Windows 11/10: Credential Guard aktivieren/deaktivieren – so geht’s

Credential Guard unter Windows 11 und Windows 10 aktivieren oder deaktivieren: Schritt-für-Schritt-Anleitung per Gruppenrichtlinie, Registry und PowerShell.

Credential Guard schützt Ihre Windows-Anmeldeinformationen durch Isolierung in einer virtualisierten Umgebung vor Diebstahl. Möchten Sie diese Sicherheitsfunktion aktivieren oder wegen Kompatibilitätsproblemen deaktivieren, gelingt dies über die Gruppenrichtlinien, die Registry oder die Windows-Features.

Nachfolgend finden Sie alle Methoden Schritt für Schritt erklärt.

Was ist Credential Guard und wofür wird es benötigt?

Credential Guard ist eine Sicherheitsfunktion, die auf virtualisierungsbasierter Sicherheit (VBS) aufbaut. Dabei werden sensible Anmeldeinformationen, etwa NTLM-Hashes und Kerberos-Tickets, in einem isolierten, virtualisierten Container gespeichert. Dadurch erhält selbst ein System mit Administratorrechten keinen direkten Zugriff mehr auf diese Daten.

Zudem verhindert diese Isolierung sogenannte Pass-the-Hash- und Pass-the-Ticket-Angriffe, bei denen Angreifer gestohlene Anmeldeinformationen nutzen, um sich lateral durch ein Netzwerk zu bewegen. Deshalb setzen vor allem Unternehmen mit Domänenumgebungen auf diesen Schutzmechanismus.

Allerdings kann Credential Guard auch Probleme verursachen. Beispielsweise funktioniert die klassische NTLM-Authentifizierung (NTLMv1) bei aktiviertem Credential Guard nicht mehr für das einmalige Anmelden. Zusätzlich treten gelegentlich Schwierigkeiten mit RDP-Verbindungen, virtuellen Maschinen oder bestimmten Legacy-Anwendungen auf.

Für wen ist Credential Guard relevant?

Credential Guard richtet sich in erster Linie an folgende Zielgruppen:

• Unternehmen mit Active-Directory-Domänen, die Anmeldeinformationen vor Netzwerkangriffen schützen möchten
• IT-Administratoren, die zentrale Sicherheitsrichtlinien über Gruppenrichtlinien oder Intune verwalten
• Privatanwender, deren Gerät die Funktion automatisch aktiviert hat und die deshalb Kompatibilitätsprobleme beheben möchten
• Nutzer virtueller Maschinen, bei denen Credential Guard und Hyper-V-Funktionen kollidieren können

Wichtig ist zudem: Credential Guard war lange Zeit ausschließlich der Enterprise- und Education-Edition vorbehalten. Nutzer von Windows 11 oder Windows 10 Pro finden die Option in den Gruppenrichtlinien daher unter Umständen gar nicht vor.

Voraussetzungen für Credential Guard

Bevor Sie die Funktion aktivieren, sollten Sie prüfen, ob Ihr System die technischen Anforderungen erfüllt. Grundsätzlich benötigen Sie:

• Ein 64-Bit-Betriebssystem (Windows 10 oder Windows 11)
• Aktivierten Secure Boot in den UEFI-Einstellungen
• Eine CPU mit Virtualisierungserweiterung (Intel VT-x oder AMD-V)
• Aktiviertes UEFI (nicht Legacy-BIOS)
• Mindestens 4 GB Arbeitsspeicher, empfohlen werden 8 GB oder mehr
• Optional: TPM 2.0 für zusätzliche Sicherheit sowie Input/Output Memory Management Unit (IOMMU) für DMA-Schutz

Ist eine dieser Voraussetzungen nicht erfüllt, lässt sich Credential Guard entweder gar nicht oder nur eingeschränkt aktivieren. Deshalb lohnt sich vorab ein Blick in die Systeminformationen.

Wichtig: Seit Windows 11 22H2 standardmäßig aktiv

Ein zentraler Punkt, den viele Nutzer übersehen: Ab Windows 11 Version 22H2 sowie Windows Server 2025 wird Credential Guard auf domänenverbundenen Systemen ohne Domänencontroller standardmäßig aktiviert, sofern die Hardwareanforderungen erfüllt sind. Diese automatische Aktivierung schaltet zugleich VBS ein, wobei Secure Boot dafür keine zwingende Voraussetzung mehr darstellt, jedoch für mehr Sicherheit empfohlen wird.

