Belangrijkste punten
- Door alle instellingen van het lokale beveiligingsbeleid in Windows 11 of 10 te resetten, lost u verkeerde configuraties op, verwijdert u ongeautoriseerde wijzigingen en zet u uw pc terug in een veilige standaardstatus.
- Gebruik de opdracht secedit in een verhoogde PowerShell- of opdrachtpromptsessie om alle instellingen van het lokale beveiligingsbeleid volledig te resetten.
- Open msc of gpedit.msc om afzonderlijke regels uit het accountbeleid en het lokale beleid handmatig na te lopen wanneer een volledige reset van alle instellingen niet nodig is.
- Controleer uw reset door configuratiebestanden te exporteren en te vergelijken, zodat alle instellingen van het lokale beveiligingsbeleid overeenkomen met de Windows-standaardwaarden.
- Volg de beste praktijken bij het resetten van het lokale beveiligingsbeleid: maak een back-up voordat u wijzigingen doorvoert, gebruik Microsoft Security Baselines voor het beheer van meerdere devices en houd het beleid consistent op alle systemen.
Deze stapsgewijze handleiding laat zien hoe u alle instellingen van het lokaal beveiligingsbeleid volledig terugzet naar de standaardwaarden in Windows 11 en Windows 10. We beschrijven zowel het gebruik van het portaal Lokaal beveiligingsbeleid als het herstellen van de standaardinstellingen via PowerShell.
Daarnaast leggen we uit wat het lokaal beveiligingsbeleid in Windows doet, welke gevolgen het heeft en in welke situaties u het gebruikt. Zo lost u problemen sneller op en begrijpt u beter welke wijzigingen u op uw Windows-pc doorvoert.
💡Wilt u het resetproces volledig in beeld zien? Bekijk dan onze videohandleiding: Alle instellingen van het lokaal beveiligingsbeleid terugzetten naar de standaardwaarden.
Wat is het lokaal beveiligingsbeleid in Windows?
Het lokaal beveiligingsbeleid van Windows is de verzameling instellingen die bepaalt hoe de beveiligingsfuncties van het besturingssysteem zich gedragen. Denk aan authenticatie, gebruikersrechten, auditing, opstartbeveiliging, firewall- en netwerkbeveiliging en nog veel meer beveiligingsinstellingen. Het lokaal beveiligingsbeleid is alleen beschikbaar in de Pro- en Enterprise-versies van Windows 11 en Windows 10, niet in de Home-versies.
Lokale beveiligingsbeleidsregels gelden uitsluitend voor de pc waarop ze zijn ingesteld. Wilt u beleid voor meerdere machines instellen, dan moeten die zijn toegevoegd aan een Windows Active Directory-domein.
Veelvoorkomende beveiligingstaken die u met het lokaal beveiligingsbeleid uitvoert:
- Eisen stellen aan de complexiteit van wachtwoorden (zoals een minimale lengte en het gebruik van cijfers, letters en speciale tekens).
- Auditing inschakelen om gebruikersacties en processen te volgen.
- Toegang tot bronnen of functies beheren, bijvoorbeeld bepalen wie het systeem mag afsluiten.
- Firewallinstellingen beheren, waaronder het toestaan van bepaalde apps en poorten.
De app Instellingen en het Configuratiescherm bieden een deel van deze functionaliteit, maar met het lokaal beveiligingsbeleid stuurt u de beveiligingsinstellingen van uw Windows-pc tot in detail aan.
Waarom zou u het lokaal beveiligingsbeleid resetten in Windows 11 en Windows 10?
Meestal zet u lokale beveiligingsbeleidsregels terug naar de standaardwaarden om systeemproblemen op te lossen of om een eigen wijziging ongedaan te maken. Soms moet u ook wijzigingen terugdraaien die door software van derden zijn aangebracht.
Door het beveiligingsbeleid van Windows terug te zetten naar de standaardwaarden, verwijdert u bovendien alle ongeautoriseerde aanpassingen aan uw beveiligingsconfiguratie. Dat levert een basisniveau voor uw beveiligingsinstellingen op, dat u daarna verder aanscherpt door alleen het beleid opnieuw in te voeren dat u wilt behouden.
Voorwaarden en aandachtspunten
Om het lokaal beveiligingsbeleid te wijzigen of terug te zetten naar de standaardwaarden, moet u zijn aangemeld als Administrator.
Maak daarnaast een volledige back-up van uw Windows-pc, inclusief het besturingssysteem en alle gegevens, zodat u alles kunt herstellen als er een fout wordt gemaakt of iets misgaat. Houd er ook rekening mee dat beleid dat op domeinniveau is gedefinieerd gewoon van kracht blijft als uw pc deel uitmaakt van een Windows-domein.
Zo zet u het lokaal beveiligingsbeleid terug naar de standaardwaarden
Er zijn verschillende methoden om de standaardinstellingen van het beveiligingsbeleid in Windows 11 en Windows 10 te herstellen:
Alle lokale beveiligingsbeleidsregels resetten via de opdrachtprompt en PowerShell
Volg deze stappen om het lokaal beveiligingsbeleid via de opdrachtprompt terug te zetten naar de standaardstaat:
- Open de Windows-opdrachtprompt of PowerShell als Administrator
- Voer de volgende opdracht in:
secedit /configure /cfg %SystemRoot%\inf\defltbase.inf /db defltbase.sdb /verbose
- Start uw device opnieuw op om de wijzigingen toe te passen en de standaardbeveiligingsinstellingen volledig te herstellen
Met de opdracht secedit leest u de standaardinstellingen van het beveiligingsbeleid uit defltbase.inf en past u ze toe. Dat geldt voor alle instellingen, dus ook die voor wachtwoorden, firewall, auditing en gebruikersrechten.
Afzonderlijke wijzigingen terugdraaien via het portaal Lokaal beveiligingsbeleid
Het portaal Lokaal beveiligingsbeleid biedt geen mogelijkheid om alle instellingen in één keer te resetten. De stappen hieronder laten wel zien hoe u afzonderlijke beleidsregels terugzet via het portaal Lokaal beveiligingsbeleid:
- Klik met de rechtermuisknop op de Start-knop en klik op Uitvoeren
- Typ secpol.msc in het dialoogvenster Uitvoeren en druk op OK om het portaal Lokaal beveiligingsbeleid te openen
- Ga in het navigatievenster links door Accountbeleid en Lokaal beleid en draai alle instellingen terug die u hebt gewijzigd
- U moet de documentatie van elke instelling raadplegen om de standaardwaarden te achterhalen, zodat u die kunt herstellen.
Wilt u echt met een schone lei beginnen, gebruik dan de hierboven beschreven methode via de opdrachtprompt of PowerShell om alle instellingen volledig te resetten. Zo voorkomt u dat u iets over het hoofd ziet of twijfelt over een standaardwaarde.
Afzonderlijke lokale beveiligingsbeleidsregels resetten via de Groepsbeleid-editor
Net als het portaal Lokaal beveiligingsbeleid kunt u ook de Editor voor lokaal groepsbeleid gebruiken om afzonderlijke instellingen van het lokaal beveiligingsbeleid te resetten:
- Open de Editor voor lokaal groepsbeleid
- Ga naar de beveiligingsbeleidsregels onder Computerconfiguratie/Beheersjablonen/Alle instellingen en Gebruikersconfiguratie/Beheersjablonen/Alle instellingen
- Zet elke instelling terug naar de standaardwaarde volgens de documentatie
- Start uw pc opnieuw op
Ook hier geldt: deze methode is niet aan te raden als u uw beveiligingsinstellingen betrouwbaar wilt terugzetten naar de standaardstaat.
Wilt u het resetproces volledig in beeld zien? Bekijk dan hier onze videohandleiding: Alle instellingen van het lokaal beveiligingsbeleid terugzetten naar de standaardwaarden.
Hoe controleert u of het lokaal beveiligingsbeleid is gereset?
Om te bevestigen dat de instellingen succesvol zijn gereset, opent u het templatebestand met de standaardbeveiligingsinstellingen, te vinden in %SystemRoot%\inf\defltbase.inf, en vergelijkt u die met de instellingen in het portaal Lokaal beveiligingsbeleid.
U kunt het huidige beveiligingsbeleid ook exporteren naar een tekstbestand in de huidige map, zodat vergelijken eenvoudiger wordt:
secedit /export /cfg ./current_security_policy.inf /quiet
Zodra u zowel uw huidige instellingen van het lokaal beveiligingsbeleid als de standaardwaarden als .inf-bestanden hebt opgeslagen, sorteert u de regels in het bestand op naam en vergelijkt u beide bestanden om de verschillen te vinden. Met programmeertools zoals Visual Studio Code bouwt u dit soort geautomatiseerde PowerShell-workflows een stuk makkelijker.
⚠️ Belangrijk: u moet PowerShell als administrator uitvoeren, anders werkt de opdracht niet.
Beste praktijken voor het beheren van het lokaal beveiligingsbeleid
Er zijn een paar beste praktijken die u kunt volgen bij het beheren van het lokaal beveiligingsbeleid in Windows 11 en Windows 10. Zo verkleint u de kans op fouten en zorgt u voor een sterke beveiligingsconfiguratie:
- Lees de documentatie van elke instelling, zodat u weet wat die doet en wat de gevolgen zijn als u afwijkt van de standaardwaarde
- Maak een back-up voordat u wijzigingen doorvoert, zodat u eenvoudig kunt terugdraaien (vooral als u zichzelf ergens buitensluit)
- Deelt u uw pc met anderen, dwing dan een streng wachtwoordbeleid af zodat ook andere gebruikers sterke wachtwoorden gebruiken. Zo maakt u uw systeem moeilijker te compromitteren
- Schakel auditfuncties in die u waarschuwen bij mislukte aanmeldpogingen en configuratiewijzigingen
- Beperk de rechten van gebruikersaccounts van onervaren gebruikers
U kunt ook beleidstemplates gebruiken om beveiligingsbeleid tussen computers te kopiëren door de huidige configuratie te exporteren. Voer daarvoor de hierboven getoonde opdracht secedit /export uit en herstel dat bestand op een ander systeem met secedit /configure, waarbij u het geëxporteerde bestand opgeeft in plaats van het standaardbestand defltbase.inf van Windows. Let op: importeer en exporteer alleen tussen dezelfde Windows-versie.
Beveiligingsbeleid in Windows beheren op meerdere devices
Configuratiebestanden van het lokaal beveiligingsbeleid handmatig exporteren en importeren tussen Windows-devices is inefficiënt en foutgevoelig. Uiteindelijk leidt het tot inconsistente en onveilige configuraties.
NinjaOne biedt een compleet platform voor endpoint management voor Windows-, macOS-, Android-, iOS- en Linux-devices. Daarmee houdt u volledig overzicht over uw hele infrastructuur, inclusief de configuratie van pc’s met Windows 11 en Windows 10. NinjaOne waarschuwt u bovendien direct bij mogelijke cybersecurityrisico’s, zodat u snel kunt reageren en aanvalsroutes afsluit door uw beveiligingsbeleid bij te werken.
