Schlüsselpunkte
- Aktionen von Nicht-Administrator:innen über die lokale Gruppenrichtlinie einschränken, ohne Administratorkonten zu beeinträchtigen.
- Benutzerdefinierte MMC-Konsolen bereitstellen, um gezielt Nicht-Administrator:innen oder Gruppen anzusprechen und Richtlinien präzise durchzusetzen.
- Für granulare Kontrolle: Bestimmte Benutzer:innen daran hindern, Systemeinstellungen zu ändern oder nicht autorisierte Anwendungen zu installieren.
Diese Anleitung zeigt Schritt für Schritt, wie Sie unter Windows 11 und Windows 10 die lokale Gruppenrichtlinie auf Nicht-Administratoren anwenden und wie das bei der Windows-Systemadministration hilft. Außerdem finden Sie hier Hintergrundwissen zur lokalen Gruppenrichtlinie in Windows, Tipps zur Fehlerbehebung sowie Best Practices für die Verwaltung von Windows-Gruppenrichtlinien im großen Maßstab.
Wenn Sie eine lokale Gruppenrichtlinie auf eine andere Benutzergruppe oder bestimmte Benutzer:innen anwenden möchten, werfen Sie einen Blick auf:
Andernfalls können Sie direkt mit der Schritt-für-Schritt-Anleitung unten fortfahren.
Lokale Gruppenrichtlinien in Windows verstehen
Gruppenrichtlinien sind eine Funktion des Windows-Betriebssystems, die die zentrale Verwaltung von Windows-Geräten ermöglicht, einschließlich System- und Benutzereinstellungen sowie Anwendungskonfigurationen. Dazu gehören die Verwaltung von Sicherheitsrichtlinien, Benutzerberechtigungen, Netzwerkkonfigurationen und Benutzerprofilen.
Gruppenrichtlinien bestehen aus Gruppenrichtlinienobjekten (GPOs). Jedes GPO enthält eine Reihe von Konfigurationsoptionen, die das Verhalten der zugehörigen Windows-Funktion oder Anwendung verändern. GPOs können entweder als Computerkonfiguration angewendet werden (gültig für ein bestimmtes Windows-Gerät und alle daran angemeldeten Benutzer:innen) oder als Benutzerkonfiguration (gültig nur für ein einzelnes Benutzerkonto während der Anmeldung, unabhängig vom verwendeten Gerät).
Zu den typischen Konfigurationsaufgaben mit Windows-Gruppenrichtlinien und Gruppenrichtlinienobjekten gehören:
- Netzlaufwerke oder freigegebene Drucker automatisiert konfigurieren.
- Anmeldeskripte festlegen.
- Browsereinstellungen wie Suchmaschinen und Startseiten automatisiert konfigurieren.
- Firewall und Virenschutz aktivieren.
- Zugriff auf Anwendungen oder Windows-Funktionen blockieren (zum Beispiel den Zugriff auf den Registrierungs-Editor für Nicht-Administrator:innen deaktivieren).
Windows-Gruppenrichtlinien lassen sich in zwei Kategorien einteilen:
- Lokale Gruppenrichtlinie: Lokale Richtlinien gelten nur für den Computer, auf dem sie konfiguriert wurden. Beachten Sie, dass lokale Gruppenrichtlinienobjekte von Domänen-Gruppenrichtlinienobjekten aus den Gruppenrichtlinien in Active Directory überschrieben werden.
- Gruppenrichtlinien in Active Directory: Gruppenrichtlinienobjekte können in einer Active-Directory-Domäne definiert werden, um Benutzer:innen oder Computer in einer Unternehmensumgebung zu steuern. Der Geltungsbereich dieser Richtlinien richtet sich nach der Organisationseinheit (OU) der Benutzer:innen oder des Geräts innerhalb von Active Directory.