Der Vorteil dabei: Die Standardaktivierung erfolgt ohne UEFI-Sperre, sodass Administratoren die Funktion bei Bedarf per Fernzugriff wieder deaktivieren können. Wurde Credential Guard hingegen bereits vor einem Update explizit deaktiviert, bleibt diese Einstellung auch nach dem Update auf eine neuere Windows-Version bestehen.

Genau aus diesem Grund berichten seit 2026 viele Nutzer von unerwarteten Anmeldeaufforderungen bei RDP-Verbindungen oder Problemen mit dem automatischen Ausfüllen von Zugangsdaten im Browser – die Funktion wurde einfach automatisch aktiv geschaltet.

Aktuellen Status von Credential Guard prüfen

Bevor Sie etwas ändern, sollten Sie zunächst feststellen, ob Credential Guard bei Ihnen bereits läuft. Dafür gibt es mehrere Wege.

Über die Systeminformationen prüfen

1. Drücken Sie Windows-Taste + R, geben Sie „msinfo32″ ein und bestätigen Sie mit Enter.
2. Suchen Sie in der Systemübersicht nach dem Eintrag „Sicherheitsdienste, die auf einer virtualisierungsbasierten Sicherheit ausgeführt werden„.
3. Steht dort „Credential Guard“, ist die Funktion aktiv. Fehlt der Eintrag oder ist das Feld leer, ist sie deaktiviert.

Über PowerShell prüfen

Alternativ öffnen Sie PowerShell als Administrator und führen folgenden Befehl aus:

Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard

Das Feld „SecurityServicesRunning“ zeigt den Wert 1, wenn Credential Guard läuft. Zusätzlich liefert dieser Befehl Informationen zu weiteren aktiven VBS-Diensten.

Credential Guard aktivieren

Für die Aktivierung stehen Ihnen je nach Windows-Edition unterschiedliche Wege zur Verfügung. Nachfolgend werden die gängigsten Methoden erklärt.

Methode 1: Aktivierung über die Gruppenrichtlinien (Windows 11/10 Enterprise, Education, Pro)

Die Gruppenrichtlinien-Methode gilt als sauberste und empfehlenswerteste Lösung, da hierbei keine manuellen Registry-Einträge notwendig sind.

1. Öffnen Sie den Ausführen-Dialog mit Windows-Taste + R.
2. Geben Sie „gpedit.msc“ ein und bestätigen Sie mit Enter.
3. Navigieren Sie zu Computerkonfiguration › Administrative Vorlagen › System › Device Guard.
4. Doppelklicken Sie auf „Virtualisierungsbasierte Sicherheit aktivieren“ und wählen Sie „Aktiviert„.
5. Wählen Sie unter „Sicherheitsstufe der Plattform“ entweder „Sicherer Start“ oder, für mehr Schutz, „Sicherer Start und DMA-Schutz“.
6. Klicken Sie im Feld „Credential Guard-Konfiguration“ auf „Aktiviert mit UEFI-Sperre„, falls die Funktion dauerhaft und lokal nicht deaktivierbar sein soll. Möchten Sie Credential Guard stattdessen aus der Ferne deaktivierbar halten, wählen Sie die Option „Ohne Sperre aktiviert“.
7. Bestätigen Sie mit „Übernehmen“ und „OK„.
8. Starten Sie den Computer neu, damit die Einstellung wirksam wird.

Wichtiger Hinweis: Die Option „Aktiviert mit UEFI-Sperre“ bedeutet, dass ein physischer Zugriff auf den Computer notwendig ist, um Credential Guard später wieder zu entfernen. Für Testumgebungen oder Privatanwender empfiehlt sich deshalb eher die Variante „Ohne Sperre aktiviert“.

Methode 2: Aktivierung über die Registry (alle Editionen)

Nutzen Sie Windows 11 oder Windows 10 Home, steht Ihnen der Gruppenrichtlinien-Editor nicht zur Verfügung. In diesem Fall greifen Sie auf die Registry zurück.

1. Öffnen Sie den Registrierungs-Editor über Windows-Taste + R und den Befehl „regedit“.
2. Navigieren Sie zu folgendem Pfad: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuard
3. Erstellen Sie, falls nicht vorhanden, einen neuen DWORD-Wert namens „EnableVirtualizationBasedSecurity“ und setzen Sie ihn auf 1.
4. Fügen Sie zudem einen DWORD-Wert namens „RequirePlatformSecurityFeatures“ hinzu. Um nur Secure Boot zu nutzen, setzen Sie den Wert auf 1; für Secure Boot samt DMA-Schutz auf 3.
5. Navigieren Sie anschließend zu: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
6. Erstellen Sie hier einen neuen DWORD-Wert mit dem Namen „LsaCfgFlags„.
7. Setzen Sie den Wert auf 1, um Credential Guard mit UEFI-Sperre zu aktivieren, oder auf 2 für die Aktivierung ohne Sperre.
8. Schließen Sie den Registrierungs-Editor und starten Sie den PC neu.

