Windows Server 2025 bringt strengere Standards bei SMB-Signing, NTLM und Credential Guard und trifft damit Altsysteme unvorbereitet. Der Artikel beschreibt einen Sicherheitsstandard in drei Stufen: P1 Grundschutz mit einer einzigen GPO und sechs Einstellungen, P2 die Microsoft Security Baseline in fester Rollout-Reihenfolge und P3 Monitoring mit Defender for Identity oder regelmässigem Security-Check. Dazu kommen drei Basismassnahmen für den Ernstfall (AD-Papierkorb, CA-Backup, Passwortrichtlinie), ein Ablauf mit Test-OU, die typischen Fehler und die Grenzen eines Standards, der keine Risikoanalyse ersetzt.
Inhalt 10 Abschnitte
Eine GPO, sechs Einstellungen, danach die Microsoft-Baseline: So führst du Grundschutz auf Windows Server 2025 in drei Stufen ein, ohne Scanner und NAS zu verlieren.
Auf einen Blick
- Windows Server 2025 ist an mehreren Stellen strenger. Das betrifft SMB-Signing, NTLM-Einschränkungen und Credential Guard.
- P1 ist eine einzige GPO mit sechs Einstellungen. Sie wirkt am stärksten und lässt sich in Tagen ausrollen.
- P2 folgt in fester Reihenfolge. Zuerst die eigene P1-GPO, dann die Microsoft-Baselines für DC, Member Server und Clients.
- Ohne Inventar der Altsysteme geht der Rollout schief. NAS, Scanner und alte Applikationen fallen sonst am ersten Morgen aus.
Was Windows Server 2025 strenger macht
Wer von älteren Versionen upgradet, bekommt neue Standardwerte. Credential Guard ist laut Microsoft ab Windows Server 2025 auf geeigneten Geräten standardmässig aktiv. Der SMB-Client kann NTLM für ausgehende Verbindungen blockieren, und ein Rate Limiter bremst Brute-Force-Versuche gegen den SMB-Server. LDAP over TLS unterstützt TLS 1.3. Beim SMB-Signing verlangt Windows Server 2025 standardmässig Signatur für ausgehende Verbindungen.
Damit steigt die Sicherheit. Es trifft aber Geräte, die diese Anforderungen nie erfüllen mussten: ein NAS mit altem SMB-Stack, einen Scanner mit Speicherfunktion oder eine Fachapplikation mit NTLMv1. Dazu kommt ein zweiter Grund für einen Standard. Nach einem Ransomware-Vorfall klappt die Wiederherstellung von Servern oder der Domäne nicht immer, wenn Grundmassnahmen fehlen.
Deshalb setzt ein pragmatischer Standard kritische Befunde in kontrollierten Schritten um. Viele mittlere und hohe Befunde in Scans sind Folgen der kritischen und verschwinden mit ihnen.
P1: Grundschutz mit einer GPO
Die erste Stufe besteht aus einer einzigen Gruppenrichtlinie mit sechs Einstellungen:
| Nr. | Einstellung | Wert | Wirkung |
|---|---|---|---|
1 |
Domain member: Digitally encrypt or sign secure channel data |
immer |
Schützt die Verbindung zwischen Member und DC |
2 |
Microsoft network client: Digitally sign communications |
immer |
Signierte SMB-Anfragen |
3 |
Microsoft network server: Digitally sign communications |
immer |
Signierte SMB-Antworten |
4 |
Network security: LAN Manager authentication level |
NTLMv2 only, LM und NTLM ablehnen |
Beendet LM und NTLMv1 |
5 |
Network access: Restrict clients allowed to make remote calls to SAM |
nur Administratoren und Dienste |
Verhindert das Auslesen lokaler Konten aus der Ferne |
6 |
Network security: Do not store LAN Manager hash value |
aktiv |
Kein LM-Hash bei der nächsten Passwortänderung |
Dabei hat die Einstellung 5 einen Nebeneffekt. Tools, die lokale Gruppen remote auslesen, brechen danach. Prüfe deshalb vor dem Rollout, welche Skripte und Inventarwerkzeuge das nutzen.
Wie du herausfindest, welche Geräte noch NTLMv1 oder unsignierte Verbindungen verwenden, zeigt der Artikel NTLMv1 und LDAP-Signing: der Nachweis vor der Härtung.
