So aktivieren oder deaktivieren Sie den geschützten Druckmodus in Windows 11

Windows Protected Print Mode (kurz WPP) nutzt ausschließlich den modernen Druckstapel und macht Apps und Treiber von Drittanbietern überflüssig. Das vereinfacht und zentralisiert den Druckprozess und verkleinert die Angriffsfläche in Umgebungen, die die Funktion einsetzen.

Sie möchten das Thema lieber visuell zusammengefasst sehen? Sehen Sie sich „So aktivieren oder deaktivieren Sie den geschützten Druckmodus in Windows 11“ für weitere Details an.

Methoden zur Verwaltung des geschützten Druckmodus in Windows 11

WPP ist in Windows 11 standardmäßig deaktiviert, sodass Benutzer:innen jeden beliebigen Drucker verbinden und nutzen können. Mehrere Druckertreiber und zusätzliche Software erhöhen allerdings das Risiko von Sicherheitsbedrohungen. Für Unternehmen, bei denen Sicherheit und Einfachheit im Vordergrund stehen, ist treiberloses Drucken mit WPP die bessere Wahl.

📌 Voraussetzungen:

• Windows 11 24H2 oder neuer
• Administratorrechte
• Mopria-zertifizierte Drucker für die WPP-Kompatibilität

📌 Empfohlene Rollout-Strategien:

(Siehe ⚠️ Worauf Sie achten sollten.)

Methode 1: WPP über die Windows-Einstellungen steuern

Am einfachsten aktivieren oder deaktivieren Sie den geschützten Druckmodus über die Windows-Einstellungen. Über die grafische Oberfläche lässt sich die WPP-Funktion direkt ein- und ausschalten.

📌 Anwendungsfall: Diese Methode eignet sich, wenn Sie WPP lokal und systemweit schnell umschalten möchten.

1. Drücken Sie Win + I und gehen Sie zu Bluetooth & Geräte > Drucker & Scanner.
2. Klicken Sie unter Druckereinstellungen neben Windows-Modus „Geschütztes Drucken“ auf Einrichten.
3. Schließen Sie die folgenden Dialoge mit Ja, fortfahren ab.
4. Um die Funktion zu deaktivieren, wählen Sie neben Windows-Modus „Geschütztes Drucken“ die Option Deaktivieren.

Methode 2: WPP über den lokalen Gruppenrichtlinien-Editor konfigurieren

Der lokale Gruppenrichtlinien-Editor stellt Gruppenrichtlinienvorlagen bereit, die sich leicht ändern und wieder zurücknehmen lassen. In Kombination mit der Gruppenrichtlinien-Verwaltungskonsole (GPMC) lässt sich die Einstellung zentral im Active Directory verteilen, damit WPP überall einheitlich konfiguriert ist.

⚠️ Wichtig: Bevor Sie Richtlinien über die GPMC verteilen, sollten Sie die Konfiguration zuerst auf einem lokalen Rechner testen. (Siehe ⚠️ Worauf Sie achten sollten.)

📌 Anwendungsfälle: Wird WPP über den lokalen Gruppenrichtlinien-Editor verwaltet, können Benutzer:innen die Funktion nicht mehr über die Windows-Einstellungen ändern. Außerdem eignet sich diese Methode ideal, um WPP-Richtlinien vor dem Rollout lokal zu testen.

1. Drücken Sie Win + R, geben Sie gpedit.msc ein und drücken Sie Strg + Umschalt + Eingabetaste.
2. Gehen Sie zu: Computerkonfiguration > Administrative Vorlagen > Drucker
3. Doppelklicken Sie auf die Richtlinie Windows-Modus „Geschütztes Drucken“ konfigurieren.
4. Stellen Sie die Richtlinie auf das gewünschte WPP-Verhalten ein:
   • Aktiviert: Schaltet WPP für alle lokalen Benutzer:innen ein.
   • Deaktiviert: Schaltet WPP für alle lokalen Benutzer:innen aus.
   • Nicht konfiguriert: Schaltet WPP aus und erlaubt Endbenutzer:innen, die Funktion lokal selbst zu konfigurieren.
5. Wählen Sie Übernehmen, dann OK und starten Sie das Gerät neu, damit die Änderungen wirksam werden.

💡 Tipp: Alternativ können Sie den Druckspooler beenden und sich so den Neustart des Geräts sparen. Öffnen Sie eine PowerShell mit erhöhten Rechten und geben Sie Folgendes ein: Restart-Service spooler

Methode 3: Windows Protected Print Mode über den Registrierungs-Editor verwalten

Die Registry erlaubt den direkten Zugriff auf die WPP-relevanten Werte und eignet sich damit ideal für Geräte ohne Zugriff auf den lokalen Gruppenrichtlinien-Editor.

