Gruppenrichtlinien und Active Directory: Windows im Unternehmen

Kurz: Active Directory verwaltet Benutzer, Computer und Rechte zentral; Gruppenrichtlinien legen fest, wie Windows-Rechner und Benutzer eingestellt sind.

Genauer: In einer Firma mit hunderten Arbeitsplätzen wäre es unmöglich, jeden Rechner einzeln zu konfigurieren. Microsofts Active Directory (AD) ist ein Verzeichnisdienst, in dem Konten, Computer, Gruppen und Richtlinien liegen. Mit Gruppenrichtlinien (GPO) werden Einstellungen automatisch auf alle passenden Rechner und Benutzer verteilt.

Im Detail

Bausteine von Active Directory

• Domäne: Verwaltungseinheit mit gemeinsamem Verzeichnis, etwa firma.local.
• Domänencontroller (DC): Server, die das Verzeichnis halten und Anmeldungen prüfen (Kerberos, LDAP). Mehrere DCs sichern sich gegenseitig ab.
• Organisationseinheiten (OU): Ordner im Verzeichnis, um Benutzer und Computer zu gliedern.
• Gruppen: Sammlungen von Konten, denen Rechte zugewiesen werden. Benutzer melden sich mit demselben Konto an jedem Firmenrechner an.

Gruppenrichtlinien

Eine GPO ist ein Satz von Einstellungen, der mit einer Domäne oder OU verknüpft wird. Beispiele: Passwortregeln, Bildschirmsperre nach 10 Minuten, Laufwerke verbinden, Drucker bereitstellen, Software verteilen, USB-Sticks sperren, Windows-Update-Zeiten. Reihenfolge der Anwendung: lokal, Standort, Domäne, OU (spätere gelten stärker, sofern nicht „erzwungen“). Mit gpupdate /force wird neu angewendet, gpresult /r zeigt, was gilt.

Rechte und Sicherheit

Rechte werden Gruppen zugewiesen, nicht einzelnen Personen (AGDLP-Prinzip: Konten → globale Gruppen → lokale Domänengruppen → Berechtigungen). Das Konto mit Domänen-Admin-Rechten ist besonders schützenswert, da es alles darf. Typische Angriffe nutzen schwache Dienstkonten (Kerberoasting) oder gestohlene Anmeldedaten, um sich im Netz auszubreiten. Mehrstufige Verwaltungskonten und Überwachung sind Standard.

Alternativen

In Cloud-Umgebungen übernimmt Microsoft Entra ID (früher Azure AD) die Rolle für Anmeldung und Geräteverwaltung (mit Intune statt GPO). Unter Linux und gemischten Umgebungen gibt es OpenLDAP, FreeIPA oder Samba als AD-kompatible Domäne.

Siehe auch: LDAP, Kerberos, Windows Server, Windows-Registry