2012 R2 - Deutsch Windows 10 - Administrative Templates (.admx) for Windows 10 (1511) - Administrative Templates (.admx) for Windows 10 (1607) and Windows Server 2016 - Deutsch - Administrative Templates (.admx) for Windows 10 Creators Update (1703) - Deutsch - Administrative Templates (.admx) for Windows 10 Fall Creators Update (1709) - Deutsch - Administrative Templates (.admx) for Windows 10 April 2018 Update (1803) - Administrative Templates (.admx) for Windows 10 October 2018 Update (1809) - Gilt auch für Windows Server 2019 - Administrative Templates (.admx) for Windows 10 May 2019 Update (1903) - V3.0 18.12.2019 - Administrative Templates (.admx) for Windows 10 November 2019 Update (1909) - Administrative Templates (.admx) for Windows 10 May 2020 Update (2004) - V1.0 10.06.2020 - Administrative Templates (.admx) for Windows 10 October 2020 Update (20H2) - V 2.0 07.05.2021 - Administrative Templates (.admx) for Windows 10 May 2021 Update (21H1) - V 1.0 18.05.2021 - Administrative Templates (.admx) for Windows 10 2022 Update (22H2) - V1.0 19.10.2022 Windows 11

Templates für Windows 11 sind abwärtskompatible zu Windows 10. Einige Einstellungen funktionieren aber nur mit Windows 11.

- ADMX Templates for Windows 11 October 2021 Update (21H2) - V 1.0 06.10.2021 - Administrative Templates (.admx) for Windows 11 2022 Update (22H2) - V 1.0 21.09.2022 - Administrative Vorlagen (.admx) für Windows 11 2022 Update (22H2) - V 3.0 21.07.2023 - Administrative Templates (.admx) for Windows 11 2022 Update (22H2) - V 1.0 15.07.2024 *Update* - Administrative Templates (.admx) for Windows 11 2023 Update (23H2) - V1.0 15.07.2024 *Update* - Administrative Templates (.admx) for Windows 11 2024 Update (24H2) - V1.0 30.09.2024 *Update* - Administrative Templates (.admx) for Windows 11 2025 Update (25H2) - V 1.0 29.09.2025 *Update* - Administrative Templates (.admx) for Windows 11 2025 Update (25H2) - V2.0 27.10.2025 *Update* Windows Server - Administrative Templates (ADMX) for Windows Server 2008 - Administrative Templates (ADMX) for Windows Server 2008 R2 and Windows 7 - Administrative Templates (.admx) for Windows 8 and Windows Server 2012 - Deutsch - Administrative Templates (.admx) for Windows 8.1 and Windows Server 2012 R2 - Deutsch - Administrative Templates (.admx) for Windows 10 (1607) and Windows Server 2016 - Deutsch - Administrative Templates (.admx) for Windows 10 October 2018 Update (1809) - Gilt auch für Windows Server 2019 - Administrative Templates (.admx) for Windows Server 2022 (Aug 21 release) - Administrative Templates (.admx) for Windows Server 2025 (Nov 24 release) - V 1.0 29.10.2024 *Update* - Administrative Templates (.admx) for Windows Server 2025 (October 25 release) V 3.0 27.10.2025 *Update* Microsoft Office - Administrative Vorlagendateien (ADM, ADMX, ADML) für 2007 Office System und Office-Anpassungstool Version 2.0 - Office 2010 Administrative Template files (ADM, ADMX/ADML) and Office Customization Tool download - Office 2013 Administrative Template files (ADMX/ADML) and Office Customization Tool - Administrative Template files (ADMX/ADML) and Office Customization Tool for Office 365 ProPlus, Office 2019, and Office 2016 (Aktualisiert am 22.01.2020 auf Version 4966.1000) - Umbenannt durch die Änderungen bei Office365 auf: "Administrative Template files (ADMX/ADML) and Office Customization Tool for Microsoft 365 Apps for enterprise, Office 2019, and Office 2016". Neue Version vom 12.10.2021: 5236.1000 - Administrative Template files (ADMX/ADML) for Microsoft 365 Apps for enterprise/Office LTSC 2021/Office 2019/Office 2016 and the Office Customization Tool for Office 2016 - 5423.1000 vom 02.11.2023 - Administrative Template files (ADMX/ADML) for Microsoft Office (This download includes the Group Policy Administrative Template files (ADMX/ADML) for Microsoft 365 Apps for enterprise, Office LTSC 2024, Office LTSC 2021, Office 2019, and Office 2016 and also includes the OPAX/OPAL files for the Office Customization Tool (OCT) for Office 2016.) - 5532.1000 02.12.2025 *Update* - Administrative Template files (ADMX/ADML) for Microsoft Office (Dieser Download enthält die ADMX-/ADML-Dateien für Gruppenrichtlinien-Administrationsvorlagen für Microsoft 365 Apps für Unternehmen, Office LTSC 2024, Office LTSC 2021, Office 2019 und Office 2016 sowie die OPAX-/OPAL-Dateien für das Office-Anpassungstool (OCT) für Office 2016.) - 5541.1000 vom 04.02.2026 *Update* Weitere Administrative Vorlagen von Microsoft - Microsoft Desktop Optimization Pack Group Policy Administrative Templates: Group Policy (.admx and .adml) templates for MDOP technologies: App-V, MBAM, and UE-V - Microsoft Local Administrator Password Solution (LAPS) - Können über den Installer installiert und in den Central-Store überführt werden. Sie kennen LAPS noch nicht? Dann sollten Sie das unbedingt lesen: "Local Administrator Password Solution (LAPS)" Update: Lesen Sie mehr über das neue Windows LAPS: Windows LAPS und die Migration von Microsoft LAPS – Teil 1 - Windows LAPS ist leider nicht in den Vorlagen Paketen enthalten. Hier aktualisiert Microsoft die Dateien direkt im Lokalen Policy Definition Ordner. Den passenden PowerShell Befehl zum aktualisieren des Central Store finden Sie hier. - Microsoft Edge auf Chromium Basis - Microsoft OneDrive - Die Gruppenrichtlinien Vorlagen sind ähnlich wie bei LAPS Bestandteil des Clientpaketes. Nach der Installation liegen diese unter "%localappdata%MicrosoftOneDriveBuildNumberadm" und müssen in den Centralstore überführt werden. Mehr dazu bei Microsoft Docs. - FSLogix ADMX Vorlagen sind Teils des FSLogix installation package. - Sicherheitsrichtlinien im Rahmen der Microsoft Security Baseline stehen in den jeweiligen Baselines als Vorlagen zur Verfügung. - Windows Restricted Traffic Limited Functionality Baseline - Microsoft Visual Studio (2017, 2019, 2022, 2026) - Link geht immer auf die aktuelle Fassung - Administrative Template files (ADMX/ADML) for Visual Studio (2017, 2019, 2022, 2026) - V 1.0.175.43665 16.03.2026 *Update* - Administrative Template files (ADMX/ADML) for the Windows Package Manager V 1.0 15.07.2024 *Update*

Adobe

Für die Acrobat Reihe hat Adobe ein ausführliche Dokumentation rund um das Thema Gruppenrichtlinien und Unternehmensfunktionen. Diese ist auf Englisch gehalten. Unter anderem werden auch Themen wie UE-V und Softwareverteilung beschrieben. Ich persönlich möchte aber davon abraten den Acrobat Reader über GPO zu verteilen, auch wenn Adobe es erklärt.

Ich empfehle bei dem Thema mal ein Blick in meinen Artikel "Unbeaufsichtigte Installation von Software", dort sind die 2 CMD-Befehle beschrieben, auf die eine Acrobat Reader Installation hinauslaufen kann.

Acrobat Reader - Acrobat Reader DC 2020 - Acrobat Reader DC 2017 Classic Track - Acrobat Reader DC 2015 Classic track - Acrobat Reader DC Continuous track Abobe Acrobat - Adobe Acrobat DC2020 - Adobe Acrobat DC 2017 Classic track - Adobe Acrobat DC 2015 Classic track - Adobe Acrobat DC Continuous track

Google

- Chrome Enterprise - Der Download des Chrome Enterprise Paket enthält ADMX-Vorlagen mit mehr als 300 Nutzer- und Geräterichtlinien. - Google Updater - Kann auf der Chrome Enterprise Seite zusätzlich heruntergeladen werden, ist aber auch Teil des Paketes. - Chromium Projects - Chromium ist der Open Source Anteil des Chromes. Die Richtlinien hierfür funktionieren auch mit dem Chrome. Ich würde trotzdem eher zu Chrome Enterprise greifen.

Weitere Gruppenrichtlinien Vorlagen

- Mozilla Firefox - Auch der FireFox hat mittlerweile Gruppenrichtlinien ohne eine zusätzliche Erweiterung zu brauchen - Dell Power Manager - Anleitung zur Extraktion - Lenovo Dock Manager (Firmwareupdate Tool for Lenovo Dockingstationen) - Foxit Reader GPO Vorlagen - PDF-XChange Editor, PDF-Tools und Tracker Updater (Tracker Software) - VMware Horizon Gruppenrichtlinien Vorlagen - Group Policy Options for the Windows Desktop Client and Zoom Rooms - GoToMeeting (Achtung: Nur ADM Verfügbar, kein ADMX!) - Ecosia Suchmaschine - GPO Vorlage um Ecosia in Microsoft IE und Google Chrome hinzuzufügen - Administrative Template (ADMX) for YubiKey Smart Card Minidriver - Zoom Client - Real VNC - Collabora Office / LibreOffice Windows Group Policy Template

Weiterführende Links und Anmerkungen

Bevor Kommentare deshalb kommen, ja einige dieser Betriebssysteme sind schon außerhalb ihres Support-Lifecycle, aber trotzdem werden sie in bestimmten Umgebungen teilweise noch eingesetzt. Aus diesem Grunde habe ich auch noch einige "Altlasten" erwähnt. Wer sich einen Überblick zum Thema Produkt Lebenszyklen und Microsoft verschaffen möchte, dem empfehle ich meinen Artikel "Produkt Lebenszyklen – Das gerne vergessene Wesen".

Hier sind weiterführende Links zum Thema Gruppenrichtlinien.

- Grundlagen zu GPOs auf MSXFAQ einfach erklärt von Frank Carius.

[fabian-niesen]

Neues zum Thema Abschalten von NTLM

Vor fast zwei Jahren habe ich den Artikel "LM, NTLM und NTLMv2: Was muss vor dem Abschalten beachtet werden?" verfasst. Seitdem haben sich einige Änderungen bei meinen Skripten, sowie beim Thema "Abschaltung von NTLM" ergeben.

Neues von Microsoft

Microsoft hat im KB Artikel 5064479 vom 11.07.2025 Neuerungen bei der Auditierung bekannt gegeben. Für Windows 11 24H2 und Windows Server 2025 wurde die Auditierung für NTLM erweitert und neue Event IDs hinzugefügt: 4020–4023 im Event Log "Microsoft-Windows-NTLM/Operational" für AD-Mitglieder. Für die Domänen-Controller sind die IDs 4030-4033, ebenfalls im Event Log "Microsoft-Windows-NTLM/Operational", hinzugekommen.

