Windows 11 Installation & Hardening à la Netzleiter

Einleitung

Dieser Leitfaden richtet sich an Fachinformatiker Systemintegration, die Windows 11 (Pro oder Enterprise) in ein bestehendes Active-Directory-Umfeld integrieren. Schritt für Schritt konfigurieren wir ein klientenseitiges „Best-Practice“-Setup à la Netzleiter – inklusive Treiberverwaltung, Energie- und Sicherheits­einstellungen, Domänen­beitritt und Netzlaufwerks­integration. Ziel ist ein performanter, ausfallsicherer und wartungsarmer Arbeitsplatz, der perfekt zu den Managed-Services-Paketen von Netzleiter passt.

1 Checkliste vor der Installation

2 Windows 11 installieren

1. USB-Stick booten (UEFI-Bootmenü).
2. Sprache, Uhrzeit, Tastatur wählen → Weiter.
3. Jetzt installieren → Edition Windows 11 Pro oder Enterprise.
4. Lizenzbedingungen akzeptieren.
5. Benutzerdefiniert → Datenträgeroptionen:
   • System-Partition ≥ 100 GB (NTFS).
   • Daten-Partition ≥ 80 GB (NTFS, optional BitLocker-bereit).
6. Installation abschließen, erster Neustart.
7. OOBE-Einrichtung: Region → Tastatur → Domänenkonto später verbinden.

3 Grundlegende Post-Install-Konfiguration

3.1 Treiber

• Chipsatz– und GPU-Pakete installieren, Neustart.
• Auflösung ≥ 1024 × 768 einstellen.

3.2 Windows-Update

• Start → Einstellungen → Windows Update bis „Keine Updates verfügbar“.

4 Personalisierung & Usability

5 Energie- und Netz-Optimierung

5.1 Netzwerkadapter: Energiesparen aus

• Win + X → Geräte-Manager → Netzwerkadapter → Eigenschaften → Energieverwaltung → Haken entfernen (learn.microsoft.com, learn.microsoft.com)

5.2 Autodisconnect abschalten

net config server /autodisconnect:-1

Verhindert Abwürfe von Netzlaufwerken nach Leerlauf (learn.microsoft.com, learn.microsoft.com)

5.3 Bildschirm & Sleep auf „Nie“

• Einstellungen → System → Stromversorgung & Akku → Bildschirm & Schlaf
  • Bildschirm ausschalten: Nie
  • Ruhezustand: Nie (support.microsoft.com)

6 Domänenbeitritt & Netzlaufwerke

1. Domänen-Login mit praxis\benutzername.
2. Netzlaufwerk erscheint via GPO-Mapping (siehe Server-Artikel).
3. Intranet-Zone-Freigabe:
   Systemsteuerung → Internetoptionen → Sicherheit → Lokales Intranet → Sites → Erweitert → N: oder \\praxis-server hinzufügen → OK.

7 Sicherheit & Hardening

8 Automatisierung mit PowerShell (Beispiel)

# Energieeinstellungen Setzen
powercfg -change -monitor-timeout-ac 0
powercfg -change -standby-timeout-ac 0

# Netzadapter-PM deaktivieren
Get-NetAdapter | Foreach-Object {
    Set-NetAdapterAdvancedProperty $_ -DisplayName "Energy Efficient Ethernet" -DisplayValue "Off"
}

9 Abschluss-Checks

1. Event Viewer: Fehler & Warnungen kontrollieren.
2. gpresult /h report.html: GPO-Überblick exportieren.
3. Reboot-Test: Neustart, Domänenanmeldung, Netzlaufwerk, Drucker, Fachsoftware.

10 Ihre Vorteile mit Netzleiter

Mit Netzleiter erhalten Sie:

• Managed Workplace-Services – Patch-Management, Monitoring, Remote-Support.
• Cybersecurity-Pakete – ESET Endpoint-Security, zentral gemanagt.
• Backup-Konzepte – Veeam-Endpoint-Jobs direkt ins Rechenzentrum.
• Consulting – Automatisierung via Intune, PowerShell-Skripte oder GPO.

11 Datenschutz & KV-Konformität

Die IT-Sicherheitsrichtlinie der Kassenärztlichen Bundesvereinigung (KBV) verlangt für Praxis-Clients ein Datenschutz- und Datensicherheitsniveau, das mindestens den Vorgaben des BSI-Grundschutzes und der DSGVO entspricht. Unten finden Sie ein umsetzbares Windows-11-Profil, das diese Anforderungen erfüllt und gleichzeitig das Prinzip der Datenminimierung durchsetzt.

Schritt-für-Schritt: BitLocker aktivieren

# TPM-PIN-gestützte Verschlüsselung initialisieren
Enable-BitLocker -MountPoint "C:" `
  -EncryptionMethod XtsAes256 `
  -UsedSpaceOnly `
  -SkipHardwareTest `
  -TPMandPinProtector `
  -Pin "123456"

# Wiederherstellungs­schlüssel in AD schreiben
Backup-BitLockerKeyProtector -MountPoint "C:" -KeyProtectorId (Get-BitLockerVolume C:).KeyProtector[0].KeyProtectorId

Prüfen:

Get-BitLockerVolume | Select-Object MountPoint, VolumeStatus, EncryptionMethod

Schritt-für-Schritt: Diagnosedaten minimieren

# GPO-Einstellung via PowerShell Registry
New-ItemProperty `
  -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\DataCollection" `
  -Name "AllowTelemetry" -PropertyType DWord -Value 1 -Force

Praxistipp zur KBV-Dokumentation

• Verfahrens­verzeichnis aktualisieren: Spezifizieren Sie Verschlüsselung, Protokollierung, Lösch- und Sperr­fristen.
• Jährlicher Audit-Check: Kreuztest gegen KBV-Selbst­auskunft und BSI-Baustein „Allgemeiner Client“. (bsi.bund.de)

Durch diese Maßnahmen erfüllt Windows 11 die technischen Vorgaben der KBV für den Schutz von Patientendaten, reduziert überflüssige Telemetrie auf das gesetzlich erforderliche Minimum und liefert mit BitLocker eine vollumfängliche Verschlüsselung, die vom BSI ausdrücklich empfohlen wird.

Kontaktieren Sie unser Team in Hamburg für ein unverbindliches Beratungsgespräch und erleben Sie Windows 11-Rollouts in Bestzeit – praxisbewährt, compliance-konform und mit 24/7-Support.

Ergänzung:

Umsetzung der KBV-Vorgaben ohne zentrale Gruppenrichtlinien

Alle Maßnahmen lassen sich auch mit Bordmitteln direkt auf dem Client umsetzen. Voraussetzung: Anmeldung mit einem lokalen Administrator- oder Domänen-Admin-Konto.

Komplettes Hardening als Skript

Speichern Sie den nachfolgenden Block als kbv_hardening.ps1, starten Sie PowerShell als Administrator und führen Sie aus:

# --- BitLocker ----------------------------------------------------------
Enable-BitLocker -MountPoint "C:" -EncryptionMethod XtsAes256 `
  -UsedSpaceOnly -TPMandPinProtector -Pin "123456"
# Richtlinien
$FVE = "HKLM:\SOFTWARE\Policies\Microsoft\FVE"
New-Item $FVE -Force | Out-Null
Set-ItemProperty $FVE UseTPMPIN 1
Set-ItemProperty $FVE EncryptionMethodWithXtsOs 7
Set-ItemProperty $FVE RDVDenyWriteAccess 1

# --- Telemetrie & Cloud Content ----------------------------------------
$DC = "HKLM:\SOFTWARE\Policies\Microsoft\Windows\DataCollection"
New-Item $DC -Force | Out-Null
Set-ItemProperty $DC AllowTelemetry 1

$SYS = "HKLM:\SOFTWARE\Policies\Microsoft\Windows\System"
New-Item $SYS -Force | Out-Null
Set-ItemProperty $SYS AllowClipboardHistory 0
Set-ItemProperty $SYS AllowCrossDeviceClipboard 0

$CC = "HKLM:\SOFTWARE\Policies\Microsoft\Windows\CloudContent"
New-Item $CC -Force | Out-Null
Set-ItemProperty $CC DisableConsumerFeatures 1

# --- Firewall & Auditing -----------------------------------------------
netsh advfirewall set domainprofile state on
auditpol /set /category:* /success:enable /failure:enable

# --- Loggrenzen --------------------------------------------------------
wevtutil sl Security /ms:32768

Hinweis: Ein Neustart ist nötig, damit alle Registry-Änderungen aktiv werden. Dokumentieren Sie die Schritte im Praxis-IT-Handbuch, um KBV-Audits schnell nachweisen zu können.