[{"data":1,"prerenderedAt":342},["ShallowReactive",2],{"doku:de:richtlinien-anhang\u002Frichtlinien-anmeldung-konten":3},{"seite":4,"start":89,"leiste":90,"bereich":288,"zurueck":340,"weiter":341},{"sprache":5,"rel":6,"zu":7,"id":8,"titel":9,"titelHtml":9,"beschreibung":10,"kennzeile":11,"imMenue":12,"html":13,"ueberschriften":14},"de","richtlinien-anhang\u002Frichtlinien-anmeldung-konten","\u002Fdokumentation\u002Frichtlinien-anhang\u002Frichtlinien-anmeldung-konten","referenz-richtlinien-anmeldung-konten","Anmeldung und Konten","Jede Einstellung des Pakets „Anmeldung und Konten“ mit Wirkung, Wert und Empfehlungsquellen.","seit 0.9.8.11",true,"\u003Ch2 id=\"zweck\">Zweck\u003C\u002Fh2>\n\u003Cp>Diese Seite nennt jede Einstellung des Pakets „Anmeldung und Konten“: was sie bewirkt, welchen Wert Setup Foundry setzt und wer sie empfiehlt. Sie wird aus dem Katalog erzeugt und nicht von Hand geändert.\u003C\u002Fp>\n\u003Cp>21 Einstellungen, davon 15 mit spürbarer Nebenwirkung.\u003C\u002Fp>\n\u003Ch2 id=\"hinweise\">Hinweise\u003C\u002Fh2>\n\u003Ch3 id=\"e-3fb670732c\">Admin-Anmeldung auf sicherem Desktop bei Rechteerhöhung für Standardnutzer erzwingen\u003C\u002Fh3>\n\u003Cp>Verlangt von Standardbenutzern bei Rechteerhöhung eine Admin-Anmeldung auf dem sicheren Desktop.\u003C\u002Fp>\n\u003Cul>\n\u003Cli>Technisch:\n\u003Cul>\n\u003Cli>Richtlinie: \u003Ccode>HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\System\\ConsentPromptBehaviorUser = 1 (REG_DWORD)\u003C\u002Fcode>\u003C\u002Fli>\n\u003Cli>Bedeutung des Werts: 1 = Bei Rechteerhöhung wird der Standardbenutzer auf dem sicheren Desktop zur Eingabe von Administrator-Anmeldedaten (Benutzername und Kennwort) aufgefordert (Windows-Standard wäre 3 = Anmeldedaten abfragen, ohne dass explizit der sichere Desktop erzwungen wird).\u003C\u002Fli>\n\u003C\u002Ful>\n\u003C\u002Fli>\n\u003Cli>Schalter in der App: \u003Ca href=\"\u002Fdokumentation\u002Fkonfiguration\u002Frichtlinien#anmeldung-konten\">Richtlinien › Anmeldung und Konten\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Ausführlich: \u003Ca href=\"\u002Fdokumentation\u002Frichtlinien-anhang\u002Fhilfe-3fb670732c75-consentpromptbehavioruser\">Benutzerkontensteuerung: Verhalten der Eingabeaufforderung für erhöhte Rechte für Standardbenutzer\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Quelle: \u003Ca href=\"https:\u002F\u002Flearn.microsoft.com\u002Fde-de\u002Fwindows\u002Fsecurity\u002Fapplication-security\u002Fapplication-control\u002Fuser-account-control\u002Fsettings-and-configuration?tabs=reg\">Microsoft Learn: Einstellungen und Konfiguration der Benutzerkontensteuerung\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Empfohlen von: Setup Foundry\u003C\u002Fli>\n\u003C\u002Ful>\n\u003Ch3 id=\"e-0e087d0dfe\">Administratorkonten bei Rechteerhöhung nicht auflisten\u003C\u002Fh3>\n\u003Cp>Verbirgt bei einer Rechteerhöhung (UAC) die Liste vorhandener Administratorkonten.\u003C\u002Fp>\n\u003Cul>\n\u003Cli>Technisch:\n\u003Cul>\n\u003Cli>Richtlinie: \u003Ccode>HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\CredUI\\EnumerateAdministrators = 0 (REG_DWORD)\u003C\u002Fcode>\u003C\u002Fli>\n\u003Cli>Bedeutung des Werts: 0 = deaktiviert (keine Anzeige von Administratorkonten bei Rechteerhöhung, Standardverhalten); 1 = aktiviert (Administratorkonten werden zur Auswahl angezeigt).\u003C\u002Fli>\n\u003C\u002Ful>\n\u003C\u002Fli>\n\u003Cli>Schalter in der App: \u003Ca href=\"\u002Fdokumentation\u002Fkonfiguration\u002Frichtlinien#anmeldung-konten\">Richtlinien › Anmeldung und Konten\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Ausführlich: \u003Ca href=\"\u002Fdokumentation\u002Frichtlinien-anhang\u002Fhilfe-microsoft-policies-credentialsui-enumerateadministrators\">Bei Ausführung mit erhöhten Rechten Administratorkonten auflisten\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Quelle: \u003Ca href=\"https:\u002F\u002Flearn.microsoft.com\u002Fde-de\u002Fwindows\u002Fclient-management\u002Fmdm\u002Fpolicy-csp-credentialsui#enumerateadministrators\">Microsoft Learn: Richtlinien-CSP – AnmeldeinformationenUI\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Empfohlen von: \u003Ca href=\"https:\u002F\u002Fwww.microsoft.com\u002Fen-us\u002Fdownload\u002Fdetails.aspx?id=55319\">Windows 11 v25H2 Security Baseline\u003C\u002Fa>\u003C\u002Fli>\n\u003C\u002Ful>\n\u003Ch3 id=\"e-33f9605ad5\">Anmeldepasswort nach dem Aufwachen aus dem Standby verlangen (Akkubetrieb)\u003C\u002Fh3>\n\u003Cp>Verlangt im Akkubetrieb ein Anmeldepasswort, wenn der Rechner aus dem Ruhezustand aufwacht.\u003C\u002Fp>\n\u003Cp>\u003Cstrong>Nebenwirkung:\u003C\u002Fstrong> Ein zusätzlicher Anmeldebildschirm nach jedem Zuklappen und Wiederöffnen - üblich und von den meisten Nutzern erwartet.\u003C\u002Fp>\n\u003Cul>\n\u003Cli>Technisch:\n\u003Cul>\n\u003Cli>Richtlinie: \u003Ccode>HKEY_LOCAL_MACHINE\\Software\\Policies\\Microsoft\\Power\\PowerSettings\\0e796bdb-100d-47d6-a2d5-f7d2daa51f51\\DCSettingIndex = 1 (REG_DWORD)\u003C\u002Fcode>\u003C\u002Fli>\n\u003Cli>Bedeutung des Werts: 1 = aktiviert (Passwort wird beim Aufwachen im Akkubetrieb verlangt); 0 = deaktiviert\u003C\u002Fli>\n\u003C\u002Ful>\n\u003C\u002Fli>\n\u003Cli>Schalter in der App: \u003Ca href=\"\u002Fdokumentation\u002Fkonfiguration\u002Frichtlinien#anmeldung-konten\">Richtlinien › Anmeldung und Konten\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Ausführlich: \u003Ca href=\"\u002Fdokumentation\u002Frichtlinien-anhang\u002Fhilfe-microsoft-policies-powermanagement-dcpromptforpasswordonresume-2\">Kennwort anfordern, wenn ein Computer reaktiviert wird (Akkubetrieb)\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Quelle: \u003Ca href=\"https:\u002F\u002Flearn.microsoft.com\u002Fde-de\u002Fwindows\u002Fclient-management\u002Fmdm\u002Fpolicy-csp-power#requirepasswordwhencomputerwakesonbattery\">Microsoft Learn: Richtlinien-CSP – Energie – RequirePasswordWhenComputerWakesOnBattery\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Empfohlen von: \u003Ca href=\"https:\u002F\u002Fwww.microsoft.com\u002Fen-us\u002Fdownload\u002Fdetails.aspx?id=55319\">Windows 11 v25H2 Security Baseline\u003C\u002Fa>\u003C\u002Fli>\n\u003C\u002Ful>\n\u003Ch3 id=\"e-0eafae1131\">Anmeldepasswort nach dem Aufwachen aus dem Standby verlangen (Netzbetrieb)\u003C\u002Fh3>\n\u003Cp>Verlangt im Netzbetrieb ein Anmeldepasswort, wenn der Rechner aus dem Ruhezustand aufwacht.\u003C\u002Fp>\n\u003Cp>\u003Cstrong>Nebenwirkung:\u003C\u002Fstrong> Ein zusätzlicher Anmeldebildschirm nach dem Standby - das ist aber ohnehin die übliche, von den meisten Nutzern erwartete Voreinstellung.\u003C\u002Fp>\n\u003Cul>\n\u003Cli>Technisch:\n\u003Cul>\n\u003Cli>Richtlinie: \u003Ccode>HKEY_LOCAL_MACHINE\\Software\\Policies\\Microsoft\\Power\\PowerSettings\\0e796bdb-100d-47d6-a2d5-f7d2daa51f51\\ACSettingIndex = 1 (REG_DWORD)\u003C\u002Fcode>\u003C\u002Fli>\n\u003Cli>Bedeutung des Werts: 1 = aktiviert (Passwort wird beim Aufwachen im Netzbetrieb verlangt); 0 = deaktiviert (keine Passwortabfrage)\u003C\u002Fli>\n\u003C\u002Ful>\n\u003C\u002Fli>\n\u003Cli>Schalter in der App: \u003Ca href=\"\u002Fdokumentation\u002Fkonfiguration\u002Frichtlinien#anmeldung-konten\">Richtlinien › Anmeldung und Konten\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Ausführlich: \u003Ca href=\"\u002Fdokumentation\u002Frichtlinien-anhang\u002Fhilfe-microsoft-policies-powermanagement-acpromptforpasswordonresume-2\">Kennwort anfordern, wenn ein Computer reaktiviert wird (Netzbetrieb)\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Quelle: \u003Ca href=\"https:\u002F\u002Flearn.microsoft.com\u002Fde-de\u002Fwindows\u002Fclient-management\u002Fmdm\u002Fpolicy-csp-power#requirepasswordwhencomputerwakespluggedin\">Microsoft Learn: Power Policy CSP – RequirePasswordWhenComputerWakesPluggedIn\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Empfohlen von: \u003Ca href=\"https:\u002F\u002Fwww.microsoft.com\u002Fen-us\u002Fdownload\u002Fdetails.aspx?id=55319\">Windows 11 v25H2 Security Baseline\u003C\u002Fa>\u003C\u002Fli>\n\u003C\u002Ful>\n\u003Ch3 id=\"e-3cb61b3277\">Nach Neustart nicht automatisch wieder anmelden\u003C\u002Fh3>\n\u003Cp>Verhindert, dass Windows nach einem automatischen Neustart den zuletzt angemeldeten Benutzer von selbst wieder anmeldet und den Bildschirm entsperrt.\u003C\u002Fp>\n\u003Cp>\u003Cstrong>Nebenwirkung:\u003C\u002Fstrong> Nach einem Update-Neustart muss der Nutzer Kennwort oder PIN erneut eingeben, statt dass die Sitzung automatisch weiterläuft.\u003C\u002Fp>\n\u003Cul>\n\u003Cli>Technisch:\n\u003Cul>\n\u003Cli>Richtlinie: \u003Ccode>HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\System\\DisableAutomaticRestartSignOn = 1 (REG_DWORD)\u003C\u002Fcode>\u003C\u002Fli>\n\u003Cli>Bedeutung des Werts: 1 = automatische Anmeldung\u002FEntsperrung nach Neustart deaktiviert (Richtlinie aktiv, sicherer); 0 bzw. nicht gesetzt = Windows darf den zuletzt angemeldeten Benutzer nach einem Systemneustart automatisch wieder anmelden und den Bildschirm entsperren.\u003C\u002Fli>\n\u003C\u002Ful>\n\u003C\u002Fli>\n\u003Cli>Schalter in der App: \u003Ca href=\"\u002Fdokumentation\u002Fkonfiguration\u002Frichtlinien#anmeldung-konten\">Richtlinien › Anmeldung und Konten\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Ausführlich: \u003Ca href=\"\u002Fdokumentation\u002Frichtlinien-anhang\u002Fhilfe-microsoft-policies-windowslogon2-automaticrestartsignon\">Nach Neustart automatisch anmelden und letzten interaktiven Benutzer sperren\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Quelle: \u003Ca href=\"https:\u002F\u002Flearn.microsoft.com\u002Fde-de\u002Fwindows\u002Fclient-management\u002Fmdm\u002Fpolicy-csp-windowslogon\">Microsoft Learn: WindowsLogon-Richtlinien-CSP\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Empfohlen von: \u003Ca href=\"https:\u002F\u002Fwww.microsoft.com\u002Fen-us\u002Fdownload\u002Fdetails.aspx?id=55319\">Windows 11 v25H2 Security Baseline\u003C\u002Fa>\u003C\u002Fli>\n\u003C\u002Ful>\n\u003Ch3 id=\"e-38e718b4b5\">Nachladen fremder Sicherheitsmodule in den Anmeldedienst LSASS verbieten\u003C\u002Fh3>\n\u003Cp>Verbietet das Nachladen zusätzlicher, nicht von Windows mitgelieferter Sicherheitsmodule (SSPs\u002FAPs) in den LSASS-Prozess.\u003C\u002Fp>\n\u003Cp>\u003Cstrong>Nebenwirkung:\u003C\u002Fstrong> Nur in seltenen Fällen betroffen: manche VPN- oder Single-Sign-On-Lösungen bringen ein eigenes Sicherheitsmodul mit, das dann nicht mehr lädt.\u003C\u002Fp>\n\u003Cul>\n\u003Cli>Technisch:\n\u003Cul>\n\u003Cli>Richtlinie: \u003Ccode>HKEY_LOCAL_MACHINE\\Software\\Policies\\Microsoft\\Windows\\System\\AllowCustomSSPsAPs = 0 (REG_DWORD)\u003C\u002Fcode>\u003C\u002Fli>\n\u003Cli>Bedeutung des Werts: 0 = zusätzliche\u002FCustom-SSPs und -APs dürfen nicht in LSASS geladen werden; 1 = erlaubt (Standard).\u003C\u002Fli>\n\u003C\u002Ful>\n\u003C\u002Fli>\n\u003Cli>Schalter in der App: \u003Ca href=\"\u002Fdokumentation\u002Fkonfiguration\u002Frichtlinien#anmeldung-konten\">Richtlinien › Anmeldung und Konten\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Ausführlich: \u003Ca href=\"\u002Fdokumentation\u002Frichtlinien-anhang\u002Fhilfe-microsoft-policies-localsecurityauthority-allowcustomsspsaps\">Laden benutzerdefinierter SSPs und APs in LSASS zulassen\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Quelle: \u003Ca href=\"https:\u002F\u002Flearn.microsoft.com\u002Fde-de\u002Fwindows\u002Fclient-management\u002Fmdm\u002Fpolicy-csp-lsa\">Microsoft Learn: Richtlinien-CSP – LocalSecurityAuthority\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Empfohlen von: \u003Ca href=\"https:\u002F\u002Fwww.microsoft.com\u002Fen-us\u002Fdownload\u002Fdetails.aspx?id=55319\">Windows 11 v25H2 Security Baseline\u003C\u002Fa>\u003C\u002Fli>\n\u003C\u002Ful>\n\u003Ch3 id=\"e-ae980e2143\">Nur anonyme Anmeldung bei Websites der eingeschraenkten Zone erzwingen\u003C\u002Fh3>\n\u003Cp>Legt fest, dass sich Internet Explorer bei Websites der Zone „Eingeschränkte Sites“ nur anonym anmeldet, nie mit echten Zugangsdaten.\u003C\u002Fp>\n\u003Cp>\u003Cstrong>Nebenwirkung:\u003C\u002Fstrong> Eine integrierte Windows-Authentifizierung gegenüber als eingeschränkt eingestuften Websites schlägt fehl, weil kein Konto übergeben wird; im normalen Alltag betrifft das praktisch keine legitime Seite.\u003C\u002Fp>\n\u003Cul>\n\u003Cli>Technisch:\n\u003Cul>\n\u003Cli>Richtlinie: \u003Ccode>HKEY_LOCAL_MACHINE\\Software\\Policies\\Microsoft\\Windows\\CurrentVersion\\Internet Settings\\Zones\\4\\1A00 = 196608 (REG_DWORD)\u003C\u002Fcode>\u003C\u002Fli>\n\u003Cli>Bedeutung des Werts: 196608 (0x30000) = anonyme Anmeldung erzwungen (keine automatische Übermittlung von Zugangsdaten, keine Abfrage). Andere mögliche Werte: 0 = automatische Anmeldung mit aktuellem Konto, 65536 = Abfrage von Benutzername\u002FKennwort, 131072 = automatische Anmeldung nur in der Intranet-Zone.\u003C\u002Fli>\n\u003C\u002Ful>\n\u003C\u002Fli>\n\u003Cli>Schalter in der App: \u003Ca href=\"\u002Fdokumentation\u002Fkonfiguration\u002Frichtlinien#anmeldung-konten\">Richtlinien › Anmeldung und Konten\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Ausführlich: \u003Ca href=\"\u002Fdokumentation\u002Frichtlinien-anhang\u002Fhilfe-microsoft-policies-internetexplorer-iz-policylogon-7\">Anmeldungsoptionen\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Quelle: \u003Ca href=\"https:\u002F\u002Flearn.microsoft.com\u002Fde-de\u002Fwindows\u002Fclient-management\u002Fmdm\u002Fpolicy-csp-internetexplorer#restrictedsiteszonelogonoptions\">Microsoft Learn: InternetExplorer-Richtlinien-CSP – RestrictedSitesZoneLogonOptions\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Empfohlen von: \u003Ca href=\"https:\u002F\u002Fwww.microsoft.com\u002Fen-us\u002Fdownload\u002Fdetails.aspx?id=55319\">Windows 11 v25H2 Security Baseline\u003C\u002Fa>\u003C\u002Fli>\n\u003C\u002Ful>\n\u003Ch3 id=\"e-ee06a4a751\">Vollen Admin-Zugriff lokaler Konten übers Netzwerk einschränken\u003C\u002Fh3>\n\u003Cp>Sorgt dafür, dass lokale Administratorkonten bei einer Anmeldung übers Netz nur ein eingeschränktes Zugriffstoken statt voller Administratorrechte bekommen.\u003C\u002Fp>\n\u003Cp>\u003Cstrong>Nebenwirkung:\u003C\u002Fstrong> Im normalen Arbeitsalltag keine; betroffen ist ausschließlich administrativer Fernzugriff über lokale Konten, den Privatnutzer praktisch nie verwenden.\u003C\u002Fp>\n\u003Cul>\n\u003Cli>Technisch:\n\u003Cul>\n\u003Cli>Richtlinie: \u003Ccode>HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\System\\LocalAccountTokenFilterPolicy = 0 (REG_DWORD)\u003C\u002Fcode>\u003C\u002Fli>\n\u003Cli>Bedeutung des Werts: 0 = UAC-Netzwerkeinschraenkung aktiv (sicherer, Standardverhalten): lokale Adminkonten erhalten übers Netz kein volles Administratortoken; 1 = Einschränkung aufgehoben, lokale Adminkonten bekommen auch übers Netz volle Administratorrechte.\u003C\u002Fli>\n\u003C\u002Ful>\n\u003C\u002Fli>\n\u003Cli>Schalter in der App: \u003Ca href=\"\u002Fdokumentation\u002Fkonfiguration\u002Frichtlinien#anmeldung-konten\">Richtlinien › Anmeldung und Konten\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Ausführlich: \u003Ca href=\"\u002Fdokumentation\u002Frichtlinien-anhang\u002Fhilfe-ee06a4a751c5-localaccounttokenfilterpolicy\">UAC-Einschränkungen auf lokale Konten bei Netzwerkanmeldungen anwenden\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Quelle: \u003Ca href=\"https:\u002F\u002Flearn.microsoft.com\u002Fde-de\u002Ftroubleshoot\u002Fwindows-server\u002Fwindows-security\u002Fuser-account-control-and-remote-restriction\">Microsoft Learn: Benutzerkontensteuerung und Remoteeinschränkungen\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Empfohlen von: \u003Ca href=\"https:\u002F\u002Fwww.microsoft.com\u002Fen-us\u002Fdownload\u002Fdetails.aspx?id=55319\">Windows 11 v25H2 Security Baseline\u003C\u002Fa> · \u003Ca href=\"https:\u002F\u002Fwww.cyber.gov.au\u002Fsites\u002Fdefault\u002Ffiles\u002F2025-09\u002Fhardening_microsoft_windows_11_workstations_september_2025.pdf\">ACSC\u002FASD: Hardening Microsoft Windows 11 workstations\u003C\u002Fa> · \u003Ca href=\"https:\u002F\u002Fwww.bsi.bund.de\u002FSharedDocs\u002FDownloads\u002FDE\u002FBSI\u002FCyber-Sicherheit\u002FSiSyPHus\u002FWorkpackage11_Empfehlung_Haertung.pdf?__blob=publicationFile&v=2\">BSI SiSyPHuS Win10, Arbeitspaket 11: Konfigurationsempfehlungen zur Härtung von Windows 10 mit Bordmitteln, Abschnitt 5.5.1.4.1\u003C\u002Fa>\u003C\u002Fli>\n\u003C\u002Ful>\n\u003Ch3 id=\"e-8e22aefee0\">Anonyme Aufzaehlung von SAM-Konten verbieten\u003C\u002Fh3>\n\u003Cp>Der \u003Ccode>DWORD\u003C\u002Fcode>-Wert \u003Ccode>1\u003C\u002Fcode> entspricht dem aktivierten Zustand dieser Windows-Sicherheitsoption. Er verhindert, dass nicht authentifizierte Verbindungen die vom Security Accounts Manager (SAM) verwalteten Kontonamen anonym aufzählen.\u003C\u002Fp>\n\u003Cul>\n\u003Cli>Technisch:\n\u003Cul>\n\u003Cli>Registry-Wert: \u003Ccode>HKEY_LOCAL_MACHINE\\System\\CurrentControlSet\\Control\\Lsa\\RestrictAnonymousSAM = 1 (REG_DWORD)\u003C\u002Fcode>\u003C\u002Fli>\n\u003C\u002Ful>\n\u003C\u002Fli>\n\u003Cli>Schalter in der App: \u003Ca href=\"\u002Fdokumentation\u002Fkonfiguration\u002Frichtlinien#anmeldung-konten\">Richtlinien › Anmeldung und Konten\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Ausführlich: \u003Ca href=\"\u002Fdokumentation\u002Frichtlinien-anhang\u002Fhilfe-8e22aefee0c5-restrictanonymoussam\">Netzwerkzugriff: Anonyme Aufzählung von SAM-Konten nicht erlauben\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Quelle: \u003Ca href=\"https:\u002F\u002Flearn.microsoft.com\u002Fde-de\u002Fwindows\u002Fclient-management\u002Fmdm\u002Fpolicy-csp-localpoliciessecurityoptions#networkaccess_donotallowanonymousenumerationofsamaccounts\">Microsoft Learn: Richtlinien-CSP – LocalPoliciesSecurityOptions\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Empfohlen von: \u003Ca href=\"https:\u002F\u002Fwww.microsoft.com\u002Fen-us\u002Fdownload\u002Fdetails.aspx?id=55319\">Windows 11 v25H2 Security Baseline\u003C\u002Fa>\u003C\u002Fli>\n\u003C\u002Ful>\n\u003Ch3 id=\"e-db7219dcca\">Benutzerkontensteuerung: Admin-Genehmigungsmodus für das eingebaute Administratorkonto\u003C\u002Fh3>\n\u003Cp>Der DWORD-Wert \u003Ccode>FilterAdministratorToken\u003C\u002Fcode> mit den Wertdaten \u003Ccode>1\u003C\u002Fcode> versetzt ausschließlich das integrierte Administratorkonto – das lokale Konto mit der relativen ID (RID) \u003Ccode>500\u003C\u002Fcode> – in den Administratorgenehmigungsmodus der Benutzerkontensteuerung (UAC).\u003C\u002Fp>\n\u003Cp>\u003Cstrong>Nebenwirkung:\u003C\u002Fstrong> Wer das eingebaute Administratorkonto aktiv nutzt, bekommt zusätzliche Bestätigungsdialoge.\u003C\u002Fp>\n\u003Cul>\n\u003Cli>Technisch:\n\u003Cul>\n\u003Cli>Richtlinie: \u003Ccode>HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Policies\\System\\FilterAdministratorToken = 1 (REG_DWORD)\u003C\u002Fcode>\u003C\u002Fli>\n\u003C\u002Ful>\n\u003C\u002Fli>\n\u003Cli>Schalter in der App: \u003Ca href=\"\u002Fdokumentation\u002Fkonfiguration\u002Frichtlinien#anmeldung-konten\">Richtlinien › Anmeldung und Konten\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Ausführlich: \u003Ca href=\"\u002Fdokumentation\u002Frichtlinien-anhang\u002Fhilfe-db7219dcca55-filteradministratortoken\">Benutzerkontensteuerung: Administratorgenehmigungsmodus für das integrierte Administratorkonto\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Quelle: \u003Ca href=\"https:\u002F\u002Flearn.microsoft.com\u002Fde-de\u002Fwindows\u002Fsecurity\u002Fthreat-protection\u002Fsecurity-policy-settings\u002Fuser-account-control-admin-approval-mode-for-the-built-in-administrator-account\">Microsoft Learn: Benutzerkontensteuerung – Administratorgenehmigungsmodus für das integrierte Administratorkonto\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Empfohlen von: \u003Ca href=\"https:\u002F\u002Fwww.microsoft.com\u002Fen-us\u002Fdownload\u002Fdetails.aspx?id=55319\">Windows 11 v25H2 Security Baseline\u003C\u002Fa>\u003C\u002Fli>\n\u003C\u002Ful>\n\u003Ch3 id=\"e-20ebafd2eb\">LSASS als geschuetzten Prozess konfigurieren (RunAsPPL)\u003C\u002Fh3>\n\u003Cp>Lässt den zentralen Anmeldedienst LSASS als geschützten Prozess mit UEFI-Sperre laufen und erschwert so das Auslesen von Zugangsdaten.\u003C\u002Fp>\n\u003Cp>\u003Cstrong>Nebenwirkung:\u003C\u002Fstrong> Sehr alte, nicht Microsoft-signierte Sicherheits- oder Smartcard-Treiber können nach der Aktivierung nicht mehr laden; wegen der UEFI-Verankerung lässt sich der Schutz danach nur über einen gezielten Wiederherstellungsschritt wieder abschalten, nicht per einfachem Registry-Rückbau.\u003C\u002Fp>\n\u003Cul>\n\u003Cli>Technisch:\n\u003Cul>\n\u003Cli>Registry-Wert: \u003Ccode>HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\Lsa\\RunAsPPL = 1 (REG_DWORD)\u003C\u002Fcode>\u003C\u002Fli>\n\u003Cli>Bedeutung des Werts: 1 = LSA-Schutz aktiviert und zusätzlich als UEFI-Variable in der Firmware verankert (UEFI Lock); 2 aktiviert denselben Schutz ohne UEFI-Verankerung, 0 oder das Löschen des Werts deaktiviert den Schutz.\u003C\u002Fli>\n\u003C\u002Ful>\n\u003C\u002Fli>\n\u003Cli>Schalter in der App: \u003Ca href=\"\u002Fdokumentation\u002Fkonfiguration\u002Frichtlinien#anmeldung-konten\">Richtlinien › Anmeldung und Konten\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Ausführlich: \u003Ca href=\"\u002Fdokumentation\u002Frichtlinien-anhang\u002Fhilfe-microsoft-policies-localsecurityauthority-configurelsaprotectedprocess\">Konfiguriert LSASS für die Ausführung als geschützter Prozess\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Quelle: \u003Ca href=\"https:\u002F\u002Flearn.microsoft.com\u002Fde-de\u002Fwindows-server\u002Fsecurity\u002Fcredentials-protection-and-management\u002Fconfiguring-additional-lsa-protection\">Microsoft Learn: Konfigurieren des hinzugefügten LSA-Schutzes\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Empfohlen von: \u003Ca href=\"https:\u002F\u002Fwww.microsoft.com\u002Fen-us\u002Fdownload\u002Fdetails.aspx?id=55319\">Windows 11 v25H2 Security Baseline\u003C\u002Fa> · \u003Ca href=\"https:\u002F\u002Fwww.cyber.gov.au\u002Fsites\u002Fdefault\u002Ffiles\u002F2025-09\u002Fhardening_microsoft_windows_11_workstations_september_2025.pdf\">ACSC\u002FASD: Hardening Microsoft Windows 11 workstations\u003C\u002Fa>\u003C\u002Fli>\n\u003C\u002Ful>\n\u003Ch3 id=\"e-bf2c4b38be\">Lokale Konten mit leerem Kennwort vom Netzwerkzugriff ausschliessen\u003C\u002Fh3>\n\u003Cp>Der Wert \u003Ccode>LimitBlankPasswordUse\u003C\u002Fcode> ist ein \u003Ccode>DWORD\u003C\u002Fcode>-Wert und bildet die gleichnamige Windows-Sicherheitsoption ab. Der Wert \u003Ccode>1\u003C\u002Fcode> aktiviert die Beschränkung: Ein lokales Benutzerkonto mit leerem Kennwort kann nicht für Netzwerk- oder interaktive Remoteanmeldungen verwendet werden. Davon betroffen sind beispielsweise Anmeldungen über Remotedesktopdienste sowie Netzwerkdienste, die Windows-Anmeldeinformationen verwenden.\u003C\u002Fp>\n\u003Cp>\u003Cstrong>Nebenwirkung:\u003C\u002Fstrong> Ist unter Windows 11 bereits Standard; betrifft nur die seltenen Fälle eines absichtlich kennwortlosen lokalen Kontos.\u003C\u002Fp>\n\u003Cul>\n\u003Cli>Technisch:\n\u003Cul>\n\u003Cli>Registry-Wert: \u003Ccode>HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\Lsa\\LimitBlankPasswordUse = 1 (REG_DWORD)\u003C\u002Fcode>\u003C\u002Fli>\n\u003C\u002Ful>\n\u003C\u002Fli>\n\u003Cli>Schalter in der App: \u003Ca href=\"\u002Fdokumentation\u002Fkonfiguration\u002Frichtlinien#anmeldung-konten\">Richtlinien › Anmeldung und Konten\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Ausführlich: \u003Ca href=\"\u002Fdokumentation\u002Frichtlinien-anhang\u002Fhilfe-bf2c4b38bef5-limitblankpassworduse\">Konten: Lokale Kontenverwendung von leeren Kennwörtern auf Konsolenanmeldung beschränken\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Quelle: \u003Ca href=\"https:\u002F\u002Flearn.microsoft.com\u002Fde-de\u002Fintune\u002Fdevice-security\u002Fsecurity-baselines\u002Fref-windows-mdm-settings\">Microsoft Learn: Standardkonfiguration der Windows-Sicherheitsbaselines von Intune\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Empfohlen von: \u003Ca href=\"https:\u002F\u002Fwww.microsoft.com\u002Fen-us\u002Fdownload\u002Fdetails.aspx?id=55319\">Windows 11 v25H2 Security Baseline\u003C\u002Fa>\u003C\u002Fli>\n\u003C\u002Ful>\n\u003Ch3 id=\"e-4516c8bb07\">Speicherung des LAN-Manager-Passwort-Hashs verhindern\u003C\u002Fh3>\n\u003Cp>Der DWORD-Wert \u003Ccode>NoLMHash\u003C\u002Fcode> mit den Wertdaten \u003Ccode>1\u003C\u002Fcode> verhindert, dass Windows beim nächsten Festlegen oder Ändern eines Kontokennworts einen LAN-Manager-Kennworthash (LM-Hash) erzeugt und speichert. Für lokale Konten betrifft dies die lokale SAM-Datenbank; auf Domänencontrollern betrifft es die in Active Directory gespeicherten Kennwortdaten der Domänenkonten.\u003C\u002Fp>\n\u003Cul>\n\u003Cli>Technisch:\n\u003Cul>\n\u003Cli>Registry-Wert: \u003Ccode>HKEY_LOCAL_MACHINE\\System\\CurrentControlSet\\Control\\Lsa\\NoLMHash = 1 (REG_DWORD)\u003C\u002Fcode>\u003C\u002Fli>\n\u003C\u002Ful>\n\u003C\u002Fli>\n\u003Cli>Schalter in der App: \u003Ca href=\"\u002Fdokumentation\u002Fkonfiguration\u002Frichtlinien#anmeldung-konten\">Richtlinien › Anmeldung und Konten\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Ausführlich: \u003Ca href=\"\u002Fdokumentation\u002Frichtlinien-anhang\u002Fhilfe-4516c8bb0735-nolmhash\">Netzwerksicherheit: LAN Manager-Hashwert bei der nächsten Kennwortänderung nicht speichern\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Quelle: \u003Ca href=\"https:\u002F\u002Flearn.microsoft.com\u002Fde-de\u002Ftroubleshoot\u002Fwindows-server\u002Fwindows-security\u002Fprevent-windows-store-lm-hash-password\">Microsoft Learn: Verhindern, dass Windows einen LAN-Manager-Hash des Kennworts in Active Directory und lokalen SAM-Datenbanken speichert\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Empfohlen von: Setup Foundry\u003C\u002Fli>\n\u003C\u002Ful>\n\u003Ch3 id=\"e-10df93f6d7\">UAC-Bestätigungsdialog für Administratoren auf „Ja\u002FNein“ umstellen\u003C\u002Fh3>\n\u003Cp>Der DWORD-Wert \u003Ccode>2\u003C\u002Fcode> legt fest, dass Administratoren im Administratorbestätigungsmodus einer angeforderten Rechteerweiterung auf dem sicheren Desktop ausdrücklich zustimmen oder sie ablehnen müssen. Die UAC-Eingabeaufforderung stellt dafür die Auswahl „Ja“ oder „Nein“ bereit; Administratoranmeldeinformationen werden nicht verlangt.\u003C\u002Fp>\n\u003Cp>\u003Cstrong>Nebenwirkung:\u003C\u002Fstrong> Ein zusätzlicher Klick bei Installationen und Systemänderungen.\u003C\u002Fp>\n\u003Cul>\n\u003Cli>Technisch:\n\u003Cul>\n\u003Cli>Richtlinie: \u003Ccode>HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Policies\\System\\ConsentPromptBehaviorAdmin = 2 (REG_DWORD)\u003C\u002Fcode>\u003C\u002Fli>\n\u003C\u002Ful>\n\u003C\u002Fli>\n\u003Cli>Schalter in der App: \u003Ca href=\"\u002Fdokumentation\u002Fkonfiguration\u002Frichtlinien#anmeldung-konten\">Richtlinien › Anmeldung und Konten\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Ausführlich: \u003Ca href=\"\u002Fdokumentation\u002Frichtlinien-anhang\u002Fhilfe-10df93f6d763-consentpromptbehavioradmin\">Benutzerkontensteuerung: Verhalten der Eingabeaufforderung für erhöhte Rechte für Administratoren im Administratorbestätigungsmodus\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Quelle: \u003Ca href=\"https:\u002F\u002Flearn.microsoft.com\u002Fde-de\u002Fwindows\u002Fsecurity\u002Fapplication-security\u002Fapplication-control\u002Fuser-account-control\u002Fsettings-and-configuration?tabs=reg\">Microsoft Learn: Einstellungen und Konfiguration der Benutzerkontensteuerung\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Empfohlen von: \u003Ca href=\"https:\u002F\u002Fwww.microsoft.com\u002Fen-us\u002Fdownload\u002Fdetails.aspx?id=55319\">Windows 11 v25H2 Security Baseline\u003C\u002Fa>\u003C\u002Fli>\n\u003C\u002Ful>\n\u003Ch3 id=\"e-e335ead182\">UAC: Alle Administratoren im Admin-Genehmigungsmodus laufen lassen\u003C\u002Fh3>\n\u003Cp>Der DWORD-Wert \u003Ccode>EnableLUA\u003C\u002Fcode> steuert, ob die Benutzerkontensteuerung (User Account Control, UAC) und der Administratorbestätigungsmodus systemweit aktiv sind. Der Wert \u003Ccode>1\u003C\u002Fcode> aktiviert diese Funktionen.\u003C\u002Fp>\n\u003Cp>\u003Cstrong>Nebenwirkung:\u003C\u002Fstrong> Ohne UAC-Bestaetigungen würde jede Software automatisch mit vollen Rechten laufen; mit aktivem UAC erscheinen bei Installationen\u002FSystemänderungen die bekannten Bestätigungsdialoge.\u003C\u002Fp>\n\u003Cul>\n\u003Cli>Technisch:\n\u003Cul>\n\u003Cli>Richtlinie: \u003Ccode>HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Policies\\System\\EnableLUA = 1 (REG_DWORD)\u003C\u002Fcode>\u003C\u002Fli>\n\u003C\u002Ful>\n\u003C\u002Fli>\n\u003Cli>Schalter in der App: \u003Ca href=\"\u002Fdokumentation\u002Fkonfiguration\u002Frichtlinien#anmeldung-konten\">Richtlinien › Anmeldung und Konten\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Ausführlich: \u003Ca href=\"\u002Fdokumentation\u002Frichtlinien-anhang\u002Fhilfe-e335ead18212-enablelua\">Benutzerkontensteuerung: Alle Administratoren im Administratorbestätigungsmodus ausführen\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Quelle: \u003Ca href=\"https:\u002F\u002Flearn.microsoft.com\u002Fde-de\u002Fwindows\u002Fsecurity\u002Fapplication-security\u002Fapplication-control\u002Fuser-account-control\u002Fsettings-and-configuration\">Microsoft Learn: Einstellungen und Konfiguration der Benutzerkontensteuerung\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Empfohlen von: \u003Ca href=\"https:\u002F\u002Fwww.microsoft.com\u002Fen-us\u002Fdownload\u002Fdetails.aspx?id=55319\">Windows 11 v25H2 Security Baseline\u003C\u002Fa>\u003C\u002Fli>\n\u003C\u002Ful>\n\u003Ch3 id=\"e-a2f897a1cc\">WDigest-Authentifizierung deaktivieren\u003C\u002Fh3>\n\u003Cp>Der DWORD-Wert \u003Ccode>UseLogonCredential\u003C\u002Fcode> steuert, ob WDigest Anmeldeinformationen im Arbeitsspeicher speichert. Beim Wert \u003Ccode>0\u003C\u002Fcode> speichert WDigest keine Kennwortanmeldeinformationen für die spätere Wiederverwendung im Arbeitsspeicher.\u003C\u002Fp>\n\u003Cul>\n\u003Cli>Technisch:\n\u003Cul>\n\u003Cli>Registry-Wert: \u003Ccode>HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\SecurityProviders\\WDigest\\UseLogonCredential = 0 (REG_DWORD)\u003C\u002Fcode>\u003C\u002Fli>\n\u003C\u002Ful>\n\u003C\u002Fli>\n\u003Cli>Schalter in der App: \u003Ca href=\"\u002Fdokumentation\u002Fkonfiguration\u002Frichtlinien#anmeldung-konten\">Richtlinien › Anmeldung und Konten\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Ausführlich: \u003Ca href=\"\u002Fdokumentation\u002Frichtlinien-anhang\u002Fhilfe-a2f897a1ccee-uselogoncredential\">WDigest-Authentifizierung\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Quelle: \u003Ca href=\"https:\u002F\u002Flearn.microsoft.com\u002Fde-de\u002Fazure\u002Fgovernance\u002Fpolicy\u002Fsamples\u002Fguest-configuration-baseline-windows\">Microsoft Learn: Windows-Sicherheitsbaseline\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Empfohlen von: \u003Ca href=\"https:\u002F\u002Fwww.cyber.gov.au\u002Fsites\u002Fdefault\u002Ffiles\u002F2025-09\u002Fhardening_microsoft_windows_11_workstations_september_2025.pdf\">ACSC\u002FASD: Hardening Microsoft Windows 11 workstations\u003C\u002Fa>\u003C\u002Fli>\n\u003C\u002Ful>\n\u003Ch3 id=\"e-7434143582\">Kamera-Schnellzugriff vom Sperrbildschirm entfernen\u003C\u002Fh3>\n\u003Cp>Entfernt die Kamera-Schnellzugriffstaste vom Sperrbildschirm.\u003C\u002Fp>\n\u003Cp>\u003Cstrong>Nebenwirkung:\u003C\u002Fstrong> Wer den schnellen Kamerazugriff ohne Anmeldung gewohnt war, verliert diesen Weg; die Kamera-App bleibt nach dem Einloggen normal nutzbar.\u003C\u002Fp>\n\u003Cul>\n\u003Cli>Technisch:\n\u003Cul>\n\u003Cli>Richtlinie: \u003Ccode>HKEY_LOCAL_MACHINE\\Software\\Policies\\Microsoft\\Windows\\Personalization\\NoLockScreenCamera = 1 (REG_DWORD)\u003C\u002Fcode>\u003C\u002Fli>\n\u003Cli>Bedeutung des Werts: 1 = Kamerazugriff vom Sperrbildschirm entfernt; 0 = Kamerazugriff vom Sperrbildschirm verfügbar (Standard).\u003C\u002Fli>\n\u003C\u002Ful>\n\u003C\u002Fli>\n\u003Cli>Schalter in der App: \u003Ca href=\"\u002Fdokumentation\u002Fkonfiguration\u002Frichtlinien#anmeldung-konten\">Richtlinien › Anmeldung und Konten\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Ausführlich: \u003Ca href=\"\u002Fdokumentation\u002Frichtlinien-anhang\u002Fhilfe-microsoft-policies-controlpaneldisplay-cpl-personalization-nolockscreencamera\">Aktivieren der Sperrbildschirmkamera verhindern\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Quelle: \u003Ca href=\"https:\u002F\u002Flearn.microsoft.com\u002Fde-de\u002Fwindows\u002Fclient-management\u002Fmdm\u002Fpolicy-csp-devicelock#preventenablinglockscreencamera\">Microsoft Learn: Richtlinien-CSP – DeviceLock – PreventEnablingLockScreenCamera\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Empfohlen von: \u003Ca href=\"https:\u002F\u002Fwww.microsoft.com\u002Fen-us\u002Fdownload\u002Fdetails.aspx?id=55319\">Windows 11 v25H2 Security Baseline\u003C\u002Fa>\u003C\u002Fli>\n\u003C\u002Ful>\n\u003Ch3 id=\"e-df6d8b99a0\">Tinte-Arbeitsbereich zulassen, aber vor Anmeldung sperren\u003C\u002Fh3>\n\u003Cp>Aktiviert den Tintenarbeitsbereich, sperrt ihn aber vor der Anmeldung am Gerät.\u003C\u002Fp>\n\u003Cul>\n\u003Cli>Technisch:\n\u003Cul>\n\u003Cli>Richtlinie: \u003Ccode>HKEY_LOCAL_MACHINE\\Software\\Policies\\Microsoft\\WindowsInkWorkspace\\AllowWindowsInkWorkspace = 1 (REG_DWORD)\u003C\u002Fcode>\u003C\u002Fli>\n\u003Cli>Bedeutung des Werts: 1 = Tintenarbeitsbereich aktiviert, aber oberhalb des Sperrbildschirms (vor der Anmeldung) nicht nutzbar; 0 würde die Funktion komplett deaktivieren, 2 (Windows-Standard) würde sie auch über dem Sperrbildschirm erlauben.\u003C\u002Fli>\n\u003C\u002Ful>\n\u003C\u002Fli>\n\u003Cli>Schalter in der App: \u003Ca href=\"\u002Fdokumentation\u002Fkonfiguration\u002Frichtlinien#anmeldung-konten\">Richtlinien › Anmeldung und Konten\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Ausführlich: \u003Ca href=\"\u002Fdokumentation\u002Frichtlinien-anhang\u002Fhilfe-microsoft-policies-windowsinkworkspace-allowwindowsinkworkspace\">Windows Ink-Arbeitsbereich zulassen\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Quelle: \u003Ca href=\"https:\u002F\u002Flearn.microsoft.com\u002Fde-de\u002Fwindows\u002Fclient-management\u002Fmdm\u002Fpolicy-csp-windowsinkworkspace#allowwindowsinkworkspace\">Microsoft Learn: Richtlinien-CSP – WindowsInkWorkspace\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Empfohlen von: \u003Ca href=\"https:\u002F\u002Fwww.microsoft.com\u002Fen-us\u002Fdownload\u002Fdetails.aspx?id=55319\">Windows 11 v25H2 Security Baseline\u003C\u002Fa>\u003C\u002Fli>\n\u003C\u002Ful>\n\u003Ch3 id=\"e-a4b9a7c0fb\">Automatisches Nachschieben von Store-Apps per Push-to-Install unterbinden\u003C\u002Fh3>\n\u003Cp>Diese computerweit geltende Richtlinie steuert, ob Benutzer Apps über den Microsoft Store auf anderen Geräten oder im Web zur Installation an dieses Gerät senden können.\u003C\u002Fp>\n\u003Cp>\u003Cstrong>Nebenwirkung:\u003C\u002Fstrong> Die „Auf diesem Gerät installieren“-Funktion aus dem Microsoft Store auf anderen Geräten funktioniert dann nicht mehr.\u003C\u002Fp>\n\u003Cul>\n\u003Cli>Technisch:\n\u003Cul>\n\u003Cli>Richtlinie: \u003Ccode>HKEY_LOCAL_MACHINE\\SOFTWARE\\Policies\\Microsoft\\PushToInstall\\DisablePushToInstall = 1 (REG_DWORD)\u003C\u002Fcode>\u003C\u002Fli>\n\u003C\u002Ful>\n\u003C\u002Fli>\n\u003Cli>Schalter in der App: \u003Ca href=\"\u002Fdokumentation\u002Fkonfiguration\u002Frichtlinien#anmeldung-konten\">Richtlinien › Anmeldung und Konten\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Ausführlich: \u003Ca href=\"\u002Fdokumentation\u002Frichtlinien-anhang\u002Fhilfe-microsoft-policies-pushtoinstall-disablepushtoinstall\">Pushinstallationsdienst deaktivieren\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Quelle: \u003Ca href=\"https:\u002F\u002Flearn.microsoft.com\u002Fde-de\u002Fwindows\u002Fclient-management\u002Fmdm\u002Fpolicy-csp-admx-pushtoinstall\">Microsoft Learn: Richtlinien-CSP – ADMX_PushToInstall\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Empfohlen von: Setup Foundry\u003C\u002Fli>\n\u003C\u002Ful>\n\u003Ch3 id=\"e-0b1ee64752\">LSASS-Prozess vor Codeeinschleusung schützen (LSA-Schutz)\u003C\u002Fh3>\n\u003Cp>Lässt den LSASS-Prozess (Anmeldedaten-Speicher) als geschützten Prozess mit UEFI-Sperre laufen, um Codeeinschleusung zu verhindern.\u003C\u002Fp>\n\u003Cp>\u003Cstrong>Nebenwirkung:\u003C\u002Fstrong> Normalerweise nichts spürbar; nur vereinzelte, ältere unsignierte Treiber (z. B. manche Smartcard-Treiber), die sich in den Prozess einklinken wollen, laden dann nicht mehr.\u003C\u002Fp>\n\u003Cul>\n\u003Cli>Technisch:\n\u003Cul>\n\u003Cli>Richtlinie: \u003Ccode>HKEY_LOCAL_MACHINE\\Software\\Policies\\Microsoft\\Windows\\System\\RunAsPPL = 1 (REG_DWORD)\u003C\u002Fcode>\u003C\u002Fli>\n\u003Cli>Bedeutung des Werts: 1 = LSA-Schutz aktiviert MIT UEFI-Sperre; 2 = aktiviert OHNE UEFI-Sperre (nur Windows 11 22H2 und neuer); 0 bzw. gelöscht = deaktiviert.\u003C\u002Fli>\n\u003C\u002Ful>\n\u003C\u002Fli>\n\u003Cli>Schalter in der App: \u003Ca href=\"\u002Fdokumentation\u002Fkonfiguration\u002Frichtlinien#anmeldung-konten\">Richtlinien › Anmeldung und Konten\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Empfohlen von: \u003Ca href=\"https:\u002F\u002Fwww.microsoft.com\u002Fen-us\u002Fdownload\u002Fdetails.aspx?id=55319\">Windows 11 v25H2 Security Baseline\u003C\u002Fa>\u003C\u002Fli>\n\u003C\u002Ful>\n\u003Ch3 id=\"e-693cdb372e\">LanMan-Authentifizierung auf „nur NTLMv2, LM\u002FNTLM ablehnen“ setzen\u003C\u002Fh3>\n\u003Cp>Der DWORD-Wert \u003Ccode>5\u003C\u002Fcode> entspricht der Sicherheitseinstellung \u003Cstrong>Nur NTLMv2-Antworten senden. LM und NTLM verweigern\u003C\u002Fstrong>. Bei Netzwerkanmeldungen, für die NTLM-basierte Anforderungs-\u002FAntwortauthentifizierung verwendet wird, erzeugt der Computer als Client ausschließlich NTLMv2-Antworten. NTLMv2-Sitzungssicherheit wird verwendet, sofern die Gegenstelle sie unterstützt.\u003C\u002Fp>\n\u003Cp>\u003Cstrong>Nebenwirkung:\u003C\u002Fstrong> Sehr alte Geräte oder Software, die nur LM\u002FNTLMv1 sprechen, können die Verbindung verlieren - bei modernen Windows-11-Umgebungen unkritisch. Kann sehr alte Geräte oder NAS-Systeme aus der Windows-XP-Aera aussperren, die nur klassisches NTLM\u002FLM sprechen; moderne Geräte sind nicht betroffen.\u003C\u002Fp>\n\u003Cul>\n\u003Cli>Technisch:\n\u003Cul>\n\u003Cli>Registry-Wert: \u003Ccode>HKEY_LOCAL_MACHINE\\System\\CurrentControlSet\\Control\\Lsa\\LmCompatibilityLevel = 5 (REG_DWORD)\u003C\u002Fcode>\u003C\u002Fli>\n\u003C\u002Ful>\n\u003C\u002Fli>\n\u003Cli>Schalter in der App: \u003Ca href=\"\u002Fdokumentation\u002Fkonfiguration\u002Frichtlinien#anmeldung-konten\">Richtlinien › Anmeldung und Konten\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Ausführlich: \u003Ca href=\"\u002Fdokumentation\u002Frichtlinien-anhang\u002Fhilfe-693cdb372e33-lmcompatibilitylevel\">Netzwerksicherheit: LAN Manager-Authentifizierungsebene\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Quelle: \u003Ca href=\"https:\u002F\u002Flearn.microsoft.com\u002Fde-de\u002Fazure\u002Fgovernance\u002Fpolicy\u002Fsamples\u002Fguest-configuration-baseline-windows\">Microsoft Learn: Referenz zur Azure Policy-Gastkonfigurationsbaseline für Windows\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>Empfohlen von: \u003Ca href=\"https:\u002F\u002Fwww.microsoft.com\u002Fen-us\u002Fdownload\u002Fdetails.aspx?id=55319\">Windows 11 v25H2 Security Baseline\u003C\u002Fa>\u003C\u002Fli>\n\u003C\u002Ful>\n\u003Ch2 id=\"siehe-auch\">Siehe auch\u003C\u002Fh2>\n\u003Cul>\n\u003Cli>\u003Ca href=\"\u002Fdokumentation\u002Frichtlinien-anhang\u002Frichtlinien\">Richtlinien-Referenz\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>\u003Ca href=\"\u002Fdokumentation\u002Frichtlinien-anhang\u002Frichtlinien-protokollierung-ueberwachung\">Protokollierung und Überwachung\u003C\u002Fa>\u003C\u002Fli>\n\u003Cli>\u003Ca href=\"\u002Fdokumentation\u002Frichtlinien-anhang\u002Frichtlinien-geraete-wechselmedien\">Geräte und Wechselmedien\u003C\u002Fa>\u003C\u002Fli>\n\u003C\u002Ful>\n",[15,19,22,26,29,32,35,38,41,44,47,50,53,56,59,62,65,68,71,74,77,80,83,86],{"ebene":16,"id":17,"text":18},2,"zweck","Zweck",{"ebene":16,"id":20,"text":21},"hinweise","Hinweise",{"ebene":23,"id":24,"text":25},3,"e-3fb670732c","Admin-Anmeldung auf sicherem Desktop bei Rechteerhöhung für Standardnutzer erzwingen",{"ebene":23,"id":27,"text":28},"e-0e087d0dfe","Administratorkonten bei Rechteerhöhung nicht auflisten",{"ebene":23,"id":30,"text":31},"e-33f9605ad5","Anmeldepasswort nach dem Aufwachen aus dem Standby verlangen (Akkubetrieb)",{"ebene":23,"id":33,"text":34},"e-0eafae1131","Anmeldepasswort nach dem Aufwachen aus dem Standby verlangen (Netzbetrieb)",{"ebene":23,"id":36,"text":37},"e-3cb61b3277","Nach Neustart nicht automatisch wieder anmelden",{"ebene":23,"id":39,"text":40},"e-38e718b4b5","Nachladen fremder Sicherheitsmodule in den Anmeldedienst LSASS verbieten",{"ebene":23,"id":42,"text":43},"e-ae980e2143","Nur anonyme Anmeldung bei Websites der eingeschraenkten Zone erzwingen",{"ebene":23,"id":45,"text":46},"e-ee06a4a751","Vollen Admin-Zugriff lokaler Konten übers Netzwerk einschränken",{"ebene":23,"id":48,"text":49},"e-8e22aefee0","Anonyme Aufzaehlung von SAM-Konten verbieten",{"ebene":23,"id":51,"text":52},"e-db7219dcca","Benutzerkontensteuerung: Admin-Genehmigungsmodus für das eingebaute Administratorkonto",{"ebene":23,"id":54,"text":55},"e-20ebafd2eb","LSASS als geschuetzten Prozess konfigurieren (RunAsPPL)",{"ebene":23,"id":57,"text":58},"e-bf2c4b38be","Lokale Konten mit leerem Kennwort vom Netzwerkzugriff ausschliessen",{"ebene":23,"id":60,"text":61},"e-4516c8bb07","Speicherung des LAN-Manager-Passwort-Hashs verhindern",{"ebene":23,"id":63,"text":64},"e-10df93f6d7","UAC-Bestätigungsdialog für Administratoren auf „Ja\u002FNein“ umstellen",{"ebene":23,"id":66,"text":67},"e-e335ead182","UAC: Alle Administratoren im Admin-Genehmigungsmodus laufen lassen",{"ebene":23,"id":69,"text":70},"e-a2f897a1cc","WDigest-Authentifizierung deaktivieren",{"ebene":23,"id":72,"text":73},"e-7434143582","Kamera-Schnellzugriff vom Sperrbildschirm entfernen",{"ebene":23,"id":75,"text":76},"e-df6d8b99a0","Tinte-Arbeitsbereich zulassen, aber vor Anmeldung sperren",{"ebene":23,"id":78,"text":79},"e-a4b9a7c0fb","Automatisches Nachschieben von Store-Apps per Push-to-Install unterbinden",{"ebene":23,"id":81,"text":82},"e-0b1ee64752","LSASS-Prozess vor Codeeinschleusung schützen (LSA-Schutz)",{"ebene":23,"id":84,"text":85},"e-693cdb372e","LanMan-Authentifizierung auf „nur NTLMv2, LM\u002FNTLM ablehnen“ setzen",{"ebene":16,"id":87,"text":88},"siehe-auch","Siehe auch","\u002Fdokumentation",[91,111,123,131,179,199,215,231,255,271,287],{"titel":92,"pfad":93,"seiten":94},"Erste Schritte","erste-schritte",[95,99,103,107],{"rel":96,"titel":97,"zu":98},"erste-schritte\u002Fwas-ist-setup-foundry","Setup Foundry","\u002Fdokumentation\u002Ferste-schritte\u002Fwas-ist-setup-foundry",{"rel":100,"titel":101,"zu":102},"erste-schritte\u002Finstallation","Setup Foundry installieren","\u002Fdokumentation\u002Ferste-schritte\u002Finstallation",{"rel":104,"titel":105,"zu":106},"erste-schritte\u002Fschnellstart","Schnellstart","\u002Fdokumentation\u002Ferste-schritte\u002Fschnellstart",{"rel":108,"titel":109,"zu":110},"erste-schritte\u002Fablauf","Der Ablauf im Überblick","\u002Fdokumentation\u002Ferste-schritte\u002Fablauf",{"titel":112,"pfad":113,"seiten":114},"Einrichtung","wizard",[115,119],{"rel":116,"titel":117,"zu":118},"wizard\u002Fuebersicht","Der Einrichtungsassistent","\u002Fdokumentation\u002Fwizard\u002Fuebersicht",{"rel":120,"titel":121,"zu":122},"wizard\u002Fsystemanforderungen","Systemanforderungen","\u002Fdokumentation\u002Fwizard\u002Fsystemanforderungen",{"titel":124,"pfad":125,"seiten":126},"Einrichtung im Detail","einrichtung-detail",[127],{"rel":128,"titel":129,"zu":130},"einrichtung-detail\u002Fwindows-quelle","ISO importieren","\u002Fdokumentation\u002Feinrichtung-detail\u002Fwindows-quelle",{"titel":132,"pfad":133,"seiten":134},"Foundry","konfiguration",[135,139,143,147,151,155,159,163,167,171,175],{"rel":136,"titel":137,"zu":138},"konfiguration\u002Fprofile","Profile","\u002Fdokumentation\u002Fkonfiguration\u002Fprofile",{"rel":140,"titel":141,"zu":142},"konfiguration\u002Fquellen","Quellen","\u002Fdokumentation\u002Fkonfiguration\u002Fquellen",{"rel":144,"titel":145,"zu":146},"konfiguration\u002Fbenutzer","Benutzer einrichten","\u002Fdokumentation\u002Fkonfiguration\u002Fbenutzer",{"rel":148,"titel":149,"zu":150},"konfiguration\u002Fbilder","Hintergrundbild und Logo","\u002Fdokumentation\u002Fkonfiguration\u002Fbilder",{"rel":152,"titel":153,"zu":154},"konfiguration\u002Fwindows-bereinigen","Windows bereinigen","\u002Fdokumentation\u002Fkonfiguration\u002Fwindows-bereinigen",{"rel":156,"titel":157,"zu":158},"konfiguration\u002Fapps-entfernen","Apps entfernen","\u002Fdokumentation\u002Fkonfiguration\u002Fapps-entfernen",{"rel":160,"titel":161,"zu":162},"konfiguration\u002Fauswaehlen","Programme auswählen","\u002Fdokumentation\u002Fkonfiguration\u002Fauswaehlen",{"rel":164,"titel":165,"zu":166},"konfiguration\u002Frichtlinien","Richtlinien","\u002Fdokumentation\u002Fkonfiguration\u002Frichtlinien",{"rel":168,"titel":169,"zu":170},"konfiguration\u002Fpc-informationen","PC-Informationen","\u002Fdokumentation\u002Fkonfiguration\u002Fpc-informationen",{"rel":172,"titel":173,"zu":174},"konfiguration\u002Fnamensschema","Namensschema","\u002Fdokumentation\u002Fkonfiguration\u002Fnamensschema",{"rel":176,"titel":177,"zu":178},"konfiguration\u002Finstall-assist-gestalten","Install Assist gestalten","\u002Fdokumentation\u002Fkonfiguration\u002Finstall-assist-gestalten",{"titel":180,"pfad":181,"seiten":182},"Installation","installationsmedien",[183,187,191,195],{"rel":184,"titel":185,"zu":186},"installationsmedien\u002Fusb-stick","USB-Stick erstellen","\u002Fdokumentation\u002Finstallationsmedien\u002Fusb-stick",{"rel":188,"titel":189,"zu":190},"installationsmedien\u002Fiso-erstellen","ISO erstellen","\u002Fdokumentation\u002Finstallationsmedien\u002Fiso-erstellen",{"rel":192,"titel":193,"zu":194},"installationsmedien\u002Fvhd-erstellen","VHD erstellen","\u002Fdokumentation\u002Finstallationsmedien\u002Fvhd-erstellen",{"rel":196,"titel":197,"zu":198},"installationsmedien\u002Finstall-assist","Install Assist auf dem Ziel-PC","\u002Fdokumentation\u002Finstallationsmedien\u002Finstall-assist",{"titel":200,"pfad":201,"seiten":202},"Maschinen","pruefmaschine",[203,207,211],{"rel":204,"titel":205,"zu":206},"pruefmaschine\u002Fhyper-v-berechtigungen","Hyper-V-Berechtigungen","\u002Fdokumentation\u002Fpruefmaschine\u002Fhyper-v-berechtigungen",{"rel":208,"titel":209,"zu":210},"pruefmaschine\u002Fverwenden","Prüfmaschine verwenden","\u002Fdokumentation\u002Fpruefmaschine\u002Fverwenden",{"rel":212,"titel":213,"zu":214},"pruefmaschine\u002Ferstellen","Maschine erstellen","\u002Fdokumentation\u002Fpruefmaschine\u002Ferstellen",{"titel":216,"pfad":217,"seiten":218},"Editionen","editionen",[219,223,227],{"rel":220,"titel":221,"zu":222},"editionen\u002Fvergleich","Editionen im Vergleich","\u002Fdokumentation\u002Feditionen\u002Fvergleich",{"rel":224,"titel":225,"zu":226},"editionen\u002Flizenz-aktivieren","Lizenz aktivieren","\u002Fdokumentation\u002Feditionen\u002Flizenz-aktivieren",{"rel":228,"titel":229,"zu":230},"editionen\u002Faktivierungen-zuruecksetzen","Aktivierungen zurücksetzen","\u002Fdokumentation\u002Feditionen\u002Faktivierungen-zuruecksetzen",{"titel":232,"pfad":233,"seiten":234},"Problemlösung","fehler",[235,239,243,247,251],{"rel":236,"titel":237,"zu":238},"fehler\u002Fusb","USB-Stick-Probleme","\u002Fdokumentation\u002Ffehler\u002Fusb",{"rel":240,"titel":241,"zu":242},"fehler\u002Fiso","Probleme beim ISO-Import","\u002Fdokumentation\u002Ffehler\u002Fiso",{"rel":244,"titel":245,"zu":246},"fehler\u002Fhyperv","Hyper-V-Probleme","\u002Fdokumentation\u002Ffehler\u002Fhyperv",{"rel":248,"titel":249,"zu":250},"fehler\u002Finstall-assist","Wenn das Setup auf dem Ziel-PC scheitert","\u002Fdokumentation\u002Ffehler\u002Finstall-assist",{"rel":252,"titel":253,"zu":254},"fehler\u002Fantwortdatei","Die Antwortdatei","\u002Fdokumentation\u002Ffehler\u002Fantwortdatei",{"titel":256,"pfad":257,"seiten":258},"Referenz","referenz",[259,263,267],{"rel":260,"titel":261,"zu":262},"referenz\u002Fbekannte-probleme","Bekannte Probleme","\u002Fdokumentation\u002Freferenz\u002Fbekannte-probleme",{"rel":264,"titel":265,"zu":266},"referenz\u002Fdiagnose-und-protokolle","Diagnose und Protokolle","\u002Fdokumentation\u002Freferenz\u002Fdiagnose-und-protokolle",{"rel":268,"titel":269,"zu":270},"referenz\u002Fglossar","Glossar","\u002Fdokumentation\u002Freferenz\u002Fglossar",{"titel":272,"pfad":273,"seiten":274},"Windows-Anhang","windows-anhang",[275,279,283],{"rel":276,"titel":277,"zu":278},"windows-anhang\u002Fdienste","Dienste","\u002Fdokumentation\u002Fwindows-anhang\u002Fdienste",{"rel":280,"titel":281,"zu":282},"windows-anhang\u002Faufgaben","Geplante Aufgaben","\u002Fdokumentation\u002Fwindows-anhang\u002Faufgaben",{"rel":284,"titel":285,"zu":286},"windows-anhang\u002Fapps","App-Pakete","\u002Fdokumentation\u002Fwindows-anhang\u002Fapps",{"titel":288,"pfad":289,"seiten":290},"Richtlinien-Anhang","richtlinien-anhang",[291,295,299,303,307,311,315,319,320,324,328,332,336],{"rel":292,"titel":293,"zu":294},"richtlinien-anhang\u002Frichtlinien","Richtlinien-Referenz","\u002Fdokumentation\u002Frichtlinien-anhang\u002Frichtlinien",{"rel":296,"titel":297,"zu":298},"richtlinien-anhang\u002Frichtlinien-office-haertung","Office-Härtung","\u002Fdokumentation\u002Frichtlinien-anhang\u002Frichtlinien-office-haertung",{"rel":300,"titel":301,"zu":302},"richtlinien-anhang\u002Frichtlinien-edge-internet-explorer","Edge und Internet Explorer","\u002Fdokumentation\u002Frichtlinien-anhang\u002Frichtlinien-edge-internet-explorer",{"rel":304,"titel":305,"zu":306},"richtlinien-anhang\u002Frichtlinien-virenschutz-angriffsflaechen","Virenschutz und Angriffsflächen","\u002Fdokumentation\u002Frichtlinien-anhang\u002Frichtlinien-virenschutz-angriffsflaechen",{"rel":308,"titel":309,"zu":310},"richtlinien-anhang\u002Frichtlinien-netzwerk-freigaben","Netzwerk und Freigaben","\u002Fdokumentation\u002Frichtlinien-anhang\u002Frichtlinien-netzwerk-freigaben",{"rel":312,"titel":313,"zu":314},"richtlinien-anhang\u002Frichtlinien-datenschutz-telemetrie","Datenschutz und Telemetrie","\u002Fdokumentation\u002Frichtlinien-anhang\u002Frichtlinien-datenschutz-telemetrie",{"rel":316,"titel":317,"zu":318},"richtlinien-anhang\u002Frichtlinien-protokollierung-ueberwachung","Protokollierung und Überwachung","\u002Fdokumentation\u002Frichtlinien-anhang\u002Frichtlinien-protokollierung-ueberwachung",{"rel":6,"titel":9,"zu":7},{"rel":321,"titel":322,"zu":323},"richtlinien-anhang\u002Frichtlinien-geraete-wechselmedien","Geräte und Wechselmedien","\u002Fdokumentation\u002Frichtlinien-anhang\u002Frichtlinien-geraete-wechselmedien",{"rel":325,"titel":326,"zu":327},"richtlinien-anhang\u002Frichtlinien-kernschutz","Kernschutz","\u002Fdokumentation\u002Frichtlinien-anhang\u002Frichtlinien-kernschutz",{"rel":329,"titel":330,"zu":331},"richtlinien-anhang\u002Frichtlinien-laufwerksverschluesselung","Laufwerksverschlüsselung","\u002Fdokumentation\u002Frichtlinien-anhang\u002Frichtlinien-laufwerksverschluesselung",{"rel":333,"titel":334,"zu":335},"richtlinien-anhang\u002Frichtlinien-windows-update","Windows-Update","\u002Fdokumentation\u002Frichtlinien-anhang\u002Frichtlinien-windows-update",{"rel":337,"titel":338,"zu":339},"richtlinien-anhang\u002Frichtlinien-grundeinstellungen","Grundeinstellungen und Datenschutz-Einstellungen","\u002Fdokumentation\u002Frichtlinien-anhang\u002Frichtlinien-grundeinstellungen",{"titel":317,"zu":318},{"titel":322,"zu":323},1793199121324]