Auf modernen Rechnern ist BitLocker standardmäßig so konfiguriert, dass das TPM alleine den Volume Master Key (VMK) freigibt. Fällt ein Notebook jedoch in die falschen Hände, dann ist der VMK damit nicht ausreichend geschützt. Daher empfiehlt Microsoft eine Zwei-Faktor-Authentifizierung durch eine zusätzliche PIN oder einen Startup-Key.
Alle modernen Web-Browser bieten die Möglichkeit, die Zugangsdaten zu Websites zu speichern und bei der erneuten Anmeldung automatisch einzufügen. Dies kann aus Sicherheitsgründen jedoch unerwünscht sein. Bei Chrome, Edge und Firefox kann man dieses Feature mit Gruppenrichtlinien entschärfen oder deaktivieren.
Da es sich beim Active Directory um eine kritische Komponente der IT-Infrastruktur handelt, ist es geboten, dieses laufend auf Abweichungen von einer wünschenswerten Konfiguration und auf Schwachstellen zu prüfen. Wenn man dafür keine kommerzielle Lösung anschaffen will, kann man auch bewährte PowerShell-Scripts zurückgreifen.
Die Verschlüsselung von Laufwerken ist besonders bei Notebooks ein wesentlicher Sicherheitsfaktor. Wenn man BitLocker über die Bordmittel aktiviert, dann liefern diese keinen Report über den Verschlüsselungsstatus der ganzen Umgebung. Inaktiven BitLocker-Schutz kann man mit dem Dienstprogramm manage-bcd und PowerShell erkennen.
User, die einen Computer zu einer AD-Domäne hinzufügen, sind automatisch Besitzer des entsprechenden AD-Objekts. Wenn Standardbenutzer das Recht zum Domain Join besitzen, dann ist aus Sicherheitsgründen geboten, die Besitzer der Computer-Objekte nachträglich zu ändern. Das geht über die ADUC-GUI oder per PowerShell.
Microsofts neuester Paket-Manager ist in den aktuellen Versionen von Windows 10 und 11 bereits enthalten. Wenn man winget jedoch unter Windows Server nutzen oder eine Preview-Version ausprobieren möchte, dann muss man es manuell installieren. Bei Vorab-Versionen kann man dann die experimentellen Features aktivieren.
Wenn ein Benutzer einen Web-Browser zum ersten Mal auf einem Rechner startet, dann wird er mit einer Willkommensseite konfrontiert. Je nach Hersteller fragt diese verschiedene Einstellungen ab, die in verwalteten Umgebungen meist zentral gesetzt werden. In Chrome, Edge und Firefox kann man dies über Gruppenrichtlinien unterbinden.
In allen neueren Versionen von Windows ist IPv6 per Voreinstellung installiert und für alle Netzwerkadapter aktiviert. Gerade in kleineren Umgebungen fehlt oft die Expertise, um die IPv6-Infrastruktur sachgerecht zu konfigurieren. In solchen Fällen liegt es meist nahe, das Protokoll zu deaktivieren. Alternativ stuft man seine Priorität gegenüber IPv4 herunter.
BitLocker stellt im Zusammenspiel mit einem Trusted Platform Module (TPM) sicher, dass die Konfiguration eines PCs seit dem Start der Verschlüsselung nicht verändert wurde. Für diesen Zweck speichert es mehrere Systemparameter in den PCR des TPM. Diese Konfiguration ist ausschlaggebend dafür, wie leicht BitLocker den Recovery Mode auslöst.
Windows kennt drei Typen von Netzwerkprofilen, nämlich Domäne, privat und öffentlich. Ersteres erhalten automatisch alle Rechner, die Mitglied im Active Directory sind, und dies lässt sich auch nicht ändern. Hingegen kann man zwischen privat und öffentlich wechseln, um die damit verbundenen Sicherheitseinstellungen zu aktivieren.