Microsoft AZ-801: Windows Server-Sicherheit und -Härtung — Lernleitfaden

By Laurynas Brazys · 7 August 2026 · #microsoft #az-801 #certification #exam-prep #study-guide

Teil des Microsoft Windows Server Hybrid Administrator Associate AZ-801 — Lernleitfaden. Üben Sie mit verifizierten Antworten im Microsoft-Prüfungscenter, oder absolvieren Sie zeitlich begrenzte Übungstests auf ExamRoll.io.

Überblick

Die Härtung von Windows Server ist ein mehrschichtiger Prozess, der die Isolierung von Identitäten, Anwendungssteuerung, die Abwehr von Exploits und Malware sowie strikte Netzwerkgrenzen in den Vordergrund stellt – konsistent durchgesetzt mit wiederholbaren Baselines. Das Ziel ist es, den Diebstahl von Anmeldeinformationen zu verhindern, die Angriffsfläche durch Default-Deny-Kontrollen zu reduzieren, böswilliges Verhalten zu erkennen und einzudämmen sowie die effektive Konfiguration durch Reporting zu überprüfen. Die unten beschriebenen Funktionen sind nativ in modernen Windows Server-Versionen enthalten und lassen sich über Gruppenrichtlinien, PowerShell und Microsoft-Sicherheitsdienste in die Verwaltung im großen Maßstab integrieren.

Schutz von Identitäten und Anmeldeinformationen

Windows Defender Credential Guard verwendet virtualisierungsbasierte Sicherheit (VBS), um Geheimnisse vom Betriebssystem zu isolieren, sodass LSASS nicht von Malware ausgelesen werden kann. Die Anforderungen für VBS umfassen UEFI 2.3.1 mit Secure Boot, hardwareunterstützte Virtualisierung (Intel VT-x/AMD-V mit SLAT) und TPM 2.0 (dringend für den Schlüsselschutz empfohlen). Verwenden Sie für VMs die Generation 2 mit Secure Boot und einem vTPM; VBS läuft unter Verwendung des Windows-Hypervisors und erfordert nicht, dass die Hyper-V-Rolle installiert ist.

Aktivieren Sie Credential Guard über die Gruppenrichtlinie: Computerkonfiguration > Administrative Vorlagen > System > Device Guard > Virtualisierungsbasierte Sicherheit aktivieren. Setzen Sie „Virtualization Based Protection of Code Integrity“ auf „Enabled“ und wählen Sie für „Credential Guard Configuration“ die Option „Enabled with Secure Boot“ (oder „with Secure Boot and DMA Protection“, wo unterstützt). Ein Neustart ist erforderlich. Überprüfen Sie in msinfo32: Virtualisierungsbasierte Sicherheit: Wird ausgeführt; Credential Guard: Ein. Ereignisse erscheinen unter Microsoft-Windows-CodeIntegrity/Operational und DeviceGuard.

Der Schutz der Local Security Authority (LSA) ergänzt Credential Guard. Konfigurieren Sie LSASS so, dass es als geschützter Prozess (PPL) ausgeführt wird, um die Injektion von unsigniertem Code selbst durch Administratoren zu blockieren. Verwenden Sie die Gruppenrichtlinie: Computerkonfiguration > Administrative Vorlagen > System > Lokale Sicherheitsautorität > LSASS so konfigurieren, dass es als geschützter Prozess ausgeführt wird. Dies setzt RunAsPPL und erzwingt, dass nur signierte, vertrauenswürdige Treiber verwendet werden. Credential Guard isoliert Geheimnisse in einem VSM-gesicherten LSAISO-Prozess; LSASS PPL härtet die Prozessgrenze von LSASS. Aktivieren Sie beides für eine tiefengestaffelte Verteidigung (Defense-in-Depth).

Privileged Access Workstations (PAW) setzen die Isolierung von Anmeldeinformationen operativ um. Führen Sie ein gestuftes Administrationsmodell (Tiered Administration Model) ein:

Tier 0: AD DS, ADFS, PKI, Identitäts- und Sicherheits-Vertrauensanker (Roots of Trust)
Tier 1: Anwendungs- und Infrastrukturserver
Tier 2: Benutzer-Workstations Jede Stufe (Tier) verwendet separate Administratorkonten und dedizierte PAWs. PAWs werden mit Credential Guard, WDAC, HVCI (Speicherintegrität), SmartScreen, eingeschränktem Browsing und strengen Firewall-Ausgangsregeln gehärtet. Blockieren Sie Anmeldepfade über die Stufen hinweg (kein Tier-0-Administrator meldet sich an Geräten der Stufe 1 oder 2 an). Dieses Modell reduziert den „Blast Radius“ (Explosionsradius) bei einem Diebstahl von Anmeldeinformationen erheblich.

Anwendungssteuerung und Verwaltung der Angriffsfläche

Windows Defender Application Control (WDAC) erzwingt eine Default-Deny-Richtlinie für Code. Richtlinientypen umfassen eine einzelne Basisrichtlinie (SiPolicy) und optionale Zusatzrichtlinien, um Zulassungsregeln zu erweitern, ohne die Basisrichtlinie zu ändern. Moderne Windows Server unterstützen mehrere Richtlinien gleichzeitig. WDAC steuert sowohl User-Mode-Binärdateien/-Skripte als auch Kernel-Mode-Treiber. Vertrauen kann durch Microsoft-Signaturen, WHQL, den Windows Store, Ihr unternehmenseigenes Code-Signing-Zertifikat, einen Datei-Hash, Herausgeber-/Dateiattribute oder einen Managed Installer definiert werden, der bereitgestellten Code als vertrauenswürdig kennzeichnet. Stellen Sie die Richtlinie zuerst im Audit-Modus (Überwachungsmodus) bereit, um Ereignisse zu sammeln, und wechseln Sie dann in den Enforced-Modus (Erzwingungsmodus), um zu blockieren. Erstellen Sie Richtlinien mit dem ConfigCI PowerShell-Modul: New-CIPolicy -Level Publisher -FilePath .\Base.xml -UserPEs 1; Merge-CIPolicy zur Konsolidierung; Set-CIPolicyIdInfo zum Stempeln von Richtlinien-IDs; ConvertFrom-CIPolicy zum Generieren der signierten .p7b-Datei; stellen Sie sie unter %SystemRoot%\System32\CodeIntegrity\SiPolicy.p7b oder über Gruppenrichtlinien bereit. WDAC kann auch die Verwendung und Registrierung von COM-Klassen einschränken, um bösartigen COM-Missbrauch zu verhindern.

Der Exploit-Schutz bietet Prozess-Mitigationen global und pro Anwendung. Zu den systemweiten Mitigationen gehören DEP, ASLR (erzwungene Neuanordnung, Bottom-up-Randomisierung, hohe Entropie), CFG, SEHOP sowie strikte Richtlinien für Handles und das Laden von Images. Außerkraftsetzungen auf App-Ebene ermöglichen eine granulare Abstimmung, wie z. B. das Aktivieren/Deaktivieren der Erstellung von untergeordneten Prozessen (Child Process Creation), der Filterung von Exportadressen (Export Address Filtering) oder des Schutzes vor beliebigem Code (Arbitrary Code Guard) für eine bestimmte ausführbare Datei. Die Verwaltung erfolgt über die Windows-Sicherheits-App (App- & Browsersteuerung > Exploit-Schutz) oder PowerShell: Get-ProcessMitigation -System; Set-ProcessMitigation -System -Enable CFG; Set-ProcessMitigation -Name app.exe -Disable ChildProcess. Exportieren/Importieren Sie XML zur Skalierung: Export-ProcessMitigation und Import-ProcessMitigation. Wenn eine Branchenanwendung (Line-of-Business-App) untergeordnete Prozesse erstellen muss, erstellen Sie eine anwendungsspezifische Außerkraftsetzung, die diese Mitigation nur für die betreffende ausführbare Datei deaktiviert.

Regeln zur Verringerung der Angriffsfläche (Attack Surface Reduction, ASR) blockieren Malware-Techniken auf der Verhaltensebene. Konfigurieren Sie jede Regel im Block-, Audit- oder Warn-Modus. Gängige Regel-IDs sind:

D4F940AB-401B-4EFC-AADC-AD5F3C50688A: Blockieren der Erstellung von untergeordneten Prozessen durch Office-Anwendungen
3B576869-A4EC-4529-8536-B80A7769E899: Blockieren der Erstellung von ausführbaren Inhalten durch Office-Anwendungen
75668C1F-73B5-4CF0-BB93-3ECF5CB7CC84: Blockieren der Code-Injektion von Office-Anwendungen in andere Prozesse
BE9BA2D9-53EA-4CDC-84E5-9B1EEEE46550: Blockieren von ausführbaren Inhalten aus E-Mail- und Webmail-Clients
D3E037E1-3EB8-44C8-A917-57927947596D: Blockieren des Startens von heruntergeladenen ausführbaren Dateien durch JavaScript/VBScript
5BEB7EFE-FD9A-4556-801D-275E5FFC04CC: Blockieren der Ausführung von potenziell verschleierten Skripten
D1E49AAC-8F56-4280-B9BA-993A6D77406C: Blockieren von Prozesserstellungen, die von PSExec- und WMI-Befehlen ausgehen
01443614-CD74-433A-B99E-2ECDC07BFC25: Blockieren von ausführbaren Dateien, es sei denn, sie erfüllen Kriterien hinsichtlich Verbreitung, Alter oder einer Liste vertrauenswürdiger Dateien
9E6C4E1F-7D60-472F-BA1A-A39EF669E4B2: Blockieren des Diebstahls von Anmeldeinformationen aus LSASS Verwaltung mit PowerShell: Set-MpPreference -AttackSurfaceReductionRules_Ids <kommagetrennte GUIDs> -AttackSurfaceReductionRules_Actions Enabled|AuditMode|Warn|Disabled. Definieren Sie Prozess-/Dateiausnahmen, die nur für ASR gelten, mit -AttackSurfaceReductionOnlyExclusions. Melden Sie Ereignisse in der Ereignisanzeige unter Microsoft-Windows-Windows Defender/Operational und, bei Anbindung an Microsoft Defender for Endpoint, in den Tabellen der erweiterten Suche (Advanced Hunting) (DeviceEvents, DeviceSecurityEvents) mit expliziten ASR-Regel-IDs.

Der überwachte Ordnerzugriff (Controlled Folder Access, CFA) verhindert Ransomware, indem er nicht vertrauenswürdigen Prozessen das Schreiben in geschützte Ordner verwehrt. Standardmäßig sind die Benutzerprofilordner Dokumente, Bilder, Desktop, Favoriten und weitere geschützt; Sie können benutzerdefinierte Pfade hinzufügen (einschließlich Datenvolumes, die Anwendungsfreigaben hosten). Erlauben Sie bestimmten Branchenanwendungen (Line-of-Business-Binaries) das Schreiben über „Zugelassene Apps“. Die Verwaltung erfolgt mit Set-MpPreference -EnableControlledFolderAccess Enabled|AuditMode; -ControlledFolderAccessProtectedFolders; -ControlledFolderAccessAllowedApplications. Überwachen Sie Blockierungen in den Windows Defender-Ereignisprotokollen und passen Sie die zugelassenen Apps auf der Grundlage von Fakten an, nicht auf Vermutungen.

Endpunktschutz und Baselines

Windows Defender Antivirus auf Servern bietet Echtzeitschutz sowie geplante und On-Demand-Scans. Zu den Scantypen gehören Schnell, Vollständig und Benutzerdefiniert; planen Sie Definitions-, Engine- und Plattform-Updates über Gruppenrichtlinien oder WSUS. Verwenden Sie MpCmdRun.exe -Scan -ScanType 2 für einen vollständigen Scan oder PowerShell Start-MpScan -ScanType Quick. Konfigurieren Sie Ausschlüsse (Pfade, Prozesse, Erweiterungen) mit Set-MpPreference -ExclusionPath/-ExclusionProcess/-ExclusionExtension, aber minimieren Sie die Ausschlüsse und bevorzugen Sie präzise, prozessbasierte Einträge; kombinieren Sie dies mit ASR und WDAC, um kompensierende Risiken zu vermeiden. Der Manipulationsschutz (Tamper Protection) verhindert nicht autorisierte Änderungen an Defender-Einstellungen (Registrierung und WMI) durch Malware oder lokale Administratoren; verwalten Sie ihn zentral über die Sicherheits-Einstellungsverwaltung von Microsoft Defender for Endpoint für Server. Aktivieren Sie den cloudbasierten Schutz (MAPS) und die automatische Übermittlung von Beispielen, um neu auftretende Bedrohungen schnell zu blockieren; überprüfen Sie dies mit Get-MpComputerStatus (AMServiceEnabled, AntispywareSignatureLastUpdated, IsTamperProtected, CloudProtectionEnabled).

Sicherheits-Baselines implementieren bewährte Härtungsmaßnahmen für den skalierbaren Einsatz. Verwenden Sie das Microsoft Security Compliance Toolkit (MSCT), um Windows Server-Baselines (GPO-Backups und Dokumentation) herunterzuladen. Importieren Sie Baseline-GPOs über die Gruppenrichtlinienverwaltung (Rechtsklick auf Gruppenrichtlinienobjekte > Einstellungen importieren) oder wenden Sie sie lokal mit LGPO.exe an. Validieren Sie die Einstellungen zuerst in einer Test-OU. Verwenden Sie den Policy Analyzer (Teil des MSCT), um aktuelle GPOs und lokale Richtlinien mit der Baseline zu vergleichen, Konflikte zu identifizieren und Abweichungsberichte zu erstellen. Dokumentieren Sie alle beabsichtigten Abweichungen mit einer geschäftlichen Begründung und über die Änderungssteuerung (Change Control), und führen Sie nach Patch-Zyklen erneut Vergleiche durch, um ein Bewusstsein für Abweichungen (Drift) zu erhalten.

Netzwerk- und Richtliniendurchsetzung

Die Windows Defender Firewall mit erweiterter Sicherheit ist zustandsbehaftet und profilabhängig. Setzen Sie das Prinzip der geringsten Rechte (Least Privilege) durch, indem Sie eingehenden Verkehr standardmäßig blockieren (Default-Deny) und explizite Freigaben für notwendige Dienste erteilen. Der Geltungsbereich sollte dabei auf Remote-Adressen, Schnittstellen und Benutzer-/Dienst-SIDs beschränkt sein. Verwenden Sie nach Möglichkeit Diensthärtungsregeln, um den Datenverkehr an den korrekten Dienst zu binden, nicht nur an einen Port. Ausgehende Regeln sollten für Server definiert werden, die Verbindungen zu eingeschränkten Zielen initiieren, um laterale Bewegungen und unbefugten ausgehenden Datenverkehr (Egress) zu verhindern. Verbindungssicherheitsregeln fügen dem Datenverkehr IPsec (Authentifizierung, Integrität und optional Verschlüsselung) hinzu; denken Sie daran, dass diese keine Ports öffnen – kombinieren Sie sie mit Firewall-Regeln. Für eine starke, interoperable Authentifizierung über Domänen und Arbeitsgruppen hinweg verwenden Sie die Computerzertifikat-Authentifizierung. Konfigurieren Sie IPsec-Ausnahmen, wenn Diagnosetools wie tracert unverschlüsselt bleiben müssen (WFAS > Eigenschaften > IPsec-Einstellungen > IPsec-Ausnahmen). Wenden Sie die Profile „Domäne“, „Privat“ und „Öffentlich“ entsprechend an; Serverschnittstellen, die mit nicht vertrauenswürdigen Segmenten verbunden sind, sollten das öffentliche Profil verwenden. Aktivieren Sie Remoteverwaltungsszenarien nur mit gezielten Regelgruppen (z. B. COM+-Netzwerkzugriff (DCOM-In) und Remotereignisprotokollverwaltung für die Computerverwaltung über DCOM und den Zugriff auf Ereignisprotokolle).

Verstehen Sie, wie die lokale Sicherheitsrichtlinie und die Gruppenrichtlinie interagieren. Die lokale Sicherheitsrichtlinie (secpol.msc) ist die grundlegende Ebene, aber Domänen-GPOs überschreiben sie gemäß der LSDOU-Verarbeitung: Local, Site, Domain, dann OU (der letzte Schreibvorgang pro Einstellung gewinnt). Einige Sicherheitseinstellungen werden zusammengeführt (z. B. aggregieren Benutzerrechtezuweisungen Einträge für „Verweigern“ und „Zulassen“ mit Vorrangregeln). Verwenden Sie den resultierenden Richtliniensatz (RSoP) über gpresult /r (oder gpresult /h report.html) und den Gruppenrichtlinienergebnis-Assistenten, um die effektive Konfiguration anzuzeigen, einschließlich des angewendeten GPOs und WMI-Filters. Bei der Fehlerbehebung von Sicherheitseinstellungen (Defender, Firewall, WDAC-Staging, LSA-Schutz) überprüfen Sie immer das angewendete GPO und seine Vorrangkette und führen Sie nach Änderungen gpupdate /force aus.

Praktisches Problemszenario

Die Contoso Ltd. führt eine neue HR-Anwendung auf Windows Server 2022 ein, die auf eine Datenfreigabe schreibt und Hilfsprozesse für das Reporting startet. Die Sicherheitsleitung fordert Widerstandsfähigkeit gegen Ransomware, die Verhinderung von Diebstahl von Anmeldeinformationen und eine standardmäßige Ausführungsblockierung (Default-Deny) auf Tier-1-Servern, ohne die HR-Anwendung zu stören.

Identitätsgrenze mit Credential Guard und LSA-Schutz einrichten

Aktion: Konfigurieren Sie „Virtualisierungsbasierte Sicherheit aktivieren“ (Credential Guard mit Secure Boot) und „LSASS als geschützten Prozess ausführen“ über ein gehärtetes GPO „Tier 1 – Server Security“, das auf die OU der HR-Server angewendet wird.
Warum: Geheimnisse können nicht aus LSASS ausgelesen werden, und PPL (Protected Process Light) verhindert Code-Injection, was die Auswirkungen einer Serverkompromittierung reduziert.

Anwendungs-Allow-Listing mit WDAC im Überwachungsmodus erzwingen, dann scharfschalten

Aktion: Erstellen Sie eine Basis-WDAC-Richtlinie mit New-CIPolicy auf den Ebenen „Publisher“ und „FilePublisher“ von einem Gold-Build, auf dem die HR-App gehostet wird; fügen Sie den „Managed Installer“ hinzu, um der unternehmensweiten Softwareverteilung zu vertrauen; signieren und verteilen Sie die Richtlinie im Überwachungsmodus (Audit Mode) und wechseln Sie nach Überprüfung der Ereignisse in den erzwungenen Modus (Enforced Mode).
Warum: WDAC bietet eine standardmäßige Blockierung (Default-Deny) für nicht autorisierte Binärdateien, Skripte und Treiber, während die HR-App und verwaltete Bereitstellungen sicher zugelassen werden.

Exploit-Schutzmaßnahmen pro App anpassen

Aktion: Wenden Sie systemweit CFG/ASLR global an; für die ausführbare Datei des HR-Reportings setzen Sie eine anwendungsspezifische Außerkraftsetzung, um die Erstellung von untergeordneten Prozessen mit Set-ProcessMitigation -Name hrreport.exe -Disable ChildProcess zu erlauben, während andere Schutzmaßnahmen aktiviert bleiben.
Warum: Hält die Exploit-Härtung allgemein aktiv, während ein legitimes Anwendungsverhalten, auf das sich der Betrieb beruft, berücksichtigt wird.

Gängige Angriffstechniken mit ASR-Regeln und gezielten Ausschlüssen blockieren

Aktion: Aktivieren Sie wichtige ASR-Regeln im Blockierungsmodus (z. B. D4F940AB… zur Blockierung von untergeordneten Office-Prozessen, 9E6C4E1F… zur Blockierung des Diebstahls von Anmeldeinformationen aus LSASS, 01443614… für Vertrauen basierend auf Verbreitung/Alter) und setzen Sie anfangs problematische Regeln auf „Überwachen“ (Audit); fügen Sie bei Bedarf einen spezifischen -AttackSurfaceReductionOnlyExclusions für die signierte Binärdatei der HR-App hinzu.
Warum: ASR reduziert den Missbrauch von Makros, Skripten und „Living-off-the-Land“-Techniken, ohne die Abwehrmaßnahmen pauschal zu schwächen; Ausschlüsse sind präzise und gelten nur für ASR.

Datenpfade mit überwachtem Ordnerzugriff schützen

Aktion: Aktivieren Sie den überwachten Ordnerzugriff (Controlled Folder Access, CFA) im Blockierungsmodus; fügen Sie den Pfad der HR-Datenfreigabe und die Anwendungsdatenordner zu den geschützten Ordnern hinzu; fügen Sie die Binärdateien der HR-App als erlaubte Apps basierend auf dem signierten Pfad hinzu.
Warum: Verhindert die unbefugte Verschlüsselung oder Manipulation geschäftskritischer Daten durch nicht vertrauenswürdige Prozesse und bietet Widerstandsfähigkeit gegen Ransomware.

Antiviren-Status und Cloud-Schutz bestätigen

Aktion: Stellen Sie sicher, dass Echtzeitschutz, cloudbasierter Schutz und die Übermittlung von Beispieldateien aktiviert sind; planen Sie vollständige Scans außerhalb der Geschäftszeiten; überprüfen Sie Get-MpComputerStatus; beschränken Sie Ausschlüsse nur auf den Prozess der HR-App, falls dies zwingend erforderlich ist.
Warum: Sorgt für eine aktuelle Erkennung bei minimaler Vergrößerung der Angriffsfläche.

Netzwerkebene absichern

Aktion: Konfigurieren Sie nur die für den HR-Dienst erforderlichen eingehenden Regeln mit Geltungsbereich auf Dienst-SIDs; definieren Sie minimale ausgehende Regeln zu Datenbanken und Update-Endpunkten; wenn der Server-zu-Server-Verkehr verschlüsselt werden soll, fügen Sie Verbindungssicherheitsregeln mit Zertifikatauthentifizierung hinzu; fügen Sie IPsec-Ausnahmen für Diagnosezwecke wie tracert hinzu.
Warum: Präzise, nur auf Freigaben basierende Netzwerkregeln und IPsec verhindern laterale Bewegungen und das Abhören von Daten, während notwendige Betriebsabläufe erhalten bleiben.

Baseline erstellen und überprüfen

Aktion: Importieren Sie die Windows Server Security Baseline aus dem Microsoft Security Compliance Toolkit in das Tier-1-GPO, überprüfen Sie sie mit dem Policy Analyzer im Vergleich zu bestehenden GPOs und dokumentieren Sie genehmigte Abweichungen für den HR-Workload.
Warum: Gewährleistet eine umfassende Härtung über einzelne Kontrollen hinaus und ermöglicht eine messbare, berichtsfähige Compliance.

Diese Kombination wurde gewählt, um Anmeldeinformationen zu isolieren (Credential Guard, LSA PPL), die Codeausführung standardmäßig zu verweigern (WDAC), gängige Angreifertaktiken zu blockieren (ASR, Exploit-Schutz), Datenmanipulation zu verhindern (CFA), die Malware-Erkennung zu erzwingen (Defender AV mit Cloud) und Netzwerklücken zu schließen (Firewall und IPsec), wobei Baselines und Berichte für Konsistenz und Überprüfbarkeit sorgen.

Alle Domänen · Microsoft Defender for Cloud und Endpunktsicherheit →

Diese Fragen üben → · Zeitlich begrenzte Übung auf ExamRoll.io →