Bewährte Methoden zum Konfigurieren von Windows Defender Firewall (2023)

Windows Defender Firewall mit erweiterter Sicherheit bietet hostbasierte, bidirektionale Filterung von Netzwerkdatenverkehr und blockiert nicht autorisierten Netzwerkdatenverkehr, der in das lokale Gerät ein- oder aus dem lokalen Gerät fließt. Wenn Sie Ihre Windows-Firewall basierend auf den folgenden bewährten Methoden konfigurieren, können Sie den Schutz für Geräte in Ihrem Netzwerk optimieren. Diese Empfehlungen decken eine Vielzahl von Bereitstellungen ab, einschließlich Heimnetzwerken und Desktop-/Serversystemen für Unternehmen.

Um die Windows-Firewall zu öffnen, wechseln Sie zum Startmenü , wählen Sie Ausführen aus, geben Sie WF.msc ein, und wählen Sie dann OK aus. Siehe auch Öffnen der Windows-Firewall.

Standardeinstellungen beibehalten

Wenn Sie die Windows Defender Firewall zum ersten Mal öffnen, werden die Standardeinstellungen für den lokalen Computer angezeigt. Im Bereich Übersicht werden Sicherheitseinstellungen für jeden Netzwerktyp angezeigt, mit dem das Gerät eine Verbindung herstellen kann.

Abbildung 1: Windows Defender Firewall

1. Domänenprofil: Wird für Netzwerke verwendet, in denen ein Kontoauthentifizierungssystem für einen Active Directory-Domänencontroller vorhanden ist
2. Privates Profil: Entwickelt für private Netzwerke und wird am besten in privaten Netzwerken wie einem Heimnetzwerk verwendet.
3. Öffentliches Profil: Wurde mit Blick auf höhere Sicherheit für öffentliche Netzwerke wie Wi-Fi Hotspots, Cafés, Flughäfen, Hotels oder Geschäfte entwickelt

Zeigen Sie detaillierte Einstellungen für jedes Profil an, indem Sie im linken Bereich mit der rechten Maustaste auf den Knoten Windows Defender Firewall mit erweiterter Sicherheit klicken und dann Eigenschaften auswählen.

Behalten Sie nach Möglichkeit die Standardeinstellungen in Windows Defender Firewall bei. Diese Einstellungen wurden entwickelt, um Ihr Gerät für die Verwendung in den meisten Netzwerkszenarien zu schützen. Ein wichtiges Beispiel ist das Standardmäßige Blockverhalten für eingehende Verbindungen.

Abbildung 2: Standardeinstellungen für eingehenden/ausgehenden Datenverkehr

Weitere Informationen zum Konfigurieren grundlegender Firewalleinstellungen finden Sie unter Aktivieren der Windows-Firewall und Konfigurieren von Standardverhalten und Prüfliste: Konfigurieren grundlegender Firewalleinstellungen.

Grundlegendes zur Regelrangfolge für Eingehende Regeln

In vielen Fällen besteht ein nächster Schritt für Administratoren darin, diese Profile mithilfe von Regeln (manchmal als Filter bezeichnet) anzupassen, damit sie mit Benutzer-Apps oder anderen Arten von Software arbeiten können. Beispielsweise kann ein Administrator oder Benutzer eine Regel hinzufügen, um ein Programm aufzunehmen, einen Port oder ein Protokoll zu öffnen oder einen vordefinierten Datenverkehrstyp zuzulassen.

Diese Regel wird hinzugefügt, indem Sie mit der rechten Maustaste auf Eingehende Regeln oder Ausgangsregeln klicken und Neue Regel auswählen. Die Schnittstelle zum Hinzufügen einer neuen Regel sieht wie folgt aus:

Abbildung 3: Assistent zum Erstellen von Regeln

In vielen Fällen ist das Zulassen bestimmter Arten von eingehendem Datenverkehr erforderlich, damit Anwendungen im Netzwerk funktionieren. Administratoren sollten beim Zulassen dieser eingehenden Ausnahmen die folgenden Regelrangfolgenverhalten berücksichtigen.

1. Explizit definierte Zulassungsregeln haben Vorrang vor der Standardblockeinstellung.
2. Explizite Blockregeln haben Vorrang vor allen in Konflikt stehenden Zulassungsregeln.
3. Spezifischere Regeln haben Vorrang vor weniger spezifischen Regeln, es sei denn, es gibt explizite Blockregeln wie in 2 erwähnt. (Wenn die Parameter von Regel 1 beispielsweise einen IP-Adressbereich enthalten, während die Parameter von Regel 2 eine einzelne IP-Hostadresse enthalten, hat Regel 2 Vorrang.)

Aufgrund von 1 und 2 ist es wichtig, dass Sie beim Entwerfen eines Richtliniensatzes sicherstellen, dass keine anderen expliziten Blockregeln vorhanden sind, die sich versehentlich überschneiden könnten, sodass der Datenverkehrsfluss verhindert wird, den Sie zulassen möchten.

Eine allgemeine bewährte Sicherheitsmethode beim Erstellen von Regeln für eingehenden Datenverkehr besteht darin, so spezifisch wie möglich zu sein. Wenn jedoch neue Regeln festgelegt werden müssen, die Ports oder IP-Adressen verwenden, sollten Sie nach Möglichkeit aufeinanderfolgende Bereiche oder Subnetze anstelle einzelner Adressen oder Ports verwenden. Dieser Ansatz vermeidet die Erstellung mehrerer Filter im Hintergrund, reduziert die Komplexität und trägt dazu bei, Leistungseinbußen zu vermeiden.

Erstellen von Regeln für neue Anwendungen vor dem ersten Start

Regeln für eingehende Zulassungen

Bei der ersten Installation geben netzwerkfähige Anwendungen und Dienste einen Listenaufruf aus, in dem die Protokoll-/Portinformationen angegeben werden, die für ihre ordnungsgemäße Funktion erforderlich sind. Da es in Windows Defender Firewall eine Standardmäßige Blockaktion gibt, müssen Eingehende Ausnahmeregeln erstellt werden, um diesen Datenverkehr zuzulassen. Es ist üblich, dass die App oder das App-Installationsprogramm diese Firewallregel hinzufügen. Andernfalls muss der Benutzer (oder der Firewalladministrator im Namen des Benutzers) manuell eine Regel erstellen.

Wenn keine aktive Anwendung oder vom Administrator definierte Zulassungsregel(en) vorhanden ist, fordert ein Dialogfeld den Benutzer auf, die Pakete einer Anwendung entweder zuzulassen oder zu blockieren, wenn die App zum ersten Mal gestartet wird oder versucht, im Netzwerk zu kommunizieren.

• Wenn der Benutzer über Administratorberechtigungen verfügt, wird er dazu aufgefordert. Wenn sie mit "Nein " antworten oder die Eingabeaufforderung abbrechen, werden Blockregeln erstellt. In der Regel werden zwei Regeln erstellt, jeweils eine für TCP- und UDP-Datenverkehr.

• Wenn der Benutzer kein lokaler Administrator ist, wird er nicht dazu aufgefordert. In den meisten Fällen werden Blockregeln erstellt.

In einem der obigen Szenarien müssen diese Regeln nach dem Hinzufügen gelöscht werden, um die Eingabeaufforderung erneut zu generieren. Andernfalls wird der Datenverkehr weiterhin blockiert.

Bekannte Probleme bei der automatischen Regelerstellung

Beim Entwerfen einer Reihe von Firewallrichtlinien für Ihr Netzwerk empfiehlt es sich, Zulassungsregeln für alle auf dem Host bereitgestellten vernetzten Anwendungen zu konfigurieren. Wenn diese Regeln vor dem ersten Starten der Anwendung durch den Benutzer eingerichtet werden, wird eine nahtlose Benutzererfahrung sichergestellt.

Das Fehlen dieser bereitgestellten Regeln bedeutet nicht unbedingt, dass eine Anwendung am Ende nicht in der Lage sein wird, im Netzwerk zu kommunizieren. Die Verhaltensweisen, die bei der automatischen Erstellung von Anwendungsregeln zur Laufzeit auftreten, erfordern jedoch Eine Benutzerinteraktion und Administratorrechte. Wenn erwartet wird, dass das Gerät von Benutzern ohne Administratorrechte verwendet wird, sollten Sie die bewährten Methoden befolgen und diese Regeln vor dem ersten Start der Anwendung bereitstellen, um unerwartete Netzwerkprobleme zu vermeiden.

Um zu ermitteln, warum einige Anwendungen an der Kommunikation im Netzwerk gehindert werden, suchen Sie nach den folgenden Instanzen:

1. Ein Benutzer mit ausreichenden Berechtigungen erhält eine Abfragebenachrichtigung, in der er informiert wird, dass die Anwendung eine Änderung an der Firewallrichtlinie vornehmen muss. Der Benutzer kann die Eingabeaufforderung nicht vollständig verstehen und bricht die Eingabeaufforderung ab oder verwirbt sie.
2. Ein Benutzer verfügt nicht über ausreichende Berechtigungen und wird daher nicht aufgefordert, der Anwendung zu erlauben, die entsprechenden Richtlinienänderungen vorzunehmen.
3. Lokale Richtlinienzusammenführung ist deaktiviert, sodass die Anwendung oder der Netzwerkdienst keine lokalen Regeln erstellt.

Das Erstellen von Anwendungsregeln zur Laufzeit kann auch von Administratoren mit der Einstellungs-App oder Gruppenrichtlinie verboten werden.

Abbildung 4: Dialogfeld zum Zulassen des Zugriffs

Siehe auch Prüfliste: Erstellen von Firewallregeln für eingehenden Datenverkehr.

Einrichten lokaler Richtlinienzusammenführungs- und Anwendungsregeln

Firewallregeln können bereitgestellt werden:

1. Lokale Verwendung des Firewall-Snap-Ins (WF.msc)
2. Lokale Verwendung von PowerShell
3. Remote using Gruppenrichtlinie if the device is a member of an Active Directory Name, System Center Configuration Manager, or Intune (using workplace join)

Einstellungen für das Zusammenführen von Regeln steuern, wie Regeln aus verschiedenen Richtlinienquellen kombiniert werden können. Administratoren können unterschiedliche Mergeverhalten für Domänen-, private und öffentliche Profile konfigurieren.

Die Einstellungen für das Zusammenführen von Regeln lassen oder verhindern, dass lokale Administratoren zusätzlich zu den regeln, die sie von Gruppenrichtlinie erhalten haben, eigene Firewallregeln erstellen können.

Abbildung 5: Regelzusammenführungseinstellung

Wenn das Zusammenführen lokaler Richtlinien deaktiviert ist, ist eine zentralisierte Bereitstellung von Regeln für jede App erforderlich, die eingehende Konnektivität benötigt.

Administratoren können LocalPolicyMerge in Hochsicherheitsumgebungen deaktivieren, um eine engere Kontrolle über Endpunkte zu erhalten. Diese Einstellung kann sich auf einige Anwendungen und Dienste auswirken, die bei der Installation automatisch eine lokale Firewallrichtlinie generieren, wie oben beschrieben. Damit diese Arten von Apps und Diensten funktionieren, sollten Administratoren Regeln zentral über Gruppenrichtlinien (GP), Mobile Geräteverwaltung (MDM) oder beides (für Hybrid- oder Co-Verwaltungsumgebungen) pushen.

Firewall-CSP und Richtlinien-CSP verfügen auch über Einstellungen, die sich auf das Zusammenführen von Regeln auswirken können.

Als bewährte Methode ist es wichtig, solche Apps aufzulisten und zu protokollieren, einschließlich der für die Kommunikation verwendeten Netzwerkports. In der Regel finden Sie auf der Website der App, welche Ports für einen bestimmten Dienst geöffnet sein müssen. Für komplexere oder Kundenanwendungsbereitstellungen kann eine gründlichere Analyse mithilfe von Tools zur Erfassung von Netzwerkpaketen erforderlich sein.

Im Allgemeinen sollten Administratoren firewallausnahmen nur für Apps und Dienste pushen, die für legitime Zwecke bestimmt sind, um maximale Sicherheit zu gewährleisten.

Wissen, wie sie den Modus "Shields Up" für aktive Angriffe verwenden

Ein wichtiges Firewallfeature, das Sie verwenden können, um Schäden während eines aktiven Angriffs zu mindern, ist der Modus "Abschirmen". Es ist ein informeller Begriff, der sich auf eine einfache Methode bezieht, die ein Firewalladministrator verwenden kann, um die Sicherheit angesichts eines aktiven Angriffs vorübergehend zu erhöhen.

Die Abschirmung kann erreicht werden , indem Sie alle eingehenden Verbindungen blockieren aktivieren, einschließlich der in der Einstellung Liste der zulässigen Apps in der Windows-Einstellungen-App oder in der Legacydatei firewall.cpl.

Abbildung 6: Windows-Einstellungen App/Windows-Sicherheit/Firewallschutz/Netzwerktyp

Abbildung 7: Legacy-firewall.cpl

Standardmäßig blockiert die Windows Defender Firewall alles, es sei denn, es wird eine Ausnahmeregel erstellt. Diese Einstellung setzt die Ausnahmen außer Kraft.

Das Remotedesktopfeature erstellt beispielsweise automatisch Firewallregeln, wenn diese aktiviert ist. Wenn jedoch ein aktiver Exploit mit mehreren Ports und Diensten auf einem Host vorhanden ist, können Sie anstelle einzelner Regeln den Abschirmmodus verwenden, um alle eingehenden Verbindungen zu blockieren und vorherige Ausnahmen zu überschreiben, einschließlich der Regeln für Remotedesktop. Die Remotedesktopregeln bleiben erhalten, aber der Remotezugriff funktioniert nicht, solange die Abschirmung aktiviert ist.

Wenn der Notfall beendet ist, deaktivieren Sie die Einstellung, um den regulären Netzwerkdatenverkehr wiederherzustellen.

Erstellen von Ausgangsregeln

Nachfolgend finden Sie einige allgemeine Richtlinien zum Konfigurieren von Ausgangsregeln.

• Die Standardkonfiguration von "Für ausgehenden Datenverkehr blockiert" kann für bestimmte äußerst sichere Umgebungen berücksichtigt werden. Die Regelkonfiguration für eingehenden Datenverkehr sollte jedoch niemals so geändert werden, dass datenverkehr standardmäßig zulässig ist.
• Es wird empfohlen, ausgehenden Datenverkehr für die meisten Bereitstellungen standardmäßig zuzulassen, um App-Bereitstellungen zu vereinfachen, es sei denn, das Unternehmen bevorzugt strenge Sicherheitskontrollen gegenüber einfacher Bedienung.
• In Umgebungen mit hoher Sicherheit muss eine Bestandsaufnahme aller unternehmensweiten Apps vom Administrator oder den Administratoren erstellt und protokolliert werden. Datensätze müssen enthalten, ob eine verwendete App Netzwerkkonnektivität erfordert. Administratoren müssen neue Regeln für jede App erstellen, die Netzwerkkonnektivität benötigt, und diese Regeln zentral pushen, über Gruppenrichtlinien (GP), Mobile Geräteverwaltung (MDM) oder beides (für Hybrid- oder Co-Verwaltungsumgebungen).

Aufgaben im Zusammenhang mit dem Erstellen von Ausgangsregeln finden Sie unter Prüfliste: Erstellen ausgehender Firewallregeln.

Dokumentieren Ihrer Änderungen

Beim Erstellen einer Eingangs- oder Ausgangsregel sollten Sie Details zur App selbst, den verwendeten Portbereich und wichtige Hinweise wie das Erstellungsdatum angeben. Regeln müssen gut dokumentiert sein, damit sie sowohl von Ihnen als auch von anderen Administratoren leichter überprüft werden können. Es wird dringend empfohlen, sich die Zeit zu nehmen, um die Überprüfung Ihrer Firewallregeln zu einem späteren Zeitpunkt zu vereinfachen. Und schaffen Sie niemals unnötige Löcher in Ihrer Firewall.