Gruppenrichtlinien aufräumen: vom gewachsenen Bestand zu einem Satz, den jemand verantwortet
Die Aufnahme ist in einem Vormittag erledigt, die eigentliche Arbeit ist die Entscheidung darüber, wer künftig was verantwortet. Diese Seite ordnet beides und benennt die Stellen, an denen Aufräumaktionen regelmäßig steckenbleiben.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Niemand traut sich, etwas zu löschen, und deshalb wächst der Bestand weiter
Gruppenrichtlinien entstehen unter Zeitdruck. Ein Projekt braucht eine Einstellung, jemand legt ein Objekt an, verknüpft es und geht zum nächsten Punkt. Das Objekt heißt dann so, wie das Projekt hieß, und enthält genau eine Einstellung. Ein Jahr später ist das Projekt vorbei, das Objekt aber nicht. Nach zehn Jahren steht ein Bestand da, in dem sich Namen aus drei Verwaltungsgenerationen, zwei Umfirmierungen und einer Migration mischen.
Der teure Teil ist nicht der Speicherplatz im SYSVOL, sondern die Verarbeitungszeit bei der Anmeldung und vor allem die Zeit, die eine Fehlersuche kostet. Wenn eine Einstellung nicht greift, muss jemand die gesamte Kette nachvollziehen: Welche Objekte kommen an dieser Organisationseinheit an, welches davon gewinnt, ist irgendwo Vererbung blockiert, greift ein erzwungener Link darüber. Bei fünfzehn Objekten ist das eine halbe Stunde, bei hundertfünfzig ein Nachmittag.
Blockiert wird das Aufräumen fast nie durch fehlendes Wissen, sondern durch fehlende Zuständigkeit. Löschen darf nur, wer die Folgen verantwortet, und weil niemand für ein zehn Jahre altes Objekt geradestehen will, bleibt es stehen. Die Aufgabe ist deshalb nur zur Hälfte technisch. Die andere Hälfte besteht darin, für jedes Thema festzulegen, wer entscheidet, wer umsetzt und woran man später erkennt, warum etwas so ist, wie es ist.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Wer im Haus was entscheidet
Aufräumaktionen scheitern selten an der Technik. Sie scheitern daran, dass am Tag der Entscheidung niemand zuständig ist. Die folgende Aufteilung ordnet jede wiederkehrende Frage genau einer Stelle zu und benennt jeweils die Falle, in die Häuser an dieser Stelle regelmäßig laufen.
| Thema | Wer entscheidet | Wer setzt um | Stolperfalle |
|---|---|---|---|
| Ob ein Gruppenrichtlinienobjekt gelöscht werden darf | Die Stelle, die für das fachliche Thema hinter dem Objekt geradesteht, nicht die Person, die das Aufräumen durchführt | Der Betrieb, in zwei Schritten: erst die Verknüpfung entfernen und eine Beobachtungszeit abwarten, dann das gesicherte Objekt löschen | Es wird sofort gelöscht statt zuerst entkoppelt. Ein Objekt ohne Verknüpfung wirkt nicht mehr und lässt sich in einer Minute wieder anhängen, ein gelöschtes Objekt nur aus der Sicherung. |
| Das Namensschema und die Ordnung des Bestands | Die Architektur gemeinsam mit dem Betrieb, einmalig und schriftlich, mit einem Datum für die nächste Überprüfung | Der Betrieb über Rename-GPO und das Beschreibungsfeld, in einem Durchgang und nicht nebenbei | Das Schema gilt nur für neue Objekte. Ein halb umbenannter Bestand ist unübersichtlicher als ein durchgehend schlecht benannter, weil niemand mehr weiß, welcher Teil schon bearbeitet ist. |
| Die Verknüpfung eines Objekts mit einer Organisationseinheit | Wer die Organisationseinheit verantwortet, denn dort schlägt die Wirkung auf | Der Betrieb über New-GPLink und Set-GPLink, mit einem Eintrag im Änderungsvorgang und der Angabe, was die Verknüpfung bewirken soll | Erzwungene Verknüpfungen und blockierte Vererbung werden gesetzt, um ein akutes Problem zu lösen, und danach nie wieder angesehen. Sie sind der häufigste Grund dafür, dass eine spätere Änderung wirkungslos bleibt. |
| Der Central Store und die administrativen Vorlagen | Die Stelle, die den Verzeichnisdienst verantwortet, im Takt der Betriebssystemfassungen und nicht anlassbezogen | Der Betrieb, indem er einen frischen Ordner aufbaut, die Erweiterungen für Anwendungen einmischt und den alten Ordner als vorherige Fassung behält | Die Dateien werden über den vorhandenen Bestand kopiert. Danach erscheinen beim Öffnen eines Objekts Fehlermeldungen über doppelte Namespaces, und niemand weiß mehr, welcher Stand jetzt eigentlich gilt. |
| Wer im Verzeichnis überhaupt Objekte bearbeiten darf | Die Stelle, die auch sonst über administrative Rechte im Verzeichnis entscheidet, entlang derselben Regeln wie bei anderen Berechtigungen | Der Betrieb über Get-GPPermission und Set-GPPermission sowie über die Delegierung an der Organisationseinheit, mit einer Liste, die regelmäßig gegen den Personalstand läuft | Berechtigungen sind über Jahre an einzelne Personen vergeben worden statt an Gruppen. Beim ersten Wechsel im Team fehlt jemandem der Zugriff, und die schnelle Lösung ist wieder ein Einzelrecht. |
| Eine Meldung, dass eine Einstellung nicht mehr greift | Der Betrieb im ersten Zugriff, mit einer Eskalation an die fachlich zuständige Stelle, wenn die Einstellung selbst infrage steht | Der Betrieb, indem er zuerst einen Bericht am betroffenen Gerät aufnimmt und erst danach im Editor sucht | Es wird sofort im Objekt nachgesehen statt am Gerät gemessen. Der Bericht aus gpresult beantwortet in zwei Minuten, ob das Objekt überhaupt ankommt, und spart damit die halbe Fehlersuche. |
Ob ein Gruppenrichtlinienobjekt gelöscht werden darf
- Wer entscheidet
- Die Stelle, die für das fachliche Thema hinter dem Objekt geradesteht, nicht die Person, die das Aufräumen durchführt
- Wer setzt um
- Der Betrieb, in zwei Schritten: erst die Verknüpfung entfernen und eine Beobachtungszeit abwarten, dann das gesicherte Objekt löschen
- Stolperfalle
- Es wird sofort gelöscht statt zuerst entkoppelt. Ein Objekt ohne Verknüpfung wirkt nicht mehr und lässt sich in einer Minute wieder anhängen, ein gelöschtes Objekt nur aus der Sicherung.
Das Namensschema und die Ordnung des Bestands
- Wer entscheidet
- Die Architektur gemeinsam mit dem Betrieb, einmalig und schriftlich, mit einem Datum für die nächste Überprüfung
- Wer setzt um
- Der Betrieb über Rename-GPO und das Beschreibungsfeld, in einem Durchgang und nicht nebenbei
- Stolperfalle
- Das Schema gilt nur für neue Objekte. Ein halb umbenannter Bestand ist unübersichtlicher als ein durchgehend schlecht benannter, weil niemand mehr weiß, welcher Teil schon bearbeitet ist.
Die Verknüpfung eines Objekts mit einer Organisationseinheit
- Wer entscheidet
- Wer die Organisationseinheit verantwortet, denn dort schlägt die Wirkung auf
- Wer setzt um
- Der Betrieb über New-GPLink und Set-GPLink, mit einem Eintrag im Änderungsvorgang und der Angabe, was die Verknüpfung bewirken soll
- Stolperfalle
- Erzwungene Verknüpfungen und blockierte Vererbung werden gesetzt, um ein akutes Problem zu lösen, und danach nie wieder angesehen. Sie sind der häufigste Grund dafür, dass eine spätere Änderung wirkungslos bleibt.
Der Central Store und die administrativen Vorlagen
- Wer entscheidet
- Die Stelle, die den Verzeichnisdienst verantwortet, im Takt der Betriebssystemfassungen und nicht anlassbezogen
- Wer setzt um
- Der Betrieb, indem er einen frischen Ordner aufbaut, die Erweiterungen für Anwendungen einmischt und den alten Ordner als vorherige Fassung behält
- Stolperfalle
- Die Dateien werden über den vorhandenen Bestand kopiert. Danach erscheinen beim Öffnen eines Objekts Fehlermeldungen über doppelte Namespaces, und niemand weiß mehr, welcher Stand jetzt eigentlich gilt.
Wer im Verzeichnis überhaupt Objekte bearbeiten darf
- Wer entscheidet
- Die Stelle, die auch sonst über administrative Rechte im Verzeichnis entscheidet, entlang derselben Regeln wie bei anderen Berechtigungen
- Wer setzt um
- Der Betrieb über Get-GPPermission und Set-GPPermission sowie über die Delegierung an der Organisationseinheit, mit einer Liste, die regelmäßig gegen den Personalstand läuft
- Stolperfalle
- Berechtigungen sind über Jahre an einzelne Personen vergeben worden statt an Gruppen. Beim ersten Wechsel im Team fehlt jemandem der Zugriff, und die schnelle Lösung ist wieder ein Einzelrecht.
Eine Meldung, dass eine Einstellung nicht mehr greift
- Wer entscheidet
- Der Betrieb im ersten Zugriff, mit einer Eskalation an die fachlich zuständige Stelle, wenn die Einstellung selbst infrage steht
- Wer setzt um
- Der Betrieb, indem er zuerst einen Bericht am betroffenen Gerät aufnimmt und erst danach im Editor sucht
- Stolperfalle
- Es wird sofort im Objekt nachgesehen statt am Gerät gemessen. Der Bericht aus gpresult beantwortet in zwei Minuten, ob das Objekt überhaupt ankommt, und spart damit die halbe Fehlersuche.
Von der Aufnahme zur belastbaren Übergabe
- 01 Wie viele Objekte gibt es, und wie viele davon sind überhaupt verknüpft?
- 02 Welche wirken nur zur Hälfte, weil eine Seite im Status abgeschaltet ist?
- 03 Liegt eine vollständige Sicherung samt Liste der Verknüpfungen vor?
- 04 Sagt der Name eines Objekts, worauf es wirkt und was es tut?
- 05 Steht für jedes Thema fest, wer entscheidet und wer umsetzt?
Sechs Schritte, die sich in bestehende Abläufe einfügen
Die Reihenfolge ist wichtiger als das Tempo. Erst der Bestand, dann die Sicherung, dann die Entscheidungen. Wer mit dem Löschen anfängt, bevor er weiß, was verknüpft ist, hat am Ende ein Problem mehr als vorher.
Den Bestand maschinell aufnehmen, nicht per Screenshot
Get-GPO -All liefert dir jedes Objekt der Domäne mit Name, Kennung, Besitzer, Erstellungs- und Änderungszeit sowie dem Status. Get-GPOReport erzeugt für ein einzelnes Objekt oder für alle Objekte einen Bericht als XML oder HTML, den du auswerten und archivieren kannst. Get-GPInheritance zeigt dir je Organisationseinheit, welche Verknüpfungen dort ankommen. Aus diesen drei Aufrufen entsteht eine Tabelle, die du in einem halben Jahr genauso wieder erzeugen kannst.
Die verschiedenen Arten von Karteileichen auseinanderhalten
Ein Objekt ohne jede Verknüpfung wirkt nirgends und ist der einfachste Fall. Ein verknüpftes Objekt ohne Einstellungen wirkt ebenfalls nicht, kostet aber Verarbeitungszeit. Ein Objekt, dessen Benutzer- oder Computerseite im Status abgeschaltet ist, wirkt nur zur Hälfte. Und ein Objekt, dessen Sicherheitsfilterung auf eine gelöschte Gruppe oder dessen WMI-Filter auf eine nicht mehr existierende Bedingung zeigt, sieht aktiv aus und ist es nicht. Diese vier Fälle verlangen jeweils eine andere Entscheidung.
Vor jedem Eingriff sichern, und zwar vollständig
Backup-GPO sichert ein einzelnes Objekt oder mit dem passenden Schalter alle Objekte der Domäne in ein Verzeichnis; Restore-GPO holt ein gesichertes Objekt einschließlich seiner Kennung zurück. Wichtig ist der Unterschied zwischen Wiederherstellen und Importieren: Restore-GPO stellt dasselbe Objekt wieder her, Import-GPO überträgt nur die Einstellungen in ein anderes Objekt. Verknüpfungen sind in keinem der beiden Fälle enthalten, die musst du gesondert festhalten.
Ein Namensschema einführen, das die Frage nach dem Zweck beantwortet
Ein tragfähiges Schema nennt drei Dinge: worauf das Objekt wirkt, was es tut und welche Seite es benutzt. Etwas wie Computer-Sicherheit-Serverbasis oder Benutzer-Umgebung-Sitzungshost sagt in vier Sekunden mehr als jeder Kommentar. Nutz zusätzlich das Beschreibungsfeld für die Begründung und die Nummer des Vorgangs, aus dem das Objekt stammt. Rename-GPO ändert nur den Anzeigenamen, nicht die Kennung, ist also ungefährlich.
Zusammenlegen mit Maß, nicht bis zum letzten Objekt
Fünfzig Objekte mit je einer Einstellung sind unübersichtlich, drei Objekte mit je zweihundert Einstellungen sind es genauso. Ein brauchbares Maß ist ein Objekt je Thema und je Wirkungsbereich: die Basisabsicherung für alle Mitgliedsserver, die Oberfläche für Sitzungshosts, die Einstellungen für die verwaltete Browserlandschaft. Ein Objekt, das mehrere Themen gleichzeitig regelt, lässt sich später nicht mehr einzeln zurücknehmen.
Die Vorlagen und den Central Store in denselben Zustand bringen
Administrative Vorlagen gehören in den Central Store im SYSVOL, damit alle Verwaltungsarbeitsplätze denselben Satz sehen. Microsoft empfiehlt, dafür einen frischen Ordner aus einer Betriebssystemfassung aufzubauen, die Erweiterungen für Anwendungen hineinzumischen und den alten Ordner umzubenennen, statt in den vorhandenen Bestand hineinzukopieren. Genau dieses Vorgehen erspart dir die bekannten Fehlermeldungen über doppelt vergebene Namespaces.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Was ein Objekt überhaupt zu einer Karteileiche macht
Der offensichtlichste Fall ist das Objekt ohne Verknüpfung. Es liegt im Verzeichnis und im SYSVOL, wird aber von keinem Gerät ausgewertet. Solche Objekte entstehen, wenn jemand eine Verknüpfung entfernt, ohne das Objekt danach aufzuräumen, oder wenn ein Objekt für einen Test angelegt und nie verwendet wurde. Sie sind ungefährlich, machen aber jede Übersicht länger, als sie sein müsste.
Der unangenehmere Fall ist das Objekt, das verknüpft ist und trotzdem nichts bewirkt. Dafür gibt es mehrere Gründe: Es enthält keine Einstellungen mehr, weil jemand sie herausgenommen hat. Seine Benutzer- oder Computerseite ist im Status abgeschaltet, was Get-GPO als GpoStatus anzeigt. Seine Sicherheitsfilterung zeigt auf eine Gruppe, die es nicht mehr gibt. Oder ein WMI-Filter prüft auf eine Betriebssystemfassung, die im Haus nicht mehr läuft. Von außen sehen alle vier gleich aus.
Ein weiterer Hinweis steckt in der Ausgabe von Get-GPO selbst. Dort stehen für die Benutzer- und die Computerseite jeweils zwei Versionsstände, einer aus dem Verzeichnis und einer aus dem SYSVOL. Laufen sie auseinander, ist bei der Replikation etwas hängengeblieben oder ein Objekt wurde nur teilweise geschrieben. Ein Objekt in diesem Zustand aufzuräumen, ist der falsche erste Schritt; hier gehört zuerst die Replikation in Ordnung gebracht.
Die Aufnahme, die sich jederzeit wiederholen lässt
Eine gute Bestandsaufnahme besteht aus wenigen Aufrufen, die zusammen ein vollständiges Bild ergeben. Get-GPO -All liefert die Liste aller Objekte mit Status und Zeitstempeln. Get-GPOReport erzeugt daraus Berichte, die sich als XML maschinell durchsuchen lassen, etwa nach Objekten ohne Einstellungen. Get-GPInheritance beantwortet die umgekehrte Frage, nämlich welche Verknüpfungen an einer bestimmten Organisationseinheit ankommen und in welcher Reihenfolge.
Genau dieser zweite Blickwinkel fehlt in den meisten Aufräumaktionen. Eine Liste der Objekte sagt dir nur, was es gibt. Erst die Liste je Organisationseinheit sagt dir, was tatsächlich irgendwo ankommt, und macht die Objekte sichtbar, die zwar existieren, aber nirgends verknüpft sind. Beides gehört in dieselbe Tabelle, sonst arbeitest du dich an der falschen Hälfte ab.
Der dritte Blickwinkel ist das Gerät. Der Aufruf gpresult /h bericht.html erzeugt auf einem beliebigen Rechner einen lesbaren Bericht darüber, was dort wirklich angekommen ist, gpresult /r reicht für die Kurzfassung. Get-GPResultantSetOfPolicy schreibt dieselbe Auswertung aus PowerShell in eine Datei. Nimm dir für die wichtigsten Gerätetypen jeweils ein Beispiel und leg die Berichte ab, dann hast du vor und nach dem Aufräumen einen Vergleich, der jede Diskussion abkürzt.
Zusammenlegen, ohne neue Rätsel zu bauen
Die Versuchung, am Ende ein einziges großes Objekt zu haben, ist verständlich und trotzdem falsch. Ein Objekt, das gleichzeitig die Absicherung, die Oberfläche und die Netzwerkeinstellungen regelt, lässt sich nicht mehr teilweise zurücknehmen. Wenn eine Einstellung daraus Ärger macht, steht die Wahl zwischen dem Objekt insgesamt und gar nichts. Objekte sind die kleinste Einheit, die du an- und abschalten kannst, und diese Eigenschaft solltest du dir erhalten.
Ein Schnitt, der sich bewährt hat, verläuft entlang zweier Achsen: Wirkungsbereich und Thema. Der Wirkungsbereich ist die Gruppe von Geräten oder Konten, für die das Objekt gedacht ist, das Thema ist der fachliche Zweck. Die Kombination ergibt Objekte wie Basisabsicherung für Mitgliedsserver, Oberfläche für Sitzungshosts oder Zertifikatsverteilung für alle Clients. Jedes davon lässt sich einzeln erklären, einzeln testen und einzeln zurücknehmen.
Für neue Objekte lohnt sich der Blick auf die Starter-Objekte, die die Konsole mitbringt. Sie sind Vorlagen für die Einstellungen der administrativen Vorlagen und sorgen dafür, dass ein neues Objekt nicht bei null anfängt. New-GPO kann direkt aus einem solchen Ausgangsobjekt erzeugen. Das ist kein großer Hebel, aber es hält den Bestand in der Form, die ihr euch vorgenommen habt, und genau daran scheitern Aufräumaktionen ein Jahr später.
Warum sich die Arbeit doppelt lohnt
Ein aufgeräumter Bestand ist nicht nur angenehmer, er ist die Voraussetzung für jede weitere Entscheidung. Sobald im Haus die Frage aufkommt, ob Arbeitsplatzrechner künftig über die Cloud verwaltet werden sollen, brauchst du eine belastbare Liste dessen, was heute gesetzt wird. Intune bringt dafür ein Werkzeug mit, das exportierte Objekte einliest und je Einstellung ausweist, ob es eine Entsprechung gibt.
Für deutschsprachige Häuser gibt es dabei eine wichtige Einschränkung, die in der Dokumentation unter den bekannten Problemen steht: Das Werkzeug wertet Einstellungen außerhalb der administrativen Vorlagen nur in englischer Sprache aus. Importierst du ein Objekt mit deutschsprachigen Einstellungen, ist der ausgewiesene Prozentwert ungenau. Für die Einschätzung reicht das trotzdem, für eine Entscheidungsvorlage solltest du es dazuschreiben.
Der zweite Gewinn ist unmittelbarer. Jede Fehlersuche, jede Prüfung durch einen Wirtschaftsprüfer und jede Frage aus der Fachabteilung wird kürzer, wenn ein Objektname sagt, was das Objekt tut, und das Beschreibungsfeld sagt, warum es angelegt wurde. Diese beiden Felder kosten beim Anlegen zwanzig Sekunden und sparen später Stunden. Sie sind der einzige Teil des Aufräumens, der sich sofort auszahlt.
Dazu passende Kurse
Wenn im Haus niemand mehr erklären kann, wofür die Hälfte der Objekte da ist, schaffen Kurse, in denen du einen gewachsenen Richtlinienbestand aufräumst die Grundlage, um wieder Entscheidungen zu treffen.
Weil das Aufräumen zur Hälfte eine Frage der Zuständigkeit ist, lohnt es sich, mit Kurse für Teams, die Verzeichnis und Server gemeinsam verantworten das ganze Team auf denselben Stand zu bringen.
Wie sicher bist du beim Thema wirklich?
Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.
Wo du genau das übst
Danke an Trainer Sven, welcher ein sehr detailliertes und fachliches KnowHow besitzt.
Ich beziehe mich hier nur auf die Nachschlung durch Herrn Marco Jachmann. Herr Jachmann ist überaus kompetent und hat alle Inhalte professionell vermittelt.
Sehr sehr gut aufbereitete Nachschulung mit genau dem notwendigen Engagement und der erforderlichen Vorbereitung innerhalb von 48 Stunden.
Häufige Fragen
Wie viele Gruppenrichtlinienobjekte sind zu viele?
Kann ich ein Objekt einfach löschen, wenn es nirgends verknüpft ist?
Was ist der Unterschied zwischen Wiederherstellen und Importieren?
Bringt es etwas, in einem Objekt die ungenutzte Hälfte abzuschalten?
Wie halte ich die Ordnung, wenn das Aufräumen einmal durch ist?
Quellen
- Microsoft Learn, Cmdlets des GroupPolicy-Moduls
- Microsoft Learn, Get-GPO und die Felder eines Richtlinienobjekts
- Microsoft Learn, Central Store für administrative Vorlagen anlegen und pflegen
- Microsoft Learn, gpresult und der Resultant Set of Policy
- Microsoft Learn, Gruppenrichtlinien in Intune einlesen und auswerten
Deine Ansprechpartner
Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.
Yves Hoppe
Weiterbildung & Beratung
Hilft dir, aus dem Windows Server-Programm den passenden Kurs für deinen Stand zu finden.
Norbert Jansen
Beratung & Inhouse
Plant mit dir Inhouse-Trainings, die auf eure Abläufe und euren Datenbestand zugeschnitten sind.
Den eigenen Richtlinienbestand wieder in den Griff bekommen
Im Aufbaukurs zu Gruppenrichtlinien bei cmt gehst du Aufnahme, Delegierung, Filterung und Sicherung an einer eigenen Umgebung durch und nimmst ein Vorgehen mit, das sich im eigenen Haus wiederholen lässt.
Passt dazu
- Gruppenrichtlinie greift nicht: die Verarbeitung Schritt für Schritt nachvollziehen
- Loopbackverarbeitung in Gruppenrichtlinien: Benutzereinstellungen am Gerät festmachen
- Gruppenrichtlinien oder Intune: welche Einstellung gehört wohin
- Active Directory absichern: Tier-Modell, privilegierte Konten und saubere Delegierung