Gruppenrichtlinien steuern zentral die Konfiguration von Rechnern und Konten in einer Windows-Domäne. Wer sie manipulieren kann, verteilt Befehle an viele Systeme gleichzeitig.
Gruppenrichtlinien (Group Policy Objects, GPO) sind das zentrale Werkzeug, um in einer Windows-Domäne Einstellungen flächendeckend durchzusetzen: Passwortregeln, Softwareverteilung, Rechtevergabe, Anmeldeskripte, Firewall-Konfiguration. Eine GPO wird mit Standorten, Domänen oder Organisationseinheiten im Active Directory verknüpft und gilt dann für alle darunterliegenden Objekte.
Das macht GPOs zu einem mächtigen Instrument der Härtung – und zugleich zu einem attraktiven Ziel. Wer eine weit verknüpfte GPO verändern darf, kann Konfiguration und Code an viele Systeme gleichzeitig ausspielen.
Funktionsweise
Eine GPO besteht aus zwei Teilen: einem Container im Verzeichnis und Dateien im SYSVOL-Freigabeordner auf den Domänencontrollern. Clients lesen die zugewiesenen Richtlinien regelmäßig aus und wenden sie an. Sicherheitsrelevant sind vor allem:
- wer Schreibrechte auf einzelne GPOs oder auf SYSVOL besitzt,
- welche GPOs privilegierte Gruppen oder lokale Admin-Rechte vergeben,
- veraltete Richtlinien mit eingebetteten Passwörtern (etwa Group Policy Preferences),
- die Verknüpfungstiefe, also wie viele Systeme eine GPO erreicht.
Bedeutung für Unternehmen
GPOs sind über Jahre gewachsen und selten vollständig dokumentiert. Oft haben mehr Personen Schreibrechte als nötig, und alte Richtlinien bleiben aktiv. Für Entscheider ist entscheidend: Eine fehlerhaft gesicherte GPO ist kein Einzelrisiko, sondern ein Hebel, mit dem sich ein Angreifer in einem Schritt auf vielen Rechnern festsetzen oder Rechte ausweiten kann. Ein manipuliertes Anmeldeskript oder eine veränderte Rechtevergabe wirkt sich innerhalb kurzer Zeit auf jedes verknüpfte System aus, oft bevor ein Team die Änderung überhaupt bemerkt.
Härtung und Prüfung aus Red-Team-Sicht
Ein Red Team prüft, wer GPOs ändern darf, und sucht nach Wegen, über eine schwach gesicherte Richtlinie Rechte auszuweiten oder sich zu verankern. Empfohlene Maßnahmen:
- Schreibrechte auf GPOs streng nach Least Privilege vergeben und regelmäßig prüfen,
- veraltete Richtlinien mit Passwörtern (GPP) aufspüren und entfernen,
- Änderungen an GPOs lückenlos protokollieren und alarmieren,
- kritische Einstellungen regelmäßig gegen eine definierte Soll-Konfiguration abgleichen,
- SYSVOL-Berechtigungen kontrollieren und regelmäßig sichern,
- eine versionierte Dokumentation aller produktiven Richtlinien führen.
Diese Prüfung ist Teil unserer Active-Directory-Leistung. Typische Schwachstellen beschreibt der Ratgeber Active Directory: typische Fehler.