So konfigurieren Sie Device Guard und Richtlinien zur Anwendungssteuerung über Intune für KMU

Device Guard und Windows Defender Application Control (WDAC) sind Sicherheitstechnologien auf Unternehmensniveau, die ein Zero-Trust-Modell durchsetzen, bei dem ausschließlich autorisierte Anwendungen ausgeführt werden dürfen. Für kleine und mittlere Unternehmen (KMU) bietet die Bereitstellung dieser Funktionen über Intune eine skalierbare, cloudverwaltete Lösung, um Endpunkte gegen laterale Bewegungen und Schatten-IT-Bedrohungen abzusichern.

Dieser Leitfaden führt Sie umfassend durch die Konfiguration von Richtlinien zur Anwendungssteuerung und Device Guard in Intune, von den einzelnen Komponenten über Bereitstellungsstrategien bis hin zu Validierungsmethoden.

Einen schnellen visuellen Überblick erhalten Sie in unserem Video-Leitfaden: So konfigurieren Sie Device Guard und Richtlinien zur Anwendungssteuerung über Intune für KMU

Schritte zur Konfiguration von Device Guard und Richtlinien zur Anwendungssteuerung über Intune

Diese Voraussetzungen müssen erfüllt sein, bevor Sie Device Guard und Richtlinien zur Anwendungssteuerung über Intune konfigurieren:

📌 Allgemeine Voraussetzungen:

• Microsoft Intune (Microsoft Endpoint Manager)
• Windows 10/11 in der Edition Pro, Enterprise oder Education
• Hardware, die Device Guard und WDAC unterstützt (UEFI, Virtualisierungserweiterungen)
• Administrativer Zugriff auf die Endpunkte und das Intune-Portal
• Optional: Zugriff auf NinjaOne RMM für die Überwachung und ergänzende Durchsetzung

Schritt 1: Die Komponenten von Device Guard und WDAC verstehen

Bevor Sie etwas einrichten, sollten Sie unbedingt wissen, was Device Guard und WDAC sind und wie sie zusammenwirken, um Ihre Systeme zu schützen:

Was ist Device Guard in Intune?

Device Guard ist eine in Windows integrierte Sammlung von Sicherheitstechnologien, die Geräte so absichert, dass nur vertrauenswürdige Anwendungen ausgeführt werden können. Es vereint mehrere leistungsfähige Komponenten unter einem Dach:

• Credential Guard – Schützt Anmeldeinformationen mithilfe von Virtualization-Based Security (VBS) vor Angriffen.
• Code Integrity (CI) – Stellt sicher, dass nur signierter, vertrauenswürdiger Code ausgeführt wird.
• Anwendungssteuerung (WDAC) – Legt fest, welche Anwendungen, ausführbaren Dateien, Skripte und DLLs auf dem Gerät laufen dürfen.

Gemeinsam setzen diese Technologien ein Zero-Trust-Ausführungsmodell durch: Nichts wird ausgeführt, was nicht ausdrücklich erlaubt ist.

Wie werden die Richtlinien konfiguriert?

Device-Guard- und WDAC-Richtlinien werden über XML oder einen Configuration Service Provider (CSP) konfiguriert und per Intune oder lokaler Skriptdurchsetzung angewendet.

Schritt 2: Eine Bereitstellungsmethode wählen

Sind die Grundlagen geklärt, wählen Sie eine Bereitstellungsmethode, die zu Ihrer Infrastruktur passt (Intune-verwaltet, lokales AD oder hybrid).

Methode A: WDAC-Richtlinie mit PowerShell erstellen

Diese Methode gibt Ihnen die volle Kontrolle darüber, was ausgeführt werden darf, basierend auf dem, was bereits auf Ihrem Referenzsystem vorhanden ist.

📌 Anwendungsfälle:

• Sie möchten eine individuelle Positivliste für Umgebungen mit hohen Sicherheitsanforderungen
• Sie testen WDAC in einer begrenzten Gerätegruppe

📌 Voraussetzungen:

• Sie müssen PowerShell als Administrator ausführen
• PowerShell 5.1+ für die lokale Richtlinienerstellung

Schritt für Schritt:

1. Drücken Sie Win + S und suchen Sie nach PowerShell.
2. Klicken Sie in den Ergebnissen mit der rechten Maustaste auf Windows PowerShell und wählen Sie Als Administrator ausführen. (Siehe Punkt 2 unter ⚠️ Worauf Sie achten sollten.)
3. Erstellen Sie eine WDAC-Standardrichtlinie (Überwachungsmodus):

$policyPath = "C:\Policies\WDAC_Policy.xml"
New-CIPolicy -Level Publisher -Fallback Hash -FilePath $policyPath -UserPEs

4. Wandeln Sie die XML-Datei in eine Binärdatei um:

ConvertFrom-CIPolicy -XmlFilePath $policyPath -BinaryFilePath "C:\Policies\WDAC_Policy.bin"

5. Optional: Nur den Überwachungsmodus aktivieren: (Siehe Punkt 1 unter ⚠️ Worauf Sie achten sollten.)

Set-RuleOption -FilePath $policyPath -Option 3 # 3 = Audit Mode

Sie können diese Richtlinie nun in Intune als benutzerdefinierte OMA-URI-Konfiguration verwenden oder sie manuell auf Testrechnern bereitstellen.

Methode B: Device Guard/WDAC über Intune bereitstellen

Diese Methode nutzt den Bereich Endpunkt-Sicherheit in Intune, um WDAC-Regeln zu erstellen und bereitzustellen. Das ist der skalierbarste Weg, WDAC-Richtlinien auf vielen Geräten auszurollen.

📌 Anwendungsfälle: Am besten geeignet für cloudorientierte KMU und Großunternehmen

📌 Voraussetzungen:

• Die Geräte müssen in Azure AD oder hybrid in AAD eingebunden und in Intune registriert sein
• Passende Lizenzierung für Intune (Microsoft 365 Business Premium, E3+ usw.)

Schritt für Schritt:

1. Navigieren Sie zu Microsoft Intune Admin Center > Endpunktsicherheit > Verringerung der Angriffsfläche > Richtlinie erstellen.
2. Wählen Sie Plattform und Profil:
   • Plattform: Windows 10 und höher
   • Profil: Windows Defender Application Control
3. Konfigurieren Sie die Richtlinie:
   • Verwenden Sie zunächst den Überwachungsmodus. Blockierte Aktivitäten werden dann protokolliert, ohne tatsächlich blockiert zu werden. (Siehe Punkt 1 unter ⚠️ Worauf Sie achten sollten.)
   • Setzen Sie die Regeln nach dem Testen durch (nur signierte Microsoft-Anwendungen und Windows-Komponenten).
   • Aktivieren Sie die Integration des Intelligent Security Graph.
4. Weisen Sie die Richtlinie einer Testgruppe oder einer Teilmenge von Endpunkten zu. (Siehe Punkt 3 unter ⚠️ Worauf Sie achten sollten.)
5. Wechseln Sie nach erfolgreicher Validierung in den Erzwingungsmodus. Dann laufen nur noch vertrauenswürdige Anwendungen, nicht vertrauenswürdige werden blockiert.

Methode C: Durchsetzung per Gruppenrichtlinie (optional/hybrid)

Diese Methode eignet sich am besten für hybride oder lokale AD-Umgebungen, in denen Intune noch nicht vollständig im Einsatz ist oder Gruppenrichtlinien weiterhin das zentrale Konfigurationsinstrument sind.

📌 Anwendungsfälle: Am besten für Unternehmen, die von On-Premises in die Cloud wechseln.

📌 Voraussetzungen: Die Geräte müssen in ein AD eingebunden sein (lokal oder hybrid)

Schritt für Schritt:

1. Drücken Sie Win + R, geben Sie gpedit.msc ein und drücken Sie die Eingabetaste, um den Editor für lokale Gruppenrichtlinien zu öffnen.
2. Navigieren Sie zu:

Computerkonfiguration > Administrative Vorlagen > System > Device Guard

3. Aktivieren Sie:
   • Virtualisierungsbasierte Sicherheit aktivieren
   • Credential Guard aktivieren
   • Windows Defender Application Control bereitstellen

Nutzen Sie GPOs für lokal oder hybrid in die Domäne eingebundene Geräte, wenn Intune nicht verfügbar ist.

Schritt 3: Anwendungssteuerung mit PowerShell und Ereignisprotokollen validieren

Prüfen Sie nach der Bereitstellung, ob die Richtlinie aktiv ist und funktioniert.

📌 Anwendungsfälle: Nutzen Sie dies für Compliance und Audits oder um Betriebsunterbrechungen durch Fehlalarme zu vermeiden.

📌 Voraussetzungen: PowerShell 5.1+ für die lokale Richtlinienprüfung

Prüfung per PowerShell

1. Öffnen Sie PowerShell.
2. Führen Sie den folgenden Befehl aus, um den WDAC-Status zu bestätigen:

Get-CIPolicy | Format-List

3. Prüfen Sie die Überwachungsprotokolle: (Siehe Punkt 4 unter ⚠️ Worauf Sie achten sollten.)

Get-WinEvent -LogName "Microsoft-Windows-CodeIntegrity/Operational" | Format-Table TimeCreated, Id, Message -AutoSize

4. Überprüfen Sie Credential Guard:

Get-CimInstance -ClassName Win32_DeviceGuard

Bei aktivem Status sollte die Ausgabe VirtualizationBasedSecurityStatus = 2 anzeigen.

Prüfung über die Ereignisanzeige

1. Drücken Sie Win + R, geben Sie eventvwr.msc ein und drücken Sie die Eingabetaste, um die Ereignisanzeige zu öffnen.
2. Navigieren Sie zu Anwendungs- und Dienstprotokolle > Microsoft > CodeIntegrity > Operational.
3. Achten Sie auf:
   • Ereignis-ID 3033 – WDAC-Richtlinie erfolgreich geladen
   • Ereignis-ID 3076 – Anwendung durch WDAC blockiert (Erzwingungsmodus)
   • Ereignis-ID 3099 – Anwendung wäre blockiert worden (Überwachungsmodus)

Diese Ereignisse zeigen, ob die WDAC-Richtlinie erfolgreich angewendet wurde und ob Anwendungen blockiert wurden bzw. blockiert worden wären.

Schritt 4: Einstellungen über die Registry prüfen oder erzwingen

Diese Methode verteilt WDAC-Richtlinien an Geräte und überwacht, ob Device Guard, Credential Guard oder VBS aktiviert sind.

📌 Anwendungsfälle: Nutzen Sie dies, wenn Sie nach der Bereitstellung prüfen möchten, ob die Einstellungen durchgesetzt werden.

📌 Voraussetzungen:

• Administratorrechte erforderlich (Siehe Punkt 2 unter ⚠️ Worauf Sie achten sollten.)
• Device-Guard-Einstellungen sind bereitgestellt (GPO oder Intune)

⚠️ Warnung: Änderungen an der Registry können zu Systemproblemen führen. Erstellen Sie ein Backup, bevor Sie fortfahren.

Schritt für Schritt:

1. Drücken Sie Win + R, geben Sie regedit ein und drücken Sie die Eingabetaste, um den Registrierungs-Editor zu öffnen.
2. Navigieren Sie zu den Registry-Schlüsseln von WDAC und Device Guard:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuard

• • EnableVirtualizationBasedSecurity (DWORD) = 1
  • RequirePlatformSecurityFeatures (DWORD) = 1

3. Prüfung von Credential Guard in der Registry:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa

• • LsaCfgFlags (DWORD) = 1

Nutzen Sie PowerShell oder benutzerdefinierte Felder in NinjaOne, um diese Werte im großen Maßstab auszulesen und zu melden.

⚠️ Worauf Sie achten sollten

Darum sind Device Guard und WDAC für KMU so wichtig

Kleine und mittlere Unternehmen (KMU) werden in der Regel über die Zahl ihrer Arbeitskräfte und ihren Umsatz definiert. Sie arbeiten mit schlankeren Teams und weniger lokalen Ressourcen als Großunternehmen, sehen sich aber denselben Sicherheitsbedrohungen gegenüber. Sie brauchen deshalb Lösungen, die nicht übermäßig komplex, aber dennoch wirksam sind.

Genau dieses Gleichgewicht bieten Device Guard und WDAC für KMU. So helfen sie konkret:

• Intune senkt den Verwaltungsaufwand, indem Bereitstellung und Überwachung vereinfacht werden.
• Durch cloudorientierte Verwaltung werden Richtlinien ohne lokale Infrastruktur verteilt und durchgesetzt.
• Höhere Endpunkt-Sicherheit ergibt sich daraus, dass WDAC nicht vertrauenswürdige oder schädliche Anwendungen blockiert.
• Intune und WDAC bieten Schutz auf Enterprise-Niveau im großen Maßstab, da Sicherheitskontrollen geräteübergreifend konsistent angewendet werden.
• Anwendungssteuerung verkleinert die Angriffsfläche, weil Einstiegspunkte für Bedrohungen und laterale Bewegungen eingeschränkt werden.

Weitere Überlegungen

Diese Punkte sollten Sie bei der Bereitstellung von Windows Defender Application Control (WDAC) im Blick behalten:

Zuerst im Überwachungsmodus testen

Bevor Sie WDAC in der Produktionsumgebung durchsetzen, sollten Sie zunächst im Überwachungsmodus testen. In diesem Modus werden Anwendungen protokolliert, die blockiert worden wären, ohne dass ihre Ausführung tatsächlich verhindert wird. So können Sie die Auswirkungen Ihrer Richtlinie gefahrlos einschätzen.

Signierung der Richtlinie

In manchen Umgebungen müssen WDAC-Richtlinien digital mit einem Codesignaturzertifikat signiert sein, damit sie unter Secure Boot durchgesetzt werden. Signierte Richtlinien gewährleisten Integrität und Vertrauen, während unsignierte Richtlinien ignoriert werden oder nur im Überwachungsmodus laufen.

Kompatibilität bei Updates

Jedes Windows-Update kann neue Systemdateien oder Treiber mitbringen oder bestehende verändern, die WDAC dann versehentlich blockiert. Prüfen Sie Ihre Richtlinie deshalb nach größeren Updates immer erneut. Sie können nach einem Update auch vorübergehend in den Überwachungsmodus wechseln, um neue Blockierungen zu protokollieren und Dateien zu identifizieren, die eine Ausnahme benötigen.

Umgang mit Ausnahmen

KMU setzen häufig Werkzeuge, Skripte oder Automatisierungs-Agents von Drittanbietern ein, die nicht signiert sind und von WDAC blockiert werden könnten. Verwenden Sie in diesem Fall Zulassungsregeln auf Basis von Dateipfad, Hash oder Herausgeber.

💡 Tipp: Führen Sie eine Liste vertrauenswürdiger Werkzeuge, die auf die Positivliste gehören, und überprüfen und aktualisieren Sie Ausnahmeregeln regelmäßig, um Störungen zu vermeiden.

Fehlerbehebung

Nachfolgend finden Sie häufige Probleme bei der Konfiguration von WDAC und ihre Lösungen:

Blockierte Anwendungen

Blockierte Anwendungen zeigen, dass WDAC korrekt arbeitet und eine Anwendung aufhält, die nicht der Positivliste entspricht. Prüfen Sie in diesem Fall die CodeIntegrity-Protokolle auf die Hashes der ausführbaren Dateien:

1. Drücken Sie Win + R, geben Sie eventvwr.msc ein und drücken Sie die Eingabetaste, um die Ereignisanzeige zu öffnen.
2. Navigieren Sie zu:

Anwendungs- und Dienstprotokolle > Microsoft > Windows > CodeIntegrity > Operational

3. Achten Sie auf Ereignis-ID 3076 und Ereignis-ID 3099, um blockierte ausführbare Dateien und deren Hashes zu sehen.
4. Erstellen Sie anhand des Hashs oder Pfads aus dem Ereignis eine Ausnahmeregel.

Richtlinie wird nicht angewendet

Wenn ein Gerät die Richtlinie nicht erhält oder nicht anwendet, haben Sie folgende Möglichkeiten:

• Erzwingen Sie eine Synchronisierung auf dem Endpunkt:

1. 1. Öffnen Sie Einstellungen (Win + I) > Konten > Auf Arbeits- oder Schulkonto zugreifen > Info > Synchronisieren

• Prüfen Sie den Bereitstellungsstatus der Intune-Richtlinie:

1. 1. Navigieren Sie zu Microsoft Intune Admin Center > Geräte > [Gerätename] > Gerätekonfiguration
   2. Überprüfen Sie den Status der Richtlinie (Ausstehend, Erfolgreich oder Fehlgeschlagen)

• Prüfen Sie die Zuweisung:

Vergewissern Sie sich, dass das Gerät der richtigen Gruppenzuweisung angehört und dass die Richtlinie für Geräte gilt, nicht nur für Benutzer:innen.

Credential Guard schlägt fehl

Denken Sie daran, dass Credential Guard bestimmte Hardware-Funktionen voraussetzt, darunter Virtualisierungsunterstützung und Secure Boot. So prüfen Sie, ob das Gerät sie unterstützt:

1. Starten Sie in das BIOS/UEFI und überprüfen Sie:
   • Secure Boot ist aktiviert
   • Die Virtualisierungsunterstützung ist eingeschaltet

Registry wird nicht aktualisiert

Wenn Registry-Änderungen nicht greifen, haben Sie folgende Möglichkeiten:

• Stellen Sie sicher, dass Skripte oder Abfragen mit Administratorrechten ausgeführt werden.
• Prüfen Sie, ob Registry-Pfad und -Schlüssel vorhanden sind:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuard
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa

NinjaOne Services

NinjaOne unterstützt den sicheren Rollout von Device-Guard- und WDAC-Richtlinien folgendermaßen:

Mit NinjaOne können MSPs die Hardening-Funktionen von Microsoft kundenübergreifend erweitern und mit minimalem Aufwand überwachen.

Device Guard und WDAC für KMU konfigurieren und so Endpunkt-Sicherheit und Anwendungssteuerung stärken

Device Guard und Windows Defender Application Control (WDAC) sind leistungsstarke Werkzeuge, um KMU-Endpunkte abzusichern, indem sie einschränken, welche Anwendungen und Skripte ausgeführt werden dürfen. Dieser Leitfaden hat die zentralen Komponenten und Vorteile beider Lösungen beleuchtet, mit Fokus darauf, wie sie eine Zero-Trust-Ausführung unterstützen.

Er hat außerdem ausführlich gezeigt, wie Sie Richtlinien mit Microsoft Intune bereitstellen, überwachen und durchsetzen, ergänzt um Methoden mit PowerShell, der Registry, der Eingabeaufforderung und GPOs für Tests und Compliance. Abschließend wurde erläutert, wie NinjaOne dabei hilft, die Richtlinienbereitstellung kundenübergreifend zu skalieren und zu auditieren, für mehr Endpunkt-Sicherheit und eine bessere Anwendungssteuerung insgesamt.

Verwandte Themen:

• So prüfen Sie, ob Device Guard unter Windows aktiviert oder deaktiviert ist
• So prüfen Sie, ob Credential Guard unter Windows aktiviert oder deaktiviert ist
• So umgehen Sie „Diese App wurde zu Ihrem Schutz blockiert“ unter Windows 10