Schlüsselpunkte
- Verhindern Sie, dass Apps unter Windows 11 Firewall-Regeln hinzufügen, indem Sie die Anwendung lokaler Regeln per Gruppenrichtlinie deaktivieren und zentral verwaltete Firewall-Richtlinien durchsetzen.
- Begrenzen Sie Änderungen an Firewall-Regeln, indem Sie die Ausführung mit Administratorrechten einschränken. So können Apps die Firewall-Einstellungen bei Installationen, Updates oder dem ersten Start nicht verändern.
- Sperren Sie das Verhalten für ein- und ausgehende Verbindungen mit der Windows-Firewall mit erweiterter Sicherheit und definieren Sie Zulassungsregeln ausschließlich für freigegebene Apps und Dienste.
- Entfernen oder deaktivieren Sie nicht autorisierte Firewall-Regeln mit PowerShell, um vorhandene Einträge zu bereinigen und Regeln zu behandeln, die bei App-Updates oder Neuinstallationen erneut angelegt werden.
- Behalten Sie die Firewall langfristig im Griff, indem Sie Regeln gegen eine freigegebene Baseline überwachen und die Behebung über geplante Skripte oder Automatisierung durchsetzen.
Die Windows-Firewall erlaubt es Anwendungen, beim ersten Start Regeln hinzuzufügen oder zu ändern. Auf privaten Systemen ist das praktisch, in kontrollierten oder gemeinsam genutzten Umgebungen sorgt es jedoch für Probleme, vor allem wenn Anwendungen neu installiert oder aktualisiert werden. Zudem können sie unbemerkt Regeln wiederherstellen, die Administrator:innen bereits entfernt haben.
Dieser Leitfaden zeigt Ihnen, wie Sie mit Richtlinien, Berechtigungssteuerung und Durchsetzungsstrategien verhindern, dass Apps unter Windows 11 Firewall-Regeln hinzufügen oder erneut aktivieren.
Empfohlene Vorgehensweisen:
Automatisieren Sie die Durchsetzung Ihrer Firewall-Richtlinien und sorgen Sie so für durchgängige Sicherheit im großen Maßstab.
→ Melden Sie sich für eine kostenlose NinjaOne-Demo an und legen Sie los
Methoden, um zu verhindern, dass Apps unter Windows 11 Firewall-Regeln hinzufügen
Bevor Sie diese Methoden anwenden, prüfen Sie, ob Ihr System die folgenden Voraussetzungen erfüllt.
Allgemeine Voraussetzungen:
- Ein Windows-11-Gerät (Pro, Enterprise oder Education empfohlen)
- Administratorrechte auf dem System
- Windows Defender Firewall ist aktiviert und aktiv
- Optional: Gruppenrichtlinie oder zentrale Verwaltung für domänengebundene oder verwaltete Geräte
Methode 1: Anwendungen per Gruppenrichtlinie daran hindern, Regeln hinzuzufügen
Eine der zuverlässigsten Methoden, um Apps daran zu hindern, Regeln der Windows-Firewall anzulegen oder erneut zu aktivieren, sind Einschränkungen über Gruppenrichtlinien. Damit können Apps Firewall-Regeln nicht mehr lokal verwalten: Die Konfiguration erfolgt ausschließlich über Gruppenrichtlinien oder ausdrückliche administrative Änderungen, und das Risiko eines unbefugten Netzwerkzugriffs sinkt.
Schritte:
- Drücken Sie Win + R, um das Dialogfeld „Ausführen“ zu öffnen, geben Sie gpedit.msc ein und drücken Sie die Eingabetaste, um den Gruppenrichtlinien-Editor zu öffnen.
- Navigieren Sie zu: Computerkonfiguration > Windows-Einstellungen > Sicherheitseinstellungen > Windows Defender Firewall mit erweiterter Sicherheit > Eigenschaften von Windows Defender Firewall
- Wählen Sie je nach aktivem Netzwerkprofil die Registerkarte für das Domänen-, private oder öffentliche Profil.
