Neue Seite
Security – NTLMv2 Enforcement
GPO-Dokumentation / ISMS-Nachweis
🎯 Zweck der Richtlinie
Diese Gruppenrichtlinie erzwingt die Verwendung von NTLMv2 und verhindert die Nutzung der unsicheren Authentifizierungsverfahren LM und NTLMv1.
Ziel ist die Erhöhung der Authentifizierungssicherheit und die Erfüllung von Compliance-Anforderungen (ISO 27001 / BSI).
📌 GPO-Informationen
Name der GPO:
Security – NTLMv2 Enforcement
Geltungsbereich:
Alle Windows-Clients und -Server (DCs bei Bedarf separat)
Verantwortlich:
IT-Security / Domain-Administratoren
🛠 Enthaltene Richtlinien & Einstellungen
1. LAN-Manager / NTLM-Einstellungen
Pfad:
Computerkonfiguration → Windows-Einstellungen → Sicherheitseinstellungen → Lokale Richtlinien → Sicherheitsoptionen
| Richtlinie | Wert | Zweck |
|---|---|---|
| Netzwerksicherheit: LAN Manager-Authentifizierungsebene | Nur NTLMv2-Antworten senden. LM- und NTLM verweigern. | Erzwingt NTLMv2 |
| Speichern von LAN Manager-Hashwerten verhindern | Aktiviert | Entfernt unsichere LM-Hashes |
| RestrictSendingNTLMTraffic (Registry) | 2 | NTLM-Ausgehend blockieren |
| NTLMMinClientSec | 0x20000000 | 128-Bit Session Security |
| NTLMMinServerSec | 0x20000000 | 128-Bit Session Security |
🔒 Sicherheit & Risikoanalyse
| Risiko | Beschreibung | Bewertung | Maßnahme |
|---|---|---|---|
| Unsichere Authentifizierung | LM & NTLM1 leicht kompromittierbar | Hoch | NTLMv2 erzwingen |
| Pass-the-Hash / Relay | Alte Protokolle erleichtern Angriffe | Mittel | NTLMv1/LM blockieren |
| Legacy-Geräte inkompatibel | Alte Drucker/NAS benötigen NTLM1 | Niedrig–Mittel | Monitoring & Ausnahmen |
| Compliance-Verstoß | Unsichere Protokolle verletzen BSI/ISO | Hoch | Hardening-GPO |
🚀 Rollout-Plan
Phase 1 – Monitoring
NTLM-Restriktion auf „Überwachen“ setzen, Logs prüfen.
Phase 2 – Analyse
Betroffene Geräte identifizieren (Eventlog → NTLM Operational Log).
Phase 3 – Anpassung
Legacy-Geräte ersetzen oder NTLMv2 aktivieren.
Phase 4 – Rollout
GPO produktiv aktivieren (NTLMv2 only).
Phase 5 – Review
Nach 7–14 Tagen Logs prüfen, ISMS-Dokumentation aktualisieren.
📝 Änderungsprotokoll
| Datum | Änderung | Verantwortlich |
|---|---|---|
| TT.MM.JJJJ | GPO erstellt | IT-Security |
| TT.MM.JJJJ | Testphase durchgeführt | Systemadmin |
| TT.MM.JJJJ | Produktiver Rollout | Domain Admin |
| TT.MM.JJJJ | Abnahme durch ISMS | ISMS-Beauftragter |
📎 Anhänge
- Importierbare GPO-Vorlage (.txt)
- NTLM-Monitoring-Logs
- Audit-Report ISO/BSI
Diese Vorlage wurde automatisch für die Verwendung in BookStack optimiert.