⚠️ Warnung: Registry-Änderungen werden sofort wirksam, und Fehlkonfigurationen können Leistung und Stabilität des Geräts beeinträchtigen. (Siehe ⚠️ Worauf Sie achten sollten.)

📌 Anwendungsfall: Diese Methode eignet sich, um WPP-Konfigurationen auf lokalen Geräten ohne Domänenmitgliedschaft durchzusetzen.

📌 Voraussetzung: Backup der Windows-Registry

1. Drücken Sie Win + R, geben Sie regedit ein und drücken Sie Strg + Umschalt + Eingabetaste.
2. Navigieren Sie zu folgendem Pfad: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\Printers\WPP
   • Falls Printers nicht vorhanden ist, klicken Sie mit der rechten Maustaste auf Windows NT.
   • Wählen Sie Neu > Schlüssel und benennen Sie ihn Printers.
   • Klicken Sie mit der rechten Maustaste auf Printers, wählen Sie Neu > Schlüssel und benennen Sie ihn WPP.
3. Erstellen Sie im Schlüssel WPP vier Werte vom Typ DWORD (32-Bit) und setzen Sie sie wie folgt, um WPP vollständig zu aktivieren:
   • WindowsProtectedPrintMode = 1 (aktiviert WPP)
   • WindowsProtectedPrintGroupPolicyState = 1 (verhindert, dass Endbenutzer:innen WPP über die Windows-Einstellungen umschalten)
   • EnabledBy = 2 (kennzeichnet die Konfiguration auf Systemebene)
   • WindowsProtectedPrintOobeConfigComplete = 1 (schließt den Konfigurationsstatus ab)
4. Klicken Sie auf OK und starten Sie das Gerät neu (oder starten Sie den Druckspooler neu), damit die Änderungen wirksam werden.

Methode 4: Den Registry-Vorgang mit PowerShell-Skripten automatisieren

Sie können den Registry-Vorgang auf mehreren Endpunkten durchführen, allerdings wird das in größerem Maßstab schnell eintönig und fehleranfällig. Mit PowerShell lässt sich der Rollout auf Endpunkten ohne Domänenmitgliedschaft deutlich einfacher gestalten.

📌 Anwendungsfall: Mit PowerShell können Administrator:innen den Registry-Vorgang automatisieren und so eine einheitliche WPP-Konfiguration auf allen Endpunkten sicherstellen.

📌 Voraussetzung: Backup der Windows-Registry

1. Drücken Sie Win + R, geben Sie PowerShell ein und drücken Sie Strg + Umschalt + Eingabetaste.
2. Geben Sie das Skript ein, das Ihrer gewünschten WPP-Konfiguration entspricht:
   • Windows Protected Print Mode aktivieren:
     

     $regPath = "HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Printers\WPP" New-Item -Path $regPath -Force -ErrorAction SilentlyContinue | Out-Null New-ItemProperty -Path $regPath -Name „WindowsProtectedPrintMode“ -Value 1 -PropertyType DWORD -Force | Out-Null Restart-Service spooler

   • Windows Protected Print Mode deaktivieren:
     

     $regPath = "HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Printers\WPP" New-Item -Path $regPath -Force -ErrorAction SilentlyContinue | Out-Null New-ItemProperty -Path $regPath -Name „WindowsProtectedPrintMode“ -Value 0 -PropertyType DWORD -Force | Out-Null Restart-Service spooler

3. Wenn Sie die Einstellung erzwingen möchten, ergänzen Sie folgenden Befehl:
   

   New-ItemProperty -Path $regPath -Name „WindowsProtectedPrintGroupPolicyState“ -Value 1 -PropertyType DWORD -Force | Out-Null

4. Warten Sie, bis das Skript vollständig durchgelaufen ist, und schließen Sie dann die PowerShell.

💡 Hinweis: Da das PowerShell-Skript den Druckspooler automatisiert neu startet, ist kein Neustart des Geräts nötig.

Methode 5: WPP in Windows 11 per .reg-Datei automatisiert verwalten

Mit einer .reg-Datei übernehmen Sie Ihre bevorzugte WPP-Registry-Konfiguration mit zwei Klicks.

📌 Anwendungsfälle: Diese Methode eignet sich, um Änderungen an Registry-Werten auf wenigen Rechnern schnell durchzusetzen. Sie passt außerdem zu abgeschotteten Umgebungen ohne Domain-Controller oder Remote PowerShell-Zugriff.

📌 Voraussetzung: Backup der Windows-Registry

1. Öffnen Sie eine neue .txt-Datei im Editor.
2. Kopieren Sie den Text, der Ihrer gewünschten WPP-Konfiguration entspricht:
   • Geschützten Druckmodus aktivieren:
     

     Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\Printers\WPP] "WindowsProtectedPrintMode"=dword:00000001 "WindowsProtectedPrintGroupPolicyState"=dword:00000001

   • Geschützten Druckmodus deaktivieren:
     

     Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\Printers\WPP] "WindowsProtectedPrintMode"=dword:00000000 "WindowsProtectedPrintGroupPolicyState"=dword:00000001

3. Drücken Sie anschließend Strg + Umschalt + S.
4. Wählen Sie den Pfad, unter dem Sie die .reg-Datei speichern möchten.
5. Ergänzen Sie den Dateinamen um die Erweiterung .reg und stellen Sie Dateityp auf Alle Dateien um.
6. Klicken Sie auf Speichern und öffnen Sie den Speicherort der neu erstellten .reg-Datei.
7. Doppelklicken Sie auf die .reg-Datei, um ihren Inhalt in die Registry einzufügen.
8. Starten Sie das Gerät oder den Druckspooler neu, damit die Änderungen wirksam werden.

⚠️ Hinweis zu Rollback und Offboarding im Unternehmen

Wenn Sie WPP deaktivieren, werden Treiber von Drittanbietern nicht automatisiert neu installiert und gelöschte Druckwarteschlangen nicht wiederhergestellt. Administrator:innen müssen die Herstellertreiber in diesem Fall manuell neu installieren (z. B. über INF-/EXE-Installer oder RMM-Bereitstellungsskripte) und die Drucker-Endpunkte erneut hinzufügen.

⚠️ Worauf Sie achten sollten

Das sollten Sie bei der Fehlerbehebung rund um Windows Protected Print Mode beachten

Neben der Verwaltung von Richtlinien und der Änderung von Registry-Werten sollten Sie auch die technischen und betrieblichen Auswirkungen der WPP-Konfiguration kennen. Die folgenden Punkte sind wichtig, wenn Sie WPP unter Windows 11 in Ihrer Umgebung aktivieren möchten:

Ereignisprotokollierung und Überwachung

In der Ereignisanzeige finden Sie Betriebsprotokolle, die Ihnen mehr Einblick in WPP-bezogene Aktivitäten auf einem lokalen Rechner geben. Starten Sie dazu die Ereignisanzeige und gehen Sie zu Anwendungs- und Dienstprotokolle > Microsoft > Windows > PrintService.

Auswirkungen auf Benutzer:innen und Netzwerkkonfiguration

Sobald WPP systemweit aktiviert ist, können keine Benutzer:innen mehr Drucker installieren oder nutzen, die nicht Morpia-zertifiziert sind. Außerdem basiert der geschützte Druckmodus auf dem Internet Printing Protocol (IPP). Damit die Funktion reibungslos arbeitet, sollten Sie sicherstellen, dass IPP nicht durch Firewall-Richtlinien blockiert wird.

Anforderungen an Netzwerkports und Protokolle

WPP basiert vollständig auf IPP/IPPS über HTTPS. Stellen Sie sicher, dass Ihre Netzwerkumgebung den Datenverkehr über TCP-Port 631 (IPP) und TCP-Port 443 (IPPS HTTPS) zulässt. Werden diese Ports auf internen Firewalls blockiert, funktioniert unter WPP überhaupt kein Druck mehr, selbst mit Mopria-zertifizierter Hardware.

WPP in Windows 11 aktivieren und die Endpunkt-Sicherheit stärken

Windows Protected Print Mode fügt eine zusätzliche Sicherheitsebene für Unternehmen hinzu, die ihre Angriffsfläche verkleinern möchten. Mit der aktivierten Funktion können Treiber von Drittanbietern nicht mehr mit dem Druckstapel interagieren, wodurch sich das Risiko durch Exploits im Druckspooler verringert.

Endbenutzer:innen können die Funktion systemweit über die Windows-Einstellungen umschalten, Administrator:innen können sie per Gruppenrichtlinie oder über die Registry erzwingen. Die Registry-Änderung lässt sich zudem mit PowerShell oder einer .reg-Datei automatisieren.

Verwandte Themen:

• So deinstallieren Sie einen Druckertreiber unter Windows
• So sichern und stellen Sie Drucker unter Windows wieder her
• So beheben Sie den Druckerfehler 0x0000011B in Windows 11