Windows Server 2016 optimieren: Unnötige Dienste abschalten

Wer sich für die grafische Oberfläche entschieden hat, kann anders als unter Server 2012 R2 nicht mehr zwischen ihr und Server Core hin- und herwechseln. Möchte man daher die Voll­installation mit weniger Angriffsfläche konfigurieren, dann ist das Ändern der Installations­variante somit keine Option mehr.

Als Ausweg bleibt unter anderem das Abschalten von nicht benötigten Services. Die von Microsoft veröffentlichte Excel-Tabelle weist alleine 72 Dienste aus, die nur zusammen mit der Desktop Experience installiert werden. Insgesamt sind es 187.

Die meisten davon sind vom Typ Manuell und starten nicht automatisch, wenn das System hochfährt. Sie werden jedoch bei Bedarf von anderen Services aktiviert, so dass sie potenziell eine Angriffsfläche bieten.

Services umsichtig deaktivieren

Aufgrund der möglichen Abhängigkeit anderer Services von einem als manuell konfigurierten Dienst sollte man diesen nicht einfach auf den Starttyp Deaktiviert setzen. Die genannte Excel-Tabelle rät daher explizit, ob man bestimmte Dienste abschalten kann oder besser aktiviert lassen sollte.

Insgesamt hilft das Deaktivieren von Services zwar, um die Sicherheit von Systemen zu erhöhen. Gleichzeitig ist jedoch klar, dass Microsoft die Desktop Experience primär für RD Session Hosts vorsieht und für andere Rollen Server Core oder Nano Server favorisiert.

Die Excel-Tabelle mit der Übersicht über alle Dienste von Windows Server 2016 kann von diesem TechNet-Blog herunterladen. Möchte man bestimmte Services auf einer größeren Zahl von Servern abschalten, dann kann man dies über Gruppen­richtlinien tun.