- Setzen Sie unter Einstellungen die Option Lokale Firewallregeln anwenden auf Nein.
- Klicken Sie auf OK, um die Änderungen zu speichern.
- Öffnen Sie die Eingabeaufforderung und führen Sie gpupdate /force aus, um die Richtlinie sofort anzuwenden.
Methode 2: Änderungen an Firewall-Regeln durch Einschränken der Ausführung mit Administratorrechten steuern
Anwendungen können Firewall-Regeln nur dann anlegen oder ändern, wenn sie mit Administratorrechten ausgeführt werden. Wenn Sie einschränken, welche Benutzer:innen und Programme mit erhöhten Rechten laufen dürfen, reduzieren Sie unbefugte Änderungen an Ihrer Firewall-Konfiguration und behalten die Kontrolle darüber.
📌 Voraussetzungen:
- Benutzerkontensteuerung (UAC) ist aktiviert
- Windows 11 Pro oder Enterprise für AppLocker-Funktionen
Schritte:
- Drücken Sie Win + R, um das Dialogfeld „Ausführen“ zu öffnen, geben Sie secpol.msc ein und drücken Sie die Eingabetaste, um die Lokale Sicherheitsrichtlinie zu öffnen.
- Navigieren Sie zu Lokale Richtlinien > Sicherheitsoptionen.
- Prüfen Sie, ob die UAC-Eingabeaufforderungen zur Rechteerhöhung aktiviert und nicht unterdrückt sind.
Anschließend können Sie die Rechteerhöhung von Anwendungen bei Installationen und Updates begrenzen. Achten Sie darauf, Installationsprogramme nur dann als Administrator auszuführen, wenn es wirklich nötig ist. Schränken Sie außerdem nach Möglichkeit den administrativen Zugriff ein. Entfernen Sie Standardbenutzer:innen aus der lokalen Administratorengruppe oder nutzen Sie separate Administratorkonten für Systemänderungen. Darüber hinaus können Sie Dienste identifizieren, die bei Updates Firewall-Regeln neu anlegen, und diese bei Bedarf deaktivieren oder neu konfigurieren.
Hinweis: Diese Methode blockiert keine Änderungen an Firewall-Regeln, die über Domänenrichtlinien oder erforderliche Windows-Dienste erfolgen. Am besten funktioniert sie in Kombination mit der Durchsetzung per Gruppenrichtlinie und der Überwachung der Regeln.
Methode 3: Konfiguration der Firewall-Regeln mit der Windows-Firewall mit erweiterter Sicherheit sperren
Nachdem Sie Anwendungen daran gehindert haben, Firewall-Regeln anzulegen, legen Sie fest, welche Netzwerkverbindungen Sie tatsächlich zulassen. Mit der Windows-Firewall mit erweiterter Sicherheit definieren Sie ein striktes Verhalten für ein- und ausgehende Verbindungen, sodass sich Anwendungen nicht auf flexible oder von Benutzer:innen gesetzte Ausnahmen verlassen können.
Schritte:
- Drücken Sie Win + R, um das Dialogfeld „Ausführen“ zu öffnen, geben Sie wf.msc ein und drücken Sie die Eingabetaste, um die Windows Defender Firewall mit erweiterter Sicherheit zu öffnen.
- Wählen Sie im linken Bereich Eigenschaften von Windows Defender Firewall.
- Für jedes Profil (Domäne, Privat, Öffentlich):
- Setzen Sie Firewallstatus auf Ein.
- Setzen Sie Eingehende Verbindungen auf Blockieren.
- Setzen Sie Ausgehende Verbindungen je nach Richtlinie auf Zulassen oder Blockieren.
- Erstellen Sie vordefinierte Zulassungsregeln ausschließlich für freigegebene Anwendungen und Dienste.
- Prüfen Sie lokale und temporäre Regeln, die zur Laufzeit entstanden sind, und entfernen Sie alles, was Sie nicht benötigen.
