GermanWikipedia - /page/entry.mu

Micron Document

<!DOCTYPE html>

<title>Group Policy Object</title>

</head>

<h1 id="firstHeading" class="firstHeading mw-first-heading"><span class="mw-page-title-main">Group Policy Object</span></h1>

</header>

</div>

<div id="mw-content-text" class="mw-body-content mw-content-ltr" lang="de" dir="ltr"><div class="mw-content-ltr mw-parser-output" lang="de" dir="ltr"><p>Ein <b>Group Policy Object</b> (<b>GPO</b>), deutsch <b>Gruppenrichtlinienobjekt</b>, ist unter <a href="Microsoft_Windows" title="Microsoft Windows">Microsoft Windows</a> eine digitale <a href="Policy" title="Policy">Richtlinie</a> für verschiedene Einstellungen. GPO ermöglichen es, Einstellungen für eine Vielzahl von Computern und Benutzern zentral zu steuern.

</p><p>In diesem Zusammenhang ist eine <i>Group Policy</i> eine auf bestimmte Gruppen oder Arten von Einstellungen begrenzte <i>System Policy</i>.<sup id="cite_ref-1" class="reference"><a href="#cite_note-1"><span class="cite-bracket">[</span>1<span class="cite-bracket">]</span></a></sup> Eine solche Gruppenrichtlinie nennt man auch Gruppenrichtlinienobjekt.<sup id="cite_ref-2" class="reference"><a href="#cite_note-2"><span class="cite-bracket">[</span>2<span class="cite-bracket">]</span></a></sup> Die Sicherheitseinstellungen steuern u. a. Benutzer-Authentifizierung bei einem (Firmen-)Netzwerk oder Gerät, den <a href="Zugriffsrecht" title="Zugriffsrecht">Zugriff</a> auf Ressourcen für Benutzer sowie deren Mitgliedschaft in Gruppen.<sup id="cite_ref-3" class="reference"><a href="#cite_note-3"><span class="cite-bracket">[</span>3<span class="cite-bracket">]</span></a></sup>

</p>

<div class="mw-heading mw-heading2"><h2 id="Verwendung">Verwendung</h2></div>

<p>Seit Microsoft <a href="Windows_2000_Server" class="mw-redirect" title="Windows 2000 Server">Windows 2000 Server</a> können Gruppenrichtlinien über die Gruppenrichtlinienverwaltung erstellt und konfiguriert werden. Die Gruppenrichtlinienverwaltung (<i>Group Policy Management Console</i>, GPMC) ist ein <i><a href="Microsoft_Management_Console" title="Microsoft Management Console">Snap-In</a></i>, das eine erweiterte und verbesserte Konfiguration von Gruppenrichtlinien erlaubt, allerdings zuerst lokal auf dem Computer installiert werden muss (auf Domänencontrollern mit Benutzeroberfläche wird sie stets mitinstalliert). Danach ist sie als eigenständiges Snap-In auch auf Clientbetriebssystemen nutzbar. Allerdings erfordert die GPMC zumindest Windows XP oder Windows Server 2003, unter Windows 2000 ist sie nicht lauffähig. Die Domäne kann aber auf Windows 2000-Level sein.<sup id="cite_ref-4" class="reference"><a href="#cite_note-4"><span class="cite-bracket">[</span>4<span class="cite-bracket">]</span></a></sup>

</p><p>Abgesehen von Standard-Konfigurationen können auch eigene Konfigurationsmöglichkeiten per <i>Administrativer Vorlage</i>, d. h. Dateien mit dem Suffix <i>*.adm</i> (bis Windows XP) bzw. *.admx (seit Windows Vista), genutzt werden. Eine sofortige Aktualisierung kann mit dem Befehl gpupdate.exe /force oder ab Windows 8 oder Server 2012 über die GPMC erzwungen werden.

</p>

<div class="mw-heading mw-heading2"><h2 id="Einschränkungen_unterschiedlicher_Richtlinien"><span id="Einschr.C3.A4nkungen_unterschiedlicher_Richtlinien"></span>Einschränkungen unterschiedlicher Richtlinien</h2></div>

<p>Gruppenrichtlinien können mit verschiedenen Objekten verknüpft werden:

</p>

<ul><li>Site (Standort)</li>

<li>Domain (Domäne)</li>

<li>OU (Organizational Unit, Organisationseinheit)</li></ul>

<p>Zusätzlich gibt es bei jedem Computer immer eine lokale Richtlinie.

