# AppLocker auf Windows 10/11 Home nutzen: Eine umfassende Anleitung

**Autor: 吉祥法师**

AppLocker, das leistungsfähige Tool zur Anwendungssteuerung von Microsoft, war lange Zeit ausschließlich den Enterprise- und Education-Editionen von Windows vorbehalten. Administratorinnen und Administratoren, die mit Windows 10 oder 11 Home arbeiten, standen vor einer scheinbar unüberwindbaren Hürde, wenn sie diese Sicherheitsfunktion nutzen wollten. Doch mit der aktualisierten Microsoft-Dokumentation und kreativen Lösungsansätzen aus der Community gibt es nun Wege, AppLocker auch auf diesen Editionen einzusetzen. Dieser Artikel beleuchtet die Hintergründe, die technischen Möglichkeiten und die praktischen Grenzen dieser Lösungen.

## Die Ausgangslage: AppLocker und seine traditionellen Beschränkungen

AppLocker ist ein Sicherheitsfeature, das es Administratoren ermöglicht, festzulegen, welche Anwendungen auf einem Windows-System ausgeführt werden dürfen und welche nicht. Es bietet granulare Kontrolle über ausführbare Dateien, Installationsprogramme, Skripte und sogar Windows Store-Apps. Diese Kontrolle ist besonders wertvoll in Unternehmensumgebungen, in denen Sicherheitsrichtlinien strikt durchgesetzt werden müssen, aber auch für private Nutzer, die ihr System vor unerwünschter Software schützen möchten.

Ursprünglich war AppLocker nur in den Editionen Windows Enterprise und Windows Education verfügbar. Diese Beschränkung basierte auf der Tatsache, dass AppLocker traditionell über Gruppenrichtlinienobjekte (GPOs) verwaltet wurde, die in diesen Editionen vollständig integriert sind. Die Home- und Pro-Versionen von Windows bieten zwar einige Verwaltungsfunktionen, jedoch nicht den vollen Funktionsumfang, der für die AppLocker-Verwaltung erforderlich ist.

## Die neue Perspektive: Microsofts aktualisierte Dokumentation

Mit der Überarbeitung der offiziellen Microsoft-Dokumentation änderte sich jedoch die Situation grundlegend. In der neuen Dokumentation zu AppLocker und den zugehörigen Konfigurationsdienstanbietern (CSPs) findet sich ein bemerkenswerter Satz: "You can use the AppLocker CSP to configure AppLocker policies on any edition of Windows 10 and Windows 11 supported by Mobile Device Management (MDM)."

Diese Aussage öffnet die Tür für den Einsatz von AppLocker auf Home- und Pro-Editionen, sofern diese Geräte über Mobile Device Management verwaltet werden können. Der Schlüssel liegt hier in der Verwendung des AppLocker CSP (Configuration Service Provider), der eine Alternative zur herkömmlichen GPO-basierten Verwaltung darstellt. MDM-Lösungen wie Microsoft Intune oder andere Drittanbieter können diesen CSP nutzen, um AppLocker-Richtlinien auf Geräten zu konfigurieren, die normalerweise nicht von GPO-Verwaltung profitieren würden.

## Die praktische Lösung: PowerShell-basierte Konfiguration

Die entscheidende Erkenntnis, die von einem Microsoft MVP geteilt wurde, ist, dass die AppLocker-Konfiguration nicht zwingend über ein vollständiges MDM-System erfolgen muss. Es ist möglich, die zugrunde liegenden Skripte und Konfigurationsdateien direkt mit PowerShell zu verwenden. Diese Entdeckung demokratisiert den Zugang zu AppLocker und ermöglicht auch ambitionierten Privatanwendern und kleinen Organisationen den Einsatz dieser Sicherheitsfunktion.

Die relevanten Skripte finden sich in einem GitHub-Repository, das von Sandy Tsang bereitgestellt wird und speziell für die Arbeit mit Intune und PowerShell entwickelt wurde. Diese Skripte sind in erster Linie für die Einschränkung von ausführbaren Dateien (EXE-Dateien) gedacht. Die Umsetzung erfolgt über XML-basierte Konfigurationsdateien, die dem System mitteilen, welche Anwendungen zugelassen oder blockiert werden sollen.

## Die Grenzen der Home-Lösung: UWP-Apps und zusätzliche Anforderungen

Bei der Analyse der verfügbaren Lösungen zeigt sich eine wichtige Einschränkung: Die verlinkten PowerShell-Skripte fokussieren sich auf die Steuerung von klassischen Win32-Anwendungen und EXE-Dateien. Die Beschränkung von UWP-Apps (Universal Windows Platform), also den modernen Anwendungen aus dem Microsoft Store, ist mit diesen Skripten nicht direkt möglich. Diese Funktionalität erfordert spezifische XML-Konfigurationen, die über die Grundfunktionen hinausgehen.

Um auch UWP-Apps über AppLocker steuern zu können, sind erweiterte XML-Dateien erforderlich, die die spezifischen Appx-Regeln definieren. Diese XML-Dateien müssen für jede App einzeln erstellt werden und enthalten detaillierte Informationen über die jeweilige App, einschließlich ihrer eindeutigen Produkt-ID und des Herausgebers. Erst mit diesen vollständigen Konfigurationen können moderne Apps aus dem Microsoft Store ebenfalls kontrolliert werden.

## Alternativen und Vergleich: Das C't-Projekt "restric'tor"

Eine bekannte Alternative zu dieser neuen Methode stellt das Projekt "restric'tor" dar, das von der Zeitschrift c't entwickelt wurde. Dieses Tool gilt als eine Art Vorgänger von AppLocker und machte die grundlegenden Funktionen der Anwendungssteuerung für alle Windows-Editionen zugänglich. restric'tor bietet eine grafische Benutzeroberfläche, die die Konfiguration von Anwendungsregeln deutlich erleichtert.

Bei genauerer Betrachtung offenbaren sich jedoch deutliche Unterschiede in der Funktionalität. Während restric'tor durch seine benutzerfreundliche Oberfläche besticht, fehlen ihm wichtige erweiterte Funktionen. Insbesondere die Möglichkeit, den Zugriff auf UWP-Apps einzuschränken, ist mit restric'tor nicht gegeben. Diese Einschränkung ist aus heutiger Sicht erheblich, da moderne Anwendungen zunehmend als UWP-Apps aus dem Microsoft Store bezogen werden.

## Die Architektur der AppLocker-Konfiguration: Ein praktisches Beispiel

Um die technische Umsetzung zu veranschaulichen, ist es hilfreich, sich die Struktur von AppLocker-Richtliniendateien anzusehen. Eine solche Konfiguration ist in XML geschrieben und folgt einem klaren Schema. Das Grundgerüst sieht folgendermaßen aus:

```xml


    

```

Innerhalb dieser Struktur werden einzelne Regeln als "FilePublisherRule" definiert. Diese Regeln enthalten Informationen über den Herausgeber der Anwendung, den Produktnamen und die zulässigen Versionen. Ein typisches Beispiel für eine solche Regel sieht folgendermaßen aus:

```xml

    
        
            
        
    

```

Die "UserOrGroupSid" mit dem Wert "S-1-1-0" steht für die Gruppe "Jeder" und gilt daher für alle Benutzer des Systems. Durch die Kombination mehrerer solcher Regeln kann eine umfassende AppLocker-Konfiguration erstellt werden, die entweder als Whitelist (nur erlaubte Apps werden ausgeführt) oder als Blacklist (bestimmte Apps werden blockiert) fungieren kann.

## Herausforderungen und Überlegungen für die Praxis

Die Implementierung dieser Lösung ist nicht trivial und erfordert ein gewisses Maß an technischem Verständnis. Anders als bei der Administration über Gruppenrichtlinien, wo ein zentrales Verwaltungstool zur Verfügung steht, müssen die XML-Dateien manuell erstellt und gepflegt werden. Dies erhöht die Fehleranfälligkeit und erfordert sorgfältige Tests, bevor die Richtlinien produktiv eingesetzt werden.

Ein wesentlicher Vorteil dieser Skriptlösung gegenüber der GPO-Verwaltung liegt jedoch in der Transparenz und Kontrolle über den gesamten Prozess. Da alles textbasiert ist, lassen sich Änderungen leicht nachvollziehen und dokumentieren. Zudem sind die Skripte verlustfrei in bestehende Automatisierungslösungen integrierbar.

Bei der praktischen Umsetzung ist zu beachten, dass der Dienst "Anwendungsidentität" (AppIDsvc) bei der MDM-basierten Methode nicht zwingend erforderlich ist. Dies unterscheidet sich von der klassischen GPO-Implementierung. Allerdings bedeutet dies nicht, dass dieser Dienst einfach gestoppt werden kann, ohne die Funktionalität zu beeinträchtigen. Die genauen Anforderungen hängen von der jeweiligen Implementierung ab und sollten sorgfältig geprüft werden.

## Fazit: Eine praktikable Lösung mit Handlungsbedarf

Die Möglichkeit, AppLocker auf Windows 10 und 11 Home zu nutzen, ist eine wertvolle Erweiterung für Sicherheitsbewusste Anwender. Besonders für Nutzer mit umfangreichen Sicherheitsanforderungen oder für kleine Unternehmen, die keine Enterprise-Lizenzen erwerben möchten, bietet diese Lösung eine echte Alternative.

Allerdings erfordert die Umsetzung technisches Geschick und eine sorgfältige Planung. Die Komplexität der XML-Konfigurationen und die eingeschränkte Dokumentation stellen Hürden dar, die nicht zu unterschätzen sind. Für Nutzer, die lediglich grundlegende Einschränkungen für EXE-Dateien benötigen, ist die Hürde überschaubar. Wer jedoch vollständige Kontrolle über alle App-Typen, einschließlich UWP-Apps, benötigt, muss zusätzlichen Aufwand investieren.

Die Lösung von Microsoft MVP und der Community zeigt, dass die Grenzen von Windows-Editionen oftmals nicht so starr sind, wie sie auf den ersten Blick erscheinen. Mit kreativen Ansätzen und den richtigen Werkzeugen lassen sich auch auf vermeintlich eingeschränkten Systemen professionelle Sicherheitsfunktionen implementieren. Die hier vorgestellte Methode mag nicht den Komfort einer vollwertigen Enterprise-Umgebung bieten, stellt aber eine beachtliche, funktionale Alternative dar, die es wert ist, in Betracht gezogen zu werden.