Vererbung und Priorität von Gruppenrichtlinien: Wie Windows entscheidet, welche Regel gilt

Von Mirko Peters · 2026-10-29

Meistern Sie die Vererbung und Priorität von Gruppenrichtlinien. Erfahren Sie, wie die Verarbeitungsreihenfolge LSDOU, Verknüpfungslisten und Blockierungsregeln bestimmen, welche Windows-Konfigurationen sich durchsetzen.

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Erfahren Sie, wie Windows die Priorität von Regeln anhand der Verarbeitungsreihenfolge LSDOU, der Container-Hierarchien und der Verknüpfungsreihenfolge bestimmt. Dieser ausführliche Leitfaden erklärt, wie Gruppenrichtlinienobjekte zusammenwirken, wie sich das Blockieren der Vererbung und Erzwingen in realen Unternehmensumgebungen auswirken und wie Sie sich überschneidende administrative Regeln analysieren.

Das Wichtigste in Kürze

• Gruppenrichtlinien verarbeiten Regeln in einer festen LSDOU-Reihenfolge: Local, Site, Domain und Organizational Unit.
• Die Organisationseinheit, die dem Zielobjekt am nächsten liegt, wird zuletzt verarbeitet und setzt sich in der Regel bei Konflikten durch.
• Innerhalb eines einzelnen Containers oder einer OU werden Richtlinien in der Verknüpfungsreihenfolge von unten nach oben angewendet. Das bedeutet, dass sich der oberste Eintrag in der Konsole durchsetzt.
• Das Blockieren der Vererbung und erzwungene Einstellungen dienen als administrative Ausnahmemöglichkeiten, um den standardmäßigen Ablauf der Hierarchie zu übersteuern.
• Wenn Sie die Versionsnummern und die 16-stündige Aktualisierung der Sicherheitseinstellungen verstehen, vermeiden Sie Fehldiagnosen bei hartnäckigen Problemen mit der Anwendung von Richtlinien.

Die Mechanik der LSDOU-Verarbeitungsreihenfolge

Wenn ein Administrator Einstellungen im gesamten Unternehmensnetzwerk anwendet, bewertet Windows nicht alle Regeln gleichzeitig. Stattdessen durchläuft das Betriebssystem eine genau definierte, vorhersehbare Abfolge, die allgemein unter dem Akronym LSDOU bekannt ist. Dieses Wissen über die Verarbeitungsreihenfolge ist entscheidend, um zu verstehen, warum bestimmte Konfigurationen auf Zielgeräten erscheinen, andere hingegen scheinbar verschwinden.

LSDOU steht für Local, Site, Domain und Organizational Unit. Zuerst wertet Windows alle lokalen Gruppenrichtlinieneinstellungen aus, die direkt auf dem Computer selbst konfiguriert sind. Anschließend werden Standortrichtlinien geprüft, die Parameter abhängig vom physischen Standort oder Subnetz des Geräts festlegen. Danach verarbeitet das System domänenweite Richtlinien, die die gesamte Active Directory-Domäne umfassen. Zuletzt verarbeitet Windows Richtlinien, die mit Organisationseinheiten (OUs) verknüpft sind. Dabei arbeitet es sich von übergeordneten Containern bis zur untersten untergeordneten OU vor, in der sich das Benutzer- oder Computerkonto tatsächlich befindet.

Da Windows diese Regeln in der LSDOU-Reihenfolge nacheinander liest, werden widersprüchliche Einstellungen, die früher in der Kette auftreten, durch spätere Auswertungen überschrieben. Dieses Prinzip bildet die Grundlage der hierarchischen Verwaltung: Breit gültige administrative Standards werden oben festgelegt, während granulare, abteilungsspezifische Anpassungen weiter unten im Baum angewendet werden.

Warum die nächstgelegene Einstellung gewinnt

Die goldene Regel der Priorität bei Gruppenrichtlinien ist scheinbar einfach: Die Regel, die zuletzt verarbeitet wird, setzt sich durch. Da Organisationseinheiten in der LSDOU-Kette zuletzt ausgewertet werden und untergeordnete OUs nach übergeordneten verarbeitet werden, haben die Einstellungen im Container, der dem Benutzer oder Computer am nächsten liegt, die endgültige Priorität.

Betrachten Sie ein praktisches Unternehmensszenario: Eine IT-Organisation blockiert USB-Speichergeräte auf Domänenebene, um die breite Compliance und den Schutz vor Datenverlust sicherzustellen. Die spezialisierte OU „IT Technicians“ benötigt jedoch lokalen USB-Zugriff für Hardware-Diagnosen und Wartungsarbeiten. Wenn Sie auf Ebene der OU „IT Technicians“ eine Ausnahmerichtlinie tiefer im Verzeichnisbaum verknüpfen, überschreibt diese Richtlinie die umfassendere Domänenbeschränkung für genau diese administrativen Konten. Die näher liegende Regel setzt sich durch und ermöglicht gezielte Ausnahmen, ohne die Sicherheit der gesamten Organisation zu gefährden.

Die Verknüpfungsreihenfolge innerhalb eines einzelnen Containers

Während die hierarchische Struktur die Rangfolge über verschiedene Organisationsebenen regelt, verknüpfen Administratoren häufig mehrere Gruppenrichtlinienobjekte (GPOs) mit einer einzelnen OU. Gelten zwei oder mehr GPOs für genau denselben Container, greift eine andere Vorrangregel. Innerhalb eines einzelnen Ordners verarbeitet Windows die verknüpften GPOs in der Gruppenrichtlinienverwaltungskonsole von unten nach oben.

Da die unterste Richtlinie zuerst ausgewertet wird, werden die weiter oben aufgeführten GPOs anschließend angewendet. Die Richtlinie ganz oben in der Verknüpfungsliste wird also zuletzt verarbeitet. Wie immer gilt: Die zuletzt verarbeitete Regel gewinnt den Konflikt. Wenn ein Administrator feststellt, dass eine Einstellung in einer neu verknüpften GPO nicht wirksam wird, ist der schnellste Weg oft die Prüfung der Pfeile für die Verknüpfungsreihenfolge in der Verwaltungskonsole. Ziehen Sie eine GPO in der Rangfolge nach oben, verarbeitet Windows sie später im Zyklus. So kann sie widersprüchliche Anweisungen überschreiben.

Funktionsweise von Vererbungsblockierung und Erzwingen verstehen

Komplexe Verzeichnisstrukturen erfordern oft Ausnahmen vom standardmäßigen hierarchischen Ablauf. Windows stellt dafür zwei leistungsstarke Steuerelemente bereit – Vererbung blockieren und Erzwungen –, mit denen sich ändern lässt, wie sich Regeln in der Umgebung ausbreiten.

Die Vererbung blockieren lässt sich für jede beliebige OU aktivieren. Dadurch erbt dieser Container samt untergeordneter Objekte keine Richtlinien mehr von übergeordneten Containern weiter oben im Domänenstrukturbaum. Das schafft eine saubere Ausgangsbasis für Fachbereiche, die völlig anderen regulatorischen oder betrieblichen Vorgaben unterliegen. Allerdings birgt diese Funktion ein Risiko, wenn Administratoren versehentlich wichtige Sicherheitsbasisrichtlinien abtrennen, die das Compliance-Team des Unternehmens vorschreibt.

Um nicht autorisierte Blockierungen zu verhindern, können Administratoren eine GPO-Verknüpfung auf höherer Ebene als Erzwungen markieren. Eine erzwungene Einstellung setzt sich gegen jede untergeordnete Blockierung der Vererbung durch. So wird sichergestellt, dass wichtige Sicherheitskonfigurationen oder Basisanforderungen nicht von Administratoren niedrigerer OUs umgangen oder entfernt werden können.

Rangfolgenprobleme mit nativen Tools beheben

Wenn in der Produktion Richtlinienkonflikte auftreten, kostet das Raten bei der Rangfolge nur unnötig Zeit. Windows enthält integrierte Diagnoseprogramme, die genau zeigen, welche GPOs erfolgreich angewendet wurden und welche Regeln den Vorrang verloren haben.

Das Befehlszeilenprogramm gpresult liefert einen schnellen Überblick über die angewendeten Konfigurationen. Der Bericht „Gruppenrichtlinienergebnisse“ in der grafischen Verwaltungskonsole bietet eine umfassende, anklickbare Aufschlüsselung der Benutzer- und Computereinstellungen. Diese Berichte zeigen die Rangfolge ausdrücklich an und stellen gewinnende und verlierende Richtlinien nebeneinander dar. So können Administratoren prüfen, ob ihre Hierarchie wie vorgesehen funktioniert.

Wenn Sie sich eingehender damit beschäftigen möchten, wie moderne Cloud-Architekturen und Hybridsysteme administrative Grenzen verwalten, können Sie die vollständige Episode anhören im M365 FM Podcast. Dort diskutieren Experten Strategien für die Bereitstellung moderner Arbeitsplätze.

Häufige Fragen

Wofür steht LSDOU in der Gruppenrichtlinie?

LSDOU steht für Local, Site, Domain und Organizational Unit (Lokal, Standort, Domäne und Organisationseinheit). Es beschreibt die genaue zeitliche Reihenfolge, in der Windows Gruppenrichtlinienobjekte während eines Aktualisierungszyklus verarbeitet.

Wie behandelt Windows Konflikte innerhalb derselben OU?

Sind mehrere GPOs mit einer einzelnen OU verknüpft, verarbeitet Windows sie von unten nach oben in der Verknüpfungsliste. Die oben aufgeführte Richtlinie wird zuletzt verarbeitet und setzt sich daher bei widersprüchlichen Einstellungen durch.

Was passiert, wenn die Vererbungsblockierung auf eine erzwungene Richtlinie trifft?

Eine erzwungene Richtlinie hebt die Vererbungsblockierung vollständig auf. Auch wenn eine untergeordnete OU die Vererbung blockiert hat, gilt jede übergeordnete GPO mit dem Attribut „Erzwungen“ weiterhin für alle Objekte in diesem Container.

Warum werden Sicherheitseinstellungen alle sechzehn Stunden erneut angewendet?

Sicherheitseinstellungen werden anders behandelt als standardmäßige Richtlinien für das Erscheinungsbild. Sie werden automatisch alle 16 Stunden erneut angewendet, unabhängig davon, ob sich die Versionsnummer der zugrunde liegenden GPO geändert hat. So werden lokale administrative Änderungen schnell korrigiert.