Bitte beachten Sie, dass das Erweiterte Protokolieren für die neu angelegten Einträge ebenfalls aktiviert werden muss. Dazu müssen zunächst die neuen Gruppenrichtlinienvorlagen (ADMX-Templates) installiert werden. Alternative habe ich für Sie unten noch eine PowerShell Alternative.

Microsoft hat also offenbar ebenfalls die Erkenntnis gewonnen, dass die bisherigen Meldungen im Event Log nur bedingt hilfreich waren. Wobei, mit etwas Zeit und entsprechender Erfahrung war es schon möglich, auch im Kaffeesatz zu lesen.

Ich hätte mir gewünscht, dass im Falle einer ernsthaften Auseinandersetzung mit dem Thema NTLM auch eine Lösung für Windows Server 2022 angeboten wird. Der letzte bekannte Bug bei Windows Server 2025 im Active Directory Bereich wurde erst im November 2025 behoben. Die meisten Kunden zeigen sich in dieser Angelegenheit noch etwas zurückhaltend und warten vorerst die Umstellung der Domänencontroller auf Windows Server 2025 ab. Es sei denn die Umstellung erfolgte aufgrund der Größe der AD-Datenbank oder eines anderen neuen AD-Features.

Was hätte man noch verbessern können?

Einiges. Microsoft hat immer noch keine vernünftigen Informationen für die Blockierten NTLM Authentifizierungen hinzugefügt. Wenn man sich bei der Einführung eines neuen Dienstes nicht sicher ist, ob NTLM-Probleme die Ursache sind, muss man es wieder erlauben, um es zu protokollieren. Man kann es für die Testsysteme generell erlauben oder eine Ausnahme für das zu prüfende System eintragen. Mein Tipp: FQDN, Kurzname und IP als Ausnahme definieren.

Es wäre gut, wenn die Informationen aus dem Audit auch in den Blockiert-Einträgen zu sehen wären. Veränderungen an der Infrastruktur könnte man so einfacher bemerken.

Es wäre auch hilfreich, die Software auf eine ältere Version zurückzusetzen. Das ist ein Thema für Umgebungen, in denen es besonders wichtig ist, Daten zu schützen. Eigentlich ist es überall wichtig, denn es ist im IT-Grundschutz festgelegt (APP.2.2.A9 und SYS.2.2.3.A9). NTLM sollte nicht mehr verwendet werden (siehe "LM, NTLM und NTLMv2: Was muss vor dem Abschalten beachtet werden?"). Aber oft werden LTSC-Versionen als Client und nicht die neusten Serverversionen eingesetzt.

Neue Protokollierung ohne die neuen ADMX-Vorlagen aktivieren

Manche können oder wollen die neuen Vorlagen nicht importieren, da hilft die PowerShell. Setze vorher die Variable $GPONAME auf den Namen der GPO. Am besten kopieren aus der Liste mit dem folgenden Befehl:

(Get-GPO -All).DisplayName

Für die Aktivierung auf Windows 11 24H2 und später sowie auf Windows Server 2025 Mietgliedsservern:

Set-GPRegistryValue -Key HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionPoliciesSystemNTLMParameters -Name $GPONAME -Type DWord -Value 1 -ValueName LogEnhancedAuditEvents

Für auf den Windows Server 2025 DCs:

Set-GPRegistryValue -Key HKEY_LOCAL_MACHINESoftwarePoliciesMicrosoftNetlogonParameters -Name $GPONAME -Type DWord -Value 1 -ValueName EnableEnhancedDomainNtlmLogs

Betriebssysteme, die die Einstellung unterstützen, können auch den RegistryKey interpretieren, ohne das passende ADMX zu haben. Wenn dann zu einem späteren Zeitpunkt die Administrativen Vorlagen aktualisiert werden, wird die Einstellung auch richtig angezeigt.

Skripte zum einfacheren Analysieren

Ich nutze schon länger ein PowerShell-Skript, um alle Logs von den Domänenkontrollern einzusammeln und auszuwerten. Neu hinzukommt jetzt eines für die Auswertung der Lokalen NTLM Logs.

Get-NTLMLogons.ps1

Das Skript "Get-NTLMLogons.ps1" analysiert NTLM-Anmeldungen anhand der Sicherheitsereignisse (Event ID 4624) im Windows Security Log. Es erkennt, wenn sich jemand mit NTLM auf dem Domänen Controller auf dem das Skript ausgeführt wird, oder allen Domänencontrollern anmeldet. Für die Abfrage aller Domänen Controller muss das Skript nicht auf einem Domänen Controller ausgeführt werden, aber es muss das Active Directory PowerShell Modul installiert sein, die Firewall muss die Zugriffe zulassen und der Benutzer muss auch die entsprechenden Berechtigungen für den Zugriff haben. Dabei werden Informationen wie Benutzerkonto, Workstation, Logon-Typ, Logon-Prozess, Authentifizierungspaket und verwendete NTLM-Version ausgewertet. Dafür muss NTLM-Auditing aktiviert sein.

Das Skript kann lokal oder domänenweit ausgeführt werden. Es erkennt Domänencontroller automatisch und verarbeitet auch nicht erreichbare Systeme. Die Ergebnisse werden übersichtlich in Tabellen ausgegeben. Sie können auch als CSV-Datei exportiert werden, um sie in Excel oder anderen Programmen auszuwerten. Es ist gut geeignet, um NTLM in Domänenumgebungen zu identifizieren und zu bewerten. Das kann man machen, wenn man die Sicherheit analysiert oder wenn man von einem System auf ein anderes umsteigen will.

Get-LocalNTLMLogs.ps1

"Get-LocalNTLMlogs.ps1" steht seit heute auf GitHub. Darin ist auch die Auswertung der neuen KB5064479 Events enthalten.

Es analysiert das lokale Ereignisprotokoll "Microsoft-Windows-NTLM/Operational" und wertet NTLM-Authentifizierungsereignisse der letzten Tage aus. Es erkennt bekannte NTLM-Event-IDs aus Windows 11 24H2 und Windows Server 2025 und klassifiziert diese in "Audited", "Blocked" oder "Info". Zu jedem Ereignis werden detaillierte Informationen wie Benutzer, Domäne, Zielsystem, Client, IP-Adresse, Protokoll, Logontyp, Prozess und Grund für die NTLM-Nutzung extrahiert und aufbereitet (sofern vorhanden).

Das Programm kann Daten flexibel auswerten. Zum Beispiel kann man einstellen, dass es nur Daten von den letzten 3 Tagen oder nur eine bestimmte Anzahl von Daten verarbeiten soll. Außerdem kann man einstellen, dass es die ursprüngliche Meldung und die Rohdaten aus dem EventLog anzeigen soll. Die Ergebnisse werden nach Aktion und Event-ID angezeigt. Sie können interaktiv (Out-GridView) oder tabellarisch angezeigt werden. Die Ergebnisse können als CSV exportiert werden. Das Skript ist für schnelle lokale Analysen und dokumentierte NTLM-Migrations- und Härtungsprojekte geeignet.

Top Probleme / Ursachen für NTLM aus der Praxis

Hier noch eine Top Liste von Ursachen aus den letzten Jahren:

IP-Adressen statt FQDN

Ein Klassiker auf den ich schon im Artikel "LM, NTLM und NTLMv2 was muss vor dem Abschalten beachtet werden?" ausführlich darüber geschrieben. Kerberos kann zwar auch mit einem entsprechenden Registry-Key nach SPN's mit IP-Adressen suchen, aber die müssen alle von Hand vorher gepflegt werden. Mehr dazu in dem Artikel.

Gesucht wird der SPN mit "CIFS" statt "HOST"

Für bestimmte Speicher-Systeme muss ein entsprechender SPN gesetzt werden, damit Kerberos funktioniert. "CIFS/Storage.domain.tld" wird gerne dafür genommen. Windows benutzt den HOST für SMB/CIFS. Der wird auch für die Systeme angelegt. Warum versucht der Client NTLM? Die Lösung ist oft einfach: Er sucht nach dem SPN für "CIFS/Domain.tld", wenn er zum Beispiel auf SYSVOL oder NetLogon zugreifen möchte. Wenn das nicht geht, benutzt er brav "HOST/DC.Domain.tld" nach kurzer Zeit. Das gilt auch teilweise für Zugriffe auf andere SMB Freigaben.

Um zu sehen, ob es CIFS-Einträge in den SPNs gibt, verwende diesen Befehl:

Setspn.exe -Q "cifs/*"

Das wäre mal was, für Microsoft zum "Entrümpeln".

Der Spooler aka Printer Nightmare

Seit KB5005010 macht der Drucker-Dienst gerne mal komische Sachen. Damals wurde eine Sicherheitslücke namens "Printer Nightmare" geschlossen. Der Spoolerdienst sucht dadurch nach dem SPN "krbtgt/NT Authority". Es gibt diesen aber nicht.

Die Lösung ist, dass man auf Servern, die keine Drucker haben oder brauchen, folgendes macht: Deaktiviere den Dienst. Er hat oft Sicherheitslücken. Wenn er nicht gebraucht wird, sollte er abgeschaltet werden. Damit kommt man auch schon mal der IT-Grundschutz Maßnahme "SYS.1.1.A6 Deaktivierung nicht Benötigter Dienste (B)" und "SYS.1.2.3.A4 Schutz vor Ausnutzung von Schwachstellen in Anwendungen (S)" nach.

Für die anderen Systeme gibt es von Microsoft einen Schlüssel in der Registry:

HKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftWindows NTPrintersRPC |

RpcNamedPipeAuthentication == 0x2 (DWORD)

Dieser ändert die Art der Anmeldung für den Dienst. Meistens ist das Problem dann gelöst. Eine Microsoft-Anleitung sagt, wie man das prüfen kann. In dem Microsoft-Artikel "A Print Nightmare Artifact - krbtgt/NT Authority" steht, wie es geht und mehr zu den Hintergründen.

Microsoft CA mit AutoEnrollment

Damit das Autoenrollment im AD klappt, muss NTLM auf der CA erlaubt werden. Wenn jemand eine Lösung findet, würde ich mich über einen Hinweis freuen. Ich habe keine gefunden.

Das sollte Microsoft reparieren.

Terminal Server mit NLA und Zugriff von außerhalb der Domäne

Das ist ein Sonderfall, der aber bei meinen Kunden öfters vorkommt. Das sind abgeschottete Management-Umgebungen (Dark Sites), auf die meist nur von einem speziellen JumpHost aus zugegriffen werden kann. Die ersten JumpHosts sind nicht in der Ziel-Domäne. Es gibt keine AD-Vertrauensstellung (aus Sicherheitsgründen). NLA kann deshalb kein Kerberos nutzen. Es wird also auf NTLM zurückgegriffen. Die Quellserver sind geschützt und die Firewalls zwischen den Umgebungen sehr streng. Deshalb hat man den Grund für NLA eigentlich anders gelöst. Ich denke, wir brauchen für die speziellen Server keine NLA mehr.