Darum lohnt es sich, Gruppenrichtlinien auf Nicht-Administratoren anzuwenden
Normalerweise kommen Gruppenrichtlinien in Unternehmensumgebungen als Teil einer Active-Directory-Domäne zum Einsatz, um Windows-Geräte zentral zu steuern. Aber auch Administrator:innen kleinerer Windows-Umgebungen in Unternehmen oder im privaten Umfeld profitieren von Einschränkungen für Nicht-Administrator:innen. Denn so können sie:
- verhindern, dass Benutzer:innen Systemeinstellungen ändern, ihre Rechner unbrauchbar machen oder kritische Funktionen wie Firewalls oder Virenschutz deaktivieren.
- verhindern, dass Benutzer:innen Software installieren und Skripte ausführen, wenn diese dazu neigen, Malware zu installieren oder verdächtige E-Mail-Anhänge zu öffnen.
- sicherstellen, dass Windows-Updates regelmäßig installiert werden.
- Standardanwendungen wie einen bestimmten Webbrowser oder E-Mail-Client erzwingen.
- die Sicherheit und Zuverlässigkeit der betreuten Windows-Geräte insgesamt erhöhen, weil nur sie Konfigurationsänderungen vornehmen, die getestet und dokumentiert sind.
Lesen Sie unseren Leitfaden „So setzen Sie alle lokalen Gruppenrichtlinieneinstellungen unter Windows auf die Standardwerte zurück“
Voraussetzungen für die Anwendung von Gruppenrichtlinien auf Nicht-Administratoren
In den Home-Editionen von Windows lassen sich lokale Gruppenrichtlinien nicht verwalten. Um lokale Gruppenrichtlinien oder Gruppenrichtlinien in Active Directory zu nutzen, benötigen Sie eine der folgenden Windows-Versionen:
- Ein Administratorkonto.
- Windows 7/8 Pro, Enterprise oder Ultimate (End-of-Support-Versionen).
- Windows 10 (End-of-Support) & 11 Pro, Enterprise oder Education.
Beachten Sie, dass die Nutzung von Windows-Betriebssystemen ohne Support (End-of-Support) oder nicht unterstützten Versionen mit Risiken verbunden ist.
Schritt für Schritt: lokale Gruppenrichtlinien auf Nicht-Administratoren anwenden
Am effizientesten verwalten Sie Gruppenrichtlinien für Nicht-Administrator:innen, indem Sie ein benutzerdefiniertes Fenster der Microsoft Management Console (MMC) erstellen, das Gruppenrichtlinien bearbeitet, die ausschließlich für Nicht-Administrator:innen gelten.
Gehen Sie dazu folgendermaßen vor:
1. Klicken Sie mit der rechten Maustaste auf die Schaltfläche Start und wählen Sie dann Ausführen.
2. Klicken Sie auf OK und anschließend in der Benutzerkontensteuerung auf Ja, um die MMC zu öffnen.
3. Wählen Sie als Nächstes im Navigationsmenü Datei und dann Snap-In hinzufügen/entfernen.
4. Wählen Sie Gruppenrichtlinienobjekt-Editor aus der Liste der verfügbaren Snap-Ins.
5. Klicken Sie auf die Schaltfläche Hinzufügen →, um es der Liste der ausgewählten Snap-Ins hinzuzufügen.
6. Klicken Sie im Fenster Gruppenrichtlinienobjekt auswählen auf die Schaltfläche Durchsuchen.
7. Wechseln Sie auf die Registerkarte Benutzer, wählen Sie die Benutzergruppe Nicht-Administratoren (oder alternativ eine beliebige andere Benutzergruppe, auf die Sie eine Richtlinie gezielt anwenden möchten) und klicken Sie dann auf OK.
8. Klicken Sie im Fenster Gruppenrichtlinie auswählen auf Fertig stellen und anschließend im Fenster Snap-Ins hinzufügen bzw. entfernen auf OK.
9. Im Fenster der MMC wird nun im Navigationsbereich Ihr Editor für lokale Gruppenrichtlinien für Nicht-Administrator:innen angezeigt.
10. Klicken Sie auf Datei, dann auf Speichern unter, und speichern Sie diese benutzerdefinierte MMC-Ansicht auf dem Desktop als Gruppenrichtlinien-Editor für Nicht-Administratoren.
11. Künftig können Sie alle oben genannten Schritte überspringen und einfach die auf dem Desktop gespeicherte MMC-Datei nutzen, wenn Sie Benutzerrichtlinien verwalten möchten.
Alle Änderungen an Gruppenrichtlinien, die Sie in diesem MMC-Fenster vornehmen, gelten ausschließlich für Nicht-Administrator:innen. So können Sie beispielsweise eine Gruppenrichtlinie konfigurieren, die Nicht-Administrator:innen daran hindert, die Systemsteuerung zu öffnen:
1. Öffnen Sie die MMC über die oben erstellte Datei.
2. Navigieren Sie zu Lokaler Computer/Richtlinie Nicht-Administratoren/Benutzerkonfiguration/Administrative Vorlagen/Systemsteuerung.
3. Doppelklicken Sie auf Zugriff auf Systemsteuerung und PC-Einstellungen verbieten.
4. Wählen Sie im Einstellungsfenster Aktiviert und klicken Sie dann auf OK.
5. Starten Sie das Gerät neu oder führen Sie den Befehl gpupdate /force in PowerShell oder der Eingabeaufforderung aus, um die Änderungen zu übernehmen.
Um die Änderungen rückgängig zu machen, wiederholen Sie den Vorgang und wählen in der Einstellung Zugriff auf Systemsteuerung und PC-Einstellungen verbieten statt Aktiviert die Option Deaktiviert oder Nicht konfiguriert.
Testen Sie alle Einstellungen, die Sie über die lokale Gruppenrichtlinie ändern, nach der Bereitstellung. So stellen Sie sicher, dass sie den gewünschten Effekt haben.
Wenn Sie den Ablauf lieber visuell nachvollziehen möchten, sehen Sie sich unsere Schritt-für-Schritt-Videoanleitung an: So wenden Sie lokale Gruppenrichtlinien unter Windows 11 & 10 auf Nicht-Administratoren an.
Häufige Probleme mit lokalen Gruppenrichtlinien beheben
Wenn Ihre Änderungen an der lokalen Gruppenrichtlinie bei Nicht-Administrator:innen nicht greifen, prüfen Sie Folgendes:
- Prüfen Sie, ob die Richtlinien der richtigen Benutzergruppe zugewiesen sind.
- Stellen Sie sicher, dass die Benutzer:innen, die Sie verwalten möchten, Mitglieder der Zielgruppe sind.
Wenn Ihre Änderungen bei administrativen Benutzer:innen greifen, obwohl sie das nicht sollten, prüfen Sie Folgendes:
- Sie haben die Richtlinie nicht dem Computer statt der vorgesehenen Benutzergruppe zugewiesen.
- Ihre Richtlinie zielt auf die richtige Benutzergruppe ab.
Mit gpresult /r lassen sich alle aktiven Gruppenrichtlinien auflisten. Bei widersprüchlichen Richtlinien gilt immer die restriktivste.
Wenn Ihnen beim Festlegen von Gruppenrichtlinien ein Fehler unterläuft und Sie die Ursache nicht ermitteln können, um eine einzelne Änderung selbst zurückzunehmen, können Sie alle Gruppenrichtlinien zurücksetzen. Führen Sie dazu die folgenden Befehle als Administrator aus:
gpupdate /force
secedit /configure /cfg %windir%\inf\defltbase.inf /db defltbase.sdb /verbose
Starten Sie Ihr Gerät neu, um den Vorgang abzuschließen. Dadurch werden sowohl die Richtlinien der Computerkonfiguration als auch die der Benutzerkonfiguration zurückgesetzt.
Falls Sie Schwierigkeiten haben, den Editor für lokale Gruppenrichtlinien zu öffnen, zeigt Ihnen das Video „So öffnen Sie den Editor für lokale Gruppenrichtlinien unter Windows 10 und Windows 11“ weitere Wege.
→ Wenn Sie ein Gruppenrichtlinien-Update aus der Ferne erzwingen müssen, hilft Ihnen dieser GPUpdate-Leitfaden weiter.
Lokale Gruppenrichtlinien in Windows verstehen
Gruppenrichtlinien sind eine Funktion, die die zentrale Verwaltung von Windows-Geräten ermöglicht, einschließlich System- und Benutzereinstellungen sowie Anwendungskonfigurationen. Dazu gehören die Verwaltung von Sicherheitsrichtlinien, Benutzerberechtigungen, Netzwerkkonfigurationen und Benutzerprofilen.
Zu den typischen Konfigurationsaufgaben mit Windows-Gruppenrichtlinien und Gruppenrichtlinienobjekten gehören:
- Netzlaufwerke oder freigegebene Drucker automatisiert konfigurieren.
- Anmeldeskripte festlegen.
- Browsereinstellungen wie Suchmaschinen und Startseiten automatisiert konfigurieren.
- Firewall und Virenschutz aktivieren.
- Zugriff auf Anwendungen oder Windows-Funktionen blockieren (zum Beispiel den Zugriff auf den Registrierungs-Editor für Nicht-Administrator:innen deaktivieren).
Diese Konfigurationen sorgen für Sicherheit, Einheitlichkeit und Kontrolle über Windows-Geräte und Benutzergruppen hinweg.
Darum lohnt es sich, Gruppenrichtlinien auf Nicht-Administratoren anzuwenden
Normalerweise kommen Gruppenrichtlinien in Unternehmensumgebungen innerhalb einer Active-Directory-Domäne zum Einsatz, um Windows-Geräte zentral zu steuern. Aber auch Administrator:innen kleinerer Windows-Umgebungen in Unternehmen oder im privaten Umfeld profitieren von Einschränkungen für Nicht-Administrator:innen. Denn so können sie:
- verhindern, dass Benutzer:innen Systemeinstellungen ändern, ihre Rechner unbrauchbar machen oder kritische Funktionen wie Firewalls oder Virenschutz-Software deaktivieren.
- verhindern, dass Benutzer:innen Software installieren und Skripte ausführen, wenn diese dazu neigen, Malware zu installieren oder verdächtige E-Mail-Anhänge zu öffnen.
- sicherstellen, dass Windows-Updates regelmäßig installiert werden.
- Standardanwendungen wie einen bestimmten Webbrowser oder E-Mail-Client erzwingen.
Darüber hinaus nutzen Teams GPOs, um die Sicherheit und Zuverlässigkeit der betreuten Windows-Geräte insgesamt zu erhöhen, indem sie sicherstellen, dass Konfigurationsänderungen von autorisiertem Personal getestet und dokumentiert werden.
Lesen Sie unseren Leitfaden „So setzen Sie alle lokalen Gruppenrichtlinieneinstellungen unter Windows auf die Standardwerte zurück“
Windows-Gruppenrichtlinien im Unternehmensmaßstab verwalten
Mit Gruppenrichtlinien in Active Directory lassen sich Tausende von Geräten zentral verwalten, gestaffelt nach Standort, Benutzerrolle oder Gerätetyp. Spezialisierte Lösungen für das Endpunkt-Management vereinfachen und verbessern diesen Prozess: Änderungen lassen sich leichter bereitstellen, überprüfen und testen, sodass keine Sicherheitslücken entstehen. Dieser proaktive Ansatz sorgt in Unternehmensumgebungen wie auch bei MSP-Mandanten gleichermaßen für Sicherheit und betriebliche Effizienz.
Verwandte Themen:
- So wenden Sie lokale Gruppenrichtlinien unter Windows 11 und Windows 10 auf bestimmte Benutzer:innen an
- So wenden Sie lokale Gruppenrichtlinien unter Windows 11 & 10 auf Administratoren an
- So sichern und stellen Sie die Einstellungen des Editors für lokale Gruppenrichtlinien wieder her
- So öffnen Sie den Editor für lokale Gruppenrichtlinien unter Windows 11
