Der Benutzer ist weg, die Sitzung bleibt offen

Ein Mitarbeiter verlässt seinen Arbeitsplatz für eine kurze Rückfrage. Auf dem Bildschirm bleiben das Kundenportal und eine administrative Fernwartungssitzung geöffnet. Nach einigen Minuten wird der Monitor dunkel. Ob Windows dabei tatsächlich sperrt, weiß niemand: Energieprofil, Bildschirmschoner und alte Benutzerrichtlinien wurden unabhängig voneinander eingerichtet.

Für eine Person mit Zugang zum Gerät ist eine offene Sitzung bereits ein nutzbarer Zugriff. Sie muss weder das AD-Kennwort kennen noch eine neue Anmeldung auslösen. Deshalb gehört die Absicherung interaktiver Sitzungen zur Client-Baseline einer AD-Umgebung, auch wenn die eigentliche Sperre lokal auf Windows erfolgt.

Dieser Beitrag behandelt domänengebundene Windows-Arbeitsplätze. Er ergänzt die Begrenzung lokaler Anmelderechte auf Servern: Hier geht es um den Schutz einer erlaubten Sitzung. Domain Controller, RDS-Sitzungshosts, Kiosksysteme und Produktionssteuerungen benötigen eigene Vorgaben. Eine Arbeitsplatzrichtlinie wird nicht ungeprüft auf diese Systeme vererbt.

Eine Baseline pro Arbeitsplatzklasse

Das Zielbild verbindet drei Eigenschaften: Unbeaufsichtigte Sitzungen sperren nach einem festgelegten Zeitraum, die Rückkehr zum Desktop verlangt erneute Authentifizierung, und die Anmeldeoberfläche gibt möglichst wenig Identitätsinformation preis. Manuelles Sperren mit Windows+L bleibt Bestandteil der Arbeitsweise; die automatische Sperre fängt Versäumnisse auf.

Legen Sie die Zeiten anhand von Standort und Arbeitsablauf fest. Ein möglicher Projektstart sind zehn Minuten für gewöhnliche Bürogeräte und fünf Minuten für administrative Arbeitsplätze. Das sind Pilotwerte, keine universelle Sicherheitsnorm. Empfangsbereiche können kürzere Fristen benötigen. Lange Lesearbeiten, Assistenztechnik oder überwachte Anzeigen brauchen eine eigene Bewertung.

Dokumentieren Sie je Geräteklasse Eigentümer, Sperrfrist, erwartetes Verhalten nach Standby und zulässige Ausnahmen. Eine Ausnahme enthält betroffene Geräte, Begründung, kompensierende Maßnahmen und Ablaufdatum. Eine dauerhaft ausgeschlossene Abteilung ist keine belastbare Ausnahmeverwaltung.

Die Inaktivitätsgrenze als Computerrichtlinie setzen

Erstellen Sie eine eigene GPO für die Pilot-OU. Unter Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies > Security Options setzen Sie Interactive logon: Machine inactivity limit auf die gewünschte Frist in Sekunden, beispielsweise 600 für zehn Minuten. 0 deaktiviert diese Richtlinie; andere Sperrmechanismen können weiterhin greifen.

Berücksichtigen Sie einen aktivierten Bildschirmschoner und einen Neustart im Rollout. Bei gesetzter Inaktivitätsgrenze können auch Bildschirmschoner oder das energiebedingte Abschalten des Displays früher sperren. Prüfen Sie deshalb das Zusammenspiel am Zielgerät, statt allein den konfigurierten Sekundenwert abzunehmen.

Für Benutzer gilt ergänzend unter User Configuration > Policies > Administrative Templates > Control Panel > Personalization: Enable screen saver und Password protect the screen saver aktivieren. Wenn Sie Screen saver timeout zentral vorgeben, stimmen Sie dessen Sekundenwert mit dem Gerätekonzept ab. Verwenden Sie bei Bedarf einen freigegebenen, vorhandenen Windows-Bildschirmschoner über Force specific screen saver; keine heruntergeladenen SCR-Dateien und keinen ungeprüften Pfad verteilen.

Stellen Sie unabhängig von der Verwaltung sicher, dass ein gültiger Bildschirmschoner ausgewählt und eine Wartezeit größer als 0 wirksam ist.

Die Benutzerhälfte muss den tatsächlichen Benutzer erreichen. Eine GPO mit Benutzereinstellungen, die ausschließlich an einer Computer-OU hängt, erfüllt das ohne passende Verarbeitung nicht automatisch. Prüfen Sie Benutzer-OU, Filterung und gegebenenfalls bewusst eingesetzte Loopback-Verarbeitung. Loopback nur für eine Sperre einzuschalten, ohne seine Auswirkungen auf andere Benutzerrichtlinien zu kennen, schafft neue Fehlerquellen.

Die Anmeldeaufforderung bewusst konfigurieren

Im selben Bereich der Sicherheitsoptionen setzen Sie Interactive logon: Do not require CTRL+ALT+DEL auf Disabled, wenn die Arbeitsplatzklasse die sichere Aufmerksamkeitssequenz verwenden soll. Die doppelte Verneinung ist entscheidend: Enabled hebt die Anforderung auf. Prüfen Sie den Ablauf mit den tatsächlich eingesetzten Credential Providern, Smartcards und Eingabehilfen. Die Sequenz unterstützt einen vertrauenswürdigen Anmeldepfad, ersetzt aber weder MFA noch den Schutz eines bereits kompromittierten Geräts.

Setzen Sie außerdem Interactive logon: Don't display last signed-in auf Enabled. Damit präsentiert die Anmeldemaske nicht automatisch den zuletzt angemeldeten Benutzer. Übernehmen Sie alte Vorgaben für Interactive logon: Display user information when the session is locked nicht ungeprüft: Die Option Do not display user information wird seit Windows 10 Version 1607 nicht mehr in der früheren Form unterstützt. Prüfen Sie Anmeldung und gesperrten Desktop mit den eingesetzten Anmeldeverfahren separat; die erste Ansicht ist kein Nachweis für das Verhalten der zweiten.

Das Ausblenden erschwert beiläufiges Ablesen von Kontonamen am Gerät. Es verhindert keine Verzeichnisabfragen und macht bekannte Identitäten nicht geheim. Gemeinsame Arbeitsplätze benötigen zudem klare Hinweise zum korrekten Anmeldeformat, damit zusätzliche Eingaben nicht zu Fehlversuchen führen.

Standby darf nicht direkt zum Desktop zurückführen

Unter Computer Configuration > Policies > Administrative Templates > System > Power Management > Sleep Settings aktivieren Sie beide Richtlinien Require a password when a computer wakes: für Netz- und Akkubetrieb. Testen Sie beide Betriebsarten, das Schließen des Notebookdeckels und die Rückkehr aus dem tatsächlich verwendeten Schlafzustand.

Der Richtlinienname verwendet „password“. Welche zugelassene Methode bei der Rückkehr verfügbar ist, hängt vom Anmeldekonzept und den Credential Providern ab. Prüfen Sie deshalb auch Windows Hello for Business oder Smartcards, wenn diese vorgesehen sind. Eine anlasslose Rückkehr in die offene Sitzung darf nicht als erfolgreiche Entsperrung durchgehen.

Bei parallel verwalteten Geräten vergleichen Sie GPO und MDM-Vorgaben. Für jede Einstellung muss feststehen, welche Verwaltung sie setzt und wie Konflikte erkannt werden. Ein lokaler Registry-Wert allein erklärt weder die Herkunft noch das sichtbare Ergebnis.

Pilotabnahme mit realen Arbeitsabläufen

Nehmen Sie mindestens ein Bürogerät, ein Notebook im Akkubetrieb und einen administrativen Arbeitsplatz auf. Erfassen Sie vor der Änderung die angewendeten Computer- und Benutzerrichtlinien mit gpresult; speichern Sie Berichte nur im geschützten Projektbereich, weil sie Benutzer-, Gruppen- und Infrastrukturinformationen enthalten können. Sichern Sie zusätzlich den bisherigen GPO-Stand.

Nach Richtlinienverarbeitung und geplantem Neustart beginnt die Funktionsprüfung. Lassen Sie das Gerät ohne Eingabe stehen und messen Sie bis zur tatsächlichen Sperre. Prüfen Sie Windows+L, Bildschirmabschaltung, Standby, Wiederaufnahme und erfolgreiche Entsperrung. Wiederholen Sie den Test mit einem anderen berechtigten Benutzer, damit eine zufällige lokale Einstellung nicht als flächendeckende Wirkung gewertet wird.

Nehmen Sie auch längere Besprechungen, Präsentationen, Videowiedergabe und Assistenztechnik in den Testplan auf. Ermitteln Sie, welche Anwendungs- und Energiesparzustände den Ablauf verändern. Dokumentieren Sie das beobachtete Verhalten je Windows-Version und Geräteprofil. Eine Abnahme besteht aus Sollwert, wirkender Richtlinie und beobachtetem Ergebnis, nicht aus einem Screenshot der GPO-Konsole.

Wenn die entsprechende Überwachung aktiviert ist, können Security-Ereignisse 4800 und 4801 das Sperren und Entsperren belegen. Fehlende Ereignisse beweisen ohne geprüfte Audit-Konfiguration keine fehlende Sperre. Begrenzen Sie Zugriff und Aufbewahrung der personenbezogenen Anmeldedaten auf den betrieblichen Bedarf.

Vorteile: weniger offene Sitzungen, prüfbarer Betrieb

Automatische Sperren verkürzen das Zeitfenster, in dem ein unbeaufsichtigter Arbeitsplatz direkt nutzbar bleibt. Zentrale Vorgaben machen das Verhalten wiederholbar und erleichtern die Abnahme neuer Geräte. Ein definierter Wiederanmeldeablauf reduziert Unterschiede zwischen Netzbetrieb, Akkubetrieb und Benutzerprofilen.

Das getrennte Prüfen von Sperre, Identitätsanzeige und Rückkehr aus Standby verhindert Scheinsicherheit durch einen dunklen Monitor. Geräteklassen und befristete Ausnahmen machen betriebliche Abweichungen sichtbar, statt sie in lokalen Einstellungen verschwinden zu lassen.

Nachteile und Grenzen: Sperren beendet keine Sitzung

Zu kurze Fristen unterbrechen Arbeit und können unproduktive Umgehungsversuche provozieren. Zusätzliche Eingaben belasten besonders gemeinsam genutzte Geräte und Benutzer mit Einschränkungen. Planung, Kommunikation und ein erreichbarer Support gehören deshalb zum Rollout; die technisch kürzeste Frist ist nicht automatisch die tragfähigste.

Eine Sperre meldet den Benutzer nicht ab. Prozesse laufen weiter, und Anmeldematerial wird dadurch nicht zuverlässig aus dem Speicher entfernt. Auch Fernwartungssoftware und externe Anwendungssitzungen benötigen eigene Berechtigungen und Zeitlimits. Die Clientsperre ersetzt weder BitLocker und physischen Zugriffsschutz noch Credential Guard, starke Authentifizierung oder Serverkontrollen.

Bei einer Fehlfunktion nehmen Sie die konkret geänderten Vorgaben kontrolliert auf den dokumentierten vorherigen Zustand zurück. Not configured ist kein verlässliches pauschales Rücksetzen aller Sicherheitsoptionen; gesetzte Werte können bestehen bleiben. Prüfen Sie nach der Rücknahme erneut die effektive Richtlinie und das Anmeldeverhalten. Für einzelne Sondergeräte ist eine befristete Ausnahme besser als das Abschalten der gesamten Client-Baseline.

Projekt-Checkliste für die Freigabe

  • Arbeitsplatzklassen, Eigentümer und begründete Sperrfristen festgelegt.
  • Server, RDS, Kioske und Produktionsgeräte vom Client-Pilot abgegrenzt.
  • Eigene GPO, gesicherter Vorzustand und begrenzte Pilot-OU vorhanden.
  • Computer- und Benutzerrichtlinien erreichen die vorgesehenen Geräte und Konten.
  • Inaktivitätsgrenze, Bildschirmschoner und Bildschirmabschaltung gemeinsam geprüft.
  • Neustart sowie Anmeldung und Entsperrung mit realen Credential Providern getestet.
  • Standby-Rückkehr im Netz- und Akkubetrieb verlangt erneute Authentifizierung.
  • Identitätsanzeige bei Anmeldung und gesperrter Sitzung separat abgenommen.
  • Arbeitsabläufe, Assistenztechnik, Support und Ausnahmen berücksichtigt.
  • Wirksamkeitsnachweis, Rücknahme und regelmäßige Kontrolle dokumentiert.