In der Kerberos-Zone läuft wieder NLA, auch wenn es Firewalls mit Microsegmentierung gibt. Das spart Diskussionen über den IT-Grundschutz.

[fabian-niesen]

Domänencontroller migrieren, aber richtig

Einen Domänencontroller zu migrieren ist in vielen Umgebungen mehr als nur ein Servertausch. Spätestens wenn Name und IP-Adresse des bisherigen DC weiterverwendet werden sollen, hängen DNS, NTP, LDAP, Replikation und oft auch Drittanwendungen mit daran. Wer hier ohne Plan vorgeht, riskiert verwaiste DNS-Einträge, fehlerhafte Replikation oder Probleme bei der Authentifizierung.

Der einfachste Weg ist, einen neuen Domänencontroller mit einem neuen Namen und einer neuen IP-Adresse zu installieren. Anschließend werden bei Bedarf die FSMO-Rollen verschoben und der alte DC sauber heruntergestuft. Technisch ist das oft schnell umgesetzt. In der Praxis gehen jedoch die wenigsten Unternehmen diesen Weg.

Der Grund ist einfach: Häufig sollen Name und vor allem die IP-Adresse des bisherigen Domänencontrollers weiterverwendet werden. Das ist grundsätzlich möglich, bringt aber einige Fallstricke mit sich. Die eigentliche Frage lautet daher nicht nur, wie man einen Domänencontroller migriert, sondern wie man dies sauber, sicher und ohne Folgeschäden umsetzt.

Warum der kompliziertere Weg oft der richtige ist

Für viele Unternehmen ist der aufwendigere Weg in Wahrheit der sinnvollere. Domänencontroller werden in der Praxis nicht nur von Windows-Systemen genutzt. Oft sind ihre Dienste fest mit einer IP-Adresse oder einem Namen in anderen Systemen hinterlegt.

Typische Beispiele aus der Praxis sind:

- DNS-Server für Systeme mit fester IP-Adresse - NTP-Server für Nicht-Windows-Systeme - LDAP- oder LDAPs-Server für die Authentifizierung von Druckern, Zeiterfassungen, Telefonanlagen, Linux-Servern, VMware und anderen Anwendungen

Wenn alle Systeme ausschließlich per DHCP arbeiten würden, könnte man viele Abhängigkeiten einfach über eine Anpassung im DHCP-Server lösen. In realen Umgebungen ist das aber oft nicht möglich oder bringt mehr Nachteile mit sich, als den Domänencontroller gezielt auszutauschen und Name oder IP-Adresse wiederzuverwenden.

Was vor der Migration eines Domänencontrollers beachtet werden muss

Vor der Migration gelten einige grundlegende Regeln. Die wichtigste zuerst: Für dieses Vorgehen benötigen Sie mehr als einen Domänencontroller. Die FSMO-Rollen müssen vorübergehend auf einen Server verschoben werden, der nicht gerade migriert wird. Wenn Sie mehrere Domänencontroller nacheinander austauschen möchten, sollte zwischen den einzelnen Schritten – abhängig von der Komplexität der Umgebung – ausreichend Zeit für Replikation und Prüfung eingeplant werden.

Bei zwei DCs an einem einzelnen AD-Standort kann man in vielen Fällen einen Domänencontroller am Vormittag und den zweiten am Nachmittag migrieren. In Umgebungen mit mehreren AD-Standorten, zusätzlichen Domänen oder Vertrauensstellungen steigt die Komplexität deutlich. Auch dort ist eine Durchführung innerhalb eines Tages möglich, allerdings nur dann, wenn nach jedem Schritt die Replikation geprüft und bei Bedarf manuell angestoßen wird.

Prüfen Sie Active Directory und die gesamte Umgebung

Vor mehr als zehn Jahren habe ich mir ein eigenes Skript geschrieben, das die AD-Umgebung auswertet und seitdem kontinuierlich erweitert wurde. Wer einen Blick darauf werfen möchte, findet es hier: Get-ADInfo.ps1 auf GitHub. Das Skript listet unter anderem auch die GUIDs der Domänencontroller für die Replikation sowie die GUID- beziehungsweise InvocationId-basierten DNS-Namen auf.

Wichtig sind vor allem die Informationen darüber, welche Domänencontroller existieren, wer welche FSMO-Rollen hält, welche Vertrauensstellungen vorhanden sind und welche Replikationsverbindungen über AD-Standortgrenzen hinweg bestehen. Besonders wichtig sind dabei die Replikationszeiten. Werden Änderungen nicht sauber repliziert, kann es passieren, dass der neue Server an anderen Standorten nicht korrekt mit bestehenden Domänencontrollern repliziert. Im schlimmsten Fall wird dadurch die Replikation zwischen Standorten oder sogar zwischen vertrauten Domänen und Gesamtstrukturen unterbrochen.

Bevor Sie mit der eigentlichen Migration beginnen, sollte zuerst geprüft werden, ob die Umgebung grundsätzlich sauber arbeitet. Dazu sollten Sie die folgenden Punkte auf allen Domänencontrollern kontrollieren:

- Prüfen Sie die Funktion der Sysvol-Replikation über DFS-R. Wenn Sie noch FRS verwenden, sollten Sie zuerst auf DFS-R migrieren. FRS ist bereits seit Windows Server 2008 veraltet und wird seit Windows Server 2016 nicht mehr unterstützt. - Führen Sie idealerweise für jeden DC einen Propagation-Test über die DFS-Verwaltungskonsole durch. Der kann für das SysVol leider nicht über die PowerShell ausgeführt werden. - Zusätzlich kann ein Backlog-Test, beispielsweise mit meinem Skript Get-DFSRBacklog.ps1, weitere Hinweise liefern. - Prüfen Sie die AD-Replikation. - Für eine generelle Prüfung führen Sie repadmin /replsum in einer administrativen Eingabeaufforderung aus. Der Befehl wertet die Replikationsverbindungen aus und liefert eine Zusammenfassung.

- Für eine Detailprüfung eignet sich repadmin /showrepl auf dem jeweiligen Domänencontroller. - Prüfen Sie alle Domänencontroller mit DCDIAG. - Führen Sie dazu DcDiag.exe in einer administrativen Eingabeaufforderung aus. - Prüfen Sie das Netzwerk und alle benötigten Ports. - Ich nutze dafür Check-Network.ps1. Das Skript prüft unter anderem, ob alle für Active Directory erforderlichen Ports zu den anderen Domänencontrollern erreichbar sind. Auch die MTU kann dabei kontrolliert werden. - Der Hintergrund ist praxisnah: Ich hatte einmal über drei Firewalls hinweg ein Problem mit UDP-Fragmentierung auf der mittleren Firewall. Betroffen waren Kerberos-Pakete, die in bestimmten Situationen zu groß für TCP wurden. Ohne Zugriff auf die Firewall-Logs habe ich über eine Woche gebraucht, um die Ursache zu finden. Daraus entstand damals der CMD-Vorgänger dieses Skripts. - Prüfen Sie die eingetragenen DNS-Server. Auf jedem Domänencontroller sollte als bevorzugter DNS-Server immer ein anderer DC eingetragen sein. Idealerweise verwenden Sie IPv4. Link-Local-IPv6-Adressen, die mit FE80: beginnen, sollten hier nicht verwendet werden – es sei denn, Sie haben nur ein einziges Netzwerksegment und das wird sich auch künftig nicht ändern.

Besonderheiten bei mehreren Standorten und Vertrauensstellungen

In Active-Directory-Umgebungen mit mehreren AD-Standorten und/oder Vertrauensstellungen gelten zusätzliche Anforderungen. Bevor Sie Replikationsverbindungen manuell ändern, sollten Sie zuerst prüfen, ob der Knowledge Consistency Checker (KCC) aktiv ist. Das ist standardmäßig der Fall. Der KCC prüft in regelmäßigen Abständen die Replikation und erstellt bei Bedarf automatisch neue Replikationsverbindungen.

Wichtig ist dabei: Das geschieht nicht sofort. Änderungen an der Topologie müssen zunächst selbst repliziert werden. Deshalb ist bei Änderungen wie dem Entfernen und Hinzufügen von Domänencontrollern Geduld erforderlich. Grundsätzlich sollte der KCC seine Arbeit machen dürfen, sofern keine sehr speziellen Anforderungen in der Netzwerkarchitektur dagegensprechen. Solche Sonderfälle sind in der Praxis selten.

- Prüfen Sie bei mehreren Standorten, ob auf dem zu entfernenden Domänencontroller manuelle Replikationsverbindungen eingetragen sind. - Wenn dies der Fall ist, müssen diese Verbindungen in beide Richtungen angepasst und die erfolgreiche Replikation anschließend geprüft werden. - Wenn nötig, kann die Replikation mit repadmin beschleunigt werden. - Prüfen Sie Änderungen an der Topologie immer auf Domänencontrollern an beiden betroffenen AD-Standorten. - Aktualisieren Sie die Konsolenansicht regelmäßig, da gerade Active Directory-Standorte und -Dienste gerne veraltete, zwischengespeicherte Informationen anzeigt.

Herabstufen des alten Domänencontrollers

Wenn alle Prüfungen erfolgreich waren, kann mit der eigentlichen Migration begonnen werden. Wichtig ist dabei vor allem eines: nichts überstürzen. Domänencontroller sind das Gehirn des Active Directory. Wenn Sie die vorgeschlagenen Vorprüfungen noch nicht durchgeführt haben, holen Sie das nach. Viele Probleme, die später aufwendig analysiert werden müssen, lassen sich an dieser Stelle bereits verhindern.

Stufen Sie den auszutauschenden Domänencontroller sauber herunter. Kürzen Sie keine Neustarts ab, denn diese sind in diesem Ablauf sinnvoll und notwendig. Nach der Herabstufung zum Mitgliedsserver sollte der Server nicht einfach aus Active Directory gelöscht werden. Entfernen Sie ihn sauber aus der Domäne, indem Sie ihn in eine Arbeitsgruppe verschieben, und führen Sie danach den Neustart durch. Erst wenn der Server in der Arbeitsgruppe gestartet wurde, sollte er endgültig gelöscht, abgeschaltet oder abgebaut werden.

Prüfen Sie danach die folgenden Punkte sorgfältig in dem AD-Standort, in dem der Server zuvor betrieben wurde. Wenn dort nur ein einzelner DC vorhanden war, prüfen Sie diese Punkte auf dem PDC-Emulator.

- Wurden die Replikationsverbindungen des alten Domänencontrollers in Active Directory-Standorte und -Dienste entfernt? - Befindet sich das Computerkonto nicht mehr in der OU Domain Controllers? - Ist der alte Domänencontroller noch in der DNS-Zone _msdcs vorhanden? Das gilt auch für GUID- beziehungsweise InvocationId-basierte DNS-Namen. Prüfen Sie die komplette Zone einschließlich der standortbezogenen Einträge. Wenn Sie noch Einträge finden, löschen Sie diese manuell – aber nur dann, wenn eindeutig klar ist, dass es sich um verwaiste Einträge handelt.

Wenn Sie mehrere AD-Standorte oder Vertrauensstellungen haben, warten Sie danach, bis die Replikation des Active Directory abgeschlossen ist und der KCC gegebenenfalls die Replikationsverbindungen wiederhergestellt hat.

Passiert das nicht innerhalb der erwarteten Zeit, kann eine manuelle Wiederherstellung der Verbindungen erforderlich sein. Als Faustregel bietet sich an: Intersite-Replikationszeit × 2 + 1 Stunde. Das ist jedoch eine Maßnahme zur Fehlerbehebung und keine Abkürzung für ungeduldige Administratoren. Denken Sie daran, dass Intersite-Replikationsverbindungen immer auf einem Domänencontroller am jeweiligen AD-Standort eingerichtet werden müssen.

Wenn die Replikationsverbindungen wieder sauber aussehen, wiederholen Sie die bereits durchgeführten Prüfungen, um sicherzustellen, dass die Umgebung weiterhin konsistent ist.

Heraufstufen des neuen Domänencontrollers

Bevor der neue Domänencontroller heraufgestuft wird, sollten alle Netzwerkverbindungen noch einmal geprüft werden. Am einfachsten geht das mit Check-Network.ps1.

Wenn alle Prüfungen abgeschlossen sind, kann der neue DC heraufgestuft werden. Wichtig ist dabei, dass Name und IP-Adresse vorab korrekt vorbereitet wurden und der Server bereits in der Domäne Mitglied ist. Nach der Heraufstufung und den erforderlichen Neustarts sollten Sie mindestens die folgenden Punkte prüfen:

- Sind SysVol und NetLogon freigegeben? Am einfachsten prüfen Sie das mit Get-SmbShare. - Wurde das Computerobjekt in die OU Domain Controllers verschoben? - Wurde der Server dem richtigen AD-Standort zugeordnet? - Sind die DNS-Einträge des neuen DC in _msdcs vorhanden? - Ist DCDIAG ohne kritische Fehler? - Funktioniert die DFS-R-Replikation? - Funktioniert die AD-Replikation? - Sind die DNS-Server korrekt eingetragen? Als bevorzugter DNS muss ein anderer DC eingetragen sein. Der eigene Server sollte höchstens ergänzend eingetragen werden. Andernfalls sind Replikationsprobleme praktisch vorprogrammiert.

Im Anschluss sollten alle Dienste und Systeme geprüft werden, die bisher den alten Domänencontroller verwendet haben. Dazu gehören insbesondere DNS, NTP, LDAP, LDAPs sowie Anwendungen mit fest konfigurierten Zielsystemen.

Und wer das gerne nochmal als Plan haben möchte, bitte sehr.

Ablaufplan Domänencontroller migrieren, aber richtig

Troubleshooting

DFS-Replikation funktioniert nicht richtigWenn es Probleme mit der DFS-R-Replikation gibt, sichern Sie zuerst auf allen betroffenen Domänencontrollern den SysVol-Ordner. Prüfen Sie anschließend, ob unter „Policies“ Ordner vorhanden sind, die auf dem PDC-Emulator fehlen. Bevor Sie Dateien kopieren, sollten Sie unbedingt kontrollieren, ob die zugehörigen Gruppenrichtlinien auf dem PDC-Emulator überhaupt noch existieren. Die IDs lassen sich mit dem PowerShell-Befehl „Get-GPO -All | Format-Table -Property DisplayName,Id -AutoSize“ ermitteln. Sichern Sie im Zweifel auch die SysVol-Ordner der anderen Domänencontroller. Beachten Sie außerdem, dass bei gestörter Replikation einzelne Server ältere Versionen von Gruppenrichtlinien enthalten können. Wird die Replikation später repariert oder wechseln diese Server den Domänencontroller, kann sich das Verhalten der Systeme ändern. Wenn alles geprüft und gesichert wurde, kann eine autorisierende DFS-R-Wiederherstellung durchgeführt werden, idealerweise mit dem PDC-Emulator als Quelle. Prüfen Sie danach das Ereignisprotokoll und testen Sie die normale DFS-R-Replikation erneut.Was tun bei verwaisten DNS-Einträgen alter Domänencontroller?Vor der Bereinigung sollten Sie zuerst die GUIDs beziehungsweise InvocationIds der Domänencontroller ermitteln. Get-ADInfo.ps1 zeigt diese Werte an. Im DNS sollten nur noch Alias-Einträge beziehungsweise Registrierungen aktiver Domänencontroller vorhanden sein. Prüfen Sie dabei auch Einträge wie _kerberos, _ldap sowie weitere Dienstregistrierungen in den Unterzonen _tcp und _udp. Das gilt sowohl für die eigentliche DNS-Zone als auch für die AD-integrierte Zone _msdcs. Veraltete Einträge sollten entfernt und anschließend repliziert werden, damit alle Domänencontroller denselben Stand haben.Was tun bei fehlenden DNS-Einträgen des neuen Domänencontrollers?Prüfen Sie zuerst, ob die Replikation aktuell und fehlerfrei ist. Möglicherweise wurde der fehlende Eintrag einfach noch nicht repliziert. Ist das nicht die Ursache, sollten die auf dem Server eingetragenen DNS-Server geprüft werden. Als bevorzugter DNS sollte immer ein anderer Domänencontroller eingetragen sein. Der lokale Server sollte höchstens sekundär mit 127.0.0.1 oder einem vergleichbaren Eintrag verwendet werden. Wenn auch das nicht die Ursache ist, können Sie die DNS-Registrierung mit „ipconfig /registerdns“ als Administrator neu anstoßen. Innerhalb von etwa 15 Minuten sollten die Einträge erscheinen. Hinweise auf die Ursache finden sich häufig im Ereignisprotokoll. Wenn weder Fehlermeldungen im Eventlog noch Einträge in DNS erscheinen, kann auch eine spezielle Hub-Spoke-Konfiguration der Umgebung die Ursache sein.Probleme mit LDAP oder LDAPs nach der UmstellungGerade wenn für Domänencontroller Zertifikate ausgestellt wurden, um LDAP per TLS abzusichern, kann es nach der Migration zu Problemen kommen. In vielen Umgebungen wurden bei der Einrichtung nicht die Zertifikate der Zertifizierungsstelle, sondern direkt die Zertifikate des bisherigen Domänencontrollers verteilt oder hinterlegt. Besonders bei selbstsignierten Zertifikaten ohne eigene Zertifizierungsstelle kann das nach einem Austausch zu zusätzlichem Aufwand führen. In solchen Fällen sollten Zertifikatskette, Vertrauensstellung und Zielnamen sorgfältig geprüft werden.Gruppenrichtlinien lassen sich nach der Migration nicht anwendenGelegentlich kommt es vor, dass Gruppenrichtlinien nach der Migration nicht mehr korrekt angewendet werden. Oft taucht dann eine GUID wie „{F312195E-3D9D-447A-A3F5-08DFFA24735E}“ auf. Dabei handelt es sich um die GUID der Gruppenrichtlinienerweiterung, die das Problem verursacht. Ein typischer Kandidat in virtuellen Umgebungen ist die Erweiterung „VirtualizationBasedSecurity“, also Device Guard und/oder Credential Guard. In solchen Fällen sollte die betroffene Erweiterung identifiziert und die zugehörige Richtlinie gezielt geprüft werden.

Fazit

Einen Domänencontroller zu migrieren ist kein Hexenwerk, aber auch keine Aufgabe für Abkürzungen. Wer Name und IP-Adresse eines bestehenden DC wiederverwenden möchte, muss sauber arbeiten und vor allem die Umgebung vorab prüfen. Replikation, DFS-R, DNS, Standorttopologie und abhängige Dienste müssen vor und nach jedem Schritt kontrolliert werden.

Gerade in Umgebungen mit mehreren Standorten, Vertrauensstellungen oder fest konfigurierten Drittanwendungen zeigt sich, ob eine Migration geplant oder nur schnell durchgeführt wurde. Wenn Sie die Prüfungen konsequent durchführen, Replikationszeiten berücksichtigen und den alten Domänencontroller wirklich sauber entfernen, lässt sich auch der kompliziertere Weg stabil und ohne böse Überraschungen umsetzen.

Häufige Fragen zur Migration von Domänencontrollern

Kann ich bei der Migration eines Domänencontrollers Name und IP-Adresse wiederverwenden?Ja, das ist grundsätzlich möglich. Genau das ist in vielen produktiven Umgebungen sogar der wichtigste Grund für eine geplante Migration. Vor der Wiederverwendung müssen jedoch Replikation, DNS, DFS-R, Freigaben und abhängige Dienste sauber geprüft werden.Müssen die FSMO-Rollen vor der Migration verschoben werden?Ja. Die FSMO-Rollen sollten vorübergehend auf einen Domänencontroller verschoben werden, der nicht gerade migriert wird. Erst wenn die Umgebung stabil ist, sollte über eine spätere Rückverlagerung entschieden werden. Dazu kann mein Skript Move-FSMO.ps1 verwendet werden.Warum ist die AD-Replikation vor der Migration so wichtig?Wenn die Replikation bereits vor der Migration fehlerhaft ist, werden Änderungen wie das Entfernen oder Hinzufügen von Domänencontrollern nicht sauber in der Gesamtstruktur verteilt. Das führt häufig zu DNS-Fehlern, verwaisten Objekten, defekten Gruppenrichtlinien oder unterbrochenen Standortverbindungen.Kann ich einen neuen Domänencontroller installieren, wenn SYSVOL noch mit FRS repliziert wird?Bei aktuellen Windows-Server-Versionen ist das nicht mehr vorgesehen. Vor der Heraufstufung neuer Domänencontroller sollte SYSVOL auf DFS-R migriert sein. Bestehende FRS-Umgebungen müssen daher zuerst bereinigt und migriert werden.

[fabian-niesen]

Benutzerspezifische Administrativen Vorlagen in Intune (Version 2304)

Von Fabian Niesen In diesem Artikel finden Sie die Liste der Benutzerspezifische Vorlagen von Microsoft Intune. Release Stand ist 2304, also April 2023. Mehr Details und Hintergründe, sowie etwas Statistik finden Sie in dem Artikel "Administrative Vorlagen in Intune (Version 2304)". Die Gerätespezifischen Vorlagen finden Sie in dem Artikel "Gerätespezifischen Administrativen Vorlagen in Intune (Version 2304)" Lesen Sie den ganzen Artikel

[fabian-niesen]

Gerätespezifische Administrativen Vorlagen in Intune (Version 2304)

Von Fabian Niesen In diesem Artikel finden Sie die Liste der Gerätespezifischen Vorlagen von Microsoft Intune. Release Stand ist 2304, also April 2023. Mehr Details und Hintergründe, sowie etwas Statistik finden Sie in dem Artikel "Administrative Vorlagen in Intune (Version 2304)". Die Benutzerspezifischen Vorlagen finden Sie in dem Artikel "Benutzerspezifische Administrativen Vorlagen in Intune (Version 2304)" Lesen Sie den ganzen Artikel

[fabian-niesen]

Administrative Vorlagen in Intune (Version 2304)

Von Fabian Niesen Erfahren Sie mehr über die beeindruckende Entwicklung der Administrativen Vorlagen in Microsoft Intune seit Oktober 2019. Die Anzahl der verfügbaren Vorlagen ist von ursprünglich 277 in der Vorschau auf nun 6966 in der aktuellen Version (Version 2304 - Stand 01.05.2023) gestiegen. Entdecken Sie die überarbeitete Kategorisierung und Bereiche der Administrativen Vorlagen, um das Potenzial von Microsoft Intune für Ihre Geräteverwaltung und Sicherheit voll auszuschöpfen. Lesen Sie den ganzen Artikel

[fabian-niesen]

Der Deutsche IT-Grundschutz bildet die Basis für die IT-Sicherheit in Deutschland und ist international anerkannt. Hierbei handelt es sich um eine Sammlung von Empfehlungen, die IT-Systemen helfen, vor Sicherheitsbedrohungen geschützt zu sein. In diesem Blogartikel möchte ich näher auf den Ursprung, die internationale Akzeptanz und den Aufbau des Deutschen IT-Grundschutzes eingehen.Ursprung des deutschen IT-GrundschutzesDer Deutsche IT-Grundschutz wurde in den 1990er Jahren von der Bundesverwaltung entwickelt. Damals gab es einen steigenden Bedarf an IT-Sicherheit, da immer mehr Prozesse automatisiert wurden. Es ging darum, die Sicherheit der IT-Systeme und damit verbundenen Daten in der Bundesverwaltung zu gewährleisten. Ausgehend von dieser Entwicklungsarbeit entstand schließlich der Deutsche IT-Grundschutz.Internationale Akzeptanz des deutschen IT-GrundschutzesMittlerweile hat der Deutsche IT-Grundschutz auch international an Bedeutung gewonnen. Die Internationalisierung erfolgte durch die Übernahme des Standards im ISO/IEC 27001-Standard. Hierbei handelt es sich um ein weltweit anerkanntes Zertifizierungsmodell für Informationssicherheits-Management-Systeme (ISMS). Dies bedeutet, dass auch Unternehmen und Organisationen außerhalb Deutschlands den Deutschen IT-Grundschutz als Grundlage für ihre IT-Sicherheit nutzen können und dies zertifizieren lassen können.Im Jahr 2018 hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) eine Englischausgabe des IT-Grundschutzes veröffentlicht. Dies soll dazu beitragen, dass der Standard in anderen Ländern besser bekannt wird und mehr Unternehmen und Organisationen ihn nutzen.Aufbau des deutschen IT-GrundschutzesDer IT-Grundschutz ist ein wichtiges Werkzeug, das Unternehmen und Institutionen dabei unterstützt, ihre Informationen und Systeme abzusichern. Der ganzheitliche Ansatz des IT-Grundschutzes berücksichtigt technische, organisatorische, infrastrukturelle und personelle Aspekte der Informationssicherheit. Das IT-Grundschutz-Kompendium und die IT-Grundschutz-Profile sind besonders nützlich für kleine und mittlere Unternehmen, die einen eigenen IT-Betrieb haben.Die BSI-StandardsDie BSI-Standards sind ein zentraler Bestandteil der IT-Grundschutz-Methodik und bieten Anwendern aus Behörden und Unternehmen sowie Herstellern und Dienstleistern Empfehlungen zu Methoden, Prozessen und Maßnahmen zur Informationssicherheit. Die BSI-Standards 200-1, 200-2 und 200-3 haben im Oktober 2017 die früheren BSI-Standards der Reihe 100-x abgelöst. Unternehmen können mit einem ISO 27001-Zertifikat auf Basis des IT-Grundschutzes zusätzliches Vertrauen bei Kunden und Partnern schaffen.Der BSI-Standard 200-1 definiert allgemeine Anforderungen für ein Managementsystem für Informationssicherheit (ISMS), das kompatibel mit dem ISO-Standard 27001 und anderen ISO-Standards ist. Er ist unabhängig von der Methode und zur IT-Grundschutz-Vorgehensweise kompatibel.Der BSI-Standard 200-2 bildet die Basis für den Aufbau eines Informationssicherheitsmanagements (ISMS) und etabliert drei neue Vorgehensweisen für die Umsetzung des IT-Grundschutzes. Die beiden verschlankten und modularen Vorgehensweisen Basis- und Kernabsicherung erleichtern insbesondere Verantwortlichen in kleinen und mittelständischen Betrieben den Einstieg.Der BSI-Standard 200-3 bündelt alle risikobezogenen Arbeitsschritte bei der Umsetzung des IT-Grundschutzes und ermöglicht ein angestrebtes Sicherheitsniveau mit deutlich reduziertem Aufwand.Der BSI-Standard 200-4 bietet eine praxisnahe Anleitung für ein Business Continuity Management System (BCMS) in der eigenen Institution. Er ist bisher nicht zertifizierbar, aber hilft insbesondere unerfahrenen BCM-Anwendern und -Anwenderinnen einen leichten Einstieg in die Thematik zu finden. Der Anforderungskatalog folgt von der Struktur und Sortierung dem BCMS-Prozess. Hilfsmittel wie Dokumentvorlagen oder weitere Aspekte zur Bewältigung werden kontinuierlich auf der Webseite veröffentlicht. Während der Community-Draft-Phase bleibt der bestehende BSI-Standard 100-4 gültig, bis eine finale Version des BSI-Standards 200-4 veröffentlicht wird.Das IT-Grundschutz-KompendiumDas IT-Grundschutz-Kompendium ist eine wichtige Quelle für all jene, die sich mit dem Thema Informationssicherheit beschäftigen. Es besteht aus den IT-Grundschutz-Bausteinen, die zehn verschiedenen Themenbereichen zugeordnet sind, sowie einer Einführung in die Thematik. Neben technischen Aspekten werden auch Sicherheitsaspekte zu Infrastruktur, Organisation und Personal berücksichtigt. Die Bausteine setzen sich aus Basis- und Standardanforderungen sowie Anforderungen bei erhöhtem Schutzbedarf zusammen. Darüber hinaus können Anwender in den Umsetzungshinweisen nachlesen, wie sie die Anforderungen praktisch umsetzen können. Das IT-Grundschutz-Kompendium wird jedes Jahr aktualisiert und bietet somit aktuelles und praxisorientiertes Fachwissen zu den wichtigsten Themen der Informationssicherheit.IT-Grundschutz-ProfileDas IT-Grundschutz-Profil ist eine Dokumentation der Schritte eines Sicherheitsprozesses für einen bestimmten Anwendungsbereich. Diese Dokumente werden von verschiedenen Institutionen gemeinsam erstellt und in der Regel von Branchenverbänden unterstützt. Unternehmen mit ähnlichen Sicherheitsanforderungen können auf dieser Basis ihre Prozesse effektiv absichern, wobei der Aufwand reduziert wird. Die Profile sind für verschiedene Branchen, wie Handwerksbetriebe oder Kommunalverwaltungen, veröffentlicht. Das IT-Grundschutz-Team unterstützt gemeinsam mit der Allianz für Cyber-Sicherheit interessierte Anwender bei der Erstellung von IT-Grundschutz-Profilen. Eine Anleitung auf der Website des BSI führt Anwender durch den Erstellungsprozess. Mit IT-Grundschutz-Profilen kann ein Unternehmen seine Sicherheit erhöhen und somit Risiken reduzieren.Deutsche Gesetze im Zusammenhang mit dem IT-GrundschutzIn den letzten Jahren wurden in Deutschland mehrere Gesetze im Zusammenhang mit IT-Sicherheit verabschiedet oder angekündigt. Hier sind einige Beispiele:Gesetz zur Umsetzung der NIS-Richtlinie / NIS2Im Mai 2018 wurde das Gesetz zur Umsetzung der NIS-Richtlinie eingeführt, welche von der Europäischen Union zur Gewährleistung der IT-Sicherheit kritischer Infrastrukturen in Europa ins Leben gerufen wurde. Das entsprechende deutsche Gesetz sieht vor, dass Betreiber von "kritischen Infrastrukturen" (z.B. Energieversorger, Wasserwerke, Krankenhäuser) ein bestimmtes Sicherheitsniveau garantieren und schwerwiegende Cyberangriffe melden müssen.Ab 2023 gilt die NIS2 (2022/2555), welche Mindeststandards für Informationssicherheit und Cybersicherheit festlegt. Unternehmen, die zu bestimmten besonders kritischen Sektoren zählen, mit mehr als 50 Mitarbeitern und einem Umsatz von über 10 Millionen Euro pro Jahr müssen diese Standards ab 2014 umsetzen. Bei Nichteinhaltung drohen Strafen in Höhe von bis zu 10 Millionen Euro.Eventuell wird NIS2 auch als Überarbeitung des IT-Sicherheitsgesetz umgesetzt.IT-Sicherheitsgesetz 2.0Das IT-Sicherheitsgesetz 2.0 ist eine Anpassung des seit 2015 geltenden IT-Sicherheitsgesetzes („Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme“). Das Ziel des IT-Sicherheitsgesetzes besteht darin, die Sicherheit kritischer Infrastrukturen in Deutschland zu erhöhen, um so vor allem Angriffe auf diese Infrastrukturen zu verhindern oder zumindest abzuwehren. Bisher waren davon vor allem Betreiber von Energienetzen und Wasserwerken sowie Unternehmen aus den Segmenten „Informationstechnik und Telekommunikation“ betroffen. Mit der Überarbeitung des Gesetzes sollen noch weitere kritische Infrastrukturen in den Fokus rücken.Das IT-Sicherheitsgesetz 2.0: Warum wurde es überarbeitet?In der digitalen Welt nimmt die Bedeutung von Informationssicherheit und Datenschutz immer weiter zu. Gleichzeitig nehmen auch die Bedrohungen durch Cyberangriffe zu. Hierbei geht es längst nicht mehr nur um kleine Hacker-Angriffe, sondern um hochprofessionelle Angriffe von kriminellen Organisationen oder fremden Staaten, die es gezielt auf große Einrichtungen wie Stromversorger oder Finanzinstitute abgesehen haben. Ein Cyberangriff kann hier bereits weitreichende Folgen haben und im schlimmsten Fall sogar die Funktionsfähigkeit einer ganzen Region lahmlegen.Das IT-Sicherheitsgesetz 2.0 soll genau hier ansetzen und den Schutz von Infrastrukturen gegen mögliche Angriffe erhöhen. Hierfür legt das Gesetz den Fokus auf eine verstärkte Zusammenarbeit zwischen Behörden, Unternehmen und Organisationen sowie auf eine bessere Aufklärung der breiten Öffentlichkeit zum Thema Cybersecurity. Ebenso soll die Möglichkeit eines staatlichen Eingreifens, bspw. im Falle eines schwerwiegenden Cyberangriffs auf kritische Infrastrukturen, ausgebaut werden.Die Kernpunkte des IT-Sicherheitsgesetzes 2.0:Eine verbesserte Meldepflicht: Betreiber von kritischen Infrastrukturen müssen bei Cyberattacken, welche sich auf ihre Netze auswirken, innerhalb von 24 Stunden die entsprechenden Behörden des Bundes und Landes informieren.Schaffung von Kompetenzzentren: Die Einrichtung von Kompetenzzentren soll eine effektive Abwehr von Cyberangriffen ermöglichen. Hierfür sollen die Experten der Bundes- und Landesbehörden enger zusammenarbeiten und auf spezifisches Fachwissen zurückgreifen können.Ein Cyber-Sicherheitsrat: Der neu geschaffene Cyber-Sicherheitsrat soll sowohl die Zusammenarbeit zwischen den einzelnen Akteuren verbessern als auch die Aufklärung der breiten Öffentlichkeit vorantreiben.Erhöhung der Strafen: Strafen für Verstöße gegen das IT-Sicherheitsgesetz sollen erhöht werden. Auch eine Haftstrafe ist im Falle von besonders schwerwiegenden Verstößen möglich.Sicherheitsaudits: Unternehmen müssen in regelmäßigen Abständen durch eine unabhängige Stelle auditiert werden, um die Einhaltung der IT-Sicherheitsrichtlinien sicherzustellen.Das IT-Sicherheitsgesetz 2.0: Was sind die Auswirkungen für Unternehmen?Die Neuerungen des IT-Sicherheitsgesetzes 2.0 betreffen vor allem Betreiber kritischer Infrastrukturen. Diese müssen sich auf deutlich strengere Anforderungen an die IT-Sicherheit einstellen und sollten schon jetzt damit beginnen, ihre Systeme entsprechend abzusichern und zu überprüfen. Unternehmen, welche nicht unter diese Kategorie fallen, müssen sich ebenfalls mit der Thematik auseinandersetzen. Auch sie sind in der Verantwortung, ihre Systeme von potenziellen Schwachstellen freizuhalten und die eigene Netzwerksicherheit regelmäßig zu überprüfen.BSI-GesetzDas Bundesamt für Sicherheit in der Informationstechnik (BSI) ist die zentrale Behörde in Deutschland, die sich mit IT-Sicherheit beschäftigt. Das BSI-Gesetz legt fest, welche Aufgaben und Befugnisse das BSI hat und wie es arbeitet.Diese Gesetze sind nur einige Beispiele dafür, wie sich die deutsche Gesetzgebung mit dem Thema IT-Sicherheit auseinandersetzt. In Zeiten zunehmender Cyberangriffe und Cyberbedrohungen wird das Thema voraussichtlich weiterhin eine hohe Priorität haben.FazitDer Deutsche IT-Grundschutz bildet eine wichtige Basis für die IT-Sichersicherheit. Auf Grund seiner Modularität kann er auch schon von kleineren Unternehmen eingeführt oder als Leitfaden übernommen werden.Das IT-Grundschutz-Kompendium (Aktuell in Deutsch ist die Edition 2023, vom 01.02.2023) ist kostenfrei als PDF beim BSI erhältlich. Es umfasst 858 DIN-A4 Seiten. Die einzelnen Bausteine sind ebenfalls als PDF kostenfrei erhältlich.Mein Tipp: Das BSI bietet auch eine kostenlose Onlineschulung zum IT-Grundschutz an.

[fabian-niesen]

BSI Sicherheitsempfehlungen für Window 10

Von Fabian NiesenDas Bundesamt für Sicherheit in der Informationstechnik (BSI) hat neue Dokumente zu Microsoft Windows 10 und die Absicherung veröffentlicht. Ich habe die BSI Sicherheitsempfehlungen für Window 10 gesichtet, bevor ich darüber berichten wollte. Hintergrund ist, das in der Vergangenheit Veröffentlichungen in dieser Richtung schonmal bei Veröffentlichung mehr als veraltet waren oder diese sehr oberflächig waren.

[fabian-niesen]

Liste verschiedener Gruppenrichtlinien Vorlagen (Updated)

Von Fabian Niesen Active Directory Gruppenrichtlinien, auch Group Policy Object (GPO) genannt, sind eines meiner Kernthemen. Ich habe viel damit in verschieden Projekten und als Microsoft Trainer zu tun. Dadurch habe ich einige Vorlagen und Links angesammelt. Diese Link Sammlung soll Ihnen das suchen ein wenig vereinfachen. Hier sind nur Vorlagen der jeweiligen Hersteller oder Projekte gelistet. Ich ... Weiterlesen Lesen Sie den ganzen Artikel

[fabian-niesen]

Was ist der deutsche IT-Grundschutz?

Der Deutsche IT-Grundschutz bildet die Basis für die IT-Sicherheit in Deutschland und ist international anerkannt. Hierbei handelt es sich um eine Sammlung von Empfehlungen, die IT-Systemen helfen, vor Sicherheitsbedrohungen geschützt zu sein. In diesem Blogartikel möchte ich näher auf den Ursprung, die internationale Akzeptanz und den Aufbau des Deutschen IT-Grundschutzes eingehen. Ursprung des deutschen IT-Grundschutzes Der Deutsche IT-Grundschutz wurde in den 1990er Jahren von der Bundesverwaltung entwickelt. Damals gab es einen steigenden Bedarf an IT-Sicherheit, da immer mehr Prozesse automatisiert wurden. Es ging darum, die Sicherheit der IT-Systeme und damit verbundenen Daten in der Bundesverwaltung zu gewährleisten. Ausgehend von dieser Entwicklungsarbeit entstand schließlich der Deutsche IT-Grundschutz. Internationale Akzeptanz des deutschen IT-Grundschutzes Mittlerweile hat der Deutsche IT-Grundschutz auch international an Bedeutung gewonnen. Die Internationalisierung erfolgte durch die Übernahme des Standards im ISO/IEC 27001-Standard. Hierbei handelt es sich um ein weltweit anerkanntes Zertifizierungsmodell für Informationssicherheits-Management-Systeme (ISMS). Dies bedeutet, dass auch Unternehmen und Organisationen außerhalb Deutschlands den Deutschen IT-Grundschutz als Grundlage für ihre IT-Sicherheit nutzen können und dies zertifizieren lassen können. Im Jahr 2018 hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) eine Englischausgabe des IT-Grundschutzes veröffentlicht. Dies soll dazu beitragen, dass der Standard in anderen Ländern besser bekannt wird und mehr Unternehmen und Organisationen ihn nutzen. Aufbau des deutschen IT-Grundschutzes Der IT-Grundschutz ist ein wichtiges Werkzeug, das Unternehmen und Institutionen dabei unterstützt, ihre Informationen und Systeme abzusichern. Der ganzheitliche Ansatz des IT-Grundschutzes berücksichtigt technische, organisatorische, infrastrukturelle und personelle Aspekte der Informationssicherheit. Das IT-Grundschutz-Kompendium und die IT-Grundschutz-Profile sind besonders nützlich für kleine und mittlere Unternehmen, die einen eigenen IT-Betrieb haben. Die BSI-Standards Die BSI-Standards sind ein zentraler Bestandteil der IT-Grundschutz-Methodik und bieten Anwendern aus Behörden und Unternehmen sowie Herstellern und Dienstleistern Empfehlungen zu Methoden, Prozessen und Maßnahmen zur Informationssicherheit. Die BSI-Standards 200-1, 200-2 und 200-3 haben im Oktober 2017 die früheren BSI-Standards der Reihe 100-x abgelöst. Unternehmen können mit einem ISO 27001-Zertifikat auf Basis des IT-Grundschutzes zusätzliches Vertrauen bei Kunden und Partnern schaffen. Der BSI-Standard 200-1 definiert allgemeine Anforderungen für ein Managementsystem für Informationssicherheit (ISMS), das kompatibel mit dem ISO-Standard 27001 und anderen ISO-Standards ist. Er ist unabhängig von der Methode und zur IT-Grundschutz-Vorgehensweise kompatibel. Der BSI-Standard 200-2 bildet die Basis für den Aufbau eines Informationssicherheitsmanagements (ISMS) und etabliert drei neue Vorgehensweisen für die Umsetzung des IT-Grundschutzes. Die beiden verschlankten und modularen Vorgehensweisen Basis- und Kernabsicherung erleichtern insbesondere Verantwortlichen in kleinen und mittelständischen Betrieben den Einstieg. Der BSI-Standard 200-3 bündelt alle risikobezogenen Arbeitsschritte bei der Umsetzung des IT-Grundschutzes und ermöglicht ein angestrebtes Sicherheitsniveau mit deutlich reduziertem Aufwand. Der BSI-Standard 200-4 bietet eine praxisnahe Anleitung für ein Business Continuity Management System (BCMS) in der eigenen Institution. Er ist bisher nicht zertifizierbar, aber hilft insbesondere unerfahrenen BCM-Anwendern und -Anwenderinnen einen leichten Einstieg in die Thematik zu finden. Der Anforderungskatalog folgt von der Struktur und Sortierung dem BCMS-Prozess. Hilfsmittel wie Dokumentvorlagen oder weitere Aspekte zur Bewältigung werden kontinuierlich auf der Webseite veröffentlicht. Während der Community-Draft-Phase bleibt der bestehende BSI-Standard 100-4 gültig, bis eine finale Version des BSI-Standards 200-4 veröffentlicht wird. Das IT-Grundschutz-Kompendium Das IT-Grundschutz-Kompendium ist eine wichtige Quelle für all jene, die sich mit dem Thema Informationssicherheit beschäftigen. Es besteht aus den IT-Grundschutz-Bausteinen, die zehn verschiedenen Themenbereichen zugeordnet sind, sowie einer Einführung in die Thematik. Neben technischen Aspekten werden auch Sicherheitsaspekte zu Infrastruktur, Organisation und Personal berücksichtigt. Die Bausteine setzen sich aus Basis- und Standardanforderungen sowie Anforderungen bei erhöhtem Schutzbedarf zusammen. Darüber hinaus können Anwender in den Umsetzungshinweisen nachlesen, wie sie die Anforderungen praktisch umsetzen können. Das IT-Grundschutz-Kompendium wird jedes Jahr aktualisiert und bietet somit aktuelles und praxisorientiertes Fachwissen zu den wichtigsten Themen der Informationssicherheit. IT-Grundschutz-Profile Das IT-Grundschutz-Profil ist eine Dokumentation der Schritte eines Sicherheitsprozesses für einen bestimmten Anwendungsbereich. Diese Dokumente werden von verschiedenen Institutionen gemeinsam erstellt und in der Regel von Branchenverbänden unterstützt. Unternehmen mit ähnlichen Sicherheitsanforderungen können auf dieser Basis ihre Prozesse effektiv absichern, wobei der Aufwand reduziert wird. Die Profile sind für verschiedene Branchen, wie Handwerksbetriebe oder Kommunalverwaltungen, veröffentlicht. Das IT-Grundschutz-Team unterstützt gemeinsam mit der Allianz für Cyber-Sicherheit interessierte Anwender bei der Erstellung von IT-Grundschutz-Profilen. Eine Anleitung auf der Website des BSI führt Anwender durch den Erstellungsprozess. Mit IT-Grundschutz-Profilen kann ein Unternehmen seine Sicherheit erhöhen und somit Risiken reduzieren. Deutsche Gesetze im Zusammenhang mit dem IT-Grundschutz In den letzten Jahren wurden in Deutschland mehrere Gesetze im Zusammenhang mit IT-Sicherheit verabschiedet oder angekündigt. Hier sind einige Beispiele: Gesetz zur Umsetzung der NIS-Richtlinie / NIS2 Im Mai 2018 wurde das Gesetz zur Umsetzung der NIS-Richtlinie eingeführt, welche von der Europäischen Union zur Gewährleistung der IT-Sicherheit kritischer Infrastrukturen in Europa ins Leben gerufen wurde. Das entsprechende deutsche Gesetz sieht vor, dass Betreiber von "kritischen Infrastrukturen" (z.B. Energieversorger, Wasserwerke, Krankenhäuser) ein bestimmtes Sicherheitsniveau garantieren und schwerwiegende Cyberangriffe melden müssen. Ab 2023 gilt die NIS2 (2022/2555), welche Mindeststandards für Informationssicherheit und Cybersicherheit festlegt. Unternehmen, die zu bestimmten besonders kritischen Sektoren zählen, mit mehr als 50 Mitarbeitern und einem Umsatz von über 10 Millionen Euro pro Jahr müssen diese Standards ab 2014 umsetzen. Bei Nichteinhaltung drohen Strafen in Höhe von bis zu 10 Millionen Euro. Eventuell wird NIS2 auch als Überarbeitung des IT-Sicherheitsgesetz umgesetzt. IT-Sicherheitsgesetz 2.0 Das IT-Sicherheitsgesetz 2.0 ist eine Anpassung des seit 2015 geltenden IT-Sicherheitsgesetzes („Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme“). Das Ziel des IT-Sicherheitsgesetzes besteht darin, die Sicherheit kritischer Infrastrukturen in Deutschland zu erhöhen, um so vor allem Angriffe auf diese Infrastrukturen zu verhindern oder zumindest abzuwehren. Bisher waren davon vor allem Betreiber von Energienetzen und Wasserwerken sowie Unternehmen aus den Segmenten „Informationstechnik und Telekommunikation“ betroffen. Mit der Überarbeitung des Gesetzes sollen noch weitere kritische Infrastrukturen in den Fokus rücken. Das IT-Sicherheitsgesetz 2.0: Warum wurde es überarbeitet? In der digitalen Welt nimmt die Bedeutung von Informationssicherheit und Datenschutz immer weiter zu. Gleichzeitig nehmen auch die Bedrohungen durch Cyberangriffe zu. Hierbei geht es längst nicht mehr nur um kleine Hacker-Angriffe, sondern um hochprofessionelle Angriffe von kriminellen Organisationen oder fremden Staaten, die es gezielt auf große Einrichtungen wie Stromversorger oder Finanzinstitute abgesehen haben. Ein Cyberangriff kann hier bereits weitreichende Folgen haben und im schlimmsten Fall sogar die Funktionsfähigkeit einer ganzen Region lahmlegen. Das IT-Sicherheitsgesetz 2.0 soll genau hier ansetzen und den Schutz von Infrastrukturen gegen mögliche Angriffe erhöhen. Hierfür legt das Gesetz den Fokus auf eine verstärkte Zusammenarbeit zwischen Behörden, Unternehmen und Organisationen sowie auf eine bessere Aufklärung der breiten Öffentlichkeit zum Thema Cybersecurity. Ebenso soll die Möglichkeit eines staatlichen Eingreifens, bspw. im Falle eines schwerwiegenden Cyberangriffs auf kritische Infrastrukturen, ausgebaut werden. Die Kernpunkte des IT-Sicherheitsgesetzes 2.0: Eine verbesserte Meldepflicht: Betreiber von kritischen Infrastrukturen müssen bei Cyberattacken, welche sich auf ihre Netze auswirken, innerhalb von 24 Stunden die entsprechenden Behörden des Bundes und Landes informieren. Schaffung von Kompetenzzentren: Die Einrichtung von Kompetenzzentren soll eine effektive Abwehr von Cyberangriffen ermöglichen. Hierfür sollen die Experten der Bundes- und Landesbehörden enger zusammenarbeiten und auf spezifisches Fachwissen zurückgreifen können. Ein Cyber-Sicherheitsrat: Der neu geschaffene Cyber-Sicherheitsrat soll sowohl die Zusammenarbeit zwischen den einzelnen Akteuren verbessern als auch die Aufklärung der breiten Öffentlichkeit vorantreiben. Erhöhung der Strafen: Strafen für Verstöße gegen das IT-Sicherheitsgesetz sollen erhöht werden. Auch eine Haftstrafe ist im Falle von besonders schwerwiegenden Verstößen möglich. Sicherheitsaudits: Unternehmen müssen in regelmäßigen Abständen durch eine unabhängige Stelle auditiert werden, um die Einhaltung der IT-Sicherheitsrichtlinien sicherzustellen. Das IT-Sicherheitsgesetz 2.0: Was sind die Auswirkungen für Unternehmen? Die Neuerungen des IT-Sicherheitsgesetzes 2.0 betreffen vor allem Betreiber kritischer Infrastrukturen. Diese müssen sich auf deutlich strengere Anforderungen an die IT-Sicherheit einstellen und sollten schon jetzt damit beginnen, ihre Systeme entsprechend abzusichern und zu überprüfen. Unternehmen, welche nicht unter diese Kategorie fallen, müssen sich ebenfalls mit der Thematik auseinandersetzen. Auch sie sind in der Verantwortung, ihre Systeme von potenziellen Schwachstellen freizuhalten und die eigene Netzwerksicherheit regelmäßig zu überprüfen. BSI-Gesetz Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist die zentrale Behörde in Deutschland, die sich mit IT-Sicherheit beschäftigt. Das BSI-Gesetz legt fest, welche Aufgaben und Befugnisse das BSI hat und wie es arbeitet. Diese Gesetze sind nur einige Beispiele dafür, wie sich die deutsche Gesetzgebung mit dem Thema IT-Sicherheit auseinandersetzt. In Zeiten zunehmender Cyberangriffe und Cyberbedrohungen wird das Thema voraussichtlich weiterhin eine hohe Priorität haben. Fazit Der Deutsche IT-Grundschutz bildet eine wichtige Basis für die IT-Sichersicherheit. Auf Grund seiner Modularität kann er auch schon von kleineren Unternehmen eingeführt oder als Leitfaden übernommen werden. Das IT-Grundschutz-Kompendium (Aktuell in Deutsch ist die Edition 2023, vom 01.02.2023) ist kostenfrei als PDF beim BSI erhältlich. Es umfasst 858 DIN-A4 Seiten. Die einzelnen Bausteine sind ebenfalls als PDF kostenfrei erhältlich. Mein Tipp: Das BSI bietet auch eine kostenlose Onlineschulung zum IT-Grundschutz an. Lesen Sie den ganzen Artikel

[fabian-niesen]

Was ist der deutsche IT-Grundschutz?