- Stellen Sie sicher, dass Firewall-Regeln aus Richtlinien oder einer ausdrücklichen administrativen Konfiguration stammen und dass Anwendungen keine neuen Einträge dauerhaft anlegen können.
Methode 4: Unerwünschte Firewall-Regeln mit PowerShell entfernen und deaktivieren
Wenn eine Anwendung bereits Firewall-Regeln hinzugefügt hat, prüfen und bereinigen Sie diese mit PowerShell. Diese Methode eignet sich besonders, wenn Sie Änderungen wiederholbar auf mehreren Systemen durchführen müssen.
Schritte:
- Drücken Sie Win + X und wählen Sie Windows PowerShell (Administrator).
- Firewall-Regeln auflisten:
Get-NetFirewallRule |
Select-Object DisplayName, Name, Enabled, Direction, Action, Profile
- Prüfen Sie eine bestimmte Regel, bevor Sie sie ändern:
Get-NetFirewallRule -DisplayName "RuleName" |
Get-NetFirewallApplicationFilter
- Deaktivieren Sie eine unerwünschte Regel zunächst nur:
Set-NetFirewallRule -DisplayName "RuleName" -Enabled False
- Entfernen Sie die Regel erst, wenn Sie sicher sind, dass Sie sie nicht benötigen:
Remove-NetFirewallRule -DisplayName "RuleName"
- Überprüfen Sie das Ergebnis:
Get-NetFirewallRule -DisplayName "RuleName" | Select-Object DisplayName, Enabled
- Wenn Sie dauerhaft bereinigen müssen, speichern Sie die Befehle in einem Skript und führen Sie es über die Aufgabenplanung nach Zeitplan aus.
Tipp: Lesen Sie So automatisieren Sie wiederkehrende Aufgaben mit PowerShell.
Hinweis: Der DisplayName kann auf mehrere Regeln zutreffen und sich nach Updates ändern. Verwenden Sie den Wert Name der Regel, sobald Sie den richtigen Eintrag identifiziert haben.
Methode 5: Firewall-Regeln mit geplanten Skripten überwachen und durchsetzen
Selbst bei strengen Richtlinien versuchen Anwendungen möglicherweise weiterhin, bei Updates oder Neuinstallationen Firewall-Regeln hinzuzufügen. Mit geplanten Skripten erkennen und korrigieren Sie solche Änderungen, ohne auf manuelle Prüfungen angewiesen zu sein.
Schritte:
- Erstellen Sie ein PowerShell-Skript, das die Firewall-Regeln inventarisiert. Erfassen Sie Eigenschaften wie Name, DisplayName, Enabled, Direction, Action und Profile.
- Vergleichen Sie die aktuellen Regeln mit einer freigegebenen Baseline.
Tipp: Nutzen Sie eine Baseline auf Grundlage freigegebener Regelnamen oder einen Export von einem bekannt sauberen Gerät.
- Beheben Sie Regeln, die außerhalb der Baseline liegen. Deaktivieren Sie nicht autorisierte Regeln zuerst. Entfernen Sie Regeln erst nach Validierung und abgeschlossenem Änderungsmanagement.
- Führen Sie das Skript mit der Aufgabenplanung nach einem festgelegten Zeitplan aus. Konfigurieren Sie die Aufgabe so, dass sie mit höchsten Privilegien für ein Administratorkonto oder das SYSTEM-Konto läuft.
- Protokollieren Sie alle Aktionen, einschließlich deaktivierter oder entfernter Regeln, jeweils mit Zeitstempel. Leiten Sie die Protokolle an Ihre Überwachungs-Pipeline weiter, wenn Sie Transparenz oder Audit-Nachweise benötigen.
Weitere Überlegungen
Beim Absichern des Firewall-Verhaltens sollten Sie mehrere praktische Faktoren berücksichtigen. Die folgenden Punkte helfen Ihnen, die Sicherheit zu erhöhen, ohne erforderliche Dienste oder Arbeitsabläufe zu stören.
Manche Windows-Dienste benötigen bestimmte Firewall-Regeln
Einige Windows-Komponenten und integrierte Dienste sind für ihre Funktion auf vordefinierte Firewall-Regeln angewiesen. Werden diese Regeln ungeprüft blockiert oder entfernt, kann das Funktionen wie Dateifreigabe, Fernverwaltung oder Windows Update beeinträchtigen. Prüfen Sie Regeln auf Systemebene, bevor Sie restriktive Richtlinien durchsetzen.
Anwendungen fragen möglicherweise weiterhin nach Firewall-Zugriff
Auch wenn Sie das lokale Anlegen von Regeln einschränken, fragen Anwendungen bei Installation, Updates oder dem ersten Start eventuell weiterhin nach Firewall-Zugriff. Diese Abfragen bedeuten nicht zwangsläufig, dass eine Regel wirksam wird. Benutzer:innen sollten solche Abfragen nicht bestätigen und sich stattdessen auf das per Richtlinie erzwungene Verhalten verlassen.
Ausgehenden Datenverkehr standardmäßig zu blockieren erfordert Planung
Ausgehende Verbindungen standardmäßig zu blockieren, ist eine sehr strikte Konfiguration. Viele Anwendungen und Dienste benötigen ausgehenden Zugriff für Updates, Authentifizierung oder Cloud-Konnektivität. Testen Sie diesen Ansatz sorgfältig und definieren Sie vor dem Rollout Zulassungsregeln für den erforderlichen Datenverkehr.
Die Kontrolle über Firewall-Regeln ersetzt kein Whitelisting von Anwendungen
Das Einschränken der Regelerstellung begrenzt den Netzwerkzugriff, verhindert aber nicht, dass eine Anwendung ausgeführt wird. Anwendungen können lokal weiterhin starten, selbst wenn ihr Netzwerkverkehr blockiert ist. Kombinieren Sie Firewall-Kontrollen mit separaten Ausführungskontrollen, wenn Sie einschränken möchten, welche Software auf einem System laufen darf.
Regeln von Diensten auf Systemebene erfordern eine gesonderte Behandlung
Manche Firewall-Regeln werden von Diensten im SYSTEM-Konto oder von Windows-verwalteten Komponenten erstellt bzw. verwaltet. Solche Regeln können bestehen bleiben, auch wenn das Anlegen von Regeln auf Benutzerebene eingeschränkt ist. Prüfen Sie systemverwaltete Regeln sorgfältig, bevor Sie sie entfernen oder deaktivieren.
Fehlerbehebung
Beim Durchsetzen von Firewall-Richtlinien können Probleme auftreten. Die folgenden Abschnitte behandeln typische Fälle und zeigen, was Sie prüfen sollten, bevor Sie Ihre Konfiguration ändern.
Anwendung fügt weiterhin Regeln hinzu
Wenn eine Anwendung weiterhin Firewall-Regeln hinzufügt oder erneut aktiviert, prüfen Sie, ob die Durchsetzung per Gruppenrichtlinie aktiv ist. Stellen Sie sicher, dass lokale Firewall-Regeln für das aktive Profil deaktiviert sind und dass die Richtlinie erfolgreich auf das Gerät angewendet wird.
Regeln tauchen nach dem Update wieder auf
Manche Anwendungen legen Firewall-Regeln bei Updates oder Reparaturvorgängen erneut an, insbesondere solche mit Hintergrunddiensten oder Auto-Updatern. Automatisieren Sie die Bereinigung der Regeln mit PowerShell, wie in Methode 4 beschrieben. Hält das Verhalten an, prüfen Sie den Update-Mechanismus der Anwendung und schränken Sie ihn bei Bedarf ein.
