Microsoft Windows 11 Enterprise

Die Ausgabe Windows 11 Enterprise ist für Arbeitsplätze gedacht, die zentral verwaltet werden und an denen der Schutz von Anmeldedaten und Anwendungen im Vordergrund steht. Sie enthält alles aus der Profi-Ausgabe und ergänzt Sicherheitswerkzeuge, die es in keiner anderen Ausgabe gibt.

Was Windows 11 Enterprise schützt

Das wichtigste Werkzeug ist Credential Guard. Es legt Anmeldedaten in einen durch Virtualisierung abgetrennten Bereich, auf den selbst ein Angreifer mit Administratorrechten nicht zugreifen kann. Damit laufen Angriffe ins Leere, die gestohlene Anmeldedaten weiterverwenden, um sich im Netz auszubreiten. Microsoft führt diese Funktion ausschließlich in der Enterprise-Ausgabe.

Der zweite Baustein ist AppLocker. Statt zu erkennen, was schädlich ist, dreht er die Logik um: Es startet nur, was ausdrücklich erlaubt wurde. Für Arbeitsplätze mit festem Aufgabenkreis ist das der wirksamste Schutz überhaupt, weil unbekannte Programme gar nicht erst zur Ausführung kommen.

Enthaltene Funktionen

• Credential Guard kapselt Anmeldedaten in einem durch Virtualisierung getrennten Bereich, sodass sie sich nicht aus dem laufenden System auslesen lassen
• AppLocker legt fest, welche Programme, Skripte und Installationspakete überhaupt starten dürfen
• BitLocker verschlüsselt die gesamte Festplatte, zentral verwaltbar über Richtlinien
• DirectAccess und BranchCache verbinden Außenstellen und mobile Geräte mit dem Firmennetz und halten häufig genutzte Daten lokal vor
• Hyper-V, Remote Desktop und Windows Sandbox für Virtualisierung, Fernzugriff und abgeschottete Testumgebungen
• Domänenbeitritt, Gruppenrichtlinien und zentrale Verwaltung für den Rollout auf vielen Arbeitsplätzen
• Bis zu 6 TB Arbeitsspeicher werden angesprochen

Verwaltung vieler Arbeitsplätze

Enterprise ist auf den Rollout ausgelegt. Über Gruppenrichtlinien lassen sich Einstellungen für hunderte Rechner an einer Stelle festlegen, vom Sperrbildschirm bis zur Firewall-Regel. DirectAccess verbindet mobile Geräte automatisch mit dem Firmennetz, sobald sie online sind, ohne dass jemand ein VPN startet. BranchCache hält häufig genutzte Dateien in Außenstellen lokal vor und entlastet damit die Leitung zur Zentrale.

Verschlüsselung mit Rückfallebene

BitLocker gibt es zwar auch in der Profi-Ausgabe, in einer verwalteten Umgebung entfaltet es aber erst hier seinen Nutzen. Die Wiederherstellungsschlüssel lassen sich zentral im Verzeichnisdienst hinterlegen, statt sie am einzelnen Gerät zu verwahren. Geht ein Notebook verloren oder scheitert die Anmeldung nach einem Hardwaretausch, holt die IT-Abteilung den Schlüssel aus dem Verzeichnis, statt auf einen Zettel im Schreibtisch angewiesen zu sein.

Dieselbe Logik gilt für die übrigen Vorgaben: Was an einem Einzelplatz von Hand eingestellt wird, kommt hier per Richtlinie auf alle Rechner. Das reicht von der Verschlüsselungsstärke über zulässige Anmeldeverfahren bis zur Frage, welche Wechseldatenträger überhaupt beschrieben werden dürfen.

Windows 11 als Arbeitsgrundlage

Unter der Oberfläche steckt eine Ablaufplanung, die moderne Prozessoren mit Leistungs- und Effizienzkernen gezielt anspricht. Rechenintensive Programme landen auf den schnellen Kernen, Hintergrunddienste auf den sparsamen. Auf Notebooks wirkt sich das auf die Laufzeit aus, auf Arbeitsplatzrechnern auf die Reaktionsfreude unter Last. Die Fensterwerkzeuge Snap Layouts und Snap Groups ordnen geöffnete Programme in vorgefertigte Raster und stellen die Anordnung nach einem Wechsel wieder her, was an Arbeitsplätzen mit mehreren Bildschirmen täglich Zeit spart.

Grundlage der Schutzfunktionen sind ein Sicherheitschip nach dem Standard TPM 2.0 und ein UEFI mit Secure Boot. Schlüssel und Anmeldedaten liegen dadurch in Hardware statt im Arbeitsspeicher, und beim Start prüft der Rechner die Signatur der geladenen Komponenten. Schadsoftware, die sich vor dem System einnistet, kommt damit nicht durch. Windows Hello meldet Anwender per Gesicht, Fingerabdruck oder PIN an, ohne dass ein Passwort über die Tastatur wandert.

Einrichtung und Aktivierung

Die Aktivierung erfolgt über den Produktschlüssel, entweder bei der Ersteinrichtung oder später in den Einstellungen unter „System” und dort „Aktivierung”. Ein Microsoft-Konto ist dafür nicht erforderlich, ein lokales Konto genügt. In verwalteten Umgebungen lässt sich der Vorgang zusammen mit den übrigen Vorgaben automatisiert ausrollen, sodass ein neu aufgesetzter Arbeitsplatz ohne Zutun einsatzbereit ist.

Für wen Windows 11 Enterprise gedacht ist

Sie passt in Umgebungen mit vielen Arbeitsplätzen, zentraler Verwaltung und erhöhten Anforderungen an den Schutz von Zugangsdaten. Wer einen einzelnen Rechner oder eine Handvoll Geräte betreibt und keine Domäne einsetzt, kommt mit der Windows 11 Pro Lizenz zurecht; sie enthält BitLocker, Remote Desktop, Hyper-V und den Domänenbeitritt bereits. Weitere Ausgaben findest du in der Windows-11-Übersicht.

Technische Einzelheiten zu den Schutzfunktionen führt die Dokumentation von Microsoft.