Neue Gruppenrichtlinien in Windows 11: Einstellungen für Device-Management, DoH, Updates, PrintNightmare

Am besten installiert man daher gleich die neuen Templates für Windows 11 und sieht bei den einzelnen Einstellungen nach, ob sie auch unter Windows 10 unterstützt werden. Bei einigen ist diese Angabe allerdings nicht vorhanden, etwa bei jenen für die Windows Sandbox. Die dafür zuständige ADMX-Datei fehlt zudem unter Windows 10 21H2.

Zahl der neuen Einstellungen

Glaubt man dem aktuellen Group Policy Settings Reference Spreadsheet, dann bringt Windows 11 satte 111 neue Einstellungen. Die meisten davon sind jedoch nur das Ergebnis der notorisch schlechten Dokumentation.

So gelten dort sämtliche Optionen für Windows Update als neu, nur weil Microsoft diese in eine neue Ordnerstruktur einsortiert hat. Hinzu kommen solche, bei denen sich bloß der Name geändert hat, wie etwa von Allow Telemetry zu Allow Diagnostic Data.

Wirft man einen Blick auf die Dokumentation der Security Baseline, dann dürfte diese der Realität näher kommen. Die darin enthaltene Excel-Tabelle weist 61 neue Einstellungen aus. Beseitigt man daraus die Doppelungen zwischen dem Geltungsbereich Computer und User, dann bleiben noch 56 übrig.

DoH und Geräteinstallation

Unter ihnen finden sich nur zwei Einstellungen, die tatsächlich neuen Features gelten. Das ist zum einen Namens­auflösung von DNS über HTTPS (DoH) konfigurieren ("Configure DNS over HTTPS (DoH) name resolution), mit dem man DNS über HTTPS deaktivieren, erzwingen oder einfach nur zulassen kann. Diese Option fehlt unter Windows 10 und das Template für Windows 11 gibt Vista als minimale OS-Version an.

Die zweite wesentliche Neuerung betrifft die Geräteinstallation. Dort erhält man nun dank der Option Anwenden einer übergeordneten Reihenfolge für Zulassen und Verhindern-Geräte­installations­richtlinien für alle Geräte­über­einstimmungs­kriterien ("Apply layered order of evaluation for Allow and Prevent device installation policies across all device match criteria") eine feinere Kontrolle darüber, welche Geräte die User installieren dürfen.

Verschiedene Quellen je nach Update-Typ

Eine interessante neue Option bringt 21H2 für Windows Update. Quelldienst für bestimmte Klassen von Windows-Updates angeben ("Specify source service for specific classes of Windows Updates") erlaubt nun, für verschiedene Kategorien von Updates (Qualität, Feature-Update, Treiber, andere) jeweils WSUS oder Windows Update zu beziehen.

Bevor man diese Einstellung konfiguriert, sollte man Keine Richtlinien für Updaterückstellungen zulassen, durch die Windows Update überprüft wird ("Do not allow update deferral policies to cause scans against Windows Update") deaktivieren.

Wenn man die Templates für Windows 11 verwendet, dann findet sich diese in dem neuen Ordner Legacy-Richtlinien.

Neue Richtlinien für das Drucken

Im Nachgang zu den Schwachstellen, die als "PrintNightmare" bekannt wurden, bringt Microsoft einige Restriktionen für Drucker.

Limit print driver installation to Administrators, mit der man Point und Print nach dem August-Update wieder für Standard­benutzer erlauben kann, findet sich nicht in den normalen Vorlagen, sondern in SecGuide.admx. Diese Datei gehört zum Lieferumfang der Security Baseline.

Neu ist die Möglichkeit, das Drucken auf bestimmte Geräte einzuschränken. Mit Druck­beschränkungen für die Geräte­steuerung aktivieren ("Enable Device Control Printing Restrictions") lässt man nur Drucker im Unter­nehmens­netz oder genehmigte USB-Printer zu.

Diese Einstellung wird ergänzt um Liste der zugelassenen, über USB angeschlossenen Druckergeräte ("List of Approved USB-connected print devices"). Dort gibt man die VID bzw. PID der erlaubten USB-Drucker an.

Microsoft Defender

Gleich acht neue Einstellungen erhält Microsoft Defender. Darunter findet sich die Möglichkeit, bestimmte IP-Adressen von den Überprüfungen auszuschließen. Skriptüberprüfung aktivieren ("Turn on script scanning") hat es als Empfehlung in die aktuelle Security Baseline geschafft.

Auch diese beiden Optionen fehlen in den Vorlagen von Windows 10. Da als minimale Anforderung Windows 8 bzw. Windows 10 1709 genannt werden, sollten sie dort ebenfalls verfügbar sein.

Konfiguration von Windows Sandbox

Bei den neuen Gruppen­richtlinien ist die Sandbox zahlenmäßig stark vertreten. Mit ihnen kann man steuern, ob Audio- und Video-Input, Netzwerk, Drucker sowie eine virtuelle GPU in der VM verfügbar sein sollen. Eine weitere Option bestimmt, ob man mit der Sandbox Daten über die Zwischenablage austauschen kann.

Wie erwähnt, fehlen diese Einstellungen in den Vorlagen von Windows 10 21H2 und obendrein die Angaben zu den unterstützten Versionen von Windows. Daher greifen diese Optionen erst ab Windows 11.

Diagnosedaten

Vier neue Einstellungen helfen, die Datenerfassung durch Microsoft zu kontrollieren. So lassen sich Speicher-Dumps mit Absturzabbildsammlung einschränken ("Limit Dump Collection") auf Kernel-Mini-Dumps und User-Mode-Dumps beschränken.

Eine weitere limitiert das Sammeln von Diagnose-Logs. Zwei zusätzliche Optionen dienen dazu, die Interaktion mit dem OneSettings-Service zu regeln (Logging und Downloads).

GUI-Features deaktivieren

In professionellen Umgebungen dürften einige der neuen Einstellungen interessant sein, mit denen man unnütze oder störende Features vom Desktop entfernen kann. Das gilt etwa für Animationen auf dem Sperrbildschirm ("Turn off Spotlight collection on Desktop" und "Prevent lock screen background motion").

In diese Kategorie fällt auch die Möglichkeit, Widgets zu deaktivieren. Sie fehlt in den Vorlagen von Windows 10 und düfte nur für die neuen Widgets in der Version 11 gelten. Sie soll aber laut Editor auch das ältere OS unterstützen.

Willkommen dürfte in vielen Fällen auch das Ausblenden der Liste "Am häufigsten verwendet" aus dem Startmenü sein.

Fazit

Windows 11 bringt eine ganze Reihe neuer Gruppen­richtlinien. Nur zwei davon betreffen neue Features, der Rest erweitert die Steuerungs­möglich­keiten vorhandener Komponenten.

Interessant ist die Einstellung zur Bestimmung der Bezugsquelle für bestimmte Update-Typen. Microsoft Defender und das Drucken erhalten weitere sicherheits­relevante Optionen.

Getrübt wird die Freude über diese neuen Optionen wieder einmal durch Microsofts schlampige Dokumentation und die nachlässige Behandlung der letzten Version von Windows 10. Admins müssen daher die ADMX-Vorlagen für Windows 11 installieren und sehen, welche der neuen Einstellungen auch für Windows 10 greifen.