Firewall ist zu restriktiv
Wenn benötigte Anwendungen nicht mehr funktionieren, überprüfen Sie Ihre Firewall-Konfiguration. Stellen Sie sicher, dass Zulassungsregeln für erforderliche Anwendungen und Dienste vorhanden sind. Passen Sie Regeln für ausgehenden Verkehr schrittweise an, statt den gesamten ausgehenden Datenverkehr auf einmal zu blockieren.
Änderungen per PowerShell werden nicht wirksam
Firewall-Änderungen über PowerShell erfordern erhöhte Rechte. Führen Sie PowerShell als Administrator aus und stellen Sie sicher, dass geplante Skripte mit höchsten Privilegien laufen. Ergänzen Sie eine Protokollierung, um Ausführung und Ergebnisse der Skripte zu bestätigen.
Regeländerungen bleiben nicht bestehen
Wenn Firewall-Regeln nach einem Neustart oder einer Richtlinienaktualisierung zurückgesetzt werden, prüfen Sie auf Konflikte zwischen lokalen Einstellungen und Domänen- oder MDM-Richtlinien. Verwaltete Richtlinien setzen lokale Änderungen bewusst außer Kraft.
Integration mit NinjaOne
Mit NinjaOne lässt sich die Kontrolle über Firewall-Regeln auf allen verwalteten Windows-11-Endpunkten in den Betrieb überführen. Administrator:innen können damit die Firewall-Konfiguration automatisieren und Compliance im großen Maßstab durchsetzen. So funktioniert es:
| NinjaOne-Funktion | Nutzen |
| PowerShell-Skripting | Verteilt Skripte zur Bereinigung und Validierung der Firewall, die nicht autorisierte Regeln auf mehreren Endpunkten entfernen oder deaktivieren |
| Geplante Automatisierung | Führt Skripte zur Durchsetzung der Firewall-Regeln nach Zeitplan aus, damit Regeln nach Anwendungsupdates oder Systemänderungen nicht zurückkehren |
| Richtlinien-Rollout | Wendet firewallbezogene Konfigurationen einheitlich an, damit Endpunkte die freigegebenen Standards einhalten |
| Endpunkt-Überwachung | Markiert Geräte, auf denen sich Firewall-Regeln unerwartet oder wiederholt ändern, was häufig auf anwendungsgesteuertes Neuanlegen von Regeln hindeutet |
| Zentrale Berichterstattung | Zeigt Endpunkte auf, die von der freigegebenen Firewall-Baseline abweichen und überprüft werden müssen |
| Behebung aus der Ferne | Behebt Probleme mit Firewall-Regeln, ohne lokalen Benutzerzugriff oder manuelle Eingriffe am Gerät |
Richten Sie Alarmierungen ein und verfolgen Sie unbefugte Netzwerkaktivitäten über verteilte Endpunkte hinweg.
→ Vereinheitlichen Sie IT-Überwachung und -Verwaltung mit NinjaOne
So behalten Sie die Kontrolle und verhindern, dass Apps unter Windows 11 Firewall-Regeln hinzufügen
Wenn Anwendungen keine Regeln der Windows-Firewall mehr hinzufügen oder erneut aktivieren können, bleibt das Netzwerkverhalten planbar und unter Ihrer Kontrolle. Kombinieren Sie die Durchsetzung per Richtlinie mit klaren Berechtigungsgrenzen, PowerShell-Bereinigung und laufenden Prüfungen: Dann können Anwendungen weder unbemerkt Zugriff wiederherstellen noch mit der Zeit vom freigegebenen Firewall-Verhalten abweichen.
Verwandte Themen:
- Was ist eine Firewall-Konfiguration? So richten Sie Ihre Firewall ein
- So lassen Sie Apps durch Ihre Windows-Firewall zu & welche Risiken damit verbunden sind
- So konfigurieren Sie Firewall-Ausnahmen mit PowerShell
- Änderungen an Firewall-Regeln mit Diffs, Abweichungserkennung und Nachweisen optimieren
- Checkliste für Endpunkt-Hardening [download]
