Deaktivieren des Anmeldeinformationsschutzes in Windows 11 und Überprüfung, ob er deaktiviert ist

Credential Guard isoliert sensible Anmeldeinformationen wie NTLM-Passwort-Hashes und Kerberos-Tickets in einem virtualisierungsbasierten Sicherheitscontainer (VBS) und schützt sie so selbst vor lokalen Administratoren. Dieser Schutz ist zwar wichtig, kann aber einige alltägliche Aufgaben in Windows 11 beeinträchtigen. Um Credential Guard zu deaktivieren, muss VBS deaktiviert , zwei Registrierungsflags gelöscht und – auf UEFI-gesperrten Systemen – die Änderung beim Systemstart bestätigt werden.

Schnelle Antwort: einstellen Turn On Virtualization Based Security على Deaktiviert In der Gruppenrichtlinie müssen beide Datensatzwerte festgelegt werden. LsaCfgFlags على 0Starten Sie das Gerät anschließend neu. Falls die UEFI-Sperre aktiv ist, führen Sie den Boot-Eintrag SecConfig.efi aus und drücken Sie die entsprechende Taste. F3 Zur Bestätigung beim Start.

---

Warum sollte Credential Guard deaktiviert werden?

Credential Guard ist auf kompatiblen Geräten mit Windows 11 22H2 oder höher (Enterprise- oder Education-Edition) automatisch aktiviert ; einige Komponenten sind auch in der Pro-Edition verfügbar. Die Geräte benötigen ein TPM 1.2 oder 2.0, Secure Boot, eine 64-Bit-CPU mit SLAT und einen Hyper-V-Hypervisor. Nach der Aktivierung werden viele gängige Arbeitsabläufe blockiert.

Was ist defekt?	Grund
Speichern von RDP-Passwörtern	Bei der NTLM-Authentifizierung werden keine wiederverwendbaren Anmeldeinformationen gespeichert.
VMware Workstation/VirtualBox	Virtuelle Maschinen (VMs) von Drittanbietern schlagen mit der Fehlermeldung „Device/Credential Guard sind nicht kompatibel“ fehl.
Melden Sie sich bei WLAN und VPN an.	Die MSCHAPv2-Protokolle, einschließlich PEAP-MSCHAPv2 und EAP-MSCHAPv2, stellen die Authentifizierung ein.
Alte Authentifizierung	Anwendungen, die auf NTLMv1 oder uneingeschränkter Kerberos-Delegierung basieren, funktionieren nicht mehr.
Remotedesktopdienste (SSO)	Single Sign-On schlägt auf dem RDS-Host fehl.

Hinweis: Es wird nicht empfohlen, Credential Guard auf Domänencontrollern auszuführen , da dies dort keinen zusätzlichen Sicherheitsvorteil bietet und Kompatibilitätsprobleme mit Software von Drittanbietern verursachen kann.

---

So überprüfen Sie den Credential Guard-Status in Windows 11

Bevor Sie Änderungen vornehmen, sollten Sie unbedingt den aktuellen Status von Credential Guard unter Windows 11 mithilfe eines PowerShell-Fensters mit Administratorrechten überprüfen. Dieser Befehl zeigt eine Liste der aktiven Sicherheitsdienste auf Ihrem System an.

(Get-CimInstance -ClassName Win32_DeviceGuard -Namespace rootMicrosoftWindowsDeviceGuard).SecurityServicesRunning

Der Wert gibt an 1 Solange Credential Guard nicht aktiviert ist, bedeutet dieser Wert: 0 Es ist nicht aktiviert.

---

Deaktivieren von Credential Guard mithilfe von Gruppenrichtlinien und dem Registrierungseditor

Diese Methode ist der Standardweg, um Credential Guard auf Systemen ohne UEFI-Sperre zu deaktivieren. Dabei wird VBS deaktiviert und die LSA-Konfigurationsflags werden gelöscht, die die Anmeldeinformationsisolierung aufrechterhalten.

1. Drücken Sie meine beiden Tasten Win + R, dann tippe gpedit.msc, und öffnen Editor für lokale Gruppenrichtlinien (Lokaler Gruppenrichtlinien-Editor). Navigieren Sie zu folgendem Pfad: Computerkonfiguration → Administrative Vorlagen → System → Device Guard.

2. Doppelklicken Turn On Virtualization Based Security und setze es auf DeaktiviertWenn der aktuelle Status „Nicht konfiguriert“ lautet, ändern Sie ihn explizit in Deaktiviert, um die Richtlinie durchzusetzen, und klicken Sie dann auf OK.

3. Öffnen Sie die Eingabeaufforderung mit Administratorrechten und löschen Sie die beiden LSA-Konfigurationsflags, indem Sie deren REG_DWORD-Werte auf 0 setzen.

reg add HKLMSYSTEMCurrentControlSetControlLsa /f /v LsaCfgFlags /t REG_DWORD /d 0
reg add HKLMSOFTWAREPoliciesMicrosoftWindowsDeviceGuard /f /v LsaCfgFlags /t REG_DWORD /d 0

4. Starten Sie Ihren Computer neu. Dieser Schritt deaktiviert Credential Guard auf Geräten, bei denen die UEFI-Sperrfunktion die Firmware-Einstellungen in Windows 11 nicht schützt.

Rat: Sie können auch einstellen EnableVirtualizationBasedSecurity إلى 0 innerhalb HKLMSYSTEMCurrentControlSetControlDeviceGuard Um VBS zum Beenden zu zwingen, sollten Sie unbedingt die Registrierung sichern, bevor Sie sie ändern.

---

Wie man Credential Guard entfernt, wenn die UEFI-Sperre aktiviert ist

Wenn eine UEFI-Sperre die Firmware vor Softwareänderungen schützt , reichen Registry-Anpassungen allein nicht aus. Sie müssen einen temporären Boot-Eintrag konfigurieren, bei dem die Anmeldeinformationsisolierung deaktiviert ist, und die Änderung anschließend während des Bootvorgangs in der Konsole bestätigen.

1. Öffnen Sie die Eingabeaufforderung als Administrator. Mounten Sie die EFI-Systempartition, kopieren Sie das Tool SecConfig.efi darauf und erstellen Sie anschließend einen temporären Bootloader-Eintrag.

mountvol X: /s
copy %WINDIR%System32SecConfig.efi X:EFIMicrosoftBootSecConfig.efi /Y
bcdedit /create {0cb3b571-2f2e-4343-a879-d86a476d7215} /d "DebugTool" /application osloader
bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} path "EFIMicrosoftBootSecConfig.efi"
bcdedit /set {bootmgr} bootsequence {0cb3b571-2f2e-4343-a879-d86a476d7215}
bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} loadoptions DISABLE-LSA-ISO
bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} device partition=X:
mountvol X: /d

2. Starten Sie Ihren Computer neu. Zu Beginn des Startvorgangs fragt das Credential Guard Opt-out Tool, ob Sie Credential Guard deaktivieren möchten.

3. Drücken Sie innerhalb weniger Sekunden F3 zur Bestätigung. Wenn Sie nicht innerhalb der angegebenen Zeit reagieren, wird die Bootloader-Änderung abgebrochen und Credential Guard bleibt aktiviert.

Um die virtualisierungsbasierte Sicherheit über denselben Port zu deaktivieren, können Sie die Ladeoptionen erweitern und den VSM-Boot-Typ deaktivieren, bevor Sie das Gerät neu starten.

bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} loadoptions DISABLE-LSA-ISO,DISABLE-VBS
bcdedit /set vsmlaunchtype off

---

Nutzen Sie die Vorbereitungstools Device Guard und Credential Guard.

Microsoft stellt ein PowerShell-Skript bereit, das diese Funktionen auf unterstützten Geräten melden und aktivieren kann. Dies ist eine komfortable Alternative zur manuellen Modifizierung des Bootloaders.

1. Herunterladen dgreadiness_v3.6.zip Von der offiziellen Seite von Device Guard- und Credential Guard-Bereitschaftstools Entpacken Sie die Datei in einen lokalen Ordner und navigieren Sie anschließend zu diesem Verzeichnis.

cd C:PSdgreadiness_v3.6

2. Wenn die Skriptausführung blockiert ist, dürfen nur für die aktuelle Sitzung signierte Skripte zugelassen werden.

Set-ExecutionPolicy -Scope Process RemoteSigned

3. Überprüfen Sie die aktiven Defender-Sicherheitsfunktionen und führen Sie dann den Deaktivierungsbefehl aus, der auf Credential Guard abzielt.

DG_Readiness_Tool_v3.6.ps1 -Ready
DG_Readiness_Tool_v3.6.ps1 -Disable -CG

4. Starten Sie Ihren Computer neu und drücken Sie während des Startvorgangs die Taste F3, um die Änderung zu bestätigen.

---

Bestätigung der erfolgreichen Deaktivierung von Credential Guard

Führen Sie nach dem Neustart denselben PowerShell-Scan erneut aus. Wenn der Wert angezeigt wird 0Das bedeutet, dass Credential Guard nicht mehr funktioniert. Sie können das praktische Ergebnis auch testen, indem Sie es öffnen. mstsc.exeGeben Sie eine Serveradresse ein und stellen Sie sicher, dass die Option „Anmeldeinformationen speichern“ das Passwort speichert.

Wenn der Wert noch 1, das Häufigste Ursachen Daher ist es am besten, die F3-Bestätigung beim Booten zu überspringen, die Gruppenrichtlinieneinstellung auf „Nicht konfiguriert“ anstatt auf „Deaktiviert“ zu belassen oder die Credential Guard-Option auf Firmware-Ebene aktiviert zu lassen. Im BIOS/UEFIBei Geräten, die Virtualisierungsbasierte Sicherheit oder Credential Guard direkt in der Firmware anbieten, stellen Sie diese Optionen auf „Deaktiviert“ und starten Sie das Gerät neu. Wenn nicht Virtualisierungsmerkmale Ähnlich wie bei Hyper-V beseitigt das Entfernen der Hypervisor-Plattform die letzte Abhängigkeit, von der VBS abhängt.