Belangrijkste punten
De instelling “laatst aangemelde gebruiker niet weergeven op het aanmeldingsscherm” configureren
- Windows 11 toont standaard de laatst aangemelde gebruiker, met de gebruikersnaam en soms het e-mailadres op het aanmeldingsscherm. Dat is handig, maar het kan referenties blootleggen in gedeelde of openbare omgevingen.
- Met het beleid “Interactieve aanmelding: laatst aangemelde gebruiker niet weergeven” verbergen beheerders de laatst aangemelde gebruikersnaam en beschermen ze tegen blootstelling van referenties en brute force-aanvallen.
- U kunt dit beleid op vier manieren in- of uitschakelen:
- Configureren via de Editor voor lokaal groepsbeleid
- Configureren via de Register-editor
- PowerShell-script voor automatisering
- Een .reg-bestand gebruiken voor automatisering
- Vereisten voor deze taak zijn beheerdersrechten en toegang tot de Editor voor lokaal groepsbeleid en/of de Register-editor.
- Let op problemen zoals:
- GPO gaat vóór het register
- Het beleid “Interactieve aanmelding: laatst aangemelde gebruiker niet weergeven” wijzigen zonder verhoogde rechten
- Het register wijzigen zonder back-up
- Registerconfiguraties uitrollen zonder te testen
Windows 11 toont de naam en in sommige gevallen het e-mailadres van de laatst aangemelde gebruiker op het vergrendelingsscherm. Dat is handig, maar wanneer uw referenties zichtbaar zijn kan dat in gedeelde of openbare omgevingen een beveiligingslek vormen. Door het beleid Interactieve aanmelding: laatste aangemelde gebruiker niet weergeven in te schakelen, worden referenties beschermd, omdat gebruikers volledig moeten authenticeren zonder dat gebruikersnamen bij het aanmelden worden getoond.
Wilt u dit onderwerp liever visueel uitgelegd zien? Bekijk dan Zo schakelt u het verbergen van de laatst aangemelde gebruiker op het aanmeldscherm in of uit in Windows 11.
Methoden om het beleid ‘Interactieve aanmelding: laatste aangemelde gebruiker niet weergeven’ te beheren
Wanneer u dit beleid inschakelt, moeten gebruikers hun volledige referenties invoeren. Dat verkleint het risico op brute force-aanvallen, omdat aanvallers zowel de gebruikersnaam als het wachtwoord van een account moeten raden. Het voorkomen van username enumeration versterkt de beveiliging in zakelijke omgevingen dan ook aanzienlijk.
Toch is deze wijziging niet in elke situatie nodig. Wanneer het beleid niet is geconfigureerd, kunnen eindgebruikers zich namelijk eenvoudiger aanmelden. Dat geldt met name voor persoonlijke devices of thuisapparatuur, waar gebruiksgemak doorgaans zwaarder weegt dan een streng beveiligingsbeleid.
📌 Vereisten:
- Beheerdersrechten
- Toegang tot de Editor voor lokaal groepsbeleid
- Toegang tot de Register-editor
💡 Aanbevolen implementatiestrategieën:
Klik om een methode te kiezen | 💻 Beste voor individuele gebruikers | 💻💻💻 Beste voor organisaties |
| Methode 1: configureren via de Editor voor lokaal groepsbeleid | ✓ | ✓ |
| Methode 2: configureren via de Register-editor | ✓ | |
| Methode 3: PowerShell-script voor automatisering | ✓ | ✓ |
| Methode 4: een .reg-bestand gebruiken voor automatisering | ✓ |
(Zie ⚠️ Waar u op moet letten.)
Methode 1: configureren via de Editor voor lokaal groepsbeleid
De Editor voor lokaal groepsbeleid (LGPE) biedt gebruiksvriendelijke toegang tot beleidsregels en laat duidelijk zien welk effect een configuratie heeft. Daarnaast bevat de editor vooraf gedefinieerde parameters die met één klik zijn toe te passen, te controleren en terug te draaien. Zo voorkomt u ongeldige invoer en syntaxfouten bij het configureren van een lokale machine.
📌 Toepassingen: deze methode is ideaal voor devices met meerdere gebruikers, omdat de instelling systeembreed wordt toegepast en elke gebruiker bij het aanmelden de volledige referenties moet invoeren. Beheerders kunnen het beleid op deze manier ook eerst op een lokale machine testen voordat ze het uitrollen via de Group Policy Management Console (GPMC).
📌 Vereisten:
- Het device moet draaien op Windows 11 Pro, Enterprise of Education.
- Toegang tot de GPMC voor uitrol op organisatieniveau.
- Druk op Win + R, typ gpedit.msc en druk op Ctrl + Shift + Enter.
- Ga naar het volgende pad: Computerconfiguratie > Windows-instellingen > Beveiligingsinstellingen > Lokaal beleid > Beveiligingsopties
- Zoek het beleid Interactieve aanmelding: laatste aangemelde gebruiker niet weergeven en dubbelklik erop.
- Stel het beleid in en bepaal zo of gebruikersnamen op het aanmeldscherm worden getoond:
- Ingeschakeld: verbergt de gebruikersnaam van het laatst aangemelde gebruikersaccount.
- Uitgeschakeld: toont de gebruikersnaam van het laatst aangemelde gebruikersaccount.
- Ingeschakeld: verbergt de gebruikersnaam van het laatst aangemelde gebruikersaccount.
- Klik onderaan het beleidsvenster op Toepassen en vervolgens op OK om de wijzigingen door te voeren.
- Sluit de Editor voor lokaal groepsbeleid.
- Open een PowerShell-prompt met verhoogde rechten en voer gpupdate /force in.
Methode 2: ‘Interactieve aanmelding: laatste aangemelde gebruiker niet weergeven’ configureren via de Register-editor
Het beleid Interactieve aanmelding: laatste aangemelde gebruiker niet weergeven in de Editor voor lokaal groepsbeleid wijzigt de waarde dontdisplaylastusername in het Windows-register. Op systemen zonder groepsbeleid, zoals devices met Windows 11 Home, kunnen beheerders de registerwaarde in plaats daarvan handmatig configureren.
⚠️ Waarschuwing: anders dan de Editor voor lokaal groepsbeleid heeft het Windows-register geen ingebouwde foutbeveiliging en worden uw wijzigingen direct doorgevoerd. Een verkeerde configuratie op dit niveau kan de werking van het device verstoren en is alleen terug te draaien door de wijziging handmatig ongedaan te maken of door een herstel vanaf een back-up. [Zie ⚠️ Waar u op moet letten.]
📌 Toepassingen: gebruik de Register-editor om de username enumeration van de laatst aangemelde accounts te beheren op machines die niet in een domein zijn opgenomen. Beheerders kunnen deze methode ook uitrollen door haar om te zetten in een PowerShell-script of een .reg-bestand.
📌 Vereisten:
- Back-up van het Windows-register
- Registersubsleutels Policies en System
- DWORD-waarde dontdisplaylastusername
- Druk op Win + R, typ regedit en druk op Ctrl + Shift + Enter.
- Ga naar het volgende pad: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System
- Zoek de DWORD-waarde dontdisplaylastusername en dubbelklik erop.
- Pas de waardegegevens van dontdisplaylastusername aan op de gewenste username enumeration:
- 1 = verbergt de gebruikersnaam van het laatst aangemelde account.
- 0 = toont de gebruikersnaam van het laatst aangemelde account.
- 1 = verbergt de gebruikersnaam van het laatst aangemelde account.
- Klik op OK en sluit daarna de Register-editor.
- Start uw device opnieuw op om de wijzigingen door te voeren.
Methode 3: PowerShell-script voor automatisering
Voor beheerders kan het een flinke klus zijn om de Register-editor telkens opnieuw te configureren op meerdere machines, zeker bij het beheren van endpoints buiten een domein. Een handige oplossing is PowerShell inzetten om de instellingen op alle endpoints consistent te houden.
📌 Toepassingen: beheerders kunnen met PowerShell de configuratie van dontdisplaylastusername automatiseren op een lokale machine buiten het domein. Deze methode maakt bij toepassing bovendien automatisch de juiste subsleutels en DWORD-waarde aan, waardoor handmatig registerbeheer overbodig wordt.
📌 Vereisten:
- Back-up van het Windows-register
- Testen op een lokale machine vóór de uitrol [Zie ⚠️ Waar u op moet letten.]
- Druk op Win + R, typ PowerShell en druk vervolgens op Ctrl + Shift + Enter.
- Voer het script in dat het beste bij uw voorkeur past:
- Voer deze opdracht in om de laatst aangemelde gebruikersnaam te verbergen:
New-Item -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" -Force | Out-NullSet-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" -Name "dontdisplaylastusername" -Value 1 -Type DWord - Voer deze opdracht in om de laatst aangemelde gebruikersnaam te tonen:
New-Item -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" -Force | Out-NullSet-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" -Name "dontdisplaylastusername" -Value 0 -Type DWord - Wacht tot het script klaar is.
- Sluit de PowerShell-prompt.
💡 Tip: u kunt een tool voor remote PowerShell gebruiken om het script op afstand uit te rollen over de endpoints in een omgeving.
Methode 4: een .reg-bestand gebruiken voor automatisering
Wilt u eenmalige registerconfiguraties doorvoeren op een lokale machine? Dan kunt u het proces ook automatiseren met een registerbestand. Zo beheert u dontdisplaylastusername geautomatiseerd in omgevingen waar scripting beperkt is.
💡 Tip: hebt u de registermethode al uitgevoerd? Dan kunt u de waarde dontdisplaylastusername direct exporteren om automatisch een .reg-bestand aan te maken.
📌 Toepassingen: deze methode is ideaal voor zowel beheerders als eindgebruikers die de username enumeration van een lokale machine willen beheren zonder scripting. Daarnaast is ze geschikt voor kleinschalige toepassing op endpoints buiten een domein.
📌 Vereisten:
- Back-up van het Windows-register
- Testen op een lokale machine vóór de uitrol [Zie ⚠️ Waar u op moet letten.]
- Druk op Win + S, typ Kladblok en klik op de app Kladblok.
- Voer de registergegevens in die het beste aansluiten op het gewenste gedrag:
- Om de laatst aangemelde gebruikersnaam te verbergen:
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System]"dontdisplaylastusername"=dword:00000001 - Om de laatst aangemelde gebruikersnaam te tonen:
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System]"dontdisplaylastusername"=dword:00000000
- Om de laatst aangemelde gebruikersnaam te verbergen:
- Druk op Ctrl + Shift + S, geef het bestand een naam met de extensie .reg en wijzig Opslaan als type in Alle bestanden.
- Kies de locatie waar het .reg-bestand wordt opgeslagen en klik op Opslaan.
- Dubbelklik op het .reg-bestand en controleer of de gewenste wijziging in de username enumeration is doorgevoerd.
⚠️ Waar u op moet letten
Risico’s | Mogelijke gevolgen | Oplossingen |
| GPO heeft voorrang op het register. | Een GPO overschrijft de registerwijziging die u doorvoert op een endpoint in een domein wanneer die in strijd is met een afgedwongen beleid. | Zorg ervoor dat de registerwijziging niet botst met het groepsbeleid van uw organisatie. |
| Het beleid Interactieve aanmelding: laatste aangemelde gebruiker niet weergeven wijzigen zonder verhoogde rechten | Alle methoden in deze gids worden op deviceniveau toegepast. Zonder de juiste beheerderstoegang leiden deze instellingen tot fouten of mislukken ze zonder melding. | Gebruik bij systeembrede wijzigingen altijd een account met verhoogde rechten. |
| Het register wijzigen zonder back-up | Wijzigingen in het register worden direct doorgevoerd en één fout kan de werking van het device verstoren. Omdat het register geen ingebouwde functie ongedaan maken heeft, is een verkeerde configuratie lastig terug te draaien. | Maak eerst een back-up van het Windows-register voordat u registerwaarden wijzigt. |
| Registerconfiguraties uitrollen zonder te testen | Zonder tests blijven onjuiste configuraties onopgemerkt, waardoor de instelling zonder melding mislukt of allerlei systeemfouten veroorzaakt. | Welke uitrolmethode u ook gebruikt, test de wijzigingen altijd eerst op een lokale machine. Zo voorkomt u dat verkeerde configuraties per ongeluk in de hele omgeving terechtkomen. |
Aandachtspunten bij het beheren van ‘Interactieve aanmelding: laatste aangemelde gebruiker niet weergeven’
Gedrag van username enumeration bij het aanmelden
Als u dit beleid inschakelt, moeten gebruikers bij het aanmelden zowel hun gebruikersnaam als hun wachtwoord invoeren. Daarnaast worden gekoppelde e-mailadressen van Microsoft-accounts verborgen, wat de bescherming van referenties binnen een organisatie verbetert.
Verwante beleidsregels
Schakel voor een betere beveiliging van referenties ook het beleid Interactieve aanmelding: gebruikersnaam niet weergeven bij aanmelding in binnen de Editor voor lokaal groepsbeleid. Zo blijven alle gebruikersnamen tijdens het aanmelden verborgen.
Kiosken of gedeelde devices
Beheert u een openbaar of gedeeld device? Dan is het sterk aan te raden dit beleid in te schakelen om de referenties van eindgebruikers te beschermen.
Bescherm referenties van eindgebruikers door gebruikersnamen te verbergen bij het aanmelden
Windows toont standaard de laatst aangemelde gebruikersnaam om het aanmelden te versnellen, maar in beveiligde omgevingen kan dat referenties blootleggen. Het is daarom raadzaam de laatste gebruiker bij het aanmelden te verbergen en omgevingen zo te beschermen tegen ongeoorloofde toegang.
Beheerders regelen dit door het beleid Interactieve aanmelding: laatste aangemelde gebruiker niet weergeven in de Editor voor lokaal groepsbeleid aan te passen. Op machines buiten een domein kan de waarde dontdisplaylastusername handmatig worden ingesteld in de Register-editor of worden geautomatiseerd met PowerShell of .reg-bestanden.
Gerelateerde onderwerpen:
