GPOs – Group Policy Objects

1) Grundidee – Was sind GPOs?

Eine Gruppenrichtlinie (Group Policy Object, GPO) ist eine Sammlung von Einstellungen, die zentral in Active Directory gespeichert sind und automatisch auf Benutzer und Computer angewendet werden.
Ziel: Zentrale Steuerung von Konfiguration, Sicherheit und Benutzerumgebung, ohne an jedem PC manuell arbeiten zu müssen.

Merksatz:
„GPOs sind die Fernbedienung für alle PCs und Benutzer im Netzwerk.“

2) Warum braucht man GPOs?

Stell dir vor, du hast 100 PCs und musst an jedem einzelnen einstellen:

Passwortlänge 12 Zeichen,
Energiesparmodus nach 10 Minuten,
Netzlaufwerk verbinden,
Drucker hinzufügen.

Ohne GPOs müsstest du das an jedem PC manuell machen.
Mit GPOs stellst du die Regeln einmal ein, und sie werden automatisch an alle Computer/Benutzer verteilt.

3) Aufbau einer GPO

Eine GPO hat zwei Hauptbereiche:

Bereich	Wirkung	Beispiel
Computer Configuration	Wirkt auf den Computer, egal welcher Benutzer sich anmeldet.	Firewall aktivieren, Windows Update konfigurieren
User Configuration	Wirkt auf den Benutzer, egal an welchem PC er arbeitet.	Netzlaufwerke verbinden, Hintergrundbild setzen

4) Anwendung & Verknüpfung

GPOs wirken nicht „einfach so“. Sie müssen verknüpft werden.

Verknüpfungspunkte:

Site → wirkt auf alle Benutzer/Computer im Standort.
Domain → wirkt auf alle Objekte der gesamten Domäne.
OU → wirkt gezielt auf bestimmte Benutzer/Computer.

Visualisierung:

[Site] ---> GPO-Site
   │
[Domain] ---> GPO-Domain
   │
[OU=Vertrieb] ---> GPO-Vertrieb
   │
[OU=Azubis] ---> GPO-Azubis

5) Vererbungslogik

Mehrere GPOs können gleichzeitig wirken. Entscheidend ist die Reihenfolge:

1. Local Policy (am PC selbst)
2. Site
3. Domain
4. OU (von oben nach unten)

Regeln:

„Letzter gewinnt“: Einstellungen auf tieferer Ebene überschreiben höhere.
Erzwingen (Enforced): Diese GPO überschreibt alle anderen, auch auf tieferen Ebenen.
Vererbung blockieren: Eine OU kann verhindern, dass GPOs von oben übernommen werden.

Beispiel:

Domain-GPO: Passwort min. 8 Zeichen.
OU-GPO: Passwort min. 12 Zeichen.
→ OU-GPO gilt (weil sie „tiefer“ ist).

6) Was lässt sich mit GPOs steuern?

Sicherheitsrichtlinien: Passwortregeln, Kontosperren, Firewall-Einstellungen.
Benutzerumgebung: Netzlaufwerke, Drucker, Desktop-Hintergrund, Startmenü.
Software: Automatische Installation oder Entfernung.
Systemkonfiguration: Energiesparmodus, Windows Updates, Dienste.

Praxisbeispiel:

OU „Azubis“ → GPO:
- Netzlaufwerk H: verbinden (\\srv-fs01\azubi$)
- Bildschirmsperre nach 10 Minuten
- Zugriff auf Systemsteuerung sperren

7) Werkzeuge zur Verwaltung

Group Policy Management Console (gpmc.msc)
- Hauptwerkzeug zum Erstellen und Verwalten von GPOs.
- Hier werden GPOs verknüpft, Priorität festgelegt und getestet.
gpupdate /force
- Erzwingt sofortige Anwendung von Richtlinien.
- Ziel: Neue GPO testen, ohne 90–120 Minuten zu warten.
gpresult /r
- Zeigt an, welche GPOs für Benutzer und Computer angewendet wurden.
- Ziel: Herausfinden, warum eine bestimmte Einstellung fehlt.
gpresult /h report.html
- Erstellt HTML-Bericht mit allen Details.
- Ziel: Übersicht bei komplexen Strukturen.

8) Praxis-Szenarien

a) Netzlaufwerke verbinden

OU „Vertrieb“ → GPO verbindet Laufwerk V: mit \\srv-fs01\vertrieb.
Vorteil: Kein Mitarbeiter muss das selbst machen.

b) Sicherheitsrichtlinien setzen

Domänen-GPO:
- Passwort min. 12 Zeichen,
- Sperrung nach 5 Fehlversuchen.
Vorteil: Einheitliche Sicherheit für alle.

c) Softwareverteilung

OU „Azubis“ → GPO installiert automatisch „Visual Studio Code“.
Vorteil: Alle Azubi-PCs haben die gleiche Entwicklungsumgebung.

9) Typische Fehler mit GPOs

Problem	Ursache	Lösung
GPO greift nicht	Benutzer/PC ist in falscher OU	OU-Zuordnung prüfen
Einstellungen überschrieben	Mehrere GPOs mit widersprüchlichen Regeln	Reihenfolge prüfen, ggf. „Erzwingen“
Benutzer beschwert sich: „Ich habe die GPO nicht“	GPO wurde noch nicht angewendet	`gpupdate /force`
Drucker/Netzlaufwerk fehlt	Script oder Einstellung fehlerhaft	GPO-Inhalt und Logs prüfen

10) Fehleranalyse bei GPOs

Beispiel: Netzlaufwerk wird nicht verbunden

gpupdate /force → Richtlinien neu laden.
gpresult /r → prüfen, ob die Laufwerks-GPO überhaupt angewendet wird.
Wenn nicht → OU-Zuordnung prüfen: Ist der Benutzer in der richtigen OU?
GPO im GPMC öffnen → prüfen, ob sie aktiviert/verknüpft ist.

11) Best Practices

OUs sauber strukturieren, damit GPOs gezielt wirken.
So wenig GPOs wie möglich, so viele wie nötig.
GPOs immer dokumentieren (wer, wann, wozu).
GPOs vorher testen (Test-OU) → dann produktiv einführen.
Keine globalen GPOs „erzwingen“, wenn es nicht absolut notwendig ist.

Merksätze

GPOs = zentrale Steuerung von Benutzern & PCs.
Reihenfolge: Local → Site → Domain → OU.
„Letzter gewinnt“, außer „Erzwingen“ oder „Vererbung blockieren“.
gpupdate = neu laden, gpresult = prüfen.
OUs = Grundlage für saubere GPO-Verwaltung.