So prüfen Sie, ob Credential Guard in Windows aktiviert oder deaktiviert ist

Credential Guard ist eine Windows-Funktion, die die Anmeldeinformationen schützt, mit denen Sie sich in Unternehmensumgebungen bei Windows anmelden. Dieser Leitfaden erklärt, was Windows Credential Guard ist, welche Voraussetzungen für den Einsatz gelten und wie Sie prüfen, ob die Funktion aktiviert oder deaktiviert ist.

Wenn Sie lieber zusehen als lesen: Sehen Sie sich So prüfen Sie, ob Credential Guard in Windows aktiviert oder deaktiviert ist an.

Einführung in Windows Credential Guard

Windows Credential Guard soll in erster Linie verhindern, dass die Anmeldeinformationen für Windows-Domänen und andere Dienste gestohlen werden. Dazu isoliert die Funktion sie vom restlichen System. Betroffen sind Domänen-Anmeldeinformationen, NT-LAN-Manager-Hashes (NTLM) und Kerberos-Tickets sowie die daraus abgeleiteten Token für die Zwei-Faktor-Authentifizierung. Ebenso geschützt sind alle zwischengespeicherten Windows-Anmeldeinformationen.

Andere Anmeldeinformationen, etwa die von Drittanbieter-Apps, schützt Credential Guard nicht: Die Funktion ist ausschließlich für die Authentifizierungsmethoden von Windows gedacht.

Credential Guard wird nur unter Windows 11 und Windows 10 in den Editionen Enterprise und Education unterstützt. Windows 11 und Windows 10 Home oder Pro unterstützen die Funktion nicht. Als Privatanwender:in haben Sie also kaum Zugriff darauf, benötigen sie aber auch nicht. Credential Guard setzt Hardware-Unterstützung für virtualisierungsbasierte Sicherheit (VBS) voraus, außerdem muss Secure Boot aktiviert sein.

Seit Windows 11 Version 22H2 ist Credential Guard standardmäßig aktiviert, sofern Ihr System die genannten Voraussetzungen erfüllt.

In den aktuellen Releases, darunter Windows 11 24H2 und Windows Server 2025, wird Credential Guard nicht nur unterstützt, sondern ist auf allen geeigneten Systemen standardmäßig aktiviert. Ein manueller Eingriff ist damit in der Regel nur nötig, wenn Sie die Funktion wegen der Kompatibilität mit Altanwendungen deaktivieren müssen oder sie in einer VM (Virtual Machine) betreiben.

Darum ist die Prüfung des Credential-Guard-Status so wichtig

Credential Guard schützt vor Pass-the-Hash- und Pass-the-Ticket-Angriffen. Dabei nutzen Angreifer:innen gestohlene Anmeldeinformationen von Windows-Rechnern, um sich als Benutzer:innen auszugeben und weiteren Zugriff auf Windows-Netzwerke im Unternehmen und die dort gespeicherten sensiblen Daten zu erlangen.

In der Unternehmens-IT ist es entscheidend, alle verfügbaren Sicherheitstechnologien zu nutzen, um Infrastruktur, Daten und Benutzer:innen zu schützen. Hinzu kommt: Der Einsatz aller sinnvollen Sicherheitsmaßnahmen ist häufig Voraussetzung für die Compliance mit der Datenschutz-Grundverordnung, dem CCPA, dem HIPAA und weiteren neuen Rechtsrahmen zum Datenschutz.

Wenn Credential Guard auf den Windows-Systemen, für die Sie verantwortlich sind, verfügbar und unterstützt ist, gibt es keinen Grund, die Funktion deaktiviert zu lassen.

So funktioniert Credential Guard

Credential Guard kombiniert Hardware-Sicherheit mit virtualisierungsbasierter Sicherheit (VBS). Hardware-Funktionen wie Secure Boot und Trusted Platform Module (TPM) verhindern Manipulationen an den Schutzmechanismen der Virtualisierung. VBS isoliert die Anmeldeinformationen in virtualisierten Umgebungen getrennt von Windows selbst, sodass Malware oder Angreifer:innen sie nicht auslesen können.

Selbst wenn ein System mit aktiviertem Credential Guard kompromittiert wird, etwa durch Malware mit Administratorrechten, können nur autorisierte Prozesse mit den geschützten Windows-Anmeldeinformationen interagieren.

So prüfen Sie, ob Credential Guard aktiviert oder deaktiviert ist

Mit einer der folgenden Methoden prüfen Sie den Status von Windows Credential Guard auf einem einzelnen PC.

Methode 1: Über die Systeminformationen

• Rechtsklicken Sie auf die Schaltfläche Start und wählen Sie Ausführen
• Geben Sie msinfo32 in das Dialogfeld „Ausführen“ ein und klicken Sie auf OK
• Klicken Sie im linken Navigationsbereich auf Systemübersicht
• Scrollen Sie im rechten Bereich nach unten zu Konfigurierte virtualisierungsbasierte Sicherheitsdienste
• Ist die Funktion aktiviert, erscheint Credential Guard im Wertefeld von Konfigurierte virtualisierungsbasierte Sicherheitsdienste

Ist Windows Credential Guard deaktiviert oder auf Ihrem System nicht verfügbar, wird der Eintrag nicht angezeigt.