P2: Security Baseline in fester Reihenfolge
Die zweite Stufe ergänzt die Microsoft Security Baseline. Du lädst sie im Security Compliance Toolkit herunter und importierst die GPOs. Die Reihenfolge entscheidet über den Vorrang:
- Die eigene P1-GPO.
- Windows Server 2025, Domain Controller.
- Windows Server 2025, Member Server.
- Windows 11 24H2, Computer.
So überschreiben sich Einstellungen gegenseitig, wenn du die Baselines ohne Reihenfolge stapelst, und niemand weiss mehr, welche gilt. Prüfe nach jedem Schritt Eventlogs und Anwendungen. Dokumentiere Ausnahmen mit Begründung und Datum.
P3: Monitoring statt Hoffnung
Die dritte Stufe sorgt dafür, dass der Standard nicht still verfällt. Zwei Wege bieten sich an. Microsoft Defender for Identity setzt Sensoren auf die Domain Controller und erkennt Lateral Movement und Credential Theft. Es braucht passende Lizenzen. Alternativ läuft ein regelmässiger Security-Check mit automatischem Report an Support und Sicherheitsverantwortliche.
Für den Ernstfall gehören drei Basismassnahmen dazu:
- den AD-Papierkorb aktivieren
- die Zertifizierungsstelle sichern, damit LDAPS wiederherstellbar bleibt
- die Passwortrichtlinie der Default Domain Policy anheben
Der Rollout in sechs Schritten
- NTLM-, SMB- und LDAP-Nutzung über die Eventlogs erfassen und Altsysteme identifizieren.
- Die P1-GPO erstellen und zuerst auf eine Test-OU verlinken, danach auf DCs, Server und Clients.
- AD-Papierkorb, CA-Backup und Passwortrichtlinie umsetzen.
- Die Baselines importieren und in der Reihenfolge DC, Member, Clients verlinken.
- Nach jedem Schritt Eventlogs und Anwendungen prüfen und Ausnahmen dokumentieren.
- Das Monitoring einrichten.
Zudem brauchst du vorab ein Backup von Systemstate und CA sowie die passenden Baselines aus dem Compliance Toolkit. Das Inventar der Altsysteme entsteht aus den Audit-Logs, nicht aus dem Gedächtnis.
Typische Fehler und Grenzen
| Fehler | Folge | Besser |
|---|---|---|
P1 sofort auf alle Systeme |
NAS, Scanner und Altsysteme fallen aus |
Erst Test-OU, dann in Wellen |
Baseline-GPOs ohne Reihenfolge stapeln |
Unklarer Vorrang |
Reihenfolge festlegen und prüfen |
SAM-Einschränkung ungeprüft |
Tools zum Auslesen lokaler Gruppen brechen |
Vorher Skripte und Werkzeuge testen |
Ausnahmen nicht dokumentiert |
Niemand weiss später, warum etwas offen ist |
Ausnahmeliste mit Datum pflegen |
Zudem ersetzt der Standard keine individuelle Risikoanalyse. Defender for Identity erfordert passende Lizenzen. Die Baselines ändern sich mit jeder Windows-Version, deshalb gehören die Versionsstände regelmässig nachgeführt. Wer ein In-Place-Upgrade plant, kombiniert den Standard mit den Prüfungen aus dem Artikel Zwölf Prüfungen vor adprep.
Einordnung: Was das für Admins in KMU heisst
Deshalb musst du nicht hundert Einstellungen auf einmal umsetzen. Sechs Werte in einer GPO bringen den grössten Teil des Nutzens, und sie lassen sich Gerät für Gerät absichern. Rechne für Inventar und Test mit mehr Zeit als für das eigentliche Ausrollen. Der Zeitplan hängt an den Altsystemen: Ein Scanner, dessen Hersteller kein Update liefert, ist eine Entscheidung für die Geschäftsleitung. Lege solche Fälle früh vor und dokumentiere sie, dann kostet der Standard keine Nachtschichten.
Fazit
Windows Server 2025 erzwingt bessere Sicherheit, und das trifft zuerst die Altlasten. Ein Standard in drei Stufen hilft, das planbar zu machen. Starte mit sechs Einstellungen in einer GPO, ergänze die Microsoft-Baseline in fester Reihenfolge und hänge Monitoring an. Mit Inventar, Test-OU und dokumentierten Ausnahmen bleibt der Betrieb stabil.
Geschrieben von Andreas Brauckmann
Änderungshistorie
- — Artikel veröffentlicht.