Der Deutsche IT-Grundschutz bildet die Basis für die IT-Sicherheit in Deutschland und ist international anerkannt. Hierbei handelt es sich um eine Sammlung von Empfehlungen, die IT-Systemen helfen, vor Sicherheitsbedrohungen geschützt zu sein. In diesem Blogartikel möchte ich näher auf den Ursprung, die internationale Akzeptanz und den Aufbau des Deutschen IT-Grundschutzes eingehen. Ursprung des deutschen IT-Grundschutzes Der Deutsche IT-Grundschutz wurde in den 1990er Jahren von der Bundesverwaltung entwickelt. Damals gab es einen steigenden Bedarf an IT-Sicherheit, da immer mehr Prozesse automatisiert wurden. Es ging darum, die Sicherheit der IT-Systeme und damit verbundenen Daten in der Bundesverwaltung zu gewährleisten. Ausgehend von dieser Entwicklungsarbeit entstand schließlich der Deutsche IT-Grundschutz. Internationale Akzeptanz des deutschen IT-Grundschutzes Mittlerweile hat der Deutsche IT-Grundschutz auch international an Bedeutung gewonnen. Die Internationalisierung erfolgte durch die Übernahme des Standards im ISO/IEC 27001-Standard. Hierbei handelt es sich um ein weltweit anerkanntes Zertifizierungsmodell für Informationssicherheits-Management-Systeme (ISMS). Dies bedeutet, dass auch Unternehmen und Organisationen außerhalb Deutschlands den Deutschen IT-Grundschutz als Grundlage für ihre IT-Sicherheit nutzen können und dies zertifizieren lassen können. Im Jahr 2018 hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) eine Englischausgabe des IT-Grundschutzes veröffentlicht. Dies soll dazu beitragen, dass der Standard in anderen Ländern besser bekannt wird und mehr Unternehmen und Organisationen ihn nutzen. Aufbau des deutschen IT-Grundschutzes Der IT-Grundschutz ist ein wichtiges Werkzeug, das Unternehmen und Institutionen dabei unterstützt, ihre Informationen und Systeme abzusichern. Der ganzheitliche Ansatz des IT-Grundschutzes berücksichtigt technische, organisatorische, infrastrukturelle und personelle Aspekte der Informationssicherheit. Das IT-Grundschutz-Kompendium und die IT-Grundschutz-Profile sind besonders nützlich für kleine und mittlere Unternehmen, die einen eigenen IT-Betrieb haben. Die BSI-Standards Die BSI-Standards sind ein zentraler Bestandteil der IT-Grundschutz-Methodik und bieten Anwendern aus Behörden und Unternehmen sowie Herstellern und Dienstleistern Empfehlungen zu Methoden, Prozessen und Maßnahmen zur Informationssicherheit. Die BSI-Standards 200-1, 200-2 und 200-3 haben im Oktober 2017 die früheren BSI-Standards der Reihe 100-x abgelöst. Unternehmen können mit einem ISO 27001-Zertifikat auf Basis des IT-Grundschutzes zusätzliches Vertrauen bei Kunden und Partnern schaffen. Der BSI-Standard 200-1 definiert allgemeine Anforderungen für ein Managementsystem für Informationssicherheit (ISMS), das kompatibel mit dem ISO-Standard 27001 und anderen ISO-Standards ist. Er ist unabhängig von der Methode und zur IT-Grundschutz-Vorgehensweise kompatibel. Der BSI-Standard 200-2 bildet die Basis für den Aufbau eines Informationssicherheitsmanagements (ISMS) und etabliert drei neue Vorgehensweisen für die Umsetzung des IT-Grundschutzes. Die beiden verschlankten und modularen Vorgehensweisen Basis- und Kernabsicherung erleichtern insbesondere Verantwortlichen in kleinen und mittelständischen Betrieben den Einstieg. Der BSI-Standard 200-3 bündelt alle risikobezogenen Arbeitsschritte bei der Umsetzung des IT-Grundschutzes und ermöglicht ein angestrebtes Sicherheitsniveau mit deutlich reduziertem Aufwand. Der BSI-Standard 200-4 bietet eine praxisnahe Anleitung für ein Business Continuity Management System (BCMS) in der eigenen Institution. Er ist bisher nicht zertifizierbar, aber hilft insbesondere unerfahrenen BCM-Anwendern und -Anwenderinnen einen leichten Einstieg in die Thematik zu finden. Der Anforderungskatalog folgt von der Struktur und Sortierung dem BCMS-Prozess. Hilfsmittel wie Dokumentvorlagen oder weitere Aspekte zur Bewältigung werden kontinuierlich auf der Webseite veröffentlicht. Während der Community-Draft-Phase bleibt der bestehende BSI-Standard 100-4 gültig, bis eine finale Version des BSI-Standards 200-4 veröffentlicht wird. Das IT-Grundschutz-Kompendium Das IT-Grundschutz-Kompendium ist eine wichtige Quelle für all jene, die sich mit dem Thema Informationssicherheit beschäftigen. Es besteht aus den IT-Grundschutz-Bausteinen, die zehn verschiedenen Themenbereichen zugeordnet sind, sowie einer Einführung in die Thematik. Neben technischen Aspekten werden auch Sicherheitsaspekte zu Infrastruktur, Organisation und Personal berücksichtigt. Die Bausteine setzen sich aus Basis- und Standardanforderungen sowie Anforderungen bei erhöhtem Schutzbedarf zusammen. Darüber hinaus können Anwender in den Umsetzungshinweisen nachlesen, wie sie die Anforderungen praktisch umsetzen können. Das IT-Grundschutz-Kompendium wird jedes Jahr aktualisiert und bietet somit aktuelles und praxisorientiertes Fachwissen zu den wichtigsten Themen der Informationssicherheit. IT-Grundschutz-Profile Das IT-Grundschutz-Profil ist eine Dokumentation der Schritte eines Sicherheitsprozesses für einen bestimmten Anwendungsbereich. Diese Dokumente werden von verschiedenen Institutionen gemeinsam erstellt und in der Regel von Branchenverbänden unterstützt. Unternehmen mit ähnlichen Sicherheitsanforderungen können auf dieser Basis ihre Prozesse effektiv absichern, wobei der Aufwand reduziert wird. Die Profile sind für verschiedene Branchen, wie Handwerksbetriebe oder Kommunalverwaltungen, veröffentlicht. Das IT-Grundschutz-Team unterstützt gemeinsam mit der Allianz für Cyber-Sicherheit interessierte Anwender bei der Erstellung von IT-Grundschutz-Profilen. Eine Anleitung auf der Website des BSI führt Anwender durch den Erstellungsprozess. Mit IT-Grundschutz-Profilen kann ein Unternehmen seine Sicherheit erhöhen und somit Risiken reduzieren. Deutsche Gesetze im Zusammenhang mit dem IT-Grundschutz In den letzten Jahren wurden in Deutschland mehrere Gesetze im Zusammenhang mit IT-Sicherheit verabschiedet oder angekündigt. Hier sind einige Beispiele: Gesetz zur Umsetzung der NIS-Richtlinie / NIS2 Im Mai 2018 wurde das Gesetz zur Umsetzung der NIS-Richtlinie eingeführt, welche von der Europäischen Union zur Gewährleistung der IT-Sicherheit kritischer Infrastrukturen in Europa ins Leben gerufen wurde. Das entsprechende deutsche Gesetz sieht vor, dass Betreiber von "kritischen Infrastrukturen" (z.B. Energieversorger, Wasserwerke, Krankenhäuser) ein bestimmtes Sicherheitsniveau garantieren und schwerwiegende Cyberangriffe melden müssen. Ab 2023 gilt die NIS2 (2022/2555), welche Mindeststandards für Informationssicherheit und Cybersicherheit festlegt. Unternehmen, die zu bestimmten besonders kritischen Sektoren zählen, mit mehr als 50 Mitarbeitern und einem Umsatz von über 10 Millionen Euro pro Jahr müssen diese Standards ab 2014 umsetzen. Bei Nichteinhaltung drohen Strafen in Höhe von bis zu 10 Millionen Euro. Eventuell wird NIS2 auch als Überarbeitung des IT-Sicherheitsgesetz umgesetzt. IT-Sicherheitsgesetz 2.0 Das IT-Sicherheitsgesetz 2.0 ist eine Anpassung des seit 2015 geltenden IT-Sicherheitsgesetzes („Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme“). Das Ziel des IT-Sicherheitsgesetzes besteht darin, die Sicherheit kritischer Infrastrukturen in Deutschland zu erhöhen, um so vor allem Angriffe auf diese Infrastrukturen zu verhindern oder zumindest abzuwehren. Bisher waren davon vor allem Betreiber von Energienetzen und Wasserwerken sowie Unternehmen aus den Segmenten „Informationstechnik und Telekommunikation“ betroffen. Mit der Überarbeitung des Gesetzes sollen noch weitere kritische Infrastrukturen in den Fokus rücken. Das IT-Sicherheitsgesetz 2.0: Warum wurde es überarbeitet? In der digitalen Welt nimmt die Bedeutung von Informationssicherheit und Datenschutz immer weiter zu. Gleichzeitig nehmen auch die Bedrohungen durch Cyberangriffe zu. Hierbei geht es längst nicht mehr nur um kleine Hacker-Angriffe, sondern um hochprofessionelle Angriffe von kriminellen Organisationen oder fremden Staaten, die es gezielt auf große Einrichtungen wie Stromversorger oder Finanzinstitute abgesehen haben. Ein Cyberangriff kann hier bereits weitreichende Folgen haben und im schlimmsten Fall sogar die Funktionsfähigkeit einer ganzen Region lahmlegen. Das IT-Sicherheitsgesetz 2.0 soll genau hier ansetzen und den Schutz von Infrastrukturen gegen mögliche Angriffe erhöhen. Hierfür legt das Gesetz den Fokus auf eine verstärkte Zusammenarbeit zwischen Behörden, Unternehmen und Organisationen sowie auf eine bessere Aufklärung der breiten Öffentlichkeit zum Thema Cybersecurity. Ebenso soll die Möglichkeit eines staatlichen Eingreifens, bspw. im Falle eines schwerwiegenden Cyberangriffs auf kritische Infrastrukturen, ausgebaut werden. Die Kernpunkte des IT-Sicherheitsgesetzes 2.0: Eine verbesserte Meldepflicht: Betreiber von kritischen Infrastrukturen müssen bei Cyberattacken, welche sich auf ihre Netze auswirken, innerhalb von 24 Stunden die entsprechenden Behörden des Bundes und Landes informieren. Schaffung von Kompetenzzentren: Die Einrichtung von Kompetenzzentren soll eine effektive Abwehr von Cyberangriffen ermöglichen. Hierfür sollen die Experten der Bundes- und Landesbehörden enger zusammenarbeiten und auf spezifisches Fachwissen zurückgreifen können. Ein Cyber-Sicherheitsrat: Der neu geschaffene Cyber-Sicherheitsrat soll sowohl die Zusammenarbeit zwischen den einzelnen Akteuren verbessern als auch die Aufklärung der breiten Öffentlichkeit vorantreiben. Erhöhung der Strafen: Strafen für Verstöße gegen das IT-Sicherheitsgesetz sollen erhöht werden. Auch eine Haftstrafe ist im Falle von besonders schwerwiegenden Verstößen möglich. Sicherheitsaudits: Unternehmen müssen in regelmäßigen Abständen durch eine unabhängige Stelle auditiert werden, um die Einhaltung der IT-Sicherheitsrichtlinien sicherzustellen. Das IT-Sicherheitsgesetz 2.0: Was sind die Auswirkungen für Unternehmen? Die Neuerungen des IT-Sicherheitsgesetzes 2.0 betreffen vor allem Betreiber kritischer Infrastrukturen. Diese müssen sich auf deutlich strengere Anforderungen an die IT-Sicherheit einstellen und sollten schon jetzt damit beginnen, ihre Systeme entsprechend abzusichern und zu überprüfen. Unternehmen, welche nicht unter diese Kategorie fallen, müssen sich ebenfalls mit der Thematik auseinandersetzen. Auch sie sind in der Verantwortung, ihre Systeme von potenziellen Schwachstellen freizuhalten und die eigene Netzwerksicherheit regelmäßig zu überprüfen. BSI-Gesetz Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist die zentrale Behörde in Deutschland, die sich mit IT-Sicherheit beschäftigt. Das BSI-Gesetz legt fest, welche Aufgaben und Befugnisse das BSI hat und wie es arbeitet. Diese Gesetze sind nur einige Beispiele dafür, wie sich die deutsche Gesetzgebung mit dem Thema IT-Sicherheit auseinandersetzt. In Zeiten zunehmender Cyberangriffe und Cyberbedrohungen wird das Thema voraussichtlich weiterhin eine hohe Priorität haben. Fazit Der Deutsche IT-Grundschutz bildet eine wichtige Basis für die IT-Sichersicherheit. Auf Grund seiner Modularität kann er auch schon von kleineren Unternehmen eingeführt oder als Leitfaden übernommen werden. Das IT-Grundschutz-Kompendium (Aktuell in Deutsch ist die Edition 2023, vom 01.02.2023) ist kostenfrei als PDF beim BSI erhältlich. Es umfasst 858 DIN-A4 Seiten. Die einzelnen Bausteine sind ebenfalls als PDF kostenfrei erhältlich. Mein Tipp: Das BSI bietet auch eine kostenlose Onlineschulung zum IT-Grundschutz an. Lesen Sie den ganzen Artikel

[fabian-niesen]

After my download solution annoyed me a few times, I outsourced the download. The new home for the downloads is GitHub. This also makes it easier for me to maintain and update. At the moment I have two repositories that …

A new home for the downloads Read More »

The article A new home for the downloads from Fabian Niesen was published first on InfrastructureHeroes.org.

via InfrastructureHeroes.org

[fabian-niesen]

Let’s first look at the comparative figures between the last article from October 2019 and now. The Edge Bowser and Microsoft Office have seen the most changes. Please also check our article Device-specific administrative templates in Intune 2101. Category October …

User-related administrative templates in Intune (version 2101) Read More »

The article User-related administrative templates in Intune (version 2101) from Fabian Niesen was published first on InfrastructureHeroes.org.

via InfrastructureHeroes.org

[fabian-niesen]

Let’s first look at the comparative figures between the last article from October 2019 and now. The most changes have been made to Edge Bowser and Internet Explorer. There are also new settings for BitLocker. These were previously only configurable …

Device-specific administrative templates in Intune 2101 Read More »

The article Device-specific administrative templates in Intune 2101 from Fabian Niesen was published first on InfrastructureHeroes.org.

via InfrastructureHeroes.org

[fabian-niesen]

In October 2019, I started writing in English at InfrastructureHeros.org. After testing it on LinkedIn, it seemed like a good idea. But after more than a year, I’m coming to the conclusion that it’s not worth the time and effort. The effort is greater than I thought, and so I end this experiment.In the future, … Continue reading "The future of InfrastructureHeroes"

The article The future of InfrastructureHeroes from Fabian Niesen was published first on Infrastructureheroes.org.

via Infrastructureheroes.org