MDM vs. GPO: Ein Vergleich für die moderne Windows-Verwaltung

Gruppenrichtlinien (GPO) und Mobile Device Management (MDM) übertragen beide Einstellungen auf Windows-Geräte, erreichen sie aber auf unterschiedlichen Wegen. Gruppenrichtlinien kommen aus dem Active Directory und greifen, wenn ein Domänen-PC einen Domänencontroller erreicht. Das macht sie stark für Windows-PCs im Büro. MDM liefert Einstellungen aus der Cloud an jedes registrierte Gerät mit Internetverbindung, unter Windows, macOS, iOS, Android und Linux. Viele Organisationen betreiben beides eine Zeit lang: Die Einstellung MDMWinsOverGP lässt MDM bei den meisten Windows-Richtlinien gewinnen, die beide setzen, und die Einstellungen wandern schrittweise von GPO zu MDM.

Wenn Ihre Laptops kaum noch ins Büro kommen und Sie entscheiden müssen, was aus jahrelang gewachsenen Gruppenrichtlinien wird, vergleichen die folgenden Abschnitte beide Ansätze, erklären, was bei Überschneidungen passiert, und beschreiben eine Umstellung in Etappen.

Gruppenrichtlinienobjekte (GPO) verstehen

Gruppenrichtlinien gehören seit Windows 2000 zur Windows-Verwaltung und sind in die Active Directory Domain Services eingebaut. Ein Gruppenrichtlinienobjekt ist eine Sammlung von Einstellungen für Benutzer und Computer einer Domäne: Kennwortregeln, Softwareinstallation, Desktopkonfiguration, Sicherheitsoptionen, Skripte und Tausende registrierungsbasierte Einstellungen aus administrativen Vorlagen.

GPOs werden mit Standorten, Domänen oder Organisationseinheiten (OUs) verknüpft und nach unten vererbt. So kann eine unternehmensweite Richtlinie eine Grundlage setzen, während die OU einer Abteilung Einstellungen ergänzt oder überschreibt. Administratoren bearbeiten und verknüpfen sie in der Gruppenrichtlinienverwaltungskonsole (GPMC), und Funktionen wie Sicherheitsfilterung, WMI-Filter und Loopbackverarbeitung (für Kiosks und gemeinsam genutzte PCs) erlauben eine feine Steuerung.

Die Grenzen ergeben sich aus demselben Aufbau. Gruppenrichtlinien brauchen ein lokales Active Directory und Domänencontroller, die betrieben und gepflegt werden müssen. Ein PC aktualisiert seine Richtlinien nur, wenn er einen Domänencontroller erreicht. Ein Laptop, der monatelang ohne VPN von zu Hause arbeitet, verpasst also Änderungen. Außerdem verwalten Gruppenrichtlinien nur Windows, keine iPhones, Android-Smartphones oder Macs.

Beispiele für alltägliche Arbeit mit Gruppenrichtlinien finden Sie in den Beiträgen zum Deaktivieren der Systemsteuerung per Gruppenrichtlinie, zum Aktivieren von Remotedesktop per Gruppenrichtlinie und zum Deaktivieren einer Domänencontroller-GPO.

Mobile Device Management (MDM) im Überblick

MDM hat mit Smartphones und Tablets begonnen und deckt heute auch Laptops und Desktops ab. Geräte registrieren sich bei einem MDM-Dienst, und der Dienst sendet Einstellungen, Apps und Befehle über das Internet, jeweils über das Verwaltungsprotokoll des Betriebssystems. Unter Windows kommen MDM-Einstellungen über Konfigurationsdienstanbieter (CSPs), denselben Mechanismus, den Microsoft Intune und andere MDMs nutzen. Apple und Google stellen eigene MDM-Frameworks bereit.

Die Geräte müssen nicht in der Domäne sein. Sie registrieren sich über Microsoft Entra ID, Windows Autopilot, einen Registrierungslink oder die Anmeldung eines Benutzers und erhalten Richtlinien, wo immer sie sind. MDM umfasst außerdem Sperren und Löschen aus der Ferne, App-Verteilung, Inventar und Compliance-Berichte, und auf Smartphones trennt es Arbeits- und Privatdaten mit einem Arbeitsprofil oder der Benutzerregistrierung.

Die Kehrseite: MDM hängt von einem Clouddienst ab, und einige Gruppenrichtlinien haben keine direkte MDM-Entsprechung und brauchen stattdessen eine benutzerdefinierte Einstellung oder ein Skript.

Die wichtigsten Unterschiede zwischen MDM und GPO

Architektur und Bereitstellung

Gruppenrichtlinien hängen am Active Directory: Domänencontroller speichern die Richtlinien, und die PCs holen sie ab. MDM läuft als Dienst im Internet und arbeitet mit einem Cloud-Verzeichnis wie Microsoft Entra ID zusammen. Vor Ort müssen Sie keinen Server betreiben.

Umfang und Plattformen

Gruppenrichtlinien sind für Windows-Domänen gebaut. MDM deckt mehrere Plattformen aus einer Konsole ab, sodass sich dieselbe Regel (zum Beispiel: Verschlüsselung erforderlich) auf Windows-Laptops, Macs und Smartphones anwenden lässt, jeweils über die Einstellungen der Plattform.

Anwendung und Feinsteuerung der Richtlinien

Vererbung, Verknüpfungsreihenfolge, Sicherheitsfilterung und WMI-Filter erlauben bei Gruppenrichtlinien eine sehr genaue Zielauswahl. Große GPO-Bestände werden dadurch allerdings schwer überschaubar. MDM-Richtlinien werden Gruppen zugewiesen und sind flacher: Ein Gerät erhält die Richtlinien der Gruppen, zu denen es gehört.

Wenn MDM und Gruppenrichtlinie kollidieren: MDMWinsOverGP

Auf einem PC, der sowohl Gruppenrichtlinien als auch MDM erhält, können beide dasselbe festlegen. Microsofts Richtlinie ControlPolicyConflict/MDMWinsOverGP, verfügbar ab Windows 10 Version 1803 in Pro, Enterprise und Education, regelt das: Steht sie auf 1, blockiert jede MDM-Richtlinie im Policy-CSP, die eine entsprechende Gruppenrichtlinie hat, diese Gruppenrichtlinie, und der MDM-Wert gilt.

Zwei Grenzen übersieht man leicht. Sie gilt nur für Richtlinien im Policy-CSP, nicht für Einstellungen in anderen CSPs wie dem Defender-CSP, und Microsoft warnt, dass niemand garantiert, welche Seite gewinnt, wenn dieselbe Einstellung außerhalb ihres Geltungsbereichs an beiden Stellen gesetzt ist. Für Windows Update empfiehlt Microsoft stattdessen die Einstellung IgnoreWindowsUpdateGroupPolicies. Welche Gruppenrichtlinien auf einem PC blockiert werden, sehen Sie unter Einstellungen > Konten > Auf Arbeits- oder Schulkonto zugreifen: Wählen Sie das Geschäftskonto und erstellen Sie den erweiterten Diagnosebericht.

Schwerpunkt der Verwaltung

Gruppenrichtlinien verwalten Benutzer und Computer innerhalb einer Domäne und passen zu klassischen Büro-Desktops. MDM verwaltet Geräte und ihre Benutzer, wo immer sie sind, und passt zu Laptops, Smartphones und Tablets, die das Gebäude verlassen.

Software- und Update-Verwaltung

Gruppenrichtlinien können MSI-Pakete beim Start oder bei der Anmeldung installieren und Windows Update auf WSUS umleiten. MDM installiert Apps unbeaufsichtigt aus einem Katalog und steuert Windows-Updates über Windows Update for Business, mit Aufschüben und Fristen, ohne Update-Server.

Sicherheit und Compliance

Gruppenrichtlinien setzen Sicherheits-Baselines auf Domänen-PCs durch. MDM setzt Einstellungen wie BitLocker, Firewall und Kennwörter auf jedem registrierten Gerät durch, meldet die Compliance pro Gerät und kann diesen Status an den bedingten Zugriff weitergeben. Ein nicht konformer Laptop verliert dann den Zugriff auf Firmen-Apps, bis er in Ordnung gebracht ist.

Vor- und Nachteile im Überblick

Vorteile von Gruppenrichtlinien:

• Sehr feine Kontrolle über Windows-Einstellungen, einschließlich Tausender Einstellungen aus administrativen Vorlagen.
• Kein zusätzliches Abonnement, wenn Sie bereits Active Directory betreiben.
• Ausgereift und berechenbar auf PCs, die im Firmennetz bleiben.
• Durch die Vererbung lässt sich schnell eine Grundlage für eine ganze Domäne setzen.

Nachteile von Gruppenrichtlinien:

• Erreichen nur Domänen-PCs, die einen Domänencontroller kontaktieren können.
• Domänencontroller und der GPO-Bestand brauchen laufende Pflege.
• Nur Windows.
• Große GPO-Bestände sind schwer zu prüfen und zu debuggen.

Vorteile von MDM:

• Erreicht Geräte im Homeoffice und unterwegs, sobald sie online sind.
• Eine Konsole für Windows, Mac, iPhone, iPad und Android.
• Automatische Registrierung und Compliance-Berichte pro Gerät.
• Bessere App-Verteilung und Self-Service.

Nachteile von MDM:

• Eine Lernkurve für Administratoren, die Gruppenrichtlinien gut kennen.
• Hängt von Internetzugang und einem Clouddienst ab.
• Manche Gruppenrichtlinien haben keine direkte MDM-Entsprechung.

Einsatzszenarien: wann was passt

Gruppenrichtlinien sind weiterhin sinnvoll für Windows-PCs, die vor Ort bleiben, etwa Terminals in der Fertigung, Laborrechner oder Büro-Desktops in einem Unternehmen, das bereits Active Directory betreibt und daran nichts ändern will.

MDM passt besser, wenn Mitarbeiter remote oder hybrid arbeiten, wenn Sie neben Windows auch Macs, Smartphones oder Tablets verwalten, wenn Sie private Geräte unterstützen oder lokale Server abschaffen möchten. Viele Organisationen liegen dazwischen: Domänen-PCs, die zusätzlich im MDM registriert sind, und Einstellungen, die Gruppe für Gruppe umziehen.

Umstellung von GPO auf MDM

Der Wechsel von Gruppenrichtlinien zu MDM gelingt am besten in Etappen, nicht mit einem Schlag:

1. GPOs inventarisieren. Exportieren Sie sie aus der Gruppenrichtlinienverwaltungskonsole und entfernen Sie die, die nicht mehr gelten. Alte GPOs machen oft den Großteil der Arbeit aus.
2. MDM-Entsprechungen prüfen. Wenn Sie Intune nutzen, importiert die Gruppenrichtlinienanalyse (Geräte > Geräte verwalten > Gruppenrichtlinienanalyse) GPO-Sicherungen als XML und zeigt, welche Einstellungen MDM unterstützt. Die Übernahme in eine Richtlinie im Einstellungskatalog bezeichnet Microsoft als Best Effort, prüfen Sie das Ergebnis also. Bei anderen MDMs gleichen Sie jede Einstellung mit den CSPs der Plattform ab.
3. Geräte registrieren, während sie in der Domäne bleiben. Hybrid eingebundene oder co-verwaltete PCs können beides erhalten, sodass Sie Einstellungen umziehen, ohne Windows neu zu installieren.
4. MDMWinsOverGP aktivieren. Für Einstellungen im Policy-CSP gewinnt so in der Übergangszeit der MDM-Wert.
5. Eine Einstellungsgruppe nach der anderen umziehen. Zum Beispiel zuerst die Sicherheits-Baselines, dann Windows Update, dann Apps und Desktop-Einstellungen, jeweils zuerst in einer kleinen Pilotgruppe.
6. Alte GPOs lösen. Sobald eine Einstellungsgruppe aus dem MDM kommt und der Pilot sauber läuft, lösen Sie die Verknüpfung der passenden GPOs und behalten eine Sicherung, bis Sie sicher sind.

Einstellungen ohne MDM-Entsprechung lassen sich oft mit einem Skript aus dem MDM abdecken. Neue PCs können die Domäne ganz auslassen und über Windows Autopilot Microsoft Entra ID beitreten, siehe Autopilot vs. Intune und Intune vs. SCCM.

Verwaltung auf vielen Geräten

trio.so wendet Windows-Einstellungen über MDM an, etwa BitLocker-, Kennwort-, Firewall- und Update-Richtlinien, auf PCs, ob sie einen Domänencontroller erreichen oder nicht, und führt auf registrierten Windows-PCs Skripte für alles aus, was keine Richtlinie abdeckt. Macs, iPhones und Android-Geräte stehen in derselben Konsole. Mehr dazu unter Mobile Device Management, oder vergleichen Sie Optionen in Microsoft Intune alternatives (englisch).

Fazit

Die Wahl hängt davon ab, wo Ihre Geräte sind und was auf ihnen läuft. Gruppenrichtlinien bieten tiefe Kontrolle über Windows-PCs, die in der Domäne bleiben. MDM verwaltet jede Plattform, wo immer die Geräte sind. Die meisten Organisationen, die zu MDM wechseln, betreiben beides eine Zeit lang, lassen MDM bei Überschneidungen gewinnen und bauen GPOs Gruppe für Gruppe ab.

Das Wichtigste in Kürze

• Cloud oder lokal: MDM erreicht Geräte überall, wo sie online sind. Gruppenrichtlinien brauchen einen Domänencontroller.
• Plattformen: Wählen Sie MDM, wenn Sie mehr als Windows verwalten. Gruppenrichtlinien gibt es nur für Windows.
• Überschneidungen: MDMWinsOverGP lässt MDM bei Einstellungen im Policy-CSP gewinnen. Setzen Sie außerhalb davon nichts an beiden Stellen.
• Umstellung: GPOs inventarisieren, MDM-Entsprechungen prüfen, eine Einstellungsgruppe nach der anderen pilotieren, dann die alten GPOs lösen.
• GPO behalten, wo es passt: PCs, die das Büro nie verlassen, können bei Gruppenrichtlinien bleiben, bis Sie so weit sind.