Methode 2: Über den Gruppenrichtlinien-Editor

Sie können den Durchsetzungsstatus von Windows Credential Guard auch im Gruppenrichtlinien-Editor prüfen:

• Rechtsklicken Sie auf die Schaltfläche Start und wählen Sie Ausführen
• Geben Sie gpedit.msc ein und klicken Sie auf OK, um den Gruppenrichtlinien-Editor zu öffnen
• Navigieren Sie zu Computerkonfiguration > Administrative Vorlagen > System > Device Guard
• Suchen Sie die Richtlinie Virtualisierungsbasierte Sicherheit aktivieren und öffnen Sie sie
• Ist die Richtlinie aktiviert, können Sie in den Optionen nachsehen, ob sie mit UEFI-Sperre durchgesetzt wird (was ein Deaktivieren verhindert) oder nicht

Steht die Richtlinie auf Nicht konfiguriert, wird Credential Guard nicht per Gruppenrichtlinie erzwungen, kann aber dennoch standardmäßig aktiviert sein

Methode 3: Prüfung in der Windows-Ereignisanzeige

In der Windows-Ereignisanzeige sehen Sie die von Credential Guard protokollierten Informationen.

• Suchen Sie im Start-Menü nach der Ereignisanzeige und öffnen Sie sie
• Die Protokolle von Windows Credential Guard finden Sie unter Anwendungs- und Dienstprotokolle > Microsoft > Windows > DeviceGuard
• Öffnen Sie das Protokoll Operational

Anhand der Protokolleinträge können Sie anschließend überprüfen, ob Credential Guard arbeitet. Sind keine Protokolle vorhanden, wird Device Guard auf Ihrem System möglicherweise nicht unterstützt oder ist nicht aktiviert. Dieses Video veranschaulicht den Prüfvorgang: „So prüfen Sie, ob Device Guard in Windows aktiviert oder deaktiviert ist“.

Methode 4: Über PowerShell-Befehle

Mit dem PowerShell-Cmdlet Get-CimInstance prüfen Sie in wenigen Schritten, ob Credential Guard aktiviert oder deaktiviert ist:

• Öffnen Sie PowerShell als Administrator
• Führen Sie den folgenden PowerShell-Befehl aus

[bool](Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard).SecurityServicesRunning.Contains(2)

• Gibt der Befehl True zurück, ist Credential Guard aktiv

Profi-Tipp: Wenn Sie eine ausführlichere Aufschlüsselung ohne die True/False-Logik möchten, führen Sie einfach Folgendes aus:

Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard

Sehen Sie sich die Eigenschaft SecurityServicesRunning an. Enthält sie die Zahl 2, ist Credential Guard aktiv.

Was tun, wenn Credential Guard auf meinem Gerät nicht unterstützt wird?

Erfüllt ein Gerät, für das Sie verantwortlich sind, die Voraussetzungen für Credential Guard nicht, prüfen Sie im BIOS/UEFI, ob die erforderlichen Hardware-Funktionen deaktiviert sind. Anschließend können Sie Secure Boot, den UEFI-Start und das TPM aktivieren, sofern vorhanden. In manchen Fällen lässt sich ein physisches TPM-Modul nachkaufen und in kompatiblen Systemen einbauen, wenn keines verbaut ist.

Credential Guard wird nur unter Windows 11 und Windows 10 in den Editionen Enterprise und Education unterstützt, und der gebotene Schutz ist speziell auf Unternehmensumgebungen zugeschnitten. Wenn Sie keine solche Umgebung betreuen, müssen Sie sich um den Credential-Guard-Status Ihres PCs vermutlich keine Gedanken machen.

Hinweis für VM-Benutzer:innen: Betreiben Sie Windows in einer virtuellen Umgebung, etwa unter VMware oder Hyper-V, müssen Sie in den Einstellungen des Hosts die geschachtelte Virtualisierung aktivieren. Andernfalls meldet Credential Guard „Nicht unterstützt“, obwohl Ihre Hardware die Anforderungen erfüllt.

Wie aktiviere ich Credential Guard, wenn die Funktion deaktiviert ist?

Auf kompatiblen Systemen mit der neuesten Windows-11-Version wird Credential Guard automatisiert aktiviert. Möchten Sie die Funktion erzwingen, aktivieren Sie die oben gezeigte Gruppenrichtlinie.

Sicherheit von Windows-Geräten im großen Maßstab verwalten

Mit Gruppenrichtlinien lässt sich Credential Guard zwar auf allen Geräten einer Unternehmensumgebung erzwingen, dennoch sollten Sie prüfen, ob alle Geräte die Funktion unterstützen und ob sie aktiv ist. Manuell wäre das sehr zeitaufwendig und könnte Sicherheitslücken hinterlassen, sobald sich die Hardware-Konfiguration eines Geräts ändert. Eine automatisierte, kontinuierliche Überwachung und Verwaltung ist daher Pflicht, um Windows-Anmeldeinformationen in Windows-Domänen abzusichern, erst recht, wenn Beschäftigte eigene Geräte nutzen.