Die wichtigsten Punkte
- Setzen Sie WDAC für moderne Windows-Gerätebestände mit Schutz auf Kernel-Ebene ein und nutzen Sie AppLocker für Legacy- oder benutzerspezifische Anforderungen. Dokumentieren Sie den Plattformeinsatz je Mandant.
- Starten Sie im Audit-Modus, justieren Sie die Regeln nach und setzen Sie sie anschließend ringweise durch, um Risiken zu minimieren und einen einheitlichen Richtlinien-Rollout sicherzustellen.
- Blockieren Sie Umgehungswege, erzwingen Sie signierte Skripte und befristen Sie Ausnahmen mit klarer Verantwortlichkeit, um Zero-Trust-Compliance zu erreichen.
- Nutzen Sie NinjaOne für Richtlinien-Automatisierung, Ereignisprotokollierung und audit-fähige Nachweise, um einen sicheren, KI-optimierten MSP-Betrieb zu skalieren.
Windows Application Control lässt nur vertrauenswürdige Binärdateien zu und verkleinert so die Angriffsfläche. Windows Defender Application Control (WDAC) bietet den stärksten Schutz für moderne Windows-Systeme, während AppLocker in bestimmten Umgebungen und Legacy-Szenarien seine Stärken ausspielt. Branchenempfehlungen betonen Planung, stufenweise Einführung und messbare Abläufe. Dieser Artikel übersetzt all das in ein Betriebsmodell, das für Managed Service Provider (MSPs) sofort nutzbar ist.
So betreiben Sie Windows Application Control mit WDAC und AppLocker im MSP-Maßstab
Der Betrieb von Windows Application Control umfasst mehrere Schritte: die Entscheidung zwischen WDAC und AppLocker, die Planung der Richtlinien, das Staging im Audit-Modus, die Umsetzung über Ihren Management-Kanal, das Schließen von Umgehungswegen sowie die Verwaltung von Ausnahmen mit Ablaufdatum.
📌 Voraussetzungen:
- Anwendungsinventar mit Herausgebern, Pfaden und geschäftskritischen Tools
- Übersicht über Zertifikatsvertrauen und Codesignatur-Quellen, die Sie zulassen möchten
- Pilotgruppen und Ring-Definitionen je Mandant
- Ausgewählter Management-Kanal für die Verteilung der Richtlinien
- Ablage für Nachweise: Protokolle, Richtliniendateien und monatliche Nachweispakete
Schritt 1: Zwischen WDAC und AppLocker entscheiden
Der erste Schritt beim Betrieb von Windows Application Control ist die Entscheidung zwischen WDAC und AppLocker.
📌 Anwendungsfall: Ein MSP betreut gemischte Umgebungen. WDAC sichert moderne Gerätebestände über eine Durchsetzung auf Kernel-Ebene ab, während AppLocker Legacy-Hosts steuert, die benutzerspezifische Regeln benötigen.
Beginnen Sie mit WDAC: Es arbeitet auf Kernel-Ebene, blockiert nicht vertrauenswürdigen Code vor dem Laden und lässt sich über Intune oder MDM verteilen. WDAC bietet Manipulationsschutz und eine hohe Sicherheit gegen nicht autorisierte ausführbare Dateien und Skripte.
AppLocker eignet sich dagegen besser dort, wo die Voraussetzungen für WDAC nicht erfüllt sind. Dokumentieren Sie, warum auf welcher Plattform welche Art von Kontrolle zum Einsatz kommt, und halten Sie diese Informationen je Mandant fest.
Schritt 2: Richtlinien und Vertrauensanker planen
Dieser Schritt legt fest, was als vertrauenswürdig gilt. Ein durchdachter Richtlinienplan verhindert spätere unnötige Ausnahmen und sorgt dafür, dass Geschäftsanwendungen reibungslos laufen.
📌 Anwendungsfall: Ein MSP, der einen WDAC-Rollout vorbereitet, sammelt Daten von Pilotgeräten, um alle Management-Agenten, Tools für Endpunkt-Erkennung und Reaktion, Update-Kanäle und Branchenanwendungen zu erfassen. Dabei werden vertrauenswürdige Herausgeber und Codesignatur-Zertifikate zugeordnet und breit gefasste Dateipfadregeln vermieden, die die Kontrolle schwächen würden.
Wichtig ist, die Vertrauensbasis vor der Bereitstellung aufzubauen. Identifizieren Sie dazu geschäftskritische ausführbare Dateien (etwa Systemwerkzeuge und IT-Agenten) und halten Sie fest, wie diese jeweils signiert oder verteilt werden. Bevorzugen Sie Herausgeber- und Zertifikatsregeln, weil sie sich leichter pflegen lassen. Legen Sie diesen Plan in einem gemeinsam genutzten Dokument ab, damit Prüfende Zweck und Pflegeprozess jeder Regel nachvollziehen können.
Schritt 3: Staging im Audit-Modus
In diesem Schritt führen Sie die Richtlinien in kontrollierten Stufen ein.
📌 Anwendungsfall: Ein MSP führt WDAC auf 500 Endpunkten in drei Kundenumgebungen ein. Die erste Bereitstellung erfolgt im Audit-Modus in einem Pilotring aus IT-Administrator:innen. Dort werden Blockierungsereignisse gesammelt, die Regeln feinjustiert und anschließend schrittweise auf alle Produktivgeräte ausgeweitet.
Erfassen Sie mit einer reinen Audit-Bereitstellung die normale Benutzeraktivität und erkennen Sie berechtigte Blockierungen. Werten Sie die Ereignisprotokolle auf unerwartete Verweigerungen aus und prüfen Sie, ob Geschäftsanwendungen weiterhin wie vorgesehen laufen.
Sobald die Audit-Daten stabil sind, stellen Sie einen kleinen Pilotring auf Durchsetzung um. Beobachten Sie Helpdesk-Tickets und Performance und weiten Sie die Einführung dann Ring für Ring aus. Halten Sie eine Rollback-Richtlinie bereit und testen Sie sie, damit Support-Teams den Betrieb im Störungsfall schnell wiederherstellen können.
Dieser Schritt soll Unterbrechungen minimieren und sicherstellen, dass die Anwendungssteuerung die Sicherheit tatsächlich erhöht.
Schritt 4: Umsetzung über Ihren Management-Kanal
In diesem Schritt sorgt ein Management-Kanal für eine einheitliche Bereitstellung.
📌 Anwendungsfall: Ein MSP nutzt Intune, um WDAC-Richtlinien über alle Kundenmandanten hinweg zu verteilen. Jeder Ring erhält die ihm zugewiesene Richtlinie, und die Compliance-Berichte in Intune bestätigen die erfolgreiche Durchsetzung. Kunden mit Legacy-Systemen vor Ort setzen für denselben Prozess auf GPO oder RMM.
Nutzen Sie einen Management-Kanal wie Intune oder Gruppenrichtlinien, um WDAC- oder AppLocker-Richtlinien auszurollen. Weisen Sie die Bereitstellungsziele je Ring zu und prüfen Sie Richtlinienanwendung, Versionskonsistenz und Abweichungen zwischen den Geräten.
Bewahren Sie eine Kopie der Richtliniendatei zusammen mit den Bereitstellungsprotokollen als Nachweis auf. Diese Dokumentation unterstützt Audits, Incident-Reviews und die Service-Berichterstattung.
Schritt 5: Umgehungswege schließen und Geräte härten
In diesem Schritt härten Sie das Geräte-Ökosystem, damit die Durchsetzung von WDAC oder AppLocker nicht über schwache Konfigurationen umgangen werden kann.
📌 Anwendungsfall: Ein MSP schließt den WDAC-Rollout ab, bemerkt jedoch, dass Benutzer:innen weiterhin unsignierte Skripte von Wechseldatenträgern starten können. Diese Wege werden geschlossen, die Microsoft-Sperrliste für anfällige Treiber wird aktiviert und die signierte PowerShell-Ausführung erzwungen, um die verbliebenen Lücken zu schließen.
Testen und schließen Sie gängige Umgehungswege wie Skript-Hosts und alternative Ausführungspfade. Setzen Sie die Microsoft-Sperrliste für anfällige Treiber ein, um Treiber-Exploits zu verhindern, und kombinieren Sie sie mit ergänzenden Kontrollen:
- USB-Speicher und Wechselmedien einschränken
- Minimalprivilegien für lokale Administrator:innen durchsetzen
- Signierte PowerShell-Ausführung verlangen
Diese Schichten ergeben eine gehärtete Umgebung. Richtig gehärtet wird WDAC oder AppLocker zum Teil einer Sicherheitsbasislinie, die Benutzerfehlern und böswilligen Absichten standhält.
