{"id":7336,"date":"2026-10-12T19:28:17","date_gmt":"2026-10-12T17:28:17","guid":{"rendered":"https:\/\/ekiwi.de\/?p=7336"},"modified":"2026-10-12T19:28:17","modified_gmt":"2026-10-12T17:28:17","slug":"der-protected-users-modus-in-windows-server-was-er-kann-und-warum-er-wichtig-ist","status":"publish","type":"post","link":"https:\/\/ekiwi.de\/index.php\/7336\/der-protected-users-modus-in-windows-server-was-er-kann-und-warum-er-wichtig-ist\/","title":{"rendered":"Der &#8222;Protected Users&#8220;-Modus in Windows Server: Was er kann und warum er wichtig ist?"},"content":{"rendered":"<div id=\"ez-toc-container\" class=\"ez-toc-v2_0_88 counter-hierarchy ez-toc-counter ez-toc-grey ez-toc-container-direction\">\n<div class=\"ez-toc-title-container\">\n<p class=\"ez-toc-title\" style=\"cursor:inherit\">Inhalt<\/p>\n<span class=\"ez-toc-title-toggle\"><a href=\"#\" class=\"ez-toc-pull-right ez-toc-btn ez-toc-btn-xs ez-toc-btn-default ez-toc-toggle\" aria-label=\"Toggle Table of Content\"><span class=\"ez-toc-js-icon-con\"><span class=\"\"><span class=\"eztoc-hide\" style=\"display:none;\">Toggle<\/span><span class=\"ez-toc-icon-toggle-span\"><svg style=\"fill: #999;color:#999\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\" class=\"list-377408\" width=\"20px\" height=\"20px\" viewBox=\"0 0 24 24\" fill=\"none\"><path d=\"M6 6H4v2h2V6zm14 0H8v2h12V6zM4 11h2v2H4v-2zm16 0H8v2h12v-2zM4 16h2v2H4v-2zm16 0H8v2h12v-2z\" fill=\"currentColor\"><\/path><\/svg><svg style=\"fill: #999;color:#999\" class=\"arrow-unsorted-368013\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\" width=\"10px\" height=\"10px\" viewBox=\"0 0 24 24\" version=\"1.2\" baseProfile=\"tiny\"><path d=\"M18.2 9.3l-6.2-6.3-6.2 6.3c-.2.2-.3.4-.3.7s.1.5.3.7c.2.2.4.3.7.3h11c.3 0 .5-.1.7-.3.2-.2.3-.5.3-.7s-.1-.5-.3-.7zM5.8 14.7l6.2 6.3 6.2-6.3c.2-.2.3-.5.3-.7s-.1-.5-.3-.7c-.2-.2-.4-.3-.7-.3h-11c-.3 0-.5.1-.7.3-.2.2-.3.5-.3.7s.1.5.3.7z\"\/><\/svg><\/span><\/span><\/span><\/a><\/span><\/div>\n<nav><ul class='ez-toc-list ez-toc-list-level-1 ' ><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-1\" href=\"https:\/\/ekiwi.de\/index.php\/7336\/der-protected-users-modus-in-windows-server-was-er-kann-und-warum-er-wichtig-ist\/#%E2%80%9EProtected_Users%E2%80%9C_als_Sicherheitsgruppe_fuer_verschaerfte_Schutzmassnahmen\" >&#8222;Protected Users&#8220; als Sicherheitsgruppe f\u00fcr versch\u00e4rfte Schutzma\u00dfnahmen<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-2\" href=\"https:\/\/ekiwi.de\/index.php\/7336\/der-protected-users-modus-in-windows-server-was-er-kann-und-warum-er-wichtig-ist\/#Modus_fuer_den_verstaerkten_Schutz_der_Anmeldedaten_von_Gruppenmitgliedern\" >Modus f\u00fcr den verst\u00e4rkten Schutz der Anmeldedaten von Gruppenmitgliedern<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-3\" href=\"https:\/\/ekiwi.de\/index.php\/7336\/der-protected-users-modus-in-windows-server-was-er-kann-und-warum-er-wichtig-ist\/#Kombination_aus_unterschiedlichen_erzwungenen_Massnahmen_fuer_geschuetzte_Benutzer\" >Kombination aus unterschiedlichen erzwungenen Ma\u00dfnahmen f\u00fcr gesch\u00fctzte Benutzer<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-4\" href=\"https:\/\/ekiwi.de\/index.php\/7336\/der-protected-users-modus-in-windows-server-was-er-kann-und-warum-er-wichtig-ist\/#Wichtige_Unterstuetzung_im_Kampf_gegen_Zugriffe_durch_Unbefugte\" >Wichtige Unterst\u00fctzung im Kampf gegen Zugriffe durch Unbefugte<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-5\" href=\"https:\/\/ekiwi.de\/index.php\/7336\/der-protected-users-modus-in-windows-server-was-er-kann-und-warum-er-wichtig-ist\/#Sinnvolle_Ergaenzung_zwischen_%E2%80%9EProtected_Users%E2%80%9C-Modus_und_Credential_Guard\" >Sinnvolle Erg\u00e4nzung zwischen &#8222;Protected Users&#8220;-Modus und Credential Guard<\/a><\/li><\/ul><\/nav><\/div>\n<p>W\u00e4hrend die Minimierung der Sicherheitsrisiken beim Umgang mit Serverdiensten aktuell f\u00fcr zahlreiche Organisationen ein entscheidendes Thema ist, spielt der &#8222;Protected Users&#8220;-Modus in Windows Server hierbei eine zentrale Rolle. Eine Sicherheitsgruppe mit gesch\u00fctzten Benutzern kann dadurch von einem versch\u00e4rften Schutz profitieren und dazu beitragen, den Diebstahl der Anmeldeinformationen zu vermeiden. Die Kombination aus variantenreichen Schutzma\u00dfnahmen und die Erg\u00e4nzung mit Credential Guard sind wichtige Erfolgsrezepte.<\/p>\n<h2><span class=\"ez-toc-section\" id=\"%E2%80%9EProtected_Users%E2%80%9C_als_Sicherheitsgruppe_fuer_verschaerfte_Schutzmassnahmen\"><\/span>&#8222;Protected Users&#8220; als Sicherheitsgruppe f\u00fcr versch\u00e4rfte Schutzma\u00dfnahmen<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>&#8222;<em>Protected Users<\/em>&#8220; wurde erstmals mit Windows Server 2012 R2 im Verzeichnisdienst Active Directory als integrierte Sicherheitsgruppe eingef\u00fchrt und hat sich seitdem auch als bedeutender Bestandteil der folgenden Versionen des Serverbetriebssystems etabliert. Durch die Zugeh\u00f6rigkeit zur Gruppe gelten f\u00fcr Konten in diesem Modus w\u00e4hrend der Authentifizierung versch\u00e4rfte Schutzma\u00dfnahmen. Weil die Ma\u00dfnahmen automatisch angewendet werden, ist hierf\u00fcr keine zus\u00e4tzliche Konfiguration von Gruppenrichtlinien notwendig.<\/p>\n<h2><span class=\"ez-toc-section\" id=\"Modus_fuer_den_verstaerkten_Schutz_der_Anmeldedaten_von_Gruppenmitgliedern\"><\/span>Modus f\u00fcr den verst\u00e4rkten Schutz der Anmeldedaten von Gruppenmitgliedern<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>Der &#8222;<em>Protected Users<\/em>&#8222;-Modus kann den Schutz f\u00fcr die Anmeldedaten der Gruppenmitglieder wesentlich verbessern. Wenn die Sicherheit der Daten beim Einsatz der Serverdienste eine hohe Priorit\u00e4t genie\u00dft <a href=\"https:\/\/it-nerd24.de\/server-cal\/windows-server\/\" target=\"_blank\" rel=\"noopener noreferrer\">und Organisationen hierf\u00fcr auf ein geeignetes Serverbetriebssystem setzen wollen, lohnt sich daher die Entscheidung f\u00fcr eine moderne Version von Windows Server.<\/a>\u00a0Mit den au\u00dfergew\u00f6hnlichen Schutzma\u00dfnahmen im Interesse der Sicherheitsgruppe verfolgen Unternehmen in erster Linie das Ziel, einen Diebstahl der Anmeldeinformationen zu verhindern. Dementsprechend soll eine unbefugte Wiederverwendung der Nutzerdaten so schwer wie m\u00f6glich gemacht werden.<\/p>\n<h2><span class=\"ez-toc-section\" id=\"Kombination_aus_unterschiedlichen_erzwungenen_Massnahmen_fuer_geschuetzte_Benutzer\"><\/span>Kombination aus unterschiedlichen erzwungenen Ma\u00dfnahmen f\u00fcr gesch\u00fctzte Benutzer<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>Die Kombination aus mehreren erzwungenen Schutzma\u00dfnahmen f\u00fcr &#8222;Protected Users&#8220; <a href=\"https:\/\/www.heise.de\/news\/Drei-Fragen-und-Antworten-Die-wichtigsten-Neuerungen-im-Windows-Server-2025-9932032.html\" target=\"_blank\" rel=\"noopener noreferrer\">ist entscheidend, w\u00e4hrend Organisationen aktuelle Versionen von Windows Server optimal nutzen m\u00f6chten.<\/a>\u00a0Zusammen mit dem Domain Controller setzt das Clientbetriebssystem solche Einschr\u00e4nkungen durch. Das umfasst insbesondere die folgenden Begrenzungen:<\/p>\n<ul>\n<li>Authentifizierung ausschlie\u00dflich \u00fcber Kerberos wegen Unterbindung des unsicheren Authentifizierungsverfahrens NTLM<\/li>\n<li>erzwungene AES-Verschl\u00fcsselung durch Verzicht auf RC4 und DES als alternative Verschl\u00fcsselungsverfahren<\/li>\n<li>Begrenzung der Lebensdauer des Kerberos-Berechtigungsnachweises TGT auf vier Stunden ohne M\u00f6glichkeit zur Verl\u00e4ngerung<\/li>\n<li>Deaktivierung der Credential Delegation als M\u00f6glichkeit f\u00fcr die Weitergabe der Anmeldeinformationen<\/li>\n<li>keine Zwischenspeicherung der Klartext-Anmeldeinformationen<\/li>\n<li>Verzicht auf lokale Zwischenspeicherung der NTLM-Hashwerte f\u00fcr die Authentifizierung<\/li>\n<\/ul>\n<h2><span class=\"ez-toc-section\" id=\"Wichtige_Unterstuetzung_im_Kampf_gegen_Zugriffe_durch_Unbefugte\"><\/span>Wichtige Unterst\u00fctzung im Kampf gegen Zugriffe durch Unbefugte<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>Mit der effektiven Kombination aus den zahlreichen Schutzma\u00dfnahmen tr\u00e4gt die Sonderbehandlung der &#8222;Protected Users&#8220; in Windows Server entscheidend dazu bei, unerw\u00fcnschte Zugriffe durch Unbefugte nachhaltig zu erschweren. Die Ma\u00dfnahmen <a href=\"https:\/\/www.it-administrator.de\/article-378326\" target=\"_blank\" rel=\"noopener noreferrer\">zeigen eine besonders starke Wirkung, wenn Organisationen Pass-the-Hash-Angriffe vermeiden wollen.<\/a>\u00a0Denn die au\u00dfergew\u00f6hnlichen Vorkehrungen f\u00fcr die Sicherheitsgruppe entziehen solchen Attacken die Grundlage, weil es gar nie zur Zwischenspeicherung eines NTLM-Hashwerts kommt. Somit besteht bei den gesch\u00fctzten Nutzern nicht die Gefahr, dass diese Werte missbraucht werden.<\/p>\n<h2><span class=\"ez-toc-section\" id=\"Sinnvolle_Ergaenzung_zwischen_%E2%80%9EProtected_Users%E2%80%9C-Modus_und_Credential_Guard\"><\/span>Sinnvolle Erg\u00e4nzung zwischen &#8222;Protected Users&#8220;-Modus und Credential Guard<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>Wer den &#8222;<em>Protected Users<\/em>&#8222;-Modus mit der Sicherheitsfunktion Credential Guard erg\u00e4nzt, kann von einem doppelten Schutzeffekt profitieren. Die Sicherheitsgruppe sorgt in Windows Server auf der Dom\u00e4nenebene f\u00fcr eine verbesserte Sicherheit. W\u00e4hrenddessen sch\u00fctzt Credential Guard die Anmeldeinformationen durch die Virtualisierung in abgeschotteten Bereichen auf der Betriebssystemebene.<\/p>","protected":false},"excerpt":{"rendered":"<p>Die Sicherheitsgruppe \u201eProtected Users\u201c in Active Directory bietet seit Windows Server 2012 R2 automatische, versch\u00e4rfte Schutzma\u00dfnahmen f\u00fcr Benutzerkonten. Durch die Abschaltung von NTLM, die Durchsetzung der AES-Verschl\u00fcsselung und verk\u00fcrzte TGT-Laufzeiten sch\u00fctzt sie effektiv vor Pass-the-Hash-Angriffen und Anmeldedatendiebstahl.<\/p>\n","protected":false},"author":2,"featured_media":2322,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":"","_links_to":"","_links_to_target":""},"categories":[591],"tags":[1641,1642,253,1644,1643,1645,1639,1640],"class_list":["post-7336","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-security","tag-active-directory","tag-credential-guard","tag-it-sicherheit","tag-kerberos","tag-ntlm","tag-pass-the-hash","tag-protected-users","tag-windows-server"],"_links":{"self":[{"href":"https:\/\/ekiwi.de\/index.php\/wp-json\/wp\/v2\/posts\/7336","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/ekiwi.de\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/ekiwi.de\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/ekiwi.de\/index.php\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/ekiwi.de\/index.php\/wp-json\/wp\/v2\/comments?post=7336"}],"version-history":[{"count":0,"href":"https:\/\/ekiwi.de\/index.php\/wp-json\/wp\/v2\/posts\/7336\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/ekiwi.de\/index.php\/wp-json\/wp\/v2\/media\/2322"}],"wp:attachment":[{"href":"https:\/\/ekiwi.de\/index.php\/wp-json\/wp\/v2\/media?parent=7336"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/ekiwi.de\/index.php\/wp-json\/wp\/v2\/categories?post=7336"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/ekiwi.de\/index.php\/wp-json\/wp\/v2\/tags?post=7336"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}