So deaktivieren (aktivieren) Sie Credential Guard in Windows 11

DerAusweiswächterDie Sicherheitsfunktion in den neuesten Windows-Versionen schützt Konten vor Diebstahl und unbefugter Nutzung, einschließlich Pass-the-Hash- und Pass-the-Ticket-Angriffen. Credential Guard nutzt virtualisierungsbasierte Sicherheit (VBS), um vertrauliche Anmeldeinformationen wie NTLM-Passwort-Hashes, Kerberos-Tickets, andere Anmeldeinformationen und Geheimnisse in einer sicheren virtuellen Umgebung (Container) zu isolieren. Zum Schutz der Anmeldeinformationen werden Hardwarefunktionen wie Secure Boot und das Trusted Platform Module (TPM) verwendet. Auf diese Anmeldeinformationen kann nur privilegierte Systemsoftware zugreifen, was verhindert, dass Malware oder Angreifer sie stehlen, selbst wenn sie lokale Administratorrechte erlangen.

Windows Defender Credential Guard wird automatisch auf kompatiblen Geräten aktiviert, die die folgenden Anforderungen erfüllen:

• Windows 11 22H2 (oder höher) mit den Editionen Enterprise oder Education (einige Credential Guard- und Virtualization-Based Security-Komponenten sind auch in der Pro Edition verfügbar) oder Windows Server 2025.
• TPM 1.2- oder 2.0-Modul
• UEFI-Sperre
• Secure Boot ist aktiviert
• Das Gerät unterstützt virtualisierungsbasierte Sicherheit und verfügt über eine 64-Bit-CPU mit Unterstützung für erweiterte Virtualisierung und SLAT (Second Level Address Translation).
• Die Hyper-V-Virtualisierungsplattform (HypervisorPlatform) ist in Windows-Funktionen aktiviert:Enable-WindowsOptionalFeature -Online -FeatureName HypervisorPlatform

Der aktivierte Credential Guard kann in den folgenden Fällen zu Problemen führen:

• Credential Guard verhindert das Speichern von Passwörtern für RDP-Verbindungen, wenn NTLM-Authentifizierung verwendet wird.
• Benutzer können die virtuellen Maschinen VMware Workstation (Player) oder VirtualBox nicht ausführen und es tritt folgende Fehlermeldung auf:

  VMware Workstation and Device/Credential Guard are not compatible. 
  VMware Workstation can be run after disabling Device/Credential Guard.

  

• Es wird nicht empfohlen, Credential Guard auf Domänencontrollern zu verwenden. Dies erhöht die Sicherheit nicht und kann zu Kompatibilitätsproblemen mit Apps von Drittanbietern führen.
• Apps, die unsichere Authentifizierungsmethoden wie NTLMv1 oder uneingeschränkte Kerberos-Delegierung verwenden, funktionieren nicht.
• Die Single Sign-On (SSO)-Authentifizierung funktioniert auf dem Remote Desktop Services (RDS)-Host nicht, wenn Credential Guard aktiviert ist
• Benutzer können sich nicht an Wi-Fi-Zugangspunkten oder VPN-Servern authentifizieren, die MSCHAPv2-Authentifizierungsprotokolle verwenden (einschließlich PEAP-MSCHAPv2 und EAP-MSCHAPv2).

Führen Sie den folgenden PowerShell-Befehl aus, um zu überprüfen, ob Credential Guard in Windows aktiviert ist:

(Get-CimInstance -ClassName Win32_DeviceGuard -Namespace rootMicrosoftWindowsDeviceGuard).SecurityServicesRunning

• 1– Credential Guard aktiviert
• 0- deaktiviert

Um Credential Guard auf einem Computer zu deaktivieren, müssen eine Reihe von Einstellungen konfiguriert werden:

1. Öffnen Sie den lokalen GPO-Editor (gpedit.msc) und gehen Sie zu Computerkonfiguration -> Administrative Vorlagen -> System -> Geräteschutz. Stellen Sie die einAktivieren Sie die virtualisierungsbasierte SicherheitParameter zuDeaktiviert.
2. Erstellen Sie zwei Registrierungsparameter. Stellen Sie den Wert auf ein0für beide:
   reg add HKLMSYSTEMCurrentControlSetControlLsa /f /v LsaCfgFlags /t REG_DWORD /d 0
reg add HKLMSOFTWAREPoliciesMicrosoftWindowsDeviceGuard /f /v LsaCfgFlags /t REG_DWORD /d 0
   Dadurch wird Credential Guard deaktiviert, wenn die UEFI-Sperre nicht zum Schutz vor Änderungen an den UEFI-Firmware-Einstellungen verwendet wird.
3. Wenn die UEFI-Sperre aktiviert ist, führen Sie die folgenden Befehle aus. Um die Einstellungen anzuwenden, müssen Sie auf die Konsole des Computers zugreifen. Öffnen Sie eine Eingabeaufforderung als Administrator, mounten Sie die EFI-Systempartition und erstellen Sie einen neuen temporären Eintrag in der Windows-Bootloader-Konfiguration (BCD), um den EFI-Bootloader in einem Modus auszuführen, in dem Credential Guard und virtualisierungsbasierte Sicherheit deaktiviert sind:
   mountvol X: /s
copy %WINDIR%System32SecConfig.efi X:EFIMicrosoftBootSecConfig.efi /Y
bcdedit /create {0cb3b571-2f2e-4343-a879-d86a476d7215} /d "DebugTool" /application osloader
bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} path "EFIMicrosoftBootSecConfig.efi"
bcdedit /set {bootmgr} bootsequence {0cb3b571-2f2e-4343-a879-d86a476d7215}
bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} loadoptions DISABLE-LSA-ISO
bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} device partition=X:
mountvol X: /d
4. Starten Sie den Computer neu. Sie werden aufgefordert, Credential Guard während eines Computerstarts zu deaktivieren:

   Credential Guard Opt-out Tool
   Do you want to disable Credential Guard?
   Disabling this functionality can allow malware to read the password and other credentials of all users signing on to Windows. For the correct action in your organization, contact your administrator before disabling protection.
   

   

5. DrückenF3innerhalb weniger Sekunden, um die Deaktivierung von Credential Guard zu bestätigen (andernfalls werden die Änderungen am Bootloader abgebrochen).

Überprüfen Sie, ob Credential Guard jetzt deaktiviert ist:

Sie können auch das offizielle PowerShell-Skript verwenden (Hardware-Bereitschaftstool für Device Guard und Credential Guard), um Credential Guard und Device Guard auf unterstützten Geräten zu aktivieren oder zu deaktivierenhttps://www.microsoft.com/en-my/download/details.aspx?id=53337)

Herunterladendgreadiness_v3.6.zipund extrahieren Sie es in ein lokales Verzeichnis:

cd C:PSdgreadiness_v3.6

Wenn Ihre PowerShell-Skriptausführungseinstellungen die Ausführung von PS1-Dateien von Drittanbietern verhindern, aktivieren Sie die Skriptausführung in den aktuellen Sitzungen:

Set-ExecutionPolicy -Scope Process RemoteSigned

Überprüfen Sie, welche der Defender-Sicherheitsfunktionen aktiviert sind.

VERWANDT:So aktivieren oder deaktivieren Sie Credential Guard in Windows 11 mithilfe von Gruppenrichtlinien

DG_Readiness_Tool_v3.6.ps1 -Ready

Um Credential Guard zu deaktivieren, führen Sie Folgendes aus:

DG_Readiness_Tool_v3.6.ps1 -Disable -CG

Starten Sie den Computer neu und drücken SieF3um die Deaktivierung von Credential Guard zu bestätigen.