Group Policy (GPO) – Grundlagen

Was sind Gruppenrichtlinien (GPOs)?

Gruppenrichtlinien (Group Policy Objects, kurz GPOs) sind das wichtigste Werkzeug, um Windows-Einstellungen in einer Active-Directory-Domäne zentral zu steuern. Statt auf jedem PC einzeln herumzuklicken, definierst du einmal eine Richtlinie – und sie wird automatisch auf alle zutreffenden Computer und Benutzer angewendet.

Ein GPO ist im Kern eine Sammlung von Einstellungen, die du mit einem AD-Container (Domäne, Standort oder OU) verknüpfst. Windows liest diese Einstellungen beim Start des Computers und bei der Benutzeranmeldung ein.

Typische Anwendungsfälle in einem KMU:

• Passwort-Richtlinien erzwingen (Mindestlänge, Komplexität, Ablaufdauer)
• Netzlaufwerke automatisch mappen (z.B. \\srv-datei\Projekte als P:)
• Startseite im Browser für alle setzen
• USB-Sticks und externe Datenträger sperren
• Bildschirmschoner mit Passwortsperre nach 10 Minuten
• Softwarepakete (MSI) automatisch deployen
• Firmen-Hintergrundbild oder Sperrbildschirm ausrollen
• Windows Defender Firewall-Regeln definieren
• Lokale Administratoren verwalten

Aufbau eines GPO

Jedes GPO besteht aus zwei Teilen, die auf allen Domänencontrollern gespeichert und repliziert werden:

Die SYSVOL-Replikation erfolgt via DFSR (Distributed File System Replication). Läuft die Replikation schief, wenden verschiedene DCs unterschiedliche GPO-Versionen an – ein klassischer Troubleshooting-Fall.

Innerhalb eines GPO gibt es zwei Hauptbereiche:

• Computerkonfiguration: Wird beim Start des Computers angewendet. Gilt für das Gerät, unabhängig davon, wer sich anmeldet.
• Benutzerkonfiguration: Wird bei der Anmeldung angewendet. Gilt für den angemeldeten Benutzer, unabhängig davon, an welchem PC er sitzt.

Verarbeitungsreihenfolge: LSDOU

Das Akronym LSDOU beschreibt, in welcher Reihenfolge GPOs verarbeitet werden. Jede spätere Stufe kann Einstellungen der früheren überschreiben:

1. Local – Lokale Gruppenrichtlinie direkt auf dem Gerät (gpedit.msc)
2. Site – GPOs, die mit einem AD-Standort verknüpft sind
3. Domain – GPOs auf Domänenebene (z.B. die Default Domain Policy)
4. OU – GPOs auf OU-Ebene, von oben nach unten (übergeordnete OU zuerst, dann Kind-OU)

Praktisches Beispiel: Du hast eine Domain-GPO, die den Hintergrund auf das Firmenlogo setzt. Eine OU-GPO für die Geschäftsführung setzt einen anderen Hintergrund. Die OU-GPO gewinnt – sie wird zuletzt verarbeitet und überschreibt die Domain-GPO.

Vererbung, Block Inheritance und Enforced

Die Standardeinstellung ist: GPOs werden nach unten vererbt. Eine Kind-OU erbt alle GPOs der übergeordneten OU, der Domäne und des Standorts.

Du kannst das Verhalten mit zwei Optionen steuern:

Wichtig: Enforced schlägt Block Inheritance immer. Ein Domänen-GPO mit Enforced setzt sich durch, auch wenn die Ziel-OU auf Block Inheritance gesetzt ist.

Loopback Processing: Benutzereinstellungen an den Computer binden

Normalerweise gilt: Die Benutzerkonfiguration kommt von den GPOs, die mit der OU des Benutzerkontos verknüpft sind – unabhängig davon, an welchem PC sich der User anmeldet. Auf Terminalservern (RDS), Kiosk-PCs oder in Schulungsräumen willst du oft das Gegenteil: Alle Benutzer sollen die gleichen Einstellungen bekommen, die am Computer hängen – egal, in welcher OU ihr Benutzerkonto liegt.

Genau dafür gibt es Loopback Processing:

Computerkonfiguration
  > Richtlinien
    > Administrative Vorlagen
      > System
        > Group Policy
          → "Configure user Group Policy loopback processing mode" = Aktiviert
            Modus: Zusammenführen (Merge) oder Ersetzen (Replace)

Loopback wirkt erst nach einem vollständigen Neustart des Zielsystems bzw. nach gpupdate /force plus Neuanmeldung – eine reine Hintergrundaktualisierung reicht bei Loopback-Änderungen oft nicht.

Wann werden GPOs angewendet?

• Beim PC-Start: Computerkonfiguration wird angewendet (synchron – der Start wartet auf die GPO-Verarbeitung)
• Bei der Anmeldung: Benutzerkonfiguration wird angewendet
• Im Hintergrund: Alle 90 Minuten (plus bis zu 30 Minuten zufälliger Offset) prüft der Client, ob sich GPOs geändert haben

Nicht alle GPO-Erweiterungen unterstützen Hintergrundaktualisierung. Software-Installation und Ordnerumleitung werden beispielsweise nur bei Start bzw. Anmeldung verarbeitet.

Gruppenrichtlinien-Verwaltungskonsole (GPMC)

Die GPMC (gpmc.msc) ist dein zentrales Werkzeug für alles rund um GPOs. Du installierst sie über die Remote Server Administration Tools (RSAT):

# RSAT GPO-Tools unter Windows 10/11 installieren
Add-WindowsCapability -Online -Name "Rsat.GroupPolicy.Management.Tools~~~~0.0.1.0"

In der GPMC kannst du:

• GPOs erstellen, bearbeiten, kopieren, importieren
• GPOs mit OUs, Domänen oder Standorten verknüpfen
• Vererbung und Verknüpfungsreihenfolge einstellen
• Sicherheitsfilterung konfigurieren
• WMI-Filter erstellen und zuweisen
• GPO-Resultate (RSoP) abrufen

GPO erstellen – Schritt für Schritt

1. GPMC öffnen

Win+R, dann gpmc.msc eingeben.

2. Neues GPO erstellen

Rechtsklick auf die Ziel-OU > “Gruppenrichtlinienobjekt hier erstellen und verknüpfen…”. Oder: erst unter “Gruppenrichtlinienobjekte” ein neues GPO erstellen, dann per Drag-and-drop oder Rechtsklick mit einer OU verknüpfen.

3. GPO bearbeiten

Rechtsklick auf das verknüpfte GPO > “Bearbeiten” – der Gruppenrichtlinien-Editor öffnet sich.

4. Einstellung konfigurieren (Beispiel: Bildschirmschoner)

Benutzerkonfiguration
  > Richtlinien
    > Administrative Vorlagen
      > Systemsteuerung
        > Anpassung
          → "Bildschirmschoner aktivieren" = Aktiviert
          → "Kennwortschutz für Bildschirmschoner" = Aktiviert
          → "Wartezeit für Bildschirmschoner" = 600 (Sekunden)

5. Sicherheitsfilterung prüfen

Standardmässig gilt jedes GPO für “Authentifizierte Benutzer”. Du kannst das einschränken, indem du diese Gruppe entfernst und stattdessen eine spezifische Sicherheitsgruppe einträgst.

Praxisbeispiele mit konkreten Pfaden

Netzlaufwerk per GPO mappen

Benutzerkonfiguration
  > Einstellungen
    > Windows-Einstellungen
      > Laufwerkszuordnungen
        → Neu > Zugeordnetes Laufwerk

Felder ausfüllen:

• Aktion: Erstellen
• Speicherort: \\srv-datei\Projekte
• Laufwerkbuchstabe: P
• Label: Projekte

Tipp: Nutze Item-Level Targeting, um das Laufwerk nur für bestimmte Gruppen oder Abteilungen zu mappen – ohne separate GPOs. Details dazu im nächsten Abschnitt.

USB-Sticks sperren

Computerkonfiguration
  > Richtlinien
    > Administrative Vorlagen
      > System
        > Wechselmedienzugriff
          → "Wechseldatenträger: Ausführungszugriff verweigern" = Aktiviert
          → "Wechseldatenträger: Schreibzugriff verweigern" = Aktiviert

Passwort-Richtlinie (nur auf Domänenebene!)

Computerkonfiguration
  > Richtlinien
    > Windows-Einstellungen
      > Sicherheitseinstellungen
        > Kontorichtlinien
          > Kennwortrichtlinie

Startskript per GPO ausführen

Computerkonfiguration
  > Richtlinien
    > Windows-Einstellungen
      > Skripts (Start/Herunterfahren)
        → Start > Hinzufügen

Skript-Pfad: Muss in einem UNC-Pfad liegen, auf den der Computeraccount Lesezugriff hat (oder im SYSVOL).

Group Policy Preferences (GPP): Item-Level Targeting und das MS14-025-Risiko

Seit Windows Server 2008 gibt es neben den klassischen “Richtlinien” (Policies, erzwungen und im UI meist ausgegraut) auch “Einstellungen” (Preferences, kurz GPP). Du findest sie im Gruppenrichtlinien-Editor unter Benutzer- bzw. Computerkonfiguration > Einstellungen. Der Unterschied:

Das Netzlaufwerk-Beispiel weiter oben ist bereits eine GPP. Ihre eigentliche Stärke ist Item-Level Targeting: Pro einzelnem Preference-Item lassen sich Bedingungen definieren, ohne dafür ein eigenes GPO oder eine eigene Sicherheitsgruppe zu bauen.

Item-Level Targeting einrichten

Im Preference-Item unten rechts auf “Zielsystemebene festlegen…” (Targeting-Editor) klicken. Dort kombinierst du beliebig viele Bedingungen mit UND/ODER:

• Sicherheitsgruppe
• IP-Adressbereich
• Standort (AD-Site)
• Batteriestatus (z.B. nur bei Netzbetrieb)
• WMI-Abfrage (siehe WMI-Filter-Abschnitt unten – hier aber pro Item statt für das ganze GPO)
• Organisationseinheit
• Registrierungswert

Beispiel: Ein Netzlaufwerk S: für \\srv-datei\Buchhaltung soll nur gemappt werden, wenn der User Mitglied von “GG-Buchhaltung” UND am Standort “Zürich” ist. Beides im Targeting-Editor per UND verknüpfen – ein einziges Preference-Item statt zwei GPOs.

Was du heute prüfen solltest – gerade bei über Jahre gewachsenen Domänen:

# SYSVOL nach GPP-XML-Dateien mit cpassword durchsuchen
Get-ChildItem "\\firma.local\SYSVOL\firma.local\Policies" -Recurse -Filter "*.xml" |
  Select-String -Pattern "cpassword" |
  Select-Object Path, LineNumber

Findest du Treffer: Preference-Item löschen bzw. deaktivieren und das betroffene Passwort überall ändern, wo es noch verwendet wird. Für lokale Administratorkennwörter gibt es seit Windows Server 2012 R2 die deutlich sicherere Alternative LAPS (Local Administrator Password Solution) – siehe AD Security Hardening & Tier-Modell.

WMI-Filter: GPOs anhand von Systemzustand steuern

Während Sicherheitsfilterung und Item-Level Targeting an Benutzern oder Gruppen ansetzen, filtert ein WMI-Filter ein komplettes GPO anhand von Eigenschaften des Zielcomputers – Betriebssystemversion, Architektur, installierte Rolle, Hersteller/Modell und vieles mehr. Geschrieben wird die Abfrage in WQL (WMI Query Language), einer SQL-ähnlichen Sprache.

WMI-Filter erstellst du in der GPMC unter “WMI-Filter” per Rechtsklick > “Neu”. Name, Beschreibung und Abfrage eintragen, danach am gewünschten GPO unter “Bereich” > “WMI-Filterung” zuweisen.

Praxis-Beispiele für WQL-Abfragen

-- Nur Windows 11 (Client-Betriebssystem)
SELECT * FROM Win32_OperatingSystem WHERE Version LIKE "10.0.22%" AND ProductType = "1"

-- Nur Windows Server 2022 als Mitgliedsserver (kein Domain Controller)
SELECT * FROM Win32_OperatingSystem WHERE Version LIKE "10.0.20348%" AND ProductType = "3"

-- Nur Notebooks (vorhandene Batterie deutet auf ein mobiles Gerät hin)
SELECT * FROM Win32_Battery WHERE BatteryStatus IS NOT NULL

-- Nur 64-Bit-Systeme mit mindestens 8 GB RAM
SELECT * FROM Win32_ComputerSystem WHERE TotalPhysicalMemory > 8000000000

-- Nur Geräte eines bestimmten Herstellers/Modells
SELECT * FROM Win32_ComputerSystem WHERE Manufacturer = "Dell Inc." AND Model LIKE "%Latitude%"

ProductType unterscheidet dabei: 1 = Workstation/Client, 2 = Domain Controller, 3 = Mitgliedsserver.

Ein WMI-Filter kann mehreren GPOs zugewiesen werden, ein GPO aber immer nur genau einem WMI-Filter – mehrere Bedingungen musst du daher direkt per UND/ODER in der WQL-Abfrage selbst kombinieren.

GPO testen und debuggen

Das wichtigste Troubleshooting-Werkzeug ist gpresult:

:: Zusammenfassung anzeigen (welche GPOs greifen)
gpresult /r

:: HTML-Report erstellen (sehr detailliert)
gpresult /h C:\gpo-report.html /f

:: Für einen anderen Benutzer auf diesem PC
gpresult /r /user DOMAIN\benutzername

:: GPO sofort neu einlesen erzwingen
gpupdate /force

:: Nur Computerkonfiguration aktualisieren
gpupdate /target:computer /force

:: Nur Benutzerkonfiguration aktualisieren
gpupdate /target:user /force

Per PowerShell kannst du GPO-Updates auch remote auslösen:

# GPO auf einem Remote-PC aktualisieren
Invoke-GPUpdate -Computer "PC-MUSTER-01" -Force

# Alle PCs in einer OU aktualisieren (aus GPMC: Rechtsklick auf OU > Gruppenrichtlinienaktualisierung)
# Oder per PowerShell:
Get-ADComputer -SearchBase "OU=Workstations,DC=firma,DC=local" -Filter * |
  ForEach-Object { Invoke-GPUpdate -Computer $_.Name -Force }

RSoP – Resultant Set of Policy

RSoP zeigt dir, welche Einstellungen nach allen GPO-Konflikten und Filtern tatsächlich für einen Benutzer oder Computer gelten:

:: RSoP-Konsole starten
rsop.msc

:: Oder in der GPMC: Klick auf einen User/Computer > "Gruppenrichtlinienergebnisse"

In der GPMC findest du unter “Gruppenrichtlinienergebnisse” den Assistenten, der RSoP-Daten remote von einem beliebigen PC einsammelt.

Typische Troubleshooting-Szenarien

GPO erscheint in gpresult, Einstellung gilt trotzdem nicht

Ursachen:

• Eine GPO auf niedrigerer Ebene überschreibt die Einstellung (LSDOU!)
• Die Einstellung liegt in der Benutzerkonfiguration, der PC wurde nicht neu gestartet / der User nicht neu angemeldet
• Lokale Richtlinie (gpedit.msc) überschreibt die Einstellung (selten, aber möglich bei schlecht verwalteten PCs)

:: Detaillierten Report prüfen – zeigt "Gewinnendes GPO" je Einstellung
gpresult /h C:\gpo-report.html /f

GPO erscheint gar nicht in gpresult

Ursachen:

• Benutzer/Computer liegt in der falschen OU
• Sicherheitsfilter passt nicht (Gruppe fehlt oder “Gruppenrichtlinie anwenden” nicht gesetzt)
• WMI-Filter schlägt fehl oder gibt false zurück
• SYSVOL-Replikation defekt: GPO-Version auf DC1 und DC2 stimmt nicht überein

# SYSVOL-Replikationsstatus prüfen
repadmin /showrepl

# GPO-Version auf DCs vergleichen
Get-GPO -Name "Mein GPO" | Select-Object DisplayName, Id, ModificationTime

gpupdate /force schlägt fehl

:: Detaillierten Fehlercode anzeigen
gpupdate /force /logoff /wait:0

:: Ereignisanzeige prüfen: Anwendungs- und Dienstprotokolle > Microsoft > Windows > GroupPolicy
eventvwr.msc

Im Ereignislog unter Applications and Services Logs > Microsoft > Windows > GroupPolicy findest du detaillierte Fehlermeldungen zu jeder CSE (Client-Side Extension).

GPO-Vorlagen (Administrative Vorlagen / ADMX)

Administrative Vorlagen sind XML-Dateien (.admx + .adml für die Sprachdateien), die Einstellungen in der GPO-GUI verfügbar machen. Microsoft liefert für jedes Windows-Update neue Vorlagen.

Den zentralen Vorlagenspeicher richtest du so ein:

# Verzeichnis auf dem SYSVOL erstellen
$sysvolPath = "\\firma.local\SYSVOL\firma.local\Policies\PolicyDefinitions"
New-Item -ItemType Directory -Path $sysvolPath -Force

# Vorlagen aus einem frischen Windows-11-Client kopieren (Pfade anpassen)
Copy-Item "C:\Windows\PolicyDefinitions\*" -Destination $sysvolPath -Recurse

Wichtige Vorlagen-Downloads (ADMX) für den KMU-Alltag:

• Windows 11 / Server 2022: Direkt von Microsoft als ZIP verfügbar
• Microsoft 365 Apps (Office): ADMX-Paket von www.microsoft.com/download
• Google Chrome / Edge: Eigene ADMX-Pakete der Hersteller
• Security Baselines: Microsoft Security Compliance Toolkit mit fertigen GPO-Paketen

GPO-Backup, Restore und Versionierung

Anders als AD-Objekte haben GPOs keine eingebaute Versionsverwaltung mit Rollback per Knopfdruck. Was du aber sehr wohl hast, sind Backup-GPO und Get-GPOReport – daraus baust du dir eine eigene, verlässliche Versionierung.

Einzelnes oder alle GPOs sichern

# Ein bestimmtes GPO sichern
Backup-GPO -Name "Bildschirmschoner-Policy" -Path "D:\GPO-Backups" -Comment "Vor Aenderung Wartezeit"

# Alle GPOs der Domaene sichern (z.B. taeglich per Scheduled Task)
Backup-GPO -All -Path "D:\GPO-Backups\$(Get-Date -Format yyyy-MM-dd)"

Jedes Backup landet in einem eigenen Unterordner (benannt nach einer Backup-GUID) und enthält die kompletten Einstellungen inklusive Sicherheitsfilterung – aber nicht die Verknüpfungen (Links) zu OUs. Die musst du separat dokumentieren oder per Skript wiederherstellen.

Restore

# GPO aus dem aktuellsten Backup im Ordner wiederherstellen
Restore-GPO -Name "Bildschirmschoner-Policy" -Path "D:\GPO-Backups"

# Ueber die Backup-GUID gezielt eine bestimmte Version wiederherstellen
Restore-GPO -BackupId "3f2504e0-4f89-11d3-9a0c-0305e82c3301" -Path "D:\GPO-Backups"

Lesbare Reports für Change-Dokumentation

Get-GPOReport erzeugt einen menschlich lesbaren Report – ideal für Change-Tickets oder um festzuhalten, wie eine Einstellung vor einer Änderung aussah.

# HTML-Report fuer ein einzelnes GPO
Get-GPOReport -Name "Bildschirmschoner-Policy" -ReportType HTML -Path "D:\GPO-Reports\Bildschirmschoner-Policy.html"

# XML-Reports aller GPOs auf einmal (z.B. fuer ein Git-Repo mit Diff-Historie)
Get-GPOReport -All -ReportType XML -Path "D:\GPO-Reports\alle-gpos.xml"

Jedes GPO trägt zusätzlich intern einen Versionszähler (sichtbar über Get-GPO -Name "..." | Select-Object UserVersion, ComputerVersion), der bei jeder Änderung hochgezählt wird. Das hilft vor allem beim Troubleshooting von Replikationsproblemen zwischen DCs (siehe oben) – ersetzt aber kein echtes Backup.

Delegierte GPO-Verwaltung ohne Domain Admin

In grösseren Umgebungen willst du nicht, dass jede kleine GPO-Änderung über die Domain-Admin-Gruppe laufen muss – das widerspricht dem Prinzip der geringsten Berechtigung und macht diese Gruppe zum Flaschenhals. GPMC erlaubt eine feingranulare Delegation auf drei unabhängigen Ebenen:

Per PowerShell delegieren (für viele GPOs auf einmal)

# Sicherheitsgruppe "GPO-Editoren-Buchhaltung" darf ein bestimmtes GPO bearbeiten
Set-GPPermissions -Name "Buchhaltung-Policy" -TargetName "GPO-Editoren-Buchhaltung" `
  -TargetType Group -PermissionLevel GpoEdit

# Gleiche Gruppe auf alle GPOs anwenden, die mit "Buchhaltung" beginnen
Get-GPO -All | Where-Object DisplayName -like "Buchhaltung*" | ForEach-Object {
  Set-GPPermissions -Guid $_.Id -TargetName "GPO-Editoren-Buchhaltung" `
    -TargetType Group -PermissionLevel GpoEdit
}

Verfügbare PermissionLevel-Werte:

Wichtig dabei: Wer ein GPO bearbeiten darf, kann damit potenziell Einstellungen auf sehr vielen Computern und Usern ändern – abhängig davon, wo dieses GPO überall verknüpft ist. Die Delegation der Bearbeitung ist deshalb kein Ersatz für eine durchdachte OU-Struktur mit granularer Verknüpfung, sondern ergänzt sie.

Cross-Domain-Migration mit Migration Tables

Beim Verschieben von GPOs zwischen Domänen oder Gesamtstrukturen – etwa bei einer Migration, einer Firmenübernahme oder dem Aufbau einer Test-/Staging-Domäne – reicht simples Kopieren nicht aus: GPOs referenzieren häufig Sicherheitsgruppen, Benutzer oder UNC-Pfade über SIDs bzw. Domänennamen. Diese SIDs existieren in der Zieldomäne nicht – das GPO lässt sich zwar importieren, referenziert dort aber ins Leere.

Die Werkzeuge im Überblick

Migration Table: Referenzen automatisch übersetzen

Eine Migrationstabelle (Dateiendung .migtable, im Kern eine XML-Datei) bildet Quell- auf Zielwerte ab: Die Quellgruppe “GG-Buchhaltung@firma-alt.local” wird beim Import automatisch durch “GG-Buchhaltung@firma-neu.local” ersetzt. Bearbeitet wird sie mit dem Migration Table Editor aus der GPMC, der die im GPO enthaltenen Referenzen automatisch erkennt und dir eine Vorschlagsliste zum Zuordnen liefert.

# GPO aus Backup in die Zieldomaene importieren, mit Migrationstabelle
Import-GPO -BackupGpoName "Buchhaltung-Policy" -Path "D:\GPO-Backups" `
  -TargetName "Buchhaltung-Policy" -Domain "firma-neu.local" `
  -MigrationTable "D:\GPO-Backups\buchhaltung.migtable" -CreateIfNeeded

# Alternativ: direktes Kopieren zwischen zwei erreichbaren Domaenen
Copy-GPO -SourceName "Buchhaltung-Policy" -SourceDomain "firma-alt.local" `
  -TargetName "Buchhaltung-Policy" -TargetDomain "firma-neu.local" `
  -MigrationTable "D:\GPO-Backups\buchhaltung.migtable"

Bei einer Migration mit Vertrauensstellung zwischen den beteiligten Domänen (z.B. während einer Firmenzusammenlegung) brauchst du meist zusätzlich Grundlagenwissen zu Trusts – siehe AD Trusts & Multi-Domain/Forest.

Crosslinks zu verwandten Themen

• Active Directory – Grundlagen: OU-Struktur verstehen, bevor du GPOs verknüpfst
• Active Directory – User & Gruppen: Sicherheitsgruppen für GPO-Filterung erstellen
• Windows Server – Dateifreigaben: Netzlaufwerke, die du per GPO mappen kannst
• PowerShell – IT-Alltag: Invoke-GPUpdate, Get-GPO und weitere Cmdlets
• AD Security Hardening & Tier-Modell: Delegation, LAPS und privilegierte Konten sauber trennen
• Terminalserver & RDS: Loopback Processing im Kontext einer echten RDS-Farm
• AD Trusts & Multi-Domain/Forest: Voraussetzungen für Cross-Domain-GPO-Kopien
• Git für IT-Admins: GPO-Reports versionieren statt nur wegsichern

Weiterlernen

• Gruppenrichtlinienübersicht – Microsoft Learn (DE)
• Gruppenrichtlinienverarbeitung – Microsoft Learn (DE)
• Gruppenrichtlinien-Verwaltungskonsole – Microsoft Learn (DE)
• Implementieren von GPOs – Microsoft Learn Training (DE)
• Loopback Processing of Group Policy – Microsoft Learn
• Backup-GPO – Microsoft Learn PowerShell-Referenz
• Get-GPOReport – Microsoft Learn PowerShell-Referenz
• Copying and Importing GPOs Across Domains (Migration Tables) – Microsoft Learn
• MS14-025: Vulnerability in Group Policy Preferences – Microsoft Support
• Microsoft Security Compliance Toolkit (Security Baselines)
• Gruppenrichtlinien erstellen – thomas-krenn.com Wiki