Win11 - Gruppenrichtlinien (GPO)

In dieser Anleitung werden lokale Gruppenrichtlinien unter Windows 11 eingerichtet. Ziel ist es, bestimmte Benutzer- und Systemeinstellungen gezielt einzuschränken oder vorzuschreiben, damit der PC standardisiert und sicher verwendet werden kann.

1. Voraussetzungen

• Windows 11 Pro, Enterprise oder Education
• Lokale Administratorrechte
• Ein vorbereitetes Hintergrundbild, z. B. C:\Windows\Web\Wallpaper\Firma\logo.jpg

2. Lokale Gruppenrichtlinien öffnen

Variante per GUI

1. Windows + R drücken
2. gpedit.msc eingeben
3. Mit Enter bestätigen

Variante per Kommandozeile

gpedit.msc

3. Desktop-Hintergrund mit Firmenlogo festlegen und sperren

Hier wird ein bestimmtes Hintergrundbild vorgegeben und verhindert, dass Benutzer es ändern.

Vorbereitung

Das Bild sollte in einen festen lokalen Ordner kopiert werden, zum Beispiel:

C:\Windows\Web\Wallpaper\Firma\logo.jpg

Per GUI einstellen

1. Benutzerkonfiguration öffnen
2. Administrative Vorlagen → Desktop → Desktop
3. Richtlinie Desktop-Hintergrund öffnen
4. Auf Aktiviert setzen
5. Bei Hintergrundname den Pfad zur Bilddatei eintragen
6. Format z. B. Ausfüllen oder Gestreckt wählen

Zusätzlich das Ändern des Hintergrunds sperren:

1. Benutzerkonfiguration → Administrative Vorlagen → Systemsteuerung → Anpassung
2. Richtlinie Ändern des Desktophintergrunds verhindern auf Aktiviert setzen

Prüfen

Nach einer Aktualisierung der Richtlinien darf der Benutzer den Hintergrund nicht mehr ändern.

4. Systemsteuerung: Zugriff nur für Administratoren

Da lokale GPOs standardmäßig für alle Benutzer gelten, wird diese Einstellung sinnvollerweise für Nicht-Administratoren konfiguriert. Administratoren behalten dann den Zugriff.

MMC für Nicht-Administratoren öffnen

1. Windows + R drücken
2. mmc eingeben
3. Datei → Snap-In hinzufügen/entfernen
4. Gruppenrichtlinienobjekt-Editor hinzufügen
5. Auf Durchsuchen klicken
6. Register Benutzer wählen
7. Nicht-Administratoren auswählen
8. Mit Fertig stellen und OK bestätigen

Richtlinie setzen

1. Im geladenen GPO zu Benutzerkonfiguration → Administrative Vorlagen → Systemsteuerung
2. Richtlinie Zugriff auf Systemsteuerung und PC-Einstellungen nicht zulassen öffnen
3. Auf Aktiviert setzen

Ergebnis

Nicht-Administratoren können die Systemsteuerung und Einstellungen nicht öffnen. Administratoren bleiben davon unberührt.

5. Windows Update: Updates nur manuell durch Administrator

Ziel ist, automatische Updates zu unterbinden, sodass Aktualisierungen nur kontrolliert durch einen Administrator angestoßen werden.

Per GUI einstellen

1. Computerkonfiguration → Administrative Vorlagen → Windows-Komponenten → Windows Update → Endbenutzererfahrung verwalten
2. Richtlinie Automatische Updates konfigurieren öffnen
3. Auf Aktiviert setzen
4. Option 2 - Vor Download und vor Installation benachrichtigen wählen

Optional kann zusätzlich verhindert werden, dass normale Benutzer Update-Funktionen selbstständig steuern.

Alternative per Registry / PowerShell

reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU" /v AUOptions /t REG_DWORD /d 2 /f

Bedeutung von AUOptions=2:

• Windows lädt und installiert Updates nicht automatisch
• Ein Administrator muss den Vorgang manuell freigeben

6. Passwortrichtlinie konfigurieren

Die Kennwortrichtlinie wird in der lokalen Sicherheitsrichtlinie gesetzt.

Per GUI

1. Windows + R drücken
2. secpol.msc eingeben
3. Zu Sicherheitsrichtlinien → Kontorichtlinien → Kennwortrichtlinien wechseln

Folgende Werte setzen

Alternative per Kommandozeile

net accounts /minpwlen:10 /maxpwage:90

Die Komplexitätsanforderung wird über die lokale Sicherheitsrichtlinie aktiviert und nicht direkt mit net accounts.

7. USB-Speicher: Schreibzugriff deaktivieren, nur Lesen erlauben

USB-Datenträger sollen gelesen, aber nicht beschrieben werden können.

Per GUI einstellen

1. Computerkonfiguration → Administrative Vorlagen → System → Wechselmedienzugriff
2. Richtlinie Wechselmedien: Schreibzugriff verweigern auf Aktiviert setzen

Falls gezielt USB-Massenspeicher gemeint sind, kann zusätzlich geprüft werden, ob in der gleichen Rubrik spezifische Richtlinien für Wechseldatenträger vorhanden sind.

Alternative per Registry

reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\RemovableStorageDevices" /v Deny_Write /t REG_DWORD /d 1 /f

Damit wird das Schreiben auf Wechselmedien blockiert, Lesen bleibt möglich.

8. Gruppenrichtlinien übernehmen

Per GUI

Abmelden und neu anmelden oder den PC neu starten.

Per Kommandozeile

gpupdate /force

Danach die gewünschten Funktionen testen:

• Hintergrundbild ist gesetzt und nicht änderbar
• Nicht-Administratoren haben keinen Zugriff auf Systemsteuerung
• Windows Updates laufen nicht automatisch los
• Kennwortrichtlinie ist aktiv
• USB-Sticks sind nur lesbar

9. Dokumentation erstellen

Gefordert sind Screenshots der GPO-Einstellungen sowie ein HTML-Bericht der wirksamen Richtlinien.

GPO-Bericht erzeugen

gpresult /h C:\Temp\gpo-report.html

Falls der Ordner noch nicht existiert:

mkdir C:\Temp
gpresult /h C:\Temp\gpo-report.html

Bericht öffnen

start C:\Temp\gpo-report.html

Zusätzliche Doku

• Screenshot der Richtlinie für Desktop-Hintergrund
• Screenshot der Richtlinie für Systemsteuerung
• Screenshot der Windows-Update-Einstellung
• Screenshot der Kennwortrichtlinien in secpol.msc
• Screenshot der USB-Schreibsperre
• Screenshot oder Export des gpresult-Berichts

10. Kurzübersicht der verwendeten Werkzeuge

11. Fazit

Mit lokalen Gruppenrichtlinien unter Windows 11 lassen sich wichtige Vorgaben für Sicherheit und Standardisierung sauber umsetzen. Besonders praktisch ist die Kombination aus allgemeiner Computerkonfiguration, benutzerspezifischer Konfiguration und ergänzender Dokumentation per gpresult. So wird aus Windows kein Wilder Westen, sondern ein ordentlich eingezäunter Gerätepark.