Neuigkeiten in Windows 10 Enterprise LTSC 2021

In diesem Artikel werden neue und aktualisierte Features und Inhalte aufgeführt, die für IT-Experten für Windows 10 Enterprise LTSC 2021 im Vergleich zu Windows 10 Enterprise LTSC 2019 (LTSB) von Interesse sind. Eine kurze Beschreibung des LTSC-Wartungskanals und des zugehörigen Supports finden Sie unter Windows 10 Enterprise LTSC.

Windows 10 Enterprise LTSC 2021 baut auf Windows 10 Enterprise LTSC 2019 auf und fügt Premium-Features wie erweiterten Schutz vor modernen Sicherheitsbedrohungen und umfassende Funktionen zur Geräteverwaltung, App-Verwaltung und Steuerung hinzu.

Das release Windows 10 Enterprise LTSC 2021 enthält die kumulativen Verbesserungen, die in Windows 10 Versionen 1903, 1909, 2004, 21H1 und 21H2 bereitgestellt werden. Details zu diesen Verbesserungen finden Sie unten.

Lebenszyklus

Weitere Informationen zum Lebenszyklus für dieses Release finden Sie unter The next Windows 10 Long-Term Servicing Channel (LTSC)-Release.

Hardwaresicherheit

Systemüberwachung

Systemüberwachung hat in dieser Version von Windows ein Feature namens SMM Firmware Protection verbessert. Dieses Feature basiert auf Systemüberwachung sicheren Start, um die Angriffsfläche der Firmware zu reduzieren und sicherzustellen, dass die SMM-Firmware (System Management Mode) auf dem Gerät fehlerfrei funktioniert. SMM-Code kann nicht auf den Arbeitsspeicher und die Geheimnisse des Betriebssystems zugreifen.

In dieser Version bietet Windows Defender-Systemüberwachung eine noch höhere Ebene für den Firmware-Schutz im Systemverwaltungsmodus (SMM), der über die Überprüfung des Speichers und der Geheimnisse des Betriebssystems hinausgeht und auch weitere Ressourcen wie Register und E/A abdeckt.

Mit dieser Verbesserung kann das Betriebssystem einen höheren Grad an SMM-Compliance erkennen, wodurch Geräte noch widerstandsfähiger gegen SMM-Exploits und Sicherheitsrisiken werden. Basierend auf der Plattform, der zugrunde liegenden Hardware und Firmware gibt es drei Versionen von SMM Firmware Protection (eine, zwei und drei), wobei jede nachfolgende Version einen stärkeren Schutz bietet als die vorherigen.

Es gibt heute bereits Geräte auf dem Markt, die SMM Firmware Protection-Versionen eins und zwei anbieten. SMM Firmware Protection Version 3 Dieses Feature ist derzeit zukunftsorientiert und erfordert neue Hardware, die in Kürze zur Verfügung gestellt wird.

Betriebssystemsicherheit

Systemsicherheit

Windows-Sicherheit: Der Schutzverlauf wurde verbessert, er umfasst nun detailliertere und verständlichere Informationen zu Bedrohungen und verfügbaren Aktionen und enthält nun Blöcke aus dem überwachten Ordnerzugriff. Verbessert wurden zudem Aktionen des Tools Windows Defender Offline zum Offline-Scannen und ausstehende Empfehlungen.

Verschlüsselung und Datenschutz

BitLocker und Mobile Geräteverwaltung (MDM) mit Microsoft Entra ID zusammenarbeiten, um Ihre Geräte vor versehentlicher Kennwortweitergabe zu schützen. Jetzt rotiert ein neues Feature, das schlüsselrollt, Wiederherstellungskennwörter auf MDM-verwalteten Geräten sicher. Das Feature wird immer dann aktiviert, wenn Microsoft Intune/MDM-Tools oder ein Wiederherstellungskennwort zum Entsperren eines von BitLocker geschützten Laufwerks verwendet wird. So ist das Wiederherstellungskennwort besser geschützt, wenn Benutzer ein BitLocker-Laufwerk manuell entsperren.

Netzwerksicherheit

Windows Defender Firewall

Windows Defender Firewall bietet jetzt die folgenden Vorteile:

Reduzieren des Risikos: Windows Defender Firewall reduziert die Angriffsfläche eines Geräts mit Regeln zum Einschränken oder Zulassen des Datenverkehrs durch viele Eigenschaften, z. B. IP-Adressen, Ports oder Programmpfade. Die Verringerung der Angriffsfläche eines Geräts erhöht die Verwaltbarkeit und verringert die Wahrscheinlichkeit eines erfolgreichen Angriffs.

Schützen von Daten: Mit der integrierten Internetprotokollsicherheit (IPsec) bietet Windows Defender Firewall eine einfache Möglichkeit, authentifizierte End-to-End-Netzwerkkommunikation zu erzwingen. Sie bietet skalierbaren, mehrstufigen Zugriff auf vertrauenswürdige Netzwerkressourcen, hilft dabei, die Integrität der Daten zu erzwingen und optional die Vertraulichkeit der Daten zu schützen.

Wert erweitern: Windows Defender Firewall ist eine hostbasierte Firewall, die im Betriebssystem enthalten ist, sodass keine andere Hardware oder Software erforderlich ist. Windows Defender Firewall wurde auch entwickelt, um vorhandene Nicht-Microsoft-Netzwerksicherheitslösungen durch eine dokumentierte Anwendungsprogrammierschnittstelle (Application Programming Interface, API) zu ergänzen.

Die Windows Defender Firewall ist jetzt auch einfacher zu analysieren und zu debuggen. Das IPsec-Verhalten wurde in den Paketmonitor (pktmon) integriert, ein integriertes komponentenübergreifendes Netzwerkdiagnosetool für Windows.

Darüber hinaus wurden die Windows Defender Firewall-Ereignisprotokolle verbessert, um sicherzustellen, dass eine Überwachung den spezifischen Filter identifizieren kann, der für ein bestimmtes Ereignis verantwortlich war. Diese Erweiterung ermöglicht die Analyse des Firewallverhaltens und der umfassenden Paketerfassung, ohne sich auf andere Tools verlassen zu müssen.

Windows Defender Firewall unterstützt jetzt auch Windows-Subsystem für Linux (WSL). Sie können Regeln für den WSL-Prozess hinzufügen, genau wie für Windows-Prozesse. Weitere Informationen finden Sie unter Windows Defender Firewall unterstützt jetzt Windows-Subsystem für Linux (WSL).

Viren- und Bedrohungsschutz

Verringerung der Angriffsfläche : IT-Administratoren können Geräte mit erweitertem Webschutz konfigurieren, mit dem sie Zulassungs- und Sperrlisten für bestimmte URLs und IP-Adressen definieren können. Schutz der nächsten Generation : Die Kontrollen wurden auf den Schutz vor Ransomware, Missbrauch von Anmeldeinformationen und Angriffen, die über Wechselmedien übertragen werden, erweitert.

• Integritätserzwingungsfunktionen: Aktivieren Sie den Remotelaufzeitnachweis Windows 10 Plattform.
• Funktionen zur Manipulationssicherheit: Verwendet virtualisierungsbasierte Sicherheit, um kritische Microsoft Defender for Endpoint Sicherheitsfunktionen vom Betriebssystem und angreifern zu isolieren. Plattformunterstützung: Zusätzlich zu Windows 10 wurde die Funktionalität von Microsoft Defender for Endpoint erweitert, um Windows 7- und Windows 8.1-Clients sowie macOS, Linux und Windows Server mit den Funktionen Endpunkterkennung (Endpoint Detection, EDR) und Endpoint Protection Platform (EPP) zu unterstützen.

Erweitertes maschinelles Lernen: Verbessert durch fortschrittliche Modelle für maschinelles Lernen und KI, die Schutz bieten vor Apex-Angriffen durch innovativer Exploit-Techniken, Tools und Malware für Sicherheitslücken.

Notfall-Ausbruchsschutz: Geräte werden automatisch mit neuen Informationen aktualisiert, wenn ein neuer Ausbruch festgestellt wird.

Zertifizierte ISO 27001-Konformität: Stellt sicher, dass der Clouddienst Bedrohungen, Schwachstellen und Auswirkungen analysiert hat und dass Risikomanagement und Sicherheitskontrollen vorhanden sind.

Unterstützung für Geolokalisierung: Unterstützt Geolokalisierung und Souveränität von Beispieldaten sowie konfigurierbare Aufbewahrungsrichtlinien.

Verbesserte Unterstützung für Nicht-ASCII-Dateipfade für Microsoft Defender Advanced Threat Protection (ATP) Auto Incident Response (IR).

Anwendungssicherheit

App-Isolation

Windows Sandbox: Isolierte Desktopumgebung, in der Sie nicht vertrauenswürdige Software ausführen können, ohne befürchten zu müssen, Ihr Gerät dauerhaft zu schädigen.

Microsoft Defender Application Guard

Microsoft Defender Application Guard Verbesserungen umfassen:

• Eigenständige Benutzer können ihre Windows Defender Application Guard-Einstellungen installieren und konfigurieren, ohne die Registrierungsschlüsseleinstellungen ändern zu müssen. Benutzer in Unternehmen können ihre Einstellungen überprüfen, um festzustellen, was ihre Administratoren für ihre Computer konfiguriert haben, um das Verhalten besser zu verstehen.

• Application Guard ist jetzt eine Erweiterung in Google Chrome und Mozilla Firefox. Viele Benutzer befinden sich in einer hybriden Browserumgebung und möchten die Browserisolationstechnologie von Application Guard über Microsoft Edge hinaus erweitern. In der neuesten Version können Benutzer die Application Guard-Erweiterung in ihren Chrome- oder Firefox-Browsern installieren. Diese Erweiterung leitet die nicht vertrauenswürdige Navigation an den Application Guard Edge-Browser um. Es gibt auch eine Begleit-App zur Aktivierung dieser Funktion im Microsoft Store. Benutzer können mit dieser App schnell Application Guard über ihren Desktop starten. Diese Funktion ist auch Windows 10 (ab Version 1803 mit den neuesten Updates) verfügbar.

  So können Sie diese Erweiterung testen:

  1. Konfigurieren Sie Application Guard Richtlinien auf Ihrem Gerät.
  2. Rufen Sie den Chrome Web Store oder die Firefox-Add-Ons auf und suchen Sie nach Application Guard. installieren Sie die Erweiterung.
  3. Befolgen Sie einen der anderen Konfigurationsschritte auf der Seite zum Einrichten der Erweiterung.
  4. Starten Sie das Gerät neu.
  5. Navigieren Sie in Chrome und Firefox zu einer nicht vertrauenswürdigen Site.

Dynamische Navigation: Application Guard ermöglicht es Benutzern jetzt, von der Application Guard Microsoft Edge zurück zu ihrem Standardhostbrowser zu navigieren. Zuvor wurde benutzern, die in Application Guard Edge navigieren, eine Fehlerseite angezeigt, wenn sie versuchten, im Containerbrowser zu einer vertrauenswürdigen Website zu wechseln. Mit diesem neuen Feature werden Benutzer automatisch an ihren Hoststandardbrowser umgeleitet, wenn sie eine vertrauenswürdige Website in Application Guard Edge eingeben oder darauf klicken. Diese Funktion ist auch Windows 10 (ab Version 1803 mit den neuesten Updates) verfügbar.

Application Guard Leistung wird durch optimierte Dokumentöffnungszeiten verbessert:

• Ein Problem wurde behoben, das beim Öffnen eines Microsoft Defender Application Guard Office-Dokuments (Application Guard) zu einer Verzögerung von einer Minute oder mehr führen kann. Dieses Problem kann auftreten, wenn Sie versuchen, eine Datei mithilfe eines UNC-Pfads (Universal Naming Convention) oder eines SMB-Freigabelinks (Server Message Block) zu öffnen.
• Es wurde ein Speicherproblem behoben, das dazu führen kann, dass ein Application Guard Container fast 1 GB Arbeitssatzarbeitsspeicher verwendet, wenn sich der Container im Leerlauf befindet.
• Die Leistung von Robocopy beim Kopieren von Dateien mit einer Größe von mehr als 400 MB wurde verbessert.

Anwendungssteuerung

Anwendungssteuerung für Windows: In Windows 10 Version 1903 wurden von Windows Defender Application Control (WDAC) viele neue Features hinzugefügt, die wichtige Szenarien aufleuchten und Featureparität mit AppLocker bieten.

• Mehrere Richtlinien: Die Windows Defender-Anwendungssteuerung unterstützt jetzt mehrere gleichzeitige Codeintegritätsrichtlinien für ein Gerät, um die folgenden Szenarien zu ermöglichen: 1) Nebeneinander erzwingen und überwachen, 2) einfachere Ausrichtung für Richtlinien mit unterschiedlichem Umfang/Absicht, 3) Erweitern einer Richtlinie mithilfe einer neuen "ergänzenden" Richtlinie.
• Pfadbasiert Richtlinien: Die Pfadbedingung identifiziert eine App anhand ihres Speicherorts im Dateisystem des Computers oder im Netzwerk anstelle eines Unterzeichners oder einer Hash-ID. Darüber hinaus verfügt WDAC über eine Option, mit der Administratoren zur Laufzeit erzwingen können, dass nur Code aus Pfaden ausgeführt wird, die nicht vom Benutzer geschrieben werden können. Wenn Code versucht, zur Laufzeit auszuführen, wird das Verzeichnis überprüft, und Dateien werden auf Schreibberechtigungen für unbekannte Administratoren überprüft. Wenn festgestellt wird, dass eine Datei vom Benutzer geschrieben werden kann, wird die Ausführung der ausführbaren Datei blockiert, sofern sie nicht durch eine andere als eine Pfadregel wie eine Unterzeichner- oder eine Hash-Regel autorisiert ist.
  Dies bringt WDAC in Funktionsparität mit AppLocker in Bezug auf die Unterstützung von Dateipfadregeln. WDAC verbessert die Sicherheit von Richtlinien, die auf Dateipfadregeln basieren, durch die Verfügbarkeit der Berechtigungsprüfungen für die Benutzerbeschreibbarkeit zur Laufzeit. Diese Funktion ist in AppLocker nicht verfügbar.
• COM-Objektregistrierung zulassen: Zuvor hat Windows Defender Application Control (WDAC) eine integrierte Zulassungsliste für die COM-Objektregistrierung erzwungen. Dieser Mechanismus funktioniert für die meisten Anwendungsnutzungsszenarien, aber Kunden haben in ihrem Feedback mitgeteilt, dass es Fälle gibt, in denen mehr COM-Objekte zugelassen werden müssen. Das Update 1903 für Windows 10 bietet die Möglichkeit, zulässige COM-Objekte über ihre GUID in der WDAC-Richtlinie anzugeben.

Identität und Datenschutz

Geschützte Identität

Windows Hello Verbesserungen umfassen:

• Windows Hello wird nun von allen gängigen Browsern wie Chrome und Firefox als Fast Identity Online 2-Authentifikator (FIDO2) unterstützt.
• Sie können jetzt die kennwortlose Anmeldung für Microsoft-Konten auf Ihrem Windows 10 Gerät aktivieren, indem Sie zu Einstellungen > Konten > Anmeldeoptionen wechseln und unter Gerät kennwortlos machen die Option Ein auswählen. Durch das Aktivieren der kennwortlosen Anmeldung können alle Microsoft-Konten auf Ihrem Windows 10-Gerät auf moderne Authentifizierungsformen wie Windows Hello-Gesichtserkennung, Fingerabdruck oder PIN umgestellt werden.
• Die Unterstützung für die Windows Hello-PIN-Anmeldung wurde dem abgesicherten Modushinzugefügt.
• Windows Hello for Business verfügt jetzt über Microsoft Entra Hybridsupport und Telefonnummernanmeldung (Microsoft-Konto). Die Unterstützung von FIDO2-Sicherheitsschlüsseln wurde auf Microsoft Entra Hybridumgebungen erweitert, sodass Unternehmen mit Hybridumgebungen die vorteile der kennwortlosen Authentifizierung nutzen können. Weitere Informationen finden Sie unter Erweiterung der Azure Active Directory-Unterstützung für FIDO2 (Preview) auf Hybrid-Umgebungen.
• Dank spezieller Hardware- und Softwarekomponenten auf den Geräten, die ab Werk mit Windows 10, Version 20H2 konfiguriert ausgeliefert werden, bietet Windows Hello jetzt zusätzliche Unterstützung für virtualisierungsbasierte Sicherheit mit unterstützenden Fingerabdruck- und Gesichtssensoren. Dieses Feature isoliert und sichert die biometrischen Authentifizierungsdaten eines Benutzers.
• Multikameraunterstützung wurde in Windows Hello hinzugefügt, sodass Benutzer eine externe Kamerapriorität auswählen können, wenn sowohl externe als auch interne Windows Hello-fähige Kameras vorhanden sind.
• Windows Hello FIDO2-Zertifizierung: Windows Hello ist jetzt ein FIDO2-zertifizierter Authentifikator und ermöglicht die kennwortlose Anmeldung für Websites, die die FIDO2-Authentifizierung unterstützen, z. B. Microsoft-Konto und Entra-ID.
• Optimierte Erfahrung beim Zurücksetzen der Windows Hello-PIN: Benutzer von Microsoft-Konten können die Windows Hello-PIN jetzt mit derselben Anmutung wie beim Anmelden im Web zurücksetzen.
• Remotedesktop mit Biometrie: Microsoft Entra ID- und Active Directory-Benutzer, die Windows Hello for Business verwenden, können biometrische Daten verwenden, um sich bei einer Remotedesktopsitzung zu authentifizieren.

Schutz von Anmeldeinformationen

Credential Guard

Credential Guard ist jetzt für ARM64-Geräte verfügbar, um unternehmen, die ARM64-Geräte in ihren Organisationen wie Surface Pro X bereitstellen, zusätzlichen Schutz vor Diebstahl von Anmeldeinformationen zu erhalten.

Datenschutzkontrollen

Datenschutzeinstellungen für das Mikrofon: Im Infobereich wird ein Mikrofonsymbol angezeigt, das angibt, welche Apps Ihr Mikrofon verwenden.

Cloud Services

Microsoft Intune

Microsoft Intune unterstützt Windows 10 Enterprise LTSC 2021 mit der folgenden Ausnahme:

• Updateringe können nicht für Featureupdates verwendet werden, da Windows 10 LTSC-Versionen keine Featureupdates erhalten. Updateringe können für Qualitätsupdates für Windows 10 Enterprise LTSC 2021-Clients verwendet werden.

Neue Intune-Remoteaktion: Über Diagnosedaten sammeln können Sie die Protokolle von Unternehmensgeräten erfassen, ohne den Endbenutzer stören oder auf ihn warten zu müssen. Weitere Informationen finden Sie unter Remoteaktion "Diagnosedaten sammeln".

In Intune wurde außerdem Funktionen für die rollenbasierte Zugriffssteuerung (Role-based Access Control, RBAC) hinzugefügt, die zum weiteren Definieren von Profileinstellungen für die Registrierungsstatusseite (Enrollment Status Page, ESP) verwendet werden können. Weitere Informationen finden Sie unter Profil für Registrierungsstatusseite erstellen und einer Gruppe zuweisen.

Eine vollständige Liste der Neuerungen in Microsoft Intune finden Sie unter Neues in Microsoft Intune.

Mobile Geräteverwaltung

Die Mobile Geräteverwaltung-Richtlinie (MDM) wird um neue lokale Benutzer und Gruppen Einstellungen erweitert, die den Optionen entsprechen, die für Geräte verfügbar sind, die über Gruppenrichtlinie verwaltet werden.

Weitere Informationen zu den Neuerungen in MDM finden Sie unter Neuerungen bei der Registrierung und Verwaltung mobiler Geräte

In der Windows-Verwaltungsinstrumentation (Windows Management Instrumentation, WMI) gibt es eine Leistungsverbesserung zur Unterstützung von Remotearbeitsszenarien:

• Ein Problem wurde behoben, das dazu führte, dass Änderungen eines Active Directory (AD)-Administrators an Benutzer- oder Computergruppenmitgliedschaften nur langsam übertragen wurden. Obwohl das Zugriffstoken schließlich aktualisiert wird, werden diese Änderungen u. U. nicht angezeigt, wenn der Administrator gpresult /r oder gpresult /h zum Erstellen eines Berichts verwendet.

Fortlaufende und rotierende Schlüssel

Diese Version enthält auch zwei neue Features namens Schlüsselrolling und Schlüsselrotation, die ein sicheres Rollieren von Wiederherstellungskennwörtern auf MDM-verwalteten Microsoft Entra ID Geräten ermöglichen, die von Microsoft Intune/MDM-Tools angefordert werden oder wenn ein Wiederherstellungskennwort zum Entsperren des durch BitLocker geschützten Laufwerks verwendet wird. Mit diesem Feature wird verhindert, dass versehentlich Wiederherstellungskennwörter im Rahmen der manuellen Entsperrung des BitLocker-Laufwerks durch Benutzer offengelegt werden.

Bereitstellung

SetupDiag

SetupDiag ist ein neues Tool für die Befehlszeile, mit dem Sie feststellen können, warum ein Windows 10-Update fehlgeschlagen ist. SetupDiag durchsucht dazu die Windows Setup-Protokolldateien. Wenn Protokolldateien durchsucht werden, verwendet SetupDiag einen Satz von Regeln für den Abgleich mit bekannten Problemen. In der aktuellen Version von SetupDiag enthält die Datei „rules.xml” 53 Regeln, die bei der Ausführung von SetupDiag extrahiert werden. Die Datei rules.xml wird aktualisiert, sobald neue Versionen von SetupDiag verfügbar sind.

Reservierter Speicher

Reservierter Speicher: Reservierter Speicher reserviert Speicherplatz, der von Updates, Apps, temporären Dateien und Systemcaches verwendet werden soll. Es verbessert die alltägliche Funktion Ihres PCs, indem sichergestellt wird, dass kritische Betriebssystemfunktionen immer Zugriff auf Speicherplatz haben. Reservierter Speicher wird auf neuen PCs mit vorinstalliertem Windows 10, Version 1903, und für Neuinstallationen automatisch aktiviert. Es wird nicht aktiviert, wenn ein Update von einer früheren Version von Windows 10 durchgeführt wird.

Windows Assessment and Deployment Toolkit (ADK)

Für Windows 11 steht ein neues Windows ADK zur Verfügung, das auch Windows 10 Version 21H2 unterstützt.

Microsoft Deployment Toolkit (MDT)

Die neuesten Informationen zu MDT finden Sie in den MDT-Versionshinweisen.

Windows-Setup

Windows Setup-Antwortdateien (unattend.xml) weisen eine verbesserte Sprachbehandlung auf.

Zu den Verbesserungen in Windows Setup in dieser Version gehören:

• Verkürzte Offlinezeit während Featureupdates
• Verbesserte Steuerung des reservierten Speichers
• Verbesserte Steuerung und Diagnose
• Neue Wiederherstellungsoptionen

Weitere Informationen finden Sie unter “Windows Setup-Verbesserungen” im Windows IT Pro-Blog.

Microsoft Edge

Die Unterstützung des Microsoft Edge-Browsers ist jetzt im Lieferumfang enthalten.

Microsoft Edge-Kioskmodus

Der Microsoft Edge-Kioskmodus ist für LTSC-Releases ab Windows 10 Enterprise 2021 LTSC und Windows 10 IoT Enterprise 2021 LTSC verfügbar.

Im Microsoft Edge-Kiosk-Modus sind zwei gesperrte Browserumgebungen verfügbar, damit Organisationen optimale Umgebungen für ihre Kunden gestalten, verwalten und anbieten können. Die folgenden gesperrten Umgebungen sind verfügbar:

• Digital/Interactive Signage– Zeigt eine bestimmte Website im Vollbildmodus an.
• Öffentliches Browsen – Führt eine eingeschränkte Version mit mehreren Registerkarten von Microsoft Edge aus.
• In beiden Fällen wird eine Microsoft Edge-InPrivate-Sitzung ausgeführt, wodurch die Benutzerdaten geschützt sind.

Windows-Subsystem für Linux

Windows-Subsystem für Linux (WSL) ist im Lieferumfang verfügbar.

Netzwerk

WPA3 H2E-Standards werden für verbesserte Wi-Fi Sicherheit unterstützt.

Weitere Informationen

Windows 10 Enterprise LTSC: Eine kurze Beschreibung des LTSC-Wartungskanals mit Links zu Informationen zu den einzelnen Releases.