Beachten Sie: Registry-Änderungen greifen direkt in Systemdateien ein. Erstellen Sie deshalb vorab eine Sicherung des Registrierungsschlüssels, indem Sie im Registrierungs-Editor mit Rechtsklick auf den betroffenen Schlüssel „Exportieren“ wählen.

Methode 3: Aktivierung über Windows-Features (Hyper-V-Plattform)

Da Credential Guard auf dem Windows-Hypervisor basiert, muss dieser aktiv sein. Prüfen Sie deshalb folgende Einstellung:

1. Öffnen Sie die Systemsteuerung und klicken Sie auf „Programme“.
2. Wählen Sie „Windows-Features aktivieren oder deaktivieren“.
3. Stellen Sie sicher, dass „Hyper-V“ sowie „Plattform für virtuelle Computer“ aktiviert sind.
4. Bestätigen Sie mit „OK“ und starten Sie den PC bei Bedarf neu.

Methode 4: Aktivierung über Microsoft Intune (Unternehmensumgebungen)

In verwalteten Unternehmensnetzwerken lässt sich Credential Guard ebenso zentral über Microsoft Intune ausrollen. Dabei erstellen Administratoren ein Konfigurationsprofil unter „Endpunktsicherheit › Kontoschutz“ und aktivieren dort die entsprechende Richtlinie für virtualisierungsbasierte Sicherheit. Diese Methode eignet sich besonders für Firmen mit vielen verwalteten Geräten, da sich die Einstellung so ohne manuelle Eingriffe auf jedem einzelnen Gerät verteilen lässt.

Credential Guard deaktivieren

Treten nach der Aktivierung Probleme auf, etwa mit virtuellen Maschinen, der RDP-Authentifizierung oder bestimmten VPN-Verbindungen, lässt sich Credential Guard ebenso gezielt wieder abschalten.

Methode 1: Deaktivierung über die Gruppenrichtlinien

1. Öffnen Sie erneut „gpedit.msc“ über den Ausführen-Dialog.
2. Navigieren Sie zu Computerkonfiguration › Administrative Vorlagen › System › Device Guard.
3. Öffnen Sie die Einstellung „Virtualisierungsbasierte Sicherheit aktivieren“.
4. Setzen Sie die Option explizit auf „Deaktiviert“ – belassen Sie sie nicht bei „Nicht konfiguriert“, da die Richtlinie sonst weiterhin wirksam bleiben kann.
5. Klicken Sie auf „Übernehmen“ und „OK“.
6. Starten Sie den Computer neu.

Wurde Credential Guard zuvor mit UEFI-Sperre aktiviert, reicht die Gruppenrichtlinien-Änderung allein nicht aus. Zusätzlich müssen Sie die in der Firmware gespeicherte Konfiguration entfernen, wofür laut Microsoft ein physisch anwesender Benutzer erforderlich ist, der den Vorgang während des Neustarts per Tastendruck (üblicherweise F3) bestätigt.

Methode 2: Deaktivierung über die Registry

1. Öffnen Sie den Registrierungs-Editor mit „regedit“.
2. Navigieren Sie zu: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
3. Suchen Sie den Wert „LsaCfgFlags“ und setzen Sie ihn auf 0.
4. Navigieren Sie zusätzlich zu: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuard
5. Setzen Sie „EnableVirtualizationBasedSecurity“ ebenfalls auf 0, sofern Sie die gesamte virtualisierungsbasierte Sicherheit deaktivieren möchten.
6. Schließen Sie den Editor und starten Sie den Computer neu.

Methode 3: Deaktivierung über die Eingabeaufforderung mit bcdedit

Da Credential Guard über den Hypervisor läuft, kann zusätzlich die Startkonfiguration angepasst werden müssen. Öffnen Sie dazu die Eingabeaufforderung als Administrator und führen Sie folgende Befehle aus:

bcdedit /set hypervisorlaunchtype off

Dieser Befehl deaktiviert den Hypervisor beim nächsten Start vollständig, wodurch auch Credential Guard nicht mehr geladen wird. Möchten Sie den Hypervisor später wieder benötigen, etwa für Hyper-V-Virtualisierung, setzen Sie den Wert erneut auf „auto“.

Methode 4: Deaktivierung über die UEFI-Firmware

Bei manchen Geräten, insbesondere von Herstellern wie Dell, HP oder Lenovo, lässt sich Credential Guard beziehungsweise die zugrunde liegende virtualisierungsbasierte Sicherheit ebenso direkt im BIOS/UEFI deaktivieren.

1. Starten Sie den PC neu und rufen Sie das UEFI-Setup auf, üblicherweise über die Taste F2, F10 oder Entf, abhängig vom Hersteller.
2. Suchen Sie nach Einstellungen wie „Virtualization Technology“, „VT-d“ oder direkt „Credential Guard“.
3. Setzen Sie die entsprechende Option auf „Disabled“.
4. Speichern Sie die Änderungen und starten Sie den Computer neu.

Zusätzlich gilt: Wird die Hyper-V-Plattform nicht mehr benötigt, entfernen Sie diese über die Windows-Features. Dadurch entfällt die letzte Abhängigkeit, auf welche die virtualisierungsbasierte Sicherheit angewiesen ist.

Deaktivierung überprüfen

Nach dem Neustart sollten Sie kontrollieren, ob Credential Guard tatsächlich deaktiviert wurde. Nutzen Sie dafür erneut „msinfo32″ oder den bereits genannten PowerShell-Befehl. Zeigt das Feld „SecurityServicesRunning“ weiterhin den Wert 1 an, liegt meist einer dieser Gründe vor:

• Die F3-Bestätigung während des Neustarts wurde übersprungen
• Die Gruppenrichtlinie steht weiterhin auf „Nicht konfiguriert“ statt „Deaktiviert“
• Eine firmwareseitige Option in UEFI/BIOS ist noch aktiv

Überprüfen Sie in diesem Fall systematisch alle drei Punkte, bis der Wert auf 0 zurückgeht.

Unterschiede zwischen Windows 10 und Windows 11

Grundsätzlich funktioniert Credential Guard auf beiden Betriebssystemen nach demselben Prinzip. Dennoch gibt es einige relevante Unterschiede:

• Windows 10 benötigt für die Aktivierung mindestens Version 1511.
• Windows 11 Version 22H2 sowie neuere Versionen aktivieren die Funktion unter bestimmten Voraussetzungen automatisch, während Windows 10 dies nicht tut.
• Windows 11 stellt in der Regel modernere Hardware mit TPM 2.0 bereit, wodurch Credential Guard zuverlässiger und mit stärkeren Sicherheitsgarantien läuft.
• Auf beiden Systemen gilt gleichermaßen: Die Funktion ist primär den Enterprise- und Education-Editionen vorbehalten, wobei sich Pro-Nutzer über die Registry behelfen können.

Häufige Probleme nach Aktivierung von Credential Guard

Nachdem Sie Credential Guard aktiviert haben, können folgende Nebenwirkungen auftreten, auf die Sie vorbereitet sein sollten.

RDP-Verbindungen fragen ständig nach Anmeldedaten

Da Credential Guard das automatische Zwischenspeichern bestimmter Anmeldeinformationen unterbindet, fragt Remotedesktop (RDP) häufiger nach den Zugangsdaten. Um dies zu vermeiden, richten Sie stattdessen Remote Credential Guard ein oder nutzen Sie moderne Authentifizierungsprotokolle wie Kerberos anstelle von NTLM.

Virtuelle Maschinen starten nicht mehr

Läuft auf demselben Gerät zusätzlich eine Drittanbieter-Virtualisierungssoftware wie VirtualBox oder VMware Workstation, kann es zu Konflikten mit dem Hypervisor kommen. In diesem Fall müssen Sie entweder Credential Guard deaktivieren oder auf Hyper-V als alleinige Virtualisierungsplattform umsteigen.

WLAN- und VPN-Verbindungen schlagen fehl

Nutzen Sie WLAN- oder VPN-Endpunkte, die auf dem älteren MS-CHAPv2-Protokoll basieren, sind diese denselben Angriffsrisiken ausgesetzt wie NTLMv1-Verbindungen. Deshalb empfiehlt sich in solchen Fällen ein Umstieg auf modernere, EAP-basierte Authentifizierungsmethoden.

Sollten Sie Credential Guard aktiviert lassen?

Diese Frage lässt sich nicht pauschal beantworten, da sie stark vom Einsatzzweck abhängt. In Unternehmensnetzwerken mit Active Directory und sensiblen Daten überwiegt der Sicherheitsgewinn deutlich, da Angriffe wie Pass-the-Hash effektiv verhindert werden. Zusätzlich profitieren Firmen von der zentralen Verwaltbarkeit über Gruppenrichtlinien oder Intune.

Bei Privatanwendern ohne Domänenanbindung fällt der Nutzen hingegen geringer aus, während Kompatibilitätsprobleme mit Virtualisierungssoftware oder älteren VPN-Verbindungen häufiger ins Gewicht fallen. Wer keine Unternehmensumgebung betreibt und stattdessen viel mit Hyper-V-Alternativen oder Legacy-Software arbeitet, kann die Funktion daher bedenkenlos deaktivieren.

Häufige Fragen zu Credential Guard aktivieren und deaktivieren

Was passiert, wenn ich Credential Guard ohne UEFI-Sperre deaktiviere?

Wurde die Funktion mit der Option „Ohne Sperre aktiviert“ eingerichtet, reicht eine einfache Änderung der Gruppenrichtlinie oder Registry aus, gefolgt von einem Neustart. Ein physischer Zugriff ist in diesem Fall nicht notwendig.

Warum finde ich die Credential-Guard-Option nicht in den Gruppenrichtlinien?

Diese Option ist meist nur in den Editionen Enterprise und Education verfügbar. Nutzen Sie Windows 11 oder Windows 10 Pro, müssen Sie stattdessen den Weg über die Registry wählen.

Warum ist Credential Guard bei mir automatisch aktiv, obwohl ich es nie eingerichtet habe?

Ab Windows 11 Version 22H2 aktiviert das Betriebssystem die Funktion unter bestimmten Voraussetzungen automatisch, sofern das Gerät domänenverbunden ist und die Hardware die Anforderungen erfüllt. Eine manuelle Deaktivierung ist danach weiterhin möglich.

Kann ich Credential Guard ohne Neustart aktivieren oder deaktivieren?

Nein. Da die Funktion tief in den Startvorgang sowie den Hypervisor eingreift, ist in jedem Fall ein Neustart erforderlich, damit Änderungen wirksam werden.

Funktioniert Credential Guard auch ohne TPM-Chip?

Grundsätzlich ist ein TPM 2.0 empfohlen, jedoch nicht zwingend erforderlich. Ohne TPM fallen einige zusätzliche Sicherheitsgarantien weg, während die grundlegende Isolierungsfunktion weiterhin arbeitet.

Was ist der Unterschied zwischen Credential Guard und Remote Credential Guard?

Während Credential Guard lokale Anmeldeinformationen auf dem Gerät selbst schützt, sichert Remote Credential Guard speziell die Übertragung von Zugangsdaten während einer RDP-Sitzung ab, ohne dass diese auf dem Zielserver zwischengespeichert werden.

Beeinträchtigt Credential Guard die Systemleistung?

In der Regel fällt der Leistungsverlust minimal aus, da moderne CPUs die notwendige Virtualisierung effizient unterstützen. Auf älterer oder schwächerer Hardware kann sich jedoch ein spürbarer Overhead bemerkbar machen.

Wie deaktiviere ich Credential Guard dauerhaft nach einem Windows-Update?

Wurde die Funktion vor einem Update bereits explizit deaktiviert, bleibt diese Einstellung auch nach dem Update bestehen. Wichtig ist dabei, dass die Deaktivierung nicht nur auf „Nicht konfiguriert“, sondern konkret auf „Deaktiviert“ gesetzt wurde.

Kann ich Credential Guard testweise aktivieren und bei Problemen sofort zurücksetzen?

Ja, sofern Sie die Option „Aktiviert ohne Sperre“ gewählt haben. Dadurch bleibt eine schnelle Rücknahme über Gruppenrichtlinie oder Registry jederzeit möglich, ohne dass ein UEFI-Eingriff notwendig wird.

Fazit

Credential Guard bietet wirksamen Schutz vor Diebstahl von Anmeldeinformationen, kann jedoch je nach Systemumgebung Kompatibilitätsprobleme verursachen. Über Gruppenrichtlinien, Registry oder UEFI lässt sich die Funktion gezielt aktivieren oder deaktivieren.

Prüfen Sie deshalb vorab die Hardwareanforderungen und wählen Sie bei der Aktivierung bewusst zwischen einer Sperre per UEFI oder einer flexibel widerrufbaren Konfiguration.