Mit AppLocker legen Sie fest, welche EXE-Dateien unter Windows 11/10 starten dürfen. So erstellen Sie Regeln zum Zulassen und Blockieren.
Mit AppLocker legen Sie in Windows 11 und Windows 10 genau fest, welche EXE-Dateien starten dürfen und welche gesperrt bleiben. Dazu öffnen Sie die Lokale Sicherheitsrichtlinie (secpol.msc), erstellen zuerst die Standardregeln und starten den Dienst Anwendungsidentität. Anschließend legen Sie eigene Regeln zum Zulassen oder Verweigern an.
Diese Anleitung zeigt Ihnen außerdem PowerShell-Befehle, den Überwachungsmodus, Gruppenrichtlinien und Alternativen für Windows Home.
Was ist AppLocker und wofür brauchen Sie es?
AppLocker ist eine in Windows eingebaute Anwendungssteuerung. Damit bestimmen Sie, welche Programme ein Benutzer oder eine Gruppe ausführen darf. Microsoft führt AppLocker unter den Anwendungssteuerungsrichtlinien in der Sicherheitsrichtlinie.
AppLocker kontrolliert dabei nicht nur EXE-Dateien. Zusätzlich lassen sich weitere Dateitypen regeln:
- Ausführbare Regeln: .exe und .com
- Windows Installer-Regeln: .msi, .msp und .mst
- Skriptregeln: .ps1, .bat, .cmd, .vbs und .js
- Regeln für gepackte Apps: .appx und .msix (Store-Apps)
- DLL-Regeln: .dll und .ocx (standardmäßig ausgeblendet)
Dieser Artikel konzentriert sich jedoch auf die ausführbaren Regeln, also auf das Zulassen und Blockieren von EXE-Dateien.
Typische Einsatzzwecke
AppLocker eignet sich zum Beispiel für folgende Situationen:
- Kinder-PC oder Familienrechner: Spiele, Browser oder Tools sperren
- Firmenrechner: nur freigegebene Software erlauben
- Kiosk- und Schulungsrechner: Benutzer auf wenige Programme beschränken
- Schutz vor Schadsoftware: EXE-Dateien aus Downloads oder Temp-Ordnern blockieren
- Softwarestandardisierung: nur genehmigte Programmversionen zulassen
Außerdem können Sie Regeln gezielt für einzelne Benutzer oder Gruppen festlegen. Genau das unterscheidet AppLocker vom moderneren App Control for Business, das stets für das ganze Gerät gilt.
Wichtiges Prinzip: Whitelist statt Blacklist
AppLocker arbeitet grundsätzlich nach dem Whitelist-Prinzip. Sobald Sie auch nur eine einzige ausführbare Regel anlegen und erzwingen, blockiert Windows alle EXE-Dateien, die nicht ausdrücklich erlaubt sind.
Deshalb ist dieser Punkt entscheidend: Erstellen Sie immer zuerst die Standardregeln. Andernfalls sperren Sie im schlimmsten Fall sich selbst und wichtige Windows-Programme aus.
Zudem gilt: Verweigern-Regeln haben Vorrang vor Zulassen-Regeln. Eine Sperre greift also selbst dann, wenn eine andere Regel das Programm eigentlich erlaubt.
Voraussetzungen für AppLocker unter Windows 11/10
Bevor Sie Regeln anlegen, sollten Sie einige Voraussetzungen prüfen. Ansonsten wirken Ihre Regeln später nicht.
Unterstützte Windows-Editionen
AppLocker funktioniert in diesen Editionen:
- Windows 11 Pro, Enterprise und Education
- Windows 10 Pro, Enterprise und Education (ab Version 2004)
Früher setzte Windows AppLocker-Regeln per Gruppenrichtlinie nur in Enterprise und Education durch. Microsoft hat diese Editionsprüfung jedoch per Update entfernt, und zwar für Windows 10 ab Version 2004 sowie für alle Versionen von Windows 11. Deshalb funktioniert AppLocker heute auch auf Pro-Systemen.
Windows 11 Home und Windows 10 Home enthalten AppLocker dagegen nicht. Dort fehlt außerdem die Lokale Sicherheitsrichtlinie. Weiter unten finden Sie deshalb Alternativen für Home-Nutzer.
Weitere Voraussetzungen
Zusätzlich benötigen Sie Folgendes:
- Administratorrechte auf dem PC
- Den Dienst Anwendungsidentität (AppIDSvc), der laufen muss
- Ein aktuelles Windows mit Sicherheitsupdates
Beachten Sie außerdem: Der reguläre Support für Windows 10 endete im Oktober 2025. Ohne ESU-Programm erhält Windows 10 im Jahr 2026 keine Sicherheitsupdates mehr. AppLocker funktioniert dort zwar weiterhin, allerdings ist ein Umstieg auf Windows 11 sicherer.
Windows-Edition prüfen
So finden Sie schnell heraus, welche Edition Sie nutzen:
- Drücken Sie Windows + R.
- Geben Sie winver ein und drücken Sie Enter.
- Im Fenster sehen Sie die Edition und die Version.
Alternativ öffnen Sie Einstellungen > System > Info. Dort steht unter „Windows-Spezifikationen“ ebenfalls die Edition.
Schritt 1: AppLocker in der Lokalen Sicherheitsrichtlinie öffnen
Zuerst öffnen Sie die Verwaltungskonsole, in der AppLocker steckt.
- Drücken Sie Windows + R.
- Geben Sie secpol.msc ein.
- Bestätigen Sie mit Enter und anschließend die Benutzerkontensteuerung mit Ja.
- Klappen Sie links Sicherheitseinstellungen auf.
- Öffnen Sie danach Anwendungssteuerungsrichtlinien > AppLocker.
Unter AppLocker sehen Sie nun die Regelsammlungen. Für EXE-Dateien ist der Eintrag „Ausführbare Regeln“ zuständig.
Alternativ starten Sie den Editor für lokale Gruppenrichtlinien mit gpedit.msc. Dort finden Sie AppLocker unter Computerkonfiguration > Windows-Einstellungen > Sicherheitseinstellungen > Anwendungssteuerungsrichtlinien > AppLocker.
Schritt 2: Standardregeln erstellen
Dieser Schritt ist Pflicht, bevor Sie eigene Regeln anlegen. Die Standardregeln sorgen dafür, dass Windows und installierte Programme weiterhin starten.
- Klicken Sie links auf Ausführbare Regeln.
- Klicken Sie mit der rechten Maustaste auf Ausführbare Regeln.
- Wählen Sie „Standardregeln erstellen“.
Windows legt daraufhin drei Regeln an:
| Regel | Gilt für | Wirkung |
|---|---|---|
| Alle Dateien im Ordner „Programme“ (%PROGRAMFILES%*) | Jeder | Zulassen |
| Alle Dateien im Ordner „Windows“ (%WINDIR%*) | Jeder | Zulassen |
| Alle Dateien | VORDEFINIERT\Administratoren | Zulassen |
Dadurch dürfen normale Benutzer alle Programme aus C:\Programme, C:\Programme (x86) und C:\Windows starten. Administratoren dürfen hingegen alle EXE-Dateien ausführen.
Wichtig: Programme, die in Benutzerordnern liegen, etwa in Downloads, auf dem Desktop oder in AppData, sind für Standardbenutzer dann automatisch gesperrt. Das betrifft zum Beispiel manche Versionen von Microsoft Teams, Zoom oder Discord, die sich im Benutzerprofil installieren. Für solche Programme legen Sie deshalb eigene Zulassen-Regeln an.
Schritt 3: Dienst „Anwendungsidentität“ starten
AppLocker-Regeln greifen nur, wenn der Dienst Anwendungsidentität läuft. Dieser Dienst ist jedoch standardmäßig auf „Manuell“ gestellt und häufig nicht aktiv.
Per Eingabeaufforderung (empfohlen)
In der Diensteverwaltung ist der Starttyp dieses Dienstes oft ausgegraut. Deshalb ist die Eingabeaufforderung der zuverlässigste Weg.
- Klicken Sie mit der rechten Maustaste auf Start.
- Wählen Sie Terminal (Administrator) bzw. unter Windows 10 Windows PowerShell (Administrator).
- Geben Sie folgenden Befehl ein und drücken Sie Enter:
sc.exe config appidsvc start= auto
- Starten Sie den Dienst anschließend sofort:
sc.exe start appidsvc
Beachten Sie dabei das Leerzeichen nach „start=“. Ohne dieses Leerzeichen meldet der Befehl einen Fehler.
Status kontrollieren
Ob der Dienst läuft, prüfen Sie mit diesem Befehl:
sc.exe query appidsvc
Steht dort „STATE: 4 RUNNING“, ist alles in Ordnung. Zusätzlich sehen Sie den Status in services.msc unter dem Namen „Anwendungsidentität“.
Schritt 4: Erzwingung aktivieren
Damit Windows die Regeln tatsächlich anwendet, müssen Sie die Erzwingung einschalten. Andernfalls ignoriert das System die Regeln teilweise.
- Klicken Sie in secpol.msc mit der rechten Maustaste auf AppLocker.
- Wählen Sie Eigenschaften.
- Wechseln Sie zum Reiter „Erzwingung“.
- Setzen Sie bei „Ausführbare Regeln“ ein Häkchen bei „Konfiguriert“.
- Wählen Sie im Auswahlfeld entweder „Regeln erzwingen“ oder „Nur überwachen“.
- Klicken Sie auf OK.
„Nur überwachen“ ist ideal zum Testen. Windows blockiert dann nichts, sondern protokolliert lediglich, was gesperrt worden wäre. Erst wenn alles passt, stellen Sie auf „Regeln erzwingen“ um.
Zusätzlich finden Sie im Reiter „Erweitert“ die Option, DLL-Regeln einzublenden. Diese Option sollten Sie jedoch nur aktivieren, wenn Sie genau wissen, was Sie tun. DLL-Regeln bremsen das System und führen schnell zu Problemen.
EXE-Datei mit AppLocker blockieren – Schritt für Schritt
Nun legen Sie eine Regel an, die ein bestimmtes Programm sperrt. Als Beispiel dient eine Datei namens spiel.exe.
- Klicken Sie mit der rechten Maustaste auf Ausführbare Regeln.
- Wählen Sie „Neue Regel erstellen…“.
- Klicken Sie auf der Seite „Vorbemerkungen“ auf Weiter.
- Wählen Sie unter Aktion die Option „Verweigern“.
- Klicken Sie bei „Benutzer oder Gruppe“ auf Auswählen und legen Sie fest, für wen die Sperre gilt. Standardmäßig steht dort Jeder.
- Klicken Sie auf Weiter.
- Wählen Sie die Bedingung: Herausgeber, Pfad oder Dateihash.
- Folgen Sie dem Assistenten je nach Bedingung (siehe unten).
- Legen Sie bei Bedarf Ausnahmen fest und klicken Sie auf Weiter.
- Vergeben Sie einen aussagekräftigen Namen, zum Beispiel „Spiel für Kinder sperren“.
- Klicken Sie auf Erstellen.
Anschließend aktualisieren Sie die Richtlinien. Öffnen Sie dazu das Terminal als Administrator und geben Sie Folgendes ein:
gpupdate /force
Startet ein Benutzer danach spiel.exe, erscheint die Meldung „Diese App wurde vom Systemadministrator blockiert“.
Tipp: Gruppe gezielt wählen
Eine Verweigern-Regel für „Jeder“ gilt auch für Administratoren. Möchten Sie sich selbst nicht aussperren, wählen Sie deshalb besser die Gruppe „Benutzer“ oder ein bestimmtes Benutzerkonto, etwa das Konto Ihres Kindes.
EXE-Datei mit AppLocker zulassen
Da AppLocker nach dem Whitelist-Prinzip arbeitet, brauchen Sie Zulassen-Regeln vor allem für Programme außerhalb von „Programme“ und „Windows“. Das gilt zum Beispiel für portable Tools auf D:\Tools oder für Programme in AppData.
- Klicken Sie mit der rechten Maustaste auf Ausführbare Regeln.
- Wählen Sie „Neue Regel erstellen…“ und klicken Sie auf Weiter.
- Wählen Sie unter Aktion die Option „Zulassen“.
- Bestimmen Sie den Benutzer oder die Gruppe.
- Wählen Sie die passende Bedingung.
- Wählen Sie die Datei oder den Ordner aus.
- Vergeben Sie einen Namen und klicken Sie auf Erstellen.
- Führen Sie zum Schluss gpupdate /force aus.
Zusätzlich gilt: Ein Programm, das von keiner Regel erfasst wird, bleibt automatisch gesperrt, sobald die Erzwingung aktiv ist. Eine explizite Zulassen-Regel ist deshalb die einzige Möglichkeit, solche Programme freizugeben.
Die drei Regelbedingungen im Überblick
Beim Erstellen einer Regel wählen Sie eine von drei Bedingungen. Jede hat ihre eigenen Vor- und Nachteile.
| Bedingung | Prüft | Vorteil | Nachteil |
|---|---|---|---|
| Herausgeber | Digitale Signatur | Übersteht Updates | Nur für signierte Programme |
| Pfad | Speicherort | Einfach und flexibel | Leicht zu umgehen |
| Dateihash | Exakte Datei | Sehr präzise | Muss nach jedem Update neu erstellt werden |
Herausgeberregel
Die Herausgeberregel prüft die digitale Signatur eines Programms. Deshalb eignet sie sich besonders gut für bekannte Software wie Google Chrome, Mozilla Firefox oder Steam.
So legen Sie sie an:
- Wählen Sie im Assistenten „Herausgeber“ und klicken Sie auf Weiter.
- Klicken Sie auf Durchsuchen und wählen Sie eine Referenzdatei, etwa C:\Program Files\Google\Chrome\Application\chrome.exe.
- Mit dem Schieberegler legen Sie fest, wie genau die Regel sein soll.
Der Schieberegler bietet diese Stufen:
- Beliebiger Herausgeber: jede signierte Datei
- Herausgeber: alle Programme dieses Herstellers
- Produktname: alle Dateien eines Produkts
- Dateiname: nur diese eine Datei des Produkts
- Dateiversion: nur diese Version (oder neuer bzw. älter)
Zusätzlich können Sie über „Benutzerdefinierte Werte verwenden“ die Felder manuell anpassen. Für die Dateiversion wählen Sie dann zum Beispiel „Und höher“, damit Updates erlaubt bleiben.
Ein großer Vorteil: Eine Herausgeberregel bleibt auch nach Programmupdates gültig. Deshalb ist sie in den meisten Fällen die beste Wahl.
Pfadregel
Die Pfadregel erlaubt oder sperrt Programme anhand ihres Speicherorts. Dabei können Sie einzelne Dateien oder ganze Ordner angeben.
Beispiele für Pfade:
- D:\Tools* – alle Dateien im Ordner „Tools“
- %OSDRIVE%\Users*\Downloads* – alle Downloads-Ordner aller Benutzer
- C:\Spiele\spiel.exe – genau eine Datei
AppLocker nutzt dabei eigene Variablen wie %OSDRIVE%, %WINDIR%, %SYSTEM32%, %PROGRAMFILES% und %REMOVABLE% (Wechseldatenträger wie CDs). Für USB-Sticks steht außerdem %HOT% zur Verfügung.
Allerdings hat die Pfadregel eine Schwäche: Ein Benutzer kann eine gesperrte Datei einfach umbenennen oder in einen anderen Ordner kopieren. Eine Pfadsperre auf C:\Spiele\spiel.exe greift dann nicht mehr. Deshalb eignet sich die Pfadregel besser zum Zulassen von Ordnern, auf die Standardbenutzer keinen Schreibzugriff haben.
Dateihashregel
Die Dateihashregel berechnet einen eindeutigen Fingerabdruck der Datei. Folglich erkennt AppLocker die Datei auch dann, wenn sie umbenannt oder verschoben wurde.
So erstellen Sie sie:
- Wählen Sie im Assistenten „Dateihash“.
- Klicken Sie auf „Dateien durchsuchen…“ oder „Ordner durchsuchen…“.
- Wählen Sie die gewünschte EXE-Datei aus.
- Klicken Sie auf Weiter und schließen Sie den Assistenten ab.
Der Nachteil: Schon ein kleines Update verändert den Hash. Deshalb müssen Sie die Regel nach jeder neuen Version erneuern. Für unsignierte Programme, die sich selten ändern, ist die Hashregel jedoch ideal.
Ausnahmen in AppLocker-Regeln festlegen
Mit Ausnahmen verfeinern Sie eine Regel. Zum Beispiel erlauben Sie alle Programme von Microsoft, sperren aber gleichzeitig ein bestimmtes Tool.
Beispiel: Alle Dateien in C:\Windows sind erlaubt, jedoch soll regedit.exe für Standardbenutzer gesperrt bleiben.
- Doppelklicken Sie auf die Standardregel „Alle Dateien im Ordner „Windows““.
- Wechseln Sie zum Reiter „Ausnahmen“.
- Wählen Sie im Auswahlfeld „Herausgeber“, „Pfad“ oder „Dateihash“.
- Klicken Sie auf Hinzufügen und wählen Sie C:\Windows\regedit.exe aus.
- Bestätigen Sie mit OK.
Ebenso können Sie bekannte Schlupflöcher schließen. Im Windows-Ordner gibt es nämlich Unterordner, in die auch Standardbenutzer schreiben dürfen, etwa C:\Windows\Temp oder C:\Windows\Tasks. Fügen Sie diese Ordner deshalb als Pfadausnahme zur Windows-Standardregel hinzu. Dadurch verhindern Sie, dass jemand eine EXE dorthin kopiert und startet.
Regeln automatisch generieren lassen
Möchten Sie viele Programme auf einmal freigeben, hilft die automatische Regelerstellung. Dabei durchsucht AppLocker einen Ordner und erzeugt passende Regeln.
- Klicken Sie mit der rechten Maustaste auf Ausführbare Regeln.
- Wählen Sie „Regeln automatisch generieren…“.
- Wählen Sie den Benutzer oder die Gruppe.
- Geben Sie den Ordner an, zum Beispiel D:\Tools.
- Vergeben Sie einen Namen, der die Regelgruppe kennzeichnet.
- Legen Sie fest, ob AppLocker Herausgeberregeln für signierte Dateien und Hash- oder Pfadregeln für unsignierte Dateien erstellen soll.
- Aktivieren Sie zusätzlich „Regeln durch Gruppieren ähnlicher Dateien reduzieren“, damit die Liste übersichtlich bleibt.
- Prüfen Sie die Vorschau und klicken Sie auf Erstellen.
Diese Funktion spart besonders bei portablen Programmsammlungen viel Zeit.
Regeln im Überwachungsmodus testen
Bevor Sie Regeln scharf schalten, sollten Sie sie im Überwachungsmodus prüfen. Auf diese Weise vermeiden Sie böse Überraschungen.
Überwachungsmodus aktivieren
- Öffnen Sie AppLocker > Eigenschaften > Erzwingung.
- Setzen Sie bei „Ausführbare Regeln“ den Haken bei „Konfiguriert“.
- Wählen Sie „Nur überwachen“.
- Bestätigen Sie mit OK und führen Sie gpupdate /force aus.
Protokolle in der Ereignisanzeige prüfen
Anschließend arbeiten Sie einige Tage normal weiter. Danach sehen Sie im Protokoll, was AppLocker gesperrt hätte.
- Drücken Sie Windows + R und geben Sie eventvwr.msc ein.
- Öffnen Sie Anwendungs- und Dienstprotokolle > Microsoft > Windows > AppLocker.
- Klicken Sie auf „EXE and DLL“.
Achten Sie dabei auf diese Ereignis-IDs:
- 8002: Die Datei durfte ausgeführt werden.
- 8003: Die Datei durfte ausgeführt werden, wäre bei Erzwingung jedoch blockiert worden.
- 8004: Die Datei wurde blockiert.
Tauchen viele 8003-Ereignisse bei wichtigen Programmen auf, ergänzen Sie entsprechende Zulassen-Regeln. Erst danach stellen Sie auf „Regeln erzwingen“ um.
AppLocker per PowerShell verwalten
Neben der grafischen Oberfläche lässt sich AppLocker ebenso bequem mit PowerShell steuern. Das ist vor allem dann praktisch, wenn Sie Regeln auf mehrere PCs übertragen möchten. Öffnen Sie dafür das Terminal als Administrator.
Aktuelle Richtlinie anzeigen
Mit diesem Befehl sehen Sie alle wirksamen Regeln:
Get-AppLockerPolicy -Effective -Xml
Möchten Sie die Ausgabe zusätzlich in einer Datei speichern, nutzen Sie diesen Befehl:
Get-AppLockerPolicy -Effective -Xml | Out-File C:\AppLocker-Backup.xml
Dateiinformationen auslesen
Zum Beispiel lesen Sie Herausgeber, Pfad und Hash einer EXE so aus:
Get-AppLockerFileInformation -Path "D:\Tools\tool.exe"
Zulassen-Regel per PowerShell erstellen
Der folgende Befehl erstellt für eine Datei eine Herausgeberregel (oder eine Hashregel, falls die Datei nicht signiert ist) für die Gruppe „Jeder“. Die SID S-1-1-0 steht dabei für „Jeder“ und funktioniert unabhängig von der Systemsprache.
Get-AppLockerFileInformation -Path "D:\Tools\tool.exe" | New-AppLockerPolicy -RuleType Publisher,Hash -User S-1-1-0 -Optimize -Xml | Out-File C:\NeueRegel.xml
Anschließend fügen Sie die Regel zur bestehenden Richtlinie hinzu:
Set-AppLockerPolicy -XmlPolicy C:\NeueRegel.xml -Merge
Der Parameter -Merge ist dabei sehr wichtig. Ohne ihn überschreibt PowerShell Ihre gesamte bisherige Richtlinie.
Verweigern-Regel per PowerShell
New-AppLockerPolicy erzeugt standardmäßig nur Zulassen-Regeln. Für eine Sperre öffnen Sie deshalb die erzeugte XML-Datei mit dem Editor (Notepad). Danach ändern Sie in der betreffenden Regel den Wert Action=“Allow“ in Action=“Deny“. Speichern Sie die Datei und importieren Sie sie anschließend mit Set-AppLockerPolicy -Merge.
Regel testen, ohne sie zu aktivieren
Mit Test-AppLockerPolicy prüfen Sie vorab, ob eine Datei erlaubt wäre:
Test-AppLockerPolicy -XmlPolicy C:\AppLocker-Backup.xml -Path "D:\Tools\tool.exe" -User S-1-1-0
Die Ausgabe zeigt Ihnen dann Allowed, Denied oder DeniedByDefault. „DeniedByDefault“ bedeutet, dass keine Regel greift und die Datei deshalb gesperrt wäre.
AppLocker per Gruppenrichtlinie im Netzwerk verteilen
In Firmennetzwerken mit Active Directory verteilen Sie AppLocker-Regeln zentral über ein Gruppenrichtlinienobjekt (GPO). So gelten die Regeln automatisch auf allen ausgewählten Rechnern.
- Öffnen Sie auf einem Domänencontroller oder Verwaltungs-PC die Gruppenrichtlinienverwaltung (gpmc.msc).
- Klicken Sie mit der rechten Maustaste auf die gewünschte Organisationseinheit (OU).
- Wählen Sie „Gruppenrichtlinienobjekt hier erstellen und verknüpfen…“ und vergeben Sie einen Namen, etwa „AppLocker Clients“.
- Klicken Sie mit der rechten Maustaste auf das neue GPO und wählen Sie Bearbeiten.
- Navigieren Sie zu Computerkonfiguration > Richtlinien > Windows-Einstellungen > Sicherheitseinstellungen > Anwendungssteuerungsrichtlinien > AppLocker.
- Legen Sie die Regeln wie oben beschrieben an.
Zusätzlich sollten Sie den Dienst Anwendungsidentität per GPO automatisch starten lassen:
- Öffnen Sie im selben GPO Computerkonfiguration > Richtlinien > Windows-Einstellungen > Sicherheitseinstellungen > Systemdienste.
- Doppelklicken Sie auf „Anwendungsidentität“.
- Aktivieren Sie „Diese Richtlinieneinstellung definieren“ und wählen Sie „Automatisch“.
Auf den Clients übernehmen Sie die Richtlinie anschließend mit gpupdate /force oder einem Neustart.
AppLocker mit Microsoft Intune verteilen
Verwalten Sie Geräte mit Microsoft Intune, ist AppLocker ebenfalls nutzbar. Dafür erstellen Sie eine Richtlinie auf Basis des AppLocker CSP.
Gehen Sie dabei grob so vor:
- Erstellen Sie die Regeln zuerst auf einem Test-PC in secpol.msc.
- Exportieren Sie die Regeln über AppLