So richten Sie Client-Richtlinien mit Intune-Konfigurationsprofilen an den CIS Controls aus

Sicherheit ist längst nicht die einzige Herausforderung für MSPs, die mehrere Mandanten betreuen. Ebenso wichtig sind Konsistenz, Audit-Bereitschaft und Risikominimierung. Richtlinien mit Intune abzugleichen ist eine Möglichkeit, wie IT-Teams diese Ziele erreichen und wichtige Vorgaben des Center for Internet Security erfüllen. IT-Fachkräfte, die Windows-Sicherheitsrichtlinien an den CIS Controls ausrichten möchten, finden in dieser Anleitung einen guten Ausgangspunkt.

Eine visuelle Aufbereitung des Themas finden Sie im Video So richten Sie Client-Richtlinien mit Intune-Konfigurationsprofilen an den CIS Controls aus.

Anleitung: Richtlinien mit Intune an den CIS Controls ausrichten

Nutzen Sie die Tabelle, um die passende Methode auszuwählen und direkt zu den jeweiligen Schritten zu springen.

📌 Voraussetzungen:

• Lizenz für Microsoft 365 Business Premium oder Enterprise
• Microsoft Intune-Lizenzierung und abgeschlossene Registrierung
• Rolle „Globaler Administrator“ oder „Intune-Administrator“
• PowerShell 5.1+ mit administrativen Rechten installiert (Ihre PowerShell-Version prüfen)
• Vertrautheit mit den CIS Benchmarks (Level 1/2)
• In Azure AD eingebundene oder hybrid eingebundene Windows 10/11-Endpunkte
• Solide Kenntnisse der CIS Benchmarks (Level 1 & Level 2)

👉 Hinweis: Einzelne Schritte können je nach Systemstandards oder aktiven Einstellungen abweichen.

💡 Tipp: Im Abschnitt Darauf sollten Sie achten finden Sie Hinweise zum Umgang mit möglichen Risiken.

Methode 1: CIS Controls prüfen und dem Intune-Einstellungskatalog zuordnen

Der Intune-Einstellungskatalog ist der schnellste Weg, die meisten CIS Controls ohne Skripting durchzusetzen.

📌 Anwendungsfälle: Allgemeine Konfiguration, unternehmensweite Bereitstellung

1. Laden Sie den aktuellen CIS Benchmark für Windows 10/11 herunter.
2. Bestimmen Sie die relevanten Controls anhand der Benchmarks für Level 1 oder Level 2.
3. Öffnen Sie das Microsoft Intune Admin Center → Geräte → Konfigurationsprofile.
4. Erstellen Sie ein Profil:
   • Plattform: Windows 10 und höher
   • Profiltyp: Einstellungskatalog
5. Suchen Sie nach Einstellungen, die zu den Controls passen, und wenden Sie sie an, zum Beispiel:
   • Richtlinie für Kontosperrung
   • Erzwingen der BitLocker-Verschlüsselung
   • Windows Defender-Einstellungen
   • Einschränkung von Remotedesktop
   • Einschränkungen bei der Anwendungsinstallation
6. Dokumentieren Sie jede Zuordnung, damit Sie für Audits gerüstet sind.

Methode 2: Konfigurationsprofile über mehrere Mandanten hinweg anwenden

Der Export und Import von Profilen kann Ihre Bereitstellungsstrategie deutlich verbessern, vor allem wenn Richtlinien über mehrere Mandanten hinweg einheitlich und aktuell bleiben sollen.

📌 Anwendungsfälle: MSPs, Unternehmen, mandantenübergreifende Bereitstellung

Für die mandantenübergreifende Bereitstellung gemeinsam genutzter Sicherheitsvorlagen können Sie Microsoft Lighthouse (Vorschau) verwenden oder JSON-Profile per PowerShell bzw. Graph API exportieren und importieren.

Export-IntuneConfigurationPolicy -PolicyName "CIS-Level1-Profile" -Path "C:\IntunePolicies\CIS_Level1.json"

Import-IntuneConfigurationPolicy -Path "C:\IntunePolicies\CIS_Level1.json"

💡 Hinweis: Dieses Skript kann ohne Bestätigung oder Rückfrage durchlaufen oder fehlschlagen. Prüfen Sie die entsprechenden Registrierungsschlüssel oder Systemeinstellungen, um zu bestätigen, dass die Änderungen erfolgreich übernommen wurden.

Methode 3: PowerShell für CIS-Richtlinien nutzen, die Intune nicht abdeckt

Nutzen Sie PowerShell, wenn der Intune-Einstellungskatalog keine direkte Entsprechung für ein Control bietet.

📌 Anwendungsfälle: CIS-Richtlinien, die der Intune-Katalog nicht abdeckt

1. Laden Sie den aktuellen CIS Benchmark für Ihr Zielbetriebssystem (Windows 10 oder 11) herunter.
2. Sehen Sie sich Ihre vorhandenen Intune-Einstellungsprofile an, um zu erkennen, welche CIS-Empfehlungen bereits durchgesetzt werden.
3. Markieren Sie alle Controls, die Sie weder im Einstellungskatalog noch über die integrierten CSPs (Configuration Service Providers) von Intune finden.

Beispiel: Das Deaktivieren des SMBv1-Protokolls (CIS Control 4.4.1) ist im Einstellungskatalog nicht verfügbar, lässt sich aber per PowerShell konfigurieren.

4. Schreiben Sie für jedes fehlende Control einen PowerShell-Befehl oder ein Skript, das die Windows-Konfiguration entsprechend anpasst.

💡 Tipp: Die CIS Benchmarks liefern eine Liste der empfohlenen Einstellungen, und die Intune-Dokumentation zeigt, welche Einstellungen nativ verfügbar sind. Alles, was fehlt (z. B. NTP-Client-Einstellungen konfigurieren, anonyme SID-Enumeration deaktivieren), ist ein Kandidat für ein PowerShell-Skript.

Methode 4: Gruppenrichtlinien als Referenz oder Rückfalloption für Clients ohne Intune

Für Kunden, die weiterhin ein lokales Active Directory einsetzen, lassen sich vergleichbare CIS-konforme Controls per GPO anwenden.

📌 Anwendungsfall: Clients ohne Intune

1. Drücken Sie Win + R, geben Sie gpmc.msc ein und klicken Sie auf OK, um die GPMC zu öffnen.
2. Navigieren Sie zu Computerkonfiguration → Administrative Vorlagen → System → Device Guard.

• • Aktivieren Sie Virtualisierungsbasierte Sicherheit aktivieren
  • Konfigurieren Sie Credential Guard und Secure Boot

Wenn einzelne Clients zu Projektbeginn noch nicht vollständig über die Cloud verwaltet werden, können Gruppenrichtlinien als Brücke oder Rückfalloption dienen, um CIS-konforme Einstellungen auf hybriden oder lokalen Geräten durchzusetzen. Außerdem können Sie GPO-Einstellungen exportieren und als Referenz nutzen, wenn Sie sie später in Intune-Äquivalente überführen.

Mit dem Befehl gpupdate /force übernehmen Sie die Änderungen sofort. Andernfalls werden die neuen Einstellungen beim nächsten Aktualisierungsintervall angewendet.

👉 Zur visuellen Orientierung können Sie sich diese GPUpdate Videodemonstration ansehen.

Anwendung der Richtlinien prüfen und Durchsetzung bestätigen

Auditor:innen und Sicherheitsteams erwarten klare Nachweise für die Compliance. Um diesen Prüfprozess zu vereinfachen, sollten Sie selbst ein Audit durchführen, sobald Sie eine neue Richtlinie hinzufügen oder bestehende Konfigurationen anpassen.

Anwendung der Richtlinien mit dem Registrierungs-Editor prüfen

Viele Windows-Sicherheitseinstellungen liegen in der Registrierung. Ein Blick auf diese Werte bestätigt, ob Intune- oder PowerShell-Richtlinien tatsächlich auf das System geschrieben wurden. Hier einige Beispiele:

SmartScreen-Einstellungen prüfen:

1. Navigieren Sie zu folgendem Pfad oder kopieren Sie ihn in die Adressleiste des Registrierungs-Editors.

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\System

2. Die Funktion ist aktiviert, wenn der Wert von EnableSmartScreen (DWORD) auf 1 gesetzt ist.

Prüfen, ob Microsoft Defender Antivirus aktiviert oder deaktiviert ist:

1. Navigieren Sie zu folgendem Pfad oder kopieren Sie ihn in die Adressleiste des Registrierungs-Editors.

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender

2. Die Funktion ist deaktiviert, wenn der Wert von DisableAntiSpyware (DWORD) auf 1 gesetzt ist.

Diese Schritte lassen sich in die Compliance-Prüfung oder in eine Nachkontrolle nach der Bereitstellung einbinden.

Durchsetzung über die Eingabeaufforderung bestätigen oder protokollieren

Mit Dienstprogrammen in der Eingabeaufforderung lässt sich bestätigen, dass übergeordnete Sicherheitsfunktionen aktiv sind. Das ist zugleich praktisch für die Fehlerbehebung aus der Ferne oder für schnelle Stichproben.

Hier einige Beispielbefehle:

• BitLocker-Status prüfen: manage-bde -status
• Firewall-Profil validieren: netsh advfirewall show allprofiles
• Aktiven Defender-Status bestätigen: sc query WinDefend

Diese Ausgaben lassen sich in Einarbeitungsskripte einbauen, in Compliance-Protokollen speichern oder Sicherheitsberichten für Kunden beifügen.

⚠️ Darauf sollten Sie beim Ausrichten von Richtlinien achten

Diese Tabelle zeigt häufige Probleme, ihre wahrscheinlichen Ursachen und schnelle Wege, solche Konflikte zu prüfen und zu beheben.

Wer Probleme bei der Bereitstellung nicht oder nur verzögert behebt, riskiert, dass kritische CIS Controls nicht durchgesetzt werden. Automatisieren Sie Audits und Validierung, damit Richtlinien in Ihrer gesamten IT-Umgebung einheitlich und wie vorgesehen angewendet werden.

Mit NinjaOne mehr Transparenz und Kontrolle über Anwendung und Validierung von Richtlinien

NinjaOne ergänzt Intune um kontinuierliche Überwachung, mandantenübergreifende Berichterstattung und automatisierte Problembehebung. Hier einige der Funktionen und Services, mit denen Sie Ihre Richtlinien an den CIS Controls ausrichten können.

• Prüfskripte für Registrierung, Eingabeaufforderung und Dienste ausführen
• Dashboards für Richtlinien-Audits anzeigen
• Vorlagen für die Einarbeitung mit Intune + PowerShell automatisieren
• Mandantenübergreifende Vergleiche des Secure Score bereitstellen
• Alarmierungen zur Problembehebung auslösen, wenn Controls von der Compliance abweichen

Die Richtlinienbereitstellung von Intune in Kombination mit dem Echtzeit-Monitoring und der Automatisierung von NinjaOne Endpoint Management® gibt MSPs und IT-Teams einheitliche Möglichkeiten an die Hand, Standards durchzusetzen und den IT-Betrieb über ein einziges Dashboard zu optimieren.

Proaktiv abgestimmte Richtlinien in allen verwalteten Umgebungen

Wenn Sie Windows-Endpunkte über Intune an den CIS Controls ausrichten, entsteht ein einheitlicher und durchsetzbarer Standard für kontrollierte IT-Umgebungen. Durch die Kombination aus den Bereitstellungsfunktionen von Intune, der Flexibilität von PowerShell und der kontinuierlichen Prüfung und Validierung durch NinjaOne können MSPs Compliance im großen Maßstab sowohl durchsetzen als auch nachweisen.

Ein proaktiver Ansatz bei IT-Sicherheit und IT-Management härtet nicht nur die Abwehr gegen Bedrohungen, sondern unterstützt auch die Einhaltung regulatorischer Vorgaben. Und genau das ist entscheidend, um Kundenvertrauen und Glaubwürdigkeit in der Branche aufzubauen.

Verwandte Themen:

• Security Configuration Management
• Der komplette Leitfaden zum Systems Hardening [Checklist]
• IT-Compliance: Definition, Standards und Risiken