</p><p>Zu beachten ist, dass Gruppenrichtlinien nicht auf Gruppen wirken, sondern auf die darin enthaltenen Computer- und Benutzerkonten. GPO enthalten für Benutzer und Computer getrennte Einstellungen.

Die Verarbeitungsreihenfolge von Gruppenrichtlinien ist Local, Site, Domain, OU. Jede spätere Verarbeitung überschreibt bei konkurrierenden Einstellungen die Werte der vorher verarbeiteten Richtlinie. Somit haben die Einstellungen in der lokalen Richtlinie die niedrigste Priorität, da sie zuerst verarbeitet wird und die Richtlinie auf der OU hat die höchste Priorität, da sie als letztes verarbeitet wird. Sind GPO auf derselben Ebene verknüpft, entscheidet die Verknüpfungsreihenfolge, wobei die GPO mit dem niedrigsten Wert gewinnt, da sie zuletzt verarbeitet wird.

</p>

<div class="mw-heading mw-heading3"><h3 id="Local_GPO">Local GPO</h3></div>

<p>In <i>Local</i> (Lokal) setzt man Richtlinien für einen einzigen Computer. Ist ein Computer nicht Mitglied einer Domäne, ist die lokale Richtlinie die einzige Möglichkeit, Richtlinien zu nutzen.

</p>

<div class="mw-heading mw-heading3"><h3 id="Active-Directory-Standorte">Active-Directory-Standorte</h3></div>

<p><a href="Active_Directory" title="Active Directory">Active-Directory</a>-Standorte (engl. Active Directory Sites) definieren sich über die zugeordneten IP-Subnetze oder IPv6-Präfixe. Beispielsweise hat eine große Firma vielleicht einen Sitz in Deutschland, Japan, Korea etc. Nun soll in Japan alles auf die Japaner zugeschnitten werden: Alles auf japanisch etc. Durch Sites können Gebiete abgegrenzt und dann die Richtlinien nach diesem Gebiet gesetzt werden. Ein Hauptgrund für die Einrichtung eines Standortes ist auch die Steuerung des Replikationsverkehrs.

</p>

<div class="mw-heading mw-heading3"><h3 id="Active-Directory-Domänen"><span id="Active-Directory-Dom.C3.A4nen"></span>Active-Directory-Domänen</h3></div>

<p>Auf Ebene der Domäne werden Richtlinien für die gesamte Domain festgelegt. Standardmäßig existiert eine Default Domain Policy (DDP), in der insb. Sicherheitseinstellungen definiert sind. Diese sollte möglichst wenig verändert werden. Stattdessen sollten neue GPO auf Ebene der Domäne verlinkt werden. Die DDP kann mit dem Befehl dcgpofix.exe in den Ausgangszustand zurückgesetzt werden.

</p>

<div class="mw-heading mw-heading3"><h3 id="Active-Directory-Domänencontroller"><span id="Active-Directory-Dom.C3.A4nencontroller"></span>Active-Directory-Domänencontroller</h3></div>

<p>Auf Ebene der OU Domain Controller werden Richtlinien für die Domänencontroller festgelegt. Standardmäßig existiert eine Default Domain Controllers Policy (DDCP), in der insb. Sicherheitseinstellungen für die Domänencontroller definiert sind. Diese sollte wie die DDP möglichst wenig verändert werden. Die DDCP kann ebenfalls mit dem Befehl dcgpofix.exe in den Ausgangszustand zurückgesetzt werden.

</p>

<div class="mw-heading mw-heading3"><h3 id="Sicherheitsfilter">Sicherheitsfilter</h3></div>

<p>Jede GPO kann durch Sicherheitsfiltern an Sicherheitsgruppen gebunden werden. Standardmäßig wird die Anwendung aller GPO für die Gruppe <i>Authentifizierte Benutzer</i> erlaubt. Dies umfasst sowohl authentifizierte Benutzerkonten als auch Computerkonten. Über die Sicherheitsgruppenfilterung kann die Anwendung bestimmter GPO sowohl erlaubt als auch verboten werden.

</p>

<div class="mw-heading mw-heading3"><h3 id="WMI-Filter">WMI-Filter</h3></div>

<p>Jede GPO kann seit Windows XP bzw. Server 2003 mit einem <a href="Windows_Management_Instrumentation" title="Windows Management Instrumentation">WMI</a>-Filter (engl. Windows Management Instrumentation, deu. Windows Verwaltungsinstrumentation) verknüpft werden. Dadurch kann dynamisch während der Verarbeitung auf Zustände des die GPO anwendenden Objekts reagiert werden. Somit kann z. B. die Anwendung bestimmter GPO an die Version des Betriebssystems oder andere Parameter gebunden werden.

</p>

<div class="mw-heading mw-heading2"><h2 id="Werkzeuge">Werkzeuge</h2></div>

<div class="mw-heading mw-heading3"><h3 id="Gruppenrichtlinienverwaltungskonsole">Gruppenrichtlinienverwaltungskonsole</h3></div>

<p>Verwaltungskonsole zur Erstellung und Verknüpfung von Gruppenrichtlinien

</p>

<div class="mw-heading mw-heading3"><h3 id="Gruppenrichtlinieneditor">Gruppenrichtlinieneditor</h3></div>

<p>Verwaltungskonsole zur Bearbeitung der Einstellungen von Gruppenrichtlinienobjekten.

</p>

<div class="mw-heading mw-heading3"><h3 id="Advanced_Group_Policy_Management">Advanced Group Policy Management</h3></div>

<p>Erweiterte Verwaltungskonsole zur Bearbeitung von Gruppenrichtlinien mit Änderungssteuerung, Versionsverwaltung, Freigabeverfahren usw. Bestandteil des Microsoft Desktop Optimization Pack (MDOP).

</p>

<div class="mw-heading mw-heading3"><h3 id="Microsoft_Security_Configuration_Manager_(SCM)"><span id="Microsoft_Security_Configuration_Manager_.28SCM.29"></span>Microsoft Security Configuration Manager (SCM)</h3></div>

<p>Inzwischen veraltetes Werkzeug für den Import, Export, Zusammenführen und Vergleich von Gruppenrichtlinien.

</p>

<div class="mw-heading mw-heading3"><h3 id="Microsoft_Security_Compliance_Toolkit">Microsoft Security Compliance Toolkit</h3></div>

<p>Das Security Compliance Toolkit (SCT) beinhaltet von Microsoft empfohlene Baselines zur Konfiguration von Windows 10, Windows Server 2012 R2, Windows Server 2016 und Office 2016. Im SCT enthalten sind die Werkzeuge Policy Analyzer zum Vergleich mehrerer Gruppenrichtlinienobjekte oder gegen das resultierende Gruppenrichtlinienergebnis auf einem Computer. Zu Dokumentationszwecken lassen sich die Ergebnisse in Excel exportieren.<sup id="cite_ref-5" class="reference"><a href="#cite_note-5"><span class="cite-bracket">[</span>5<span class="cite-bracket">]</span></a></sup>

</p>

<div class="mw-heading mw-heading2"><h2 id="Sicherheitsrisiken">Sicherheitsrisiken</h2></div>

<p>Bei dem in 2024 durchgeführten Ransomware Angriff auf ein Krankenhaus in Cannes, Frankreich, wurde die Schadsoftware über GPOs im Netzwerk verteilt. Die schädliche Ausnutzung der GPOs war ein Teil der Angriffskette, wenngleich ein entscheidender.<sup id="cite_ref-6" class="reference"><a href="#cite_note-6"><span class="cite-bracket">[</span>6<span class="cite-bracket">]</span></a></sup><sup id="cite_ref-7" class="reference"><a href="#cite_note-7"><span class="cite-bracket">[</span>7<span class="cite-bracket">]</span></a></sup>

</p>

<div class="mw-heading mw-heading2"><h2 id="Einzelnachweise">Einzelnachweise</h2></div>

<li id="cite_note-1"><span class="mw-cite-backlink"><a href="#cite_ref-1">↑</a></span> <span class="reference-text"><span class="cite"><i>Windows NT 4.0 system policies.</i> Microsoft<span style="display:none">;</span> ehemals im <style data-mw-deduplicate="TemplateStyles:r250917974">

/* start https://de.wikipedia.org/ */

.mw-parser-output .dewiki-iconexternal>a{background-position:center right!important;background-repeat:no-repeat!important}body.skin-minerva .mw-parser-output .dewiki-iconexternal>a{background-image:url("./_mw_/OOjs_UI_icon_external-link-ltr-progressive.svg")!important;background-size:10px!important;padding-right:13px!important}body.skin-timeless .mw-parser-output .dewiki-iconexternal>a,body.skin-monobook .mw-parser-output .dewiki-iconexternal>a{background-image:url("./_mw_/MediaWiki_external_link_icon.svg")!important;padding-right:13px!important}body.skin-vector .mw-parser-output .dewiki-iconexternal>a{background-image:url("./_mw_/Link.ernal-small-ltr-progressive.svg")!important;background-size:0.857em!important;padding-right:1em!important}

/* end https://de.wikipedia.org/ */

</style><span class="dewiki-iconexternal"><a class="external text" href="https://redirecter.toolforge.org/?url=https%3A%2F%2Fwww.microsoft.com%2Fresources%2Fdocumentation%2Fwindows%2Fxp%2Fall%2Fproddocs%2Fen-us%2Ftattooing.mspx%3Fmfr%3Dtrue">Original</a></span> (nicht mehr online verfügbar)<span style="display:none">;</span><span class="Abrufdatum" style="display:none"> abgerufen im 1. Januar 1</span></span><span style="display: none;" class="Z3988" title="ctx_ver=Z39.88-2004&rft_val_fmt=info%3Aofi%2Ffmt%3Akev%3Amtx%3Adc&rfr_id=info%3Asid%2Fde.wikipedia.org%3AGroup+Policy+Object&rft.title=Windows+NT+4.0+system+policies&rft.description=Windows+NT+4.0+system+policies&rft.identifier=&rft.publisher=Microsoft&rft.date="> </span></span>

</li>

<li id="cite_note-2"><span class="mw-cite-backlink"><a href="#cite_ref-2">↑</a></span> <span class="reference-text"><span class="cite"><a rel="nofollow" class="external text" href="https://technet.microsoft.com/de-de/library/cc731758.aspx"><i>Bearbeiten von mehrfachen lokalen Gruppenrichtlinien.</i></a> Microsoft<span style="display:none">;</span><span class="Abrufdatum" style="display:none"> abgerufen im 1. Januar 1</span></span><span style="display: none;" class="Z3988" title="ctx_ver=Z39.88-2004&rft_val_fmt=info%3Aofi%2Ffmt%3Akev%3Amtx%3Adc&rfr_id=info%3Asid%2Fde.wikipedia.org%3AGroup+Policy+Object&rft.title=Bearbeiten+von+mehrfachen+lokalen+Gruppenrichtlinien&rft.description=Bearbeiten+von+mehrfachen+lokalen+Gruppenrichtlinien&rft.identifier=&rft.publisher=Microsoft&rft.date="> </span></span>

</li>

<li id="cite_note-3"><span class="mw-cite-backlink"><a href="#cite_ref-3">↑</a></span> <span class="reference-text"><span class="cite"><a rel="nofollow" class="external text" href="https://docs.microsoft.com/de-de/windows/security/threat-protection/security-policy-settings/security-policy-settings"><i>Sicherheitsrichtlinieneinstellungen.</i></a><span class="Abrufdatum"> Abgerufen am 5. April 2022</span>.</span><span style="display: none;" class="Z3988" title="ctx_ver=Z39.88-2004&rft_val_fmt=info%3Aofi%2Ffmt%3Akev%3Amtx%3Adc&rfr_id=info%3Asid%2Fde.wikipedia.org%3AGroup+Policy+Object&rft.title=Sicherheitsrichtlinieneinstellungen&rft.description=Sicherheitsrichtlinieneinstellungen&rft.identifier=https%3A%2F%2Fdocs.microsoft.com%2Fde-de%2Fwindows%2Fsecurity%2Fthreat-protection%2Fsecurity-policy-settings%2Fsecurity-policy-settings"> </span></span>

</li>

<li id="cite_note-4"><span class="mw-cite-backlink"><a href="#cite_ref-4">↑</a></span> <span class="reference-text"><span class="cite"><a rel="nofollow" class="external text" href="https://www.microsoft.com/en-us/download/details.aspx?id=21895"><i>Group Policy Management Console with Service Pack 1.</i></a><span class="Abrufdatum"> Abgerufen am 16. Oktober 2020</span> (amerikanisches Englisch).</span><span style="display: none;" class="Z3988" title="ctx_ver=Z39.88-2004&rft_val_fmt=info%3Aofi%2Ffmt%3Akev%3Amtx%3Adc&rfr_id=info%3Asid%2Fde.wikipedia.org%3AGroup+Policy+Object&rft.title=Group+Policy+Management+Console+with+Service+Pack+1&rft.description=Group+Policy+Management+Console+with+Service+Pack+1&rft.identifier=https%3A%2F%2Fwww.microsoft.com%2Fen-us%2Fdownload%2Fdetails.aspx%3Fid%3D21895&rft.language=en-us"> </span></span>

</li>

<li id="cite_note-5"><span class="mw-cite-backlink"><a href="#cite_ref-5">↑</a></span> <span class="reference-text"><span class="cite"><a rel="nofollow" class="external text" href="https://docs.microsoft.com/en-us/windows/security/threat-protection/security-compliance-toolkit-10"><i>Microsoft Security Compliance Toolkit 1.0.</i></a> Microsoft, 26. November 2018,<span class="Abrufdatum"> abgerufen am 25. April 2019</span> (englisch).</span><span style="display: none;" class="Z3988" title="ctx_ver=Z39.88-2004&rft_val_fmt=info%3Aofi%2Ffmt%3Akev%3Amtx%3Adc&rfr_id=info%3Asid%2Fde.wikipedia.org%3AGroup+Policy+Object&rft.title=Microsoft+Security+Compliance+Toolkit+1.0&rft.description=Microsoft+Security+Compliance+Toolkit+1.0&rft.identifier=&rft.publisher=Microsoft&rft.date=2018-11-26&rft.language=englisch"> </span></span>

</li>

<li id="cite_note-6"><span class="mw-cite-backlink"><a href="#cite_ref-6">↑</a></span> <span class="reference-text"><span class="cite">Diverse: <a rel="nofollow" class="external text" href="https://auditgeneral.org/articles/article/windows-xp-en-reanimation-autopsie-des-passoires-numeriques-hospitalieres/"><i>Windows XP en reanimation.</i></a> In: <i>auditgeneral.org.</i> Auditgeneral France, 16. Dezember 2025,<span class="Abrufdatum"> abgerufen am 17. Dezember 2025</span> (französisch).</span><span style="display: none;" class="Z3988" title="ctx_ver=Z39.88-2004&rft_val_fmt=info%3Aofi%2Ffmt%3Akev%3Amtx%3Adc&rfr_id=info%3Asid%2Fde.wikipedia.org%3AGroup+Policy+Object&rft.title=Windows+XP+en+reanimation&rft.description=Windows+XP+en+reanimation&rft.identifier=https%3A%2F%2Fauditgeneral.org%2Farticles%2Farticle%2Fwindows-xp-en-reanimation-autopsie-des-passoires-numeriques-hospitalieres%2F&rft.creator=Diverse&rft.publisher=Auditgeneral+France&rft.date=2025-12-16&rft.language=fr"> </span></span>

</li>

<li id="cite_note-7"><span class="mw-cite-backlink"><a href="#cite_ref-7">↑</a></span> <span class="reference-text"><span class="cite"><a rel="nofollow" class="external text" href="https://www.reddit.com/r/cybersecurity/comments/1po2w4e/ransomware_attack_on_a_french_hospital_cannes/"><i>Ransomware attack on a French hospital (Cannes, 2024).</i></a> In: <i>Reddit.</i> r/cybersecurity, 17. Dezember 2025,<span class="Abrufdatum"> abgerufen am 17. Dezember 2025</span> (englisch).</span><span style="display: none;" class="Z3988" title="ctx_ver=Z39.88-2004&rft_val_fmt=info%3Aofi%2Ffmt%3Akev%3Amtx%3Adc&rfr_id=info%3Asid%2Fde.wikipedia.org%3AGroup+Policy+Object&rft.title=Ransomware+attack+on+a+French+hospital+%28Cannes%2C+2024%29&rft.description=Ransomware+attack+on+a+French+hospital+%28Cannes%2C+2024%29&rft.identifier=https%3A%2F%2Fwww.reddit.com%2Fr%2Fcybersecurity%2Fcomments%2F1po2w4e%2Fransomware_attack_on_a_french_hospital_cannes%2F&rft.publisher=r%2Fcybersecurity&rft.date=2025-12-17&rft.language=en"> </span></span>

</li>

</ol></div></div><div><div class="zim-footer">

Dieser Artikel wurde von <a class="external text" title="Zuletzt bearbeitet am 2026-01-07" href="https://de.wikipedia.org/wiki/?title=Group_Policy_Object&oldid=263114352">Wikipedia</a> herausgegeben. Der Text ist unter <a class="external text" href="https://creativecommons.org/licenses/by-sa/4.0/deed.de">Creative Commons Attribution-Share Alike 4.0</a> verfügbar, sofern nicht anders angegeben. Für die Mediendateien können zusätzliche Bedingungen gelten.

</div>

</div></div>

</div>

</main>

</div>

</body></html>