Konfigurieren von Credential Guard

In diesem Artikel wird beschrieben, wie Sie Credential Guard mithilfe von Microsoft Intune, Gruppenrichtlinie oder der Registrierung konfigurieren.

Standardaktivierung

Ab Windows 11, 22H2 und Windows Server 2025 ist Credential Guard standardmäßig auf Geräten aktiviert, die die Anforderungen erfüllen.

Systemadministratoren können Credential Guard mithilfe einer der in diesem Artikel beschriebenen Methoden explizit aktivieren oder deaktivieren . Explizit konfigurierte Werte überschreiben den Standardaktivierungsstatus nach einem Neustart.

Wenn Credential Guard auf einem Gerät vor dem Update auf eine neuere Version von Windows explizit deaktiviert wurde, bei der Credential Guard standardmäßig aktiviert ist, bleibt es auch nach dem Update deaktiviert.

Aktivieren von Credential Guard

Credential Guard sollte aktiviert werden, bevor ein Gerät in eine Domäne eingebunden wird oder sich ein Domänenbenutzer zum ersten Mal anmeldet. Wenn Credential Guard nach dem Domänenbeitritt aktiviert ist, sind die Benutzer- und Gerätegeheimnisse möglicherweise bereits kompromittiert.

Zum Aktivieren von Credential Guard können Sie Folgendes verwenden:

• Microsoft Intune/MDM
• Gruppenrichtlinie
• Registrierung

Die folgenden Anweisungen enthalten Details zum Konfigurieren Ihrer Geräte. Wählen Sie die Option, die Ihren Bedürfnissen am besten entspricht.

Überprüfen, ob Credential Guard aktiviert ist

Das Überprüfen des Task-Managers, ob LsaIso.exe ausgeführt wird, ist keine empfohlene Methode, um zu bestimmen, ob Credential Guard ausgeführt wird. Verwenden Sie stattdessen eine der folgenden Methoden:

• Systeminformationen
• PowerShell
• Ereignisanzeige

Systeminformationen

Mithilfe der Systeminformationen können Sie ermitteln, ob Credential Guard auf einem Gerät ausgeführt wird.

1. Wählen Sie Start aus, geben Sie einmsinfo32.exe, und wählen Sie dann Systeminformationen aus.
2. Systemzusammenfassung auswählen
3. Vergewissern Sie sich, dass Credential Guard neben Ausgeführte virtualisierungsbasierte Sicherheitsdienste angezeigt wird.

PowerShell

Sie können PowerShell verwenden, um zu bestimmen, ob Credential Guard auf einem Gerät ausgeführt wird. Verwenden Sie in einer PowerShell-Sitzung mit erhöhten Rechten den folgenden Befehl:

(Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard).SecurityServicesRunning

Der Befehl generiert die folgende Ausgabe:

• 0: Credential Guard ist deaktiviert (wird nicht ausgeführt)
• 1: Credential Guard ist aktiviert (wird ausgeführt)

Ereignisanzeige

Führen Sie regelmäßige Überprüfungen der Geräte durch, auf denen Credential Guard aktiviert ist, mithilfe von Sicherheitsüberwachungsrichtlinien oder WMI-Abfragen.
Öffnen Sie die Ereignisanzeige (eventvwr.exe), wechseln Sie zu Windows Logs\System , und filtern Sie die Ereignisquellen für WinInit:

Credential Guard (LsaIso.exe) was started and will protect LSA credentials.

Credential Guard (LsaIso.exe) configuration: [**0x0** | **0x1** | **0x2**], **0**

Credential Guard (LsaIso.exe) is configured but the secure kernel isn't running;
continuing without Credential Guard.

Credential Guard (LsaIso.exe) failed to launch: [error code]

Error reading Credential Guard (LsaIso.exe) UEFI configuration: [error code]

Das folgende Ereignis gibt an, ob TPM für den Schlüsselschutz verwendet wird. Pfad: Applications and Services logs > Microsoft > Windows > Kernel-Boot

VSM Master Encryption Key Provisioning. Using cached copy status: 0x0. Unsealing cached copy status: 0x1. New key generation status: 0x1. Sealing status: 0x1. TPM PCR mask: 0x0.

Wenn Sie mit einem TPM ausführen, ist der Wert der TPM-PCR-Maske etwas anderes als 0.

Deaktivieren von Credential Guard

Es gibt verschiedene Optionen zum Deaktivieren von Credential Guard. Welche Option Sie auswählen, hängt davon ab, wie Credential Guard konfiguriert ist:

• Credential Guard, das auf einem virtuellen Computer ausgeführt wird, kann vom Host deaktiviert werden.
• Wenn Credential Guard mit UEFI-Sperre aktiviert ist, führen Sie die unter Deaktivieren von Credential Guard mit UEFI-Sperre beschriebenen Verfahren aus.
• Wenn Credential Guard ohne UEFI-Sperre oder als Teil des Standardmäßigen Aktivierungsupdates aktiviert ist, verwenden Sie eine der folgenden Optionen, um es zu deaktivieren:
  • Microsoft Intune/MDM
  • Gruppenrichtlinie
  • Registrierung

Die folgenden Anweisungen enthalten Details zum Konfigurieren Ihrer Geräte. Wählen Sie die Option, die Ihren Bedürfnissen am besten entspricht.

Informationen zum Deaktivieren der virtualisierungsbasierten Sicherheit (VBS) finden Sie unter Deaktivieren der virtualisierungsbasierten Sicherheit.

Deaktivieren von Credential Guard mit UEFI-Sperre

Wenn Credential Guard mit UEFI-Sperre aktiviert ist, führen Sie dieses Verfahren aus, da die Einstellungen in EFI-Variablen (Firmware) beibehalten werden.

1. Führen Sie die Schritte unter Deaktivieren von Credential Guard aus.

2. Löschen Sie die EFI-Variablen von Credential Guard mithilfe von bcdedit. Geben Sie in einer Eingabeaufforderung mit erhöhten Rechten die folgenden Befehle ein:

   mountvol X: /s
   copy %WINDIR%\System32\SecConfig.efi X:\EFI\Microsoft\Boot\SecConfig.efi /Y
   bcdedit /create {0cb3b571-2f2e-4343-a879-d86a476d7215} /d "DebugTool" /application osloader
   bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} path "\EFI\Microsoft\Boot\SecConfig.efi"
   bcdedit /set {bootmgr} bootsequence {0cb3b571-2f2e-4343-a879-d86a476d7215}
   bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} loadoptions DISABLE-LSA-ISO
   bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} device partition=X:
   mountvol X: /d
   

3. Starten Sie das Gerät neu. Vor dem Start des Betriebssystems wird eine Eingabeaufforderung angezeigt, die benachrichtigt, dass UEFI geändert wurde, und fordert eine Bestätigung auf. Die Eingabeaufforderung muss bestätigt werden, damit die Änderungen beibehalten werden.

Deaktivieren von Credential Guard für einen virtuellen Computer

Auf dem Host können Sie Credential Guard für einen virtuellen Computer mit dem folgenden Befehl deaktivieren:

Set-VMSecurity -VMName <VMName> -VirtualizationBasedSecurityOptOut $true

Deaktivieren der virtualisierungsbasierten Sicherheit

Wenn Sie virtualisierungsbasierte Sicherheit (VBS) deaktivieren, deaktivieren Sie automatisch Credential Guard und andere Features, die auf VBS basieren.

Verwenden Sie eine der folgenden Optionen, um VBS zu deaktivieren:

• Microsoft Intune/MDM
• Gruppenrichtlinie
• Registrierung

Die folgenden Anweisungen enthalten Details zum Konfigurieren Ihrer Geräte. Wählen Sie die Option, die Ihren Bedürfnissen am besten entspricht.

Wenn Credential Guard mit UEFI Lock aktiviert ist, müssen die in der Firmware gespeicherten EFI-Variablen mit dem Befehl bcdedit.exegelöscht werden. Führen Sie an einer Eingabeaufforderung mit erhöhten Rechten die folgenden Befehle aus:

bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} loadoptions DISABLE-LSA-ISO,DISABLE-VBS
bcdedit /set vsmlaunchtype off

Nächste Schritte

• Lesen Sie die Ratschläge und den Beispielcode, um Ihre Umgebung mit Credential Guard sicherer und robuster zu gestalten, im Artikel Zusätzliche Risikominderungen .
• Überlegungen und bekannte Probleme bei der Verwendung von Credential Guard