Loopbackverarbeitung in Gruppenrichtlinien: Benutzereinstellungen an das Gerät binden
Terminalserver, Kioskrechner und Sprungserver brauchen andere Benutzervorgaben als derselbe Mensch an seinem eigenen Arbeitsplatz. Loopback liefert genau das, wenn du den richtigen Modus wählst und weißt, wie die Filterung hier wirklich funktioniert.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Dieselbe Person, zwei Rechner, und die Vorgaben sollen sich unterscheiden
Gruppenrichtlinien werden aus zwei Richtungen zusammengesetzt. Beim Start eines Rechners sammelt Windows die Computerkonfiguration aus den Objekten, die über dem Computerkonto liegen, bei der Anmeldung die Benutzerkonfiguration aus den Objekten über dem Benutzerkonto. Für den gewöhnlichen Arbeitsplatz ist das genau richtig, denn die Vorgaben für eine Person sollen ihr folgen, egal an welchem Rechner sie sitzt. Microsoft empfiehlt für diesen Normalfall ausdrücklich, Benutzereinstellungen an der Organisationseinheit des Benutzerkontos festzumachen.
Auf einem Terminalserver kippt diese Logik. Dieselbe Person, die an ihrem Arbeitsplatz ein eingerichtetes Startmenü, verbundene Netzlaufwerke und eine Ordnerumleitung auf den Dateiserver bekommt, soll in der veröffentlichten Sitzung genau das nicht bekommen. Ein Kioskrechner in der Empfangshalle soll unabhängig davon, wer sich dort anmeldet, immer dieselbe reduzierte Oberfläche zeigen. In beiden Fällen hängt die richtige Benutzereinstellung nicht am Konto, sondern am Gerät, und dafür ist die übliche Verarbeitung schlicht nicht gebaut.
Die Umwege, die stattdessen entstehen, halten selten lange. Ein zweites Konto je Person für die Terminalsitzung verdoppelt die Verwaltung und bricht bei jeder Berechtigungsfrage auseinander. Anmeldeskripte, die den Servernamen abfragen, funktionieren, bis jemand den Server umbenennt oder einen zweiten dazustellt. Und wer alles über die Zielgruppenadressierung in den Preferences an Sicherheitsgruppen hängt, verschiebt das Problem nur: Die Regel steht danach in Dutzenden Einzelobjekten statt an einer Stelle. Loopback ist die dafür vorgesehene Antwort, und sie steht seit Jahren unverändert in der Dokumentation.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Eine Einstellung, ein Pfad, zwei Modi
Der gesamte Mechanismus hängt an einer einzigen Richtlinieneinstellung auf der Computerseite. Sie steht seit Jahren an derselben Stelle im Editor und trägt bis heute denselben Namen. Jeder Bestandteil des Pfads beantwortet eine eigene Frage.
Der Aufbau
Computer Configuration > Administrative Templates > System > Group Policy > Configure user Group Policy loopback processing mode > Merge | Replace - 01 Die Einstellung sitzt auf der Computerseite
Computer ConfigurationDas ist die erste Stolperstelle. Obwohl der Schalter darüber entscheidet, welche Benutzereinstellungen ein Mensch bekommt, steht er in der Computerkonfiguration und wird über die Organisationseinheit der Rechner verteilt. Er wird beim Start des Rechners eingelesen, nicht bei der Anmeldung. Ein frisch gesetzter Schalter wirkt deshalb erst nach der nächsten Aktualisierung der Computerrichtlinien und einer neuen Anmeldung.
- 02 Der Pfad im Richtlinieneditor
Administrative Templates > System > Group PolicyIn der Group Policy Management Console findest du die Einstellung unter diesem Zweig, in einer deutschsprachigen Oberfläche mit übersetzten Knotennamen an derselben Stelle. Sie gehört zu den administrativen Vorlagen, die Windows mitbringt, ist also in jeder Domäne vorhanden und muss nicht erst in den Central Store gelegt werden.
- 03 Der Name, nach dem du suchst
Configure user Group Policy loopback processing modeSo heißt die Einstellung in der Dokumentation und in einer englischsprachigen Konsole. Aktivieren allein reicht nicht, du musst zusätzlich einen Modus auswählen. Als Einsatzzweck nennt Microsoft ausdrücklich Rechner an öffentlichen Plätzen, in Laboren und in Schulungsräumen, also Geräte, bei denen die Benutzeroberfläche vom Standort und nicht von der Person abhängen soll.
- 04 Beide Listen, und das Gerät gewinnt
MergeBei der Anmeldung ermittelt Windows zuerst wie gewohnt die Liste der Objekte über dem Benutzerkonto. Danach ruft es dieselbe Ermittlung ein zweites Mal auf, diesmal für die Position des Computerkontos, und hängt dessen Objekte hinten an die Liste an. Weil in Gruppenrichtlinien das zuletzt angewandte Objekt gewinnt, haben die Vorgaben des Geräts damit Vorrang. Alles, was das Gerät nicht regelt, bleibt so, wie die Person es kennt.
- 05 Nur noch die Liste des Geräts
ReplaceHier wird die Liste über dem Benutzerkonto gar nicht erst ermittelt. Es gilt ausschließlich, was in den Objekten über dem Computerkonto in der Benutzerkonfiguration steht. Das ist der saubere Schnitt für Geräte mit festgelegter Oberfläche und zugleich der Modus, der am ehesten für Überraschungen sorgt: Alles, was bisher aus der Benutzereinheit kam und niemandem aufgefallen ist, fehlt ab diesem Moment.
Wenn es nicht funktioniert
Das siehst du
Der Schalter steht auf Merge, die Computerrichtlinien sind aktualisiert, in der Sitzung ändert sich trotzdem nichts.
Warum
In den Objekten, die mit der Organisationseinheit der Server verknüpft sind, steht keine Benutzerkonfiguration. Loopback verschiebt nur den Ort, an dem gesucht wird, es kopiert keine Einstellungen. Genauso häufig ist der Fall, dass die Benutzerkonfiguration im Objekt zwar vorhanden, im Status des Objekts aber abgeschaltet ist und deshalb gar nicht ausgewertet wird.
Was hilft
Sieh dir den Bericht des Objekts an und prüf, ob die Benutzerkonfiguration überhaupt Einstellungen enthält. Den Status liefert Get-GPO als Feld GpoStatus. Nimm danach in der Sitzung gpresult /r /scope:user auf: Erscheint das Objekt unter den angewandten Objekten, stimmt die Verknüpfung und es fehlt nur der Inhalt.
Das siehst du
Nach der Umstellung auf Replace fehlen Netzlaufwerke, Standarddrucker und Ordnerumleitung, obwohl niemand daran etwas geändert hat.
Warum
Replace lässt die gesamte Liste über dem Benutzerkonto weg, nicht nur den störenden Teil davon. Alles, was jahrelang unauffällig aus einem Objekt über der Benutzereinheit kam, ist damit auf einen Schlag verschwunden. Besonders unangenehm ist das bei Ordnerumleitungen, weil dort auch der Rückweg konfiguriert sein will.
Was hilft
Nimm vor der Umstellung mit gpresult /h einen Bericht aus einer gewöhnlichen Sitzung auf und arbeite die Liste der angewandten Objekte durch. Was weiterhin gebraucht wird, wanderst du in das Objekt an der Server-Einheit. Bleibt dabei mehr übrig, als du entfernen wolltest, ist Merge der richtige Modus und nicht Replace.
Das siehst du
Auch die Administratoren bekommen die reduzierte Oberfläche, und die Ausnahme über die Rechte am Computerobjekt greift nicht.
Warum
Genau dieser Weg ist in der Dokumentation als nicht gangbar beschrieben. Die angewandten Benutzereinstellungen lassen sich nicht dadurch filtern, dass du dem für Loopback benannten Computerobjekt die Lese- und Anwendungsrechte entziehst.
Was hilft
Bau die Ausnahme dort, wo Gruppenrichtlinien sie vorsehen. Entweder ein zweites Objekt an derselben Organisationseinheit mit höherer Priorität, das die störenden Einstellungen zurücknimmt und dessen Sicherheitsfilterung auf die Administratorengruppe zeigt, oder eine eigene Einheit für die Server, auf denen die Beschränkung nicht gelten soll.
Das siehst du
Auf einem Rechner, der nicht Mitglied der Domäne ist, oder bei der Anmeldung mit einem lokalen Konto passiert gar nichts.
Warum
Loopback ist ausdrücklich nur in einer Active-Directory-Umgebung unterstützt. Sowohl das Computerkonto als auch das Benutzerkonto müssen im Verzeichnis liegen. Ein lokales Konto hat dort kein Gegenstück, deshalb gibt es auch keine Liste, die zusammengeführt oder ersetzt werden könnte.
Was hilft
Für Geräte außerhalb der Domäne führt der Weg über die lokale Richtlinie oder über eine Verwaltung per MDM. In gemischten Umgebungen lohnt es sich, die betroffenen Geräte erst zu zählen, bevor du zwei Verwaltungswege dauerhaft nebeneinander aufbaust.
Das siehst du
Die Änderung wirkt bei einer neuen Anmeldung, aber nicht in den Sitzungen, die gerade laufen.
Warum
Computer- und Benutzerrichtlinien werden im Hintergrund alle 90 Minuten mit einem zufälligen Zuschlag von null bis 30 Minuten aktualisiert, auf Domänencontrollern alle fünf Minuten. Ein Teil der Einstellungen, darunter Ordnerumleitung und Softwareverteilung, wird zudem nur bei der Anmeldung angewandt.
Was hilft
Für den Test erzwingst du die Aktualisierung mit gpupdate /force und meldest dich neu an. Invoke-GPUpdate stößt dasselbe aus der Ferne an. Für die Fläche legst du die Umstellung auf einen Zeitpunkt, an dem ohnehin neu angemeldet wird, und kündigst sie an, statt darauf zu hoffen, dass es niemandem auffällt.
Von der Anforderung zum nachgewiesenen Ergebnis
- 01 Hängt die Einstellung an der Person oder am Gerät? Nur der zweite Fall gehört zu Loopback.
- 02 Liegen die betroffenen Server in einer eigenen Organisationseinheit oder mitten unter allen anderen?
- 03 Merge oder Replace: Soll die gewohnte Umgebung teilweise erhalten bleiben oder gar nicht?
- 04 Steht die Benutzerkonfiguration wirklich in einem Objekt, das an der Server-Einheit hängt?
- 05 Zeigt der Bericht aus gpresult in der Sitzung genau die Objekte, die du erwartest?
Was du der Reihe nach festlegst
Loopback ist ein einziger Schalter, aber er wirkt nur, wenn drei Dinge drumherum stimmen: die Struktur der Organisationseinheiten, der Ort der Benutzerkonfiguration und die Filterung. Diese sechs Schritte bringen sie in die richtige Reihenfolge.
Trennen, was am Gerät hängt und was der Person folgt
Geh die Benutzereinstellungen durch, die heute im Haus vergeben werden, und entscheide für jede einzeln, ob sie an der Person oder am Gerät hängt. Ordnerumleitung, verbundene Netzlaufwerke, Standarddrucker und Beschränkungen der Oberfläche landen fast immer beim Gerät, sobald Terminalserver im Spiel sind. Alles, was mit Berechtigungen und persönlichen Daten zu tun hat, bleibt beim Konto. Diese Liste ist später die Begründung dafür, warum ein bestimmtes Objekt überhaupt existiert.
Die betroffenen Server in eine eigene Organisationseinheit heben
Loopback wirkt über die Position des Computerkontos im Verzeichnis. Jede Gerätegruppe mit eigenen Benutzervorgaben braucht deshalb eine eigene Organisationseinheit: eine für die Sitzungshosts, eine für Kioskrechner, eine für Sprungserver. Wer die Server in derselben Einheit wie alle anderen Mitgliedsserver stehen lässt und die Unterscheidung über Sicherheitsfilter nachbaut, bekommt eine Konstruktion, die beim nächsten neu aufgesetzten Server stillschweigend danebengreift.
Den Modus bewusst wählen, Merge oder Replace
Merge ermittelt zuerst die Objekte über dem Benutzerkonto, hängt danach die Objekte über dem Computerkonto an und gibt damit dem Gerät das letzte Wort. Replace lässt die Benutzerseite vollständig weg und wertet ausschließlich die Objekte über dem Computerkonto aus. Für einen Kioskrechner mit festgelegter Oberfläche ist Replace richtig. Für einen Sitzungshost, auf dem Leute produktiv arbeiten und einen Teil ihrer gewohnten Umgebung behalten sollen, ist es fast immer Merge.
Die Benutzerkonfiguration in ein Objekt legen, das am Server hängt
Der Schalter allein bewirkt nichts. Er sagt Windows nur, wo es nach Benutzereinstellungen suchen soll. Die Einstellungen selbst müssen in einem Objekt stehen, das mit der Organisationseinheit der Server verknüpft ist, und dort in der Benutzerkonfiguration. Der häufigste Fehlschlag besteht darin, den Schalter zu setzen und die gewünschten Vorgaben weiterhin in dem Objekt zu pflegen, das über der Benutzereinheit hängt.
Die Filterung prüfen, statt sie zu vermuten
Die Dokumentation ist an dieser Stelle deutlich: Du kannst die angewandten Benutzereinstellungen nicht dadurch aussteuern, dass du dem Computerobjekt die Lese- und Anwendungsrechte am Loopback-Objekt entziehst. Wer Ausnahmen für Administratoren oder für eine Testgruppe braucht, baut sie über eine eigene Organisationseinheit, über ein zweites Objekt mit höherer Priorität oder über die Zielgruppenadressierung in den Preferences.
Das Ergebnis in der Sitzung nachweisen
Ob Loopback greift, siehst du nicht im Editor, sondern am Gerät. Der Aufruf gpresult /h bericht.html erzeugt einen lesbaren Bericht mit allen angewandten Objekten und ihrer Reihenfolge, gpresult /r /scope:user reicht für die schnelle Kontrolle. Nimm einen Bericht vor der Umstellung und einen danach auf, dann hast du auch den Nachweis, dass nichts Unerwartetes weggefallen ist.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Wie die beiden Hälften ohne Loopback zusammenkommen
Ein Gerät sammelt seine Objekte in einer festen Reihenfolge ein: zuerst die lokale Richtlinie, dann die Objekte am Standort, dann die an der Domäne und zuletzt die an den Organisationseinheiten, von oben nach unten. Das zuletzt angewandte Objekt gewinnt, wenn zwei dieselbe Einstellung setzen. Dieselbe Reihenfolge wird für das Benutzerkonto ein zweites Mal durchlaufen, nur eben entlang des Pfads, an dem das Konto im Verzeichnis liegt.
Zeitlich sind das zwei getrennte Vorgänge. Die Computerkonfiguration greift beim Start, die Benutzerkonfiguration bei der Anmeldung. Danach laufen beide im Hintergrund weiter: alle 90 Minuten mit einem zufälligen Zuschlag von null bis 30 Minuten, auf Domänencontrollern alle fünf Minuten. Der Zuschlag ist kein Schönheitsfehler, sondern verhindert, dass alle Rechner gleichzeitig beim Domänencontroller anklopfen.
Zwei Werkzeuge greifen zusätzlich in diese Reihenfolge ein und machen sie unübersichtlich: die Vererbung lässt sich an einer Einheit blockieren, und eine Verknüpfung lässt sich erzwingen, sodass sie trotz Blockade und trotz späterer Objekte gilt. Beides ist legitim, beides gehört dokumentiert. Get-GPInheritance zeigt dir je Organisationseinheit, welche Verknüpfungen dort ankommen und in welchem Zustand sie sind.
Merge und Replace, an der Reihenfolge festgemacht
Die Dokumentation beschreibt den Unterschied als zwei verschiedene Aufrufe derselben Ermittlung. Im Merge-Modus wird die Liste der Objekte zunächst wie gewohnt über die Position des Benutzerkontos ermittelt, danach ein zweites Mal über die Position des Computerkontos, und die Liste des Computers wird an das Ende der Liste des Benutzers angehängt. Weil das Ende gewinnt, haben die Vorgaben des Geräts Vorrang vor denen der Person.
Im Replace-Modus entfällt der erste Aufruf ganz. Es wird nur die Liste über dem Computerkonto ermittelt und angewandt. Das klingt nach einer Kleinigkeit, ist aber der Unterschied zwischen einer Ergänzung und einem Austausch. In der Praxis heißt Merge: Die Person behält alles, was das Gerät nicht ausdrücklich anders regelt. Replace heißt: Die Person bekommt ausschließlich das, was für dieses Gerät hinterlegt ist, und sonst gar nichts.
Ein Beispiel macht den Unterschied greifbar. Eine Person hat aus ihrer Benutzereinheit eine Ordnerumleitung des Desktops auf den Dateiserver und ein verbundenes Laufwerk auf die Abteilungsablage. Auf dem Sitzungshost soll der Desktop lokal bleiben, das Abteilungslaufwerk aber weiterhin da sein. Mit Merge setzt du am Serverobjekt nur die Ordnerumleitung anders, das Laufwerk kommt weiter aus der Benutzereinheit. Mit Replace müsstest du das Laufwerk am Serverobjekt noch einmal nachbauen, sonst fehlt es.
Wo Loopback hingehört und wo es nur Arbeit macht
Die klaren Fälle sind Geräte, deren Zweck nicht von der Person abhängt, die gerade davorsitzt: Sitzungshosts der Remote Desktop Services, Kioskrechner und Informationsterminals, Rechner in Schulungsräumen und Laboren sowie Sprungserver, über die administrative Zugriffe laufen. Bei allen vieren gilt dasselbe Muster: Der Ort bestimmt, was erlaubt ist, und nicht das Konto.
Genauso klar ist der Gegenfall. Auf einem gewöhnlichen Arbeitsplatzrechner hat Loopback nichts zu suchen. Microsoft nennt für diesen Fall ausdrücklich die Empfehlung, Benutzereinstellungen weiterhin an der Einheit des Benutzerkontos festzumachen. Wer Loopback trotzdem flächendeckend aktiviert, weil es an einer Stelle geholfen hat, baut sich einen zweiten kompletten Satz an Benutzervorgaben, den ab dann jemand pflegen muss.
Dazwischen liegen die Fälle, in denen ein Gerät mehrere Zwecke gleichzeitig erfüllt, etwa ein Server, auf dem sowohl Fachanwender in Sitzungen arbeiten als auch Administratoren Werkzeuge starten. Hier lohnt es sich, das Gerät aufzuteilen, statt die Richtlinien immer weiter zu verfeinern. Zwei kleine Organisationseinheiten mit je einem klaren Objekt sind auf Dauer billiger als ein Objekt mit fünf Ausnahmen, die niemand mehr erklären kann.
Was auf der Clientseite an dieselbe Stelle tritt
In der Geräteverwaltung über Microsoft Intune gibt es die Unterscheidung zwischen Benutzer- und Gerätebereich ebenfalls, nur unter anderem Namen. Einstellungen im Einstellungskatalog tragen die Kennzeichnung Benutzer oder Gerät, und die Dokumentation beschreibt einen Fall ausdrücklich als das Gegenstück zu Loopback: Wird eine Richtlinie mit Benutzerbereich einer Gerätegruppe zugewiesen, gilt sie für alle Personen, die sich an diesem Gerät anmelden.
Für Server ändert das zunächst nichts. Sitzungshosts, Dateiserver und Domänencontroller werden in aller Regel weiter über Gruppenrichtlinien versorgt, weil sie der Domäne beigetreten sind und weil der Einstellungskatalog auf die Verwaltung von Clients zugeschnitten ist. Der Vergleich zwischen beiden Wegen lohnt sich trotzdem, sobald im Haus die Frage aufkommt, ob Arbeitsplatzrechner künftig ohne Domänenbeitritt auskommen sollen.
Wichtig ist dabei nur eines: Beide Wege nebeneinander für dieselbe Einstellung sind der schlechteste Zustand. Windows kennt zwar einen Schalter, der bei einem Konflikt der MDM-Seite den Vorrang gibt, er greift aber nicht überall. Microsoft empfiehlt deshalb, dieselbe Einstellung nicht gleichzeitig über Gruppenrichtlinien und über MDM zu setzen, weil sonst ein Rennen ohne verlässlichen Ausgang entsteht.
Dazu passende Kurse
Wenn im Team niemand sicher sagen kann, welches Objekt am Ende gewinnt, sind Kurse, in denen du die Verarbeitungsreihenfolge von Gruppenrichtlinien selbst nachbaust der schnellste Weg zu einer gemeinsamen Grundlage.
Für alles, was rund um den Sitzungshost noch dazugehört, von Profilen bis zur Veröffentlichung von Anwendungen, findest du bei Trainings für den Betrieb von Sitzungshosts und Serverdiensten den passenden Einstieg.
Wie sicher bist du beim Thema wirklich?
Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.
Wo du genau das übst
Danke an Trainer Sven, welcher ein sehr detailliertes und fachliches KnowHow besitzt.
Ich beziehe mich hier nur auf die Nachschlung durch Herrn Marco Jachmann. Herr Jachmann ist überaus kompetent und hat alle Inhalte professionell vermittelt.
Sehr sehr gut aufbereitete Nachschulung mit genau dem notwendigen Engagement und der erforderlichen Vorbereitung innerhalb von 48 Stunden.
Häufige Fragen
Muss die Loopback-Einstellung in dem Objekt stehen, in dem auch die Benutzervorgaben liegen?
Merge oder Replace, was nehme ich im Zweifel?
Kann ich Loopback für einzelne Personen ausnehmen?
Woran erkenne ich in einer laufenden Sitzung, dass Loopback greift?
Gilt Loopback auch für die Group Policy Preferences?
Quellen
- Microsoft Learn, Loopbackverarbeitung von Gruppenrichtlinien
- Microsoft Learn, gpresult und der Resultant Set of Policy
- Microsoft Learn, Policy CSP zu den Aktualisierungsintervallen von Gruppenrichtlinien
- Microsoft Learn, Cmdlets des GroupPolicy-Moduls
- Microsoft Learn, Benutzer- und Gerätebereich im Einstellungskatalog von Intune
Deine Ansprechpartner
Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.
Yves Hoppe
Weiterbildung & Beratung
Hilft dir, aus dem Windows Server-Programm den passenden Kurs für deinen Stand zu finden.
Norbert Jansen
Beratung & Inhouse
Plant mit dir Inhouse-Trainings, die auf eure Abläufe und euren Datenbestand zugeschnitten sind.
Gruppenrichtlinien einmal ganz durchdringen
Im Aufbaukurs zu Gruppenrichtlinien bei cmt baust du Verarbeitungsreihenfolge, Filterung und Loopback an einer eigenen Umgebung nach und siehst im Bericht, warum am Ende genau diese eine Einstellung gewinnt.
Passt dazu
- Gruppenrichtlinie greift nicht: die Verarbeitung Schritt für Schritt nachvollziehen
- Gewachsene Gruppenrichtlinien aufräumen: Bestand aufnehmen, zusammenlegen, dokumentieren
- Gruppenrichtlinien oder Intune: welche Einstellung gehört wohin
- Remote Desktop Services aufbauen: Session Host, Verbindungsbroker, Gateway und Lizenzserver