ISW GPO Analyzer Pro 5.0: Gesamtstruktur, Überschneidungen und Maßnahmenplan

Wer eine gewachsene Gesamtstruktur mit mehreren Domänen betreut, kennt das Problem: Hunderte GPOs, die sich teilweise widersprechen, doppelt konfigurieren oder seit Jahren niemand mehr anfasst. Version 5.0 des ISW GPO Analyzer Pro analysiert jetzt alle Domänen einer Gesamtstruktur in einem Durchlauf, findet zusammenlegbare GPOs und erstellt daraus einen priorisierten Maßnahmenplan.

Hintergrund: Warum gewachsene GPO-Landschaften ein Risiko sind

Gruppenrichtlinien sind das zentrale Werkzeug, um Windows-Clients und -Server sicher zu konfigurieren. In der Praxis entstehen über die Jahre aber typische Altlasten:

• Widersprüche: Zwei GPOs setzen denselben Wert unterschiedlich, und am Ende entscheidet die Verknüpfungsreihenfolge, nicht die Absicht.
• Überschneidungen: Mehrere GPOs auf derselben OU konfigurieren größtenteils dieselben Einstellungen. Das erschwert die Pflege und verlängert die Anmeldung.
• Verwaiste Objekte: GPOs ohne Verknüpfung, deaktivierte GPOs und leere Richtlinien bleiben einfach liegen.
• Unterdomänen als blinder Fleck: Viele Analysen schauen nur auf die Stammdomäne. Die Unterdomänen laufen nebenher.

Für den BSI IT-Grundschutz (Baustein APP.2.2 Active Directory Domain Services und die Client- und Server-Bausteine SYS.2.2.3 und SYS.1.2.3) muss eine sichere, nachvollziehbare Konfiguration nachgewiesen werden. Dasselbe gilt für NIS2 Art. 21 Abs. 2 (Risikomanagementmaßnahmen) und CIS Control 4 (Secure Configuration of Enterprise Assets). Mit einem unübersichtlichen GPO-Bestand ist dieser Nachweis kaum zu führen.

Die Neuerungen in Version 5.0 im Überblick

Gesamtstruktur-Analyse: alle Domänen in einem Durchlauf

Beim Start liest der GPO Analyzer die Gesamtstruktur aus und füllt die Domänenauswahl im Header. Dort stehen die Stammdomäne und alle Unterdomänen. Wählen Sie eine Domäne aus, so laufen alle Abfragen gegen deren PDC-Emulator. Dafür setzt das Tool intern -Domain und -Server für die Cmdlets der Module GroupPolicy und ActiveDirectory.

Mit der Schaltfläche Gesamtstruktur analysieren Sie mehrere Domänen nacheinander. Für jede Domäne laufen dabei:

1. Inventar, OU-Struktur und Health Check, einschließlich SYSVOL-Prüfung
2. Konfliktanalyse (Widersprüche und Überschreibungen)
3. Compliance-Prüfung gegen die gewählte Baseline (BSI, CIS oder MS)
4. Berechtigungen und Delegation
5. Überschneidungen und Altlasten
6. Maßnahmenplan

Die Gesamtübersicht zeigt je Domäne die GPO-Anzahl, den Compliance- und Health-Score, die Widersprüche, die Kandidaten zum Zusammenlegen und die offenen P1- und P2-Maßnahmen. Ist eine Domäne nicht erreichbar, bricht die Analyse nicht ab: Die Domäne erscheint als Befund mit Priorität 1 im Maßnahmenplan.

Überschneidungen: welche GPOs lassen sich zusammenlegen?

Die Überschneidungsanalyse vergleicht nur GPOs, die tatsächlich gemeinsam wirken, also auf denselben OUs oder in einer Vererbungskette verknüpft sind. Sie bewertet jedes Paar nach dem Anteil gemeinsamer Einstellungen:

Dabei berücksichtigt das Tool auch WMI-Filter und die Sicherheitsfilterung. Zwei GPOs mit gleichem Inhalt, die für unterschiedliche Gruppen gelten, schlägt es nicht zum Zusammenlegen vor, sondern weist auf den Unterschied hin. Den Schwellwert stellen Sie unter Optionen ein.

Bleibt die Liste leer, zeigt das Register die Gründe dafür an, zum Beispiel wie viele aktive GPOs und gemeinsame Geltungsbereiche es gibt, wie viele Paare verglichen wurden und wie hoch die größte gefundene Überschneidung ist. So erkennen Sie, ob es keine Überschneidungen gibt oder ob nur der Schwellwert zu hoch liegt.

Maßnahmenplan: vom Befund zur Aufgabe

Bisher mussten Administratoren aus zehn Registern selbst ableiten, was zuerst zu tun ist. Der Maßnahmenplan fasst alle Befunde zu einer Liste mit Priorität, Kategorie, betroffener GPO und konkreter Empfehlung zusammen:

Den Plan filtern Sie nach Domäne, Priorität und Kategorie und exportieren ihn als HTML, CSV oder PDF. Mit Strg+S erzeugen Sie die CSV-Datei, die sich direkt in ein Ticketsystem oder eine Aufgabenliste übernehmen lässt. Für das Audit dokumentiert der PDF-Bericht den Stand zum Analysezeitpunkt.

Praxis: So gehen Sie bei einer gewachsenen Gesamtstruktur vor

1. Voraussetzungen prüfen: Auf dem Analyse-Rechner müssen die RSAT-Module GroupPolicy und ActiveDirectory installiert sein.
2. Gesamtstruktur analysieren: Klicken Sie im Header auf „Gesamtstruktur“ und wählen Sie alle Domänen und die gewünschte Baseline.
3. P1 abarbeiten: Beheben Sie zuerst die kritischen Compliance- und Berechtigungsbefunde.
4. Widersprüche auflösen: Legen Sie fest, welche GPO den Wert verbindlich setzt, und entfernen Sie die Einstellung aus der anderen.
5. Zusammenlegen: Bauen Sie identische GPOs und Teilmengen zurück und prüfen Sie Überlappungen einzeln.
6. Erneut analysieren: Vergleichen Sie die Scores vor und nach den Änderungen, das Ergebnis dient als Nachweis.

Ob die RSAT-Module vorhanden sind und welche Domänen die Gesamtstruktur enthält, prüfen Sie vorab so:

# RSAT-Module für Gruppenrichtlinien und AD prüfen
Get-WindowsCapability -Online -Name "Rsat.GroupPolicy*", "Rsat.ActiveDirectory*" |
    Select-Object Name, State

# Domänen der Gesamtstruktur und ihre PDC-Emulatoren
(Get-ADForest).Domains | ForEach-Object {
    $d = Get-ADDomain -Server $_
    [pscustomobject]@{ Domain = $d.DNSRoot; PDC = $d.PDCEmulator
                       GPOs = (Get-GPO -All -Domain $d.DNSRoot -Server $d.PDCEmulator).Count }
}

Fallstricke

• Standard-GPOs: Die Default Domain Policy und die Default Domain Controllers Policy gibt es in jeder Domäne. Sie erscheinen deshalb bewusst nicht als domänenübergreifende Duplikate.
• Erzwungene Verknüpfungen und Vererbungssperren verändern die tatsächliche Wirkung. Prüfen Sie Grenzfälle zusätzlich mit RSOP.
• Replikation: Analysieren Sie nach Änderungen erst, wenn AD und SYSVOL repliziert haben. Sonst sieht der PDC-Emulator noch den alten Stand.

Fazit

Version 5.0 macht aus dem GPO Analyzer ein Werkzeug für ganze Gesamtstrukturen. Die Unterdomänen sind keine Nebensache mehr, Überschneidungen zeigen konkret, welche GPOs Sie zusammenlegen können, und der Maßnahmenplan sagt Ihnen, womit Sie anfangen sollten. Gerade bei gewachsenen Umgebungen mit mehreren Domänen spart das viele Stunden Handarbeit und liefert gleichzeitig die Nachweise für BSI IT-Grundschutz und NIS2.