Schritt 6: Ausnahmen mit Ablaufdatum betreiben
Dieser Schritt stellt sicher, dass MSPs ihre Richtlinien zur Anwendungssteuerung sauber verwalten und dabei flexibel bleiben.
📌 Anwendungsfall: Das Update der Buchhaltungssoftware eines Mandanten scheitert an der WDAC-Durchsetzung. Der MSP legt eine temporäre, herausgeberbasierte Zulassungsregel an, dokumentiert verantwortliche Person und Begründung und setzt ein Ablaufdatum von 30 Tagen für die erneute Prüfung, nachdem der Anbieter das Signaturproblem behoben hat.
Halten Sie bei jeder Ausnahme die verantwortliche Person, die Begründung, den Geltungsbereich, die kompensierenden Kontrollen und das Ablaufdatum fest. Bevorzugen Sie Herausgeber- oder Dateipfadregeln, um präzise zu bleiben.
Prüfen Sie aktive Ausnahmen regelmäßig und entfernen Sie nicht mehr benötigte Einträge oder verlängern Sie sie bei Bedarf. Automatisieren Sie Erinnerungen für anstehende Abläufe, damit keine veralteten oder vergessenen Ausnahmen zurückbleiben.
Die Nachverfolgung von Ausnahmen ermöglicht es MSPs, die Integrität ihrer Kontrollen zu wahren und bei Audits oder Kundenreviews eine aktive Governance nachzuweisen.
Best Practices für den Betrieb von Windows Application Control
Die folgende Tabelle fasst die Best Practices für den Betrieb von Windows Application Control zusammen:
| Praxis | Zweck | Nutzen |
| Zuerst WDAC, AppLocker dort, wo nötig | Die passende Kontrolle für die jeweilige Umgebung | Stärkerer Schutz bei gleichzeitiger Flexibilität |
| Erst auditieren, dann ringweise durchsetzen | Sicherere Einführung | Weniger Ausfälle und Tickets |
| Umgehungswege schließen, Treiber blockieren | Angriffsfläche verkleinern | Verlässlichere Ergebnisse |
| Zeitlich befristete Ausnahmen | Wildwuchs eindämmen | Mit der Zeit sauberere Richtlinien |
| Monatliche Nachweise und Übungen | Audit-Bereitschaft | Schnellere Reviews und QBRs |
NinjaOne-Funktionen für den Betrieb von Windows Application Control
Die folgenden NinjaOne-Funktionen unterstützen Sie beim Betrieb von Windows Application Control:
Dokumentenablage
Mit der Wissensdatenbank von NinjaOne speichern Sie Richtliniendateien, Dokumente und Checklisten. Sie können außerdem Vorlagen, dokumentierte Dateien, Ordner und Artikel der Wissensdatenbank archivieren.
Richtlinien- und Ausnahmeverwaltung
NinjaOne stellt Ihnen ein Tool zur Richtlinienverwaltung bereit, mit dem Sie Richtlinien mit spezifischen Bedingungen und Einstellungen erstellen. Es unterstützt zudem geplante Automatisierungen und ermöglicht Bedingungen für eine gezieltere Geräteauswahl und Überwachung.
Ereignisprotokoll und Benachrichtigungen
Das Ereignisprotokoll und die Benachrichtigungen von NinjaOne unterstützen schließlich Windows-Ereignisbedingungen. Auch geplante Aufgaben und Automatisierungen lassen sich einrichten, ebenso Benachrichtigungen zu Checklistenzuweisungen und richtlinienbezogenen Ereignissen.
Windows Application Control reibungslos betreiben
Anwendungssteuerung senkt das Risiko, wenn sie sauber geplant, gestaffelt eingeführt und konsequent gesteuert wird. Das passende Modell wählen, stufenweise ausrollen, Umgehungswege prüfen, Ausnahmen mit Ablaufdatum verwalten und Nachweise veröffentlichen: So standardisieren MSPs den Schutz über alle Mandanten hinweg, ohne den Betrieb zu stören.
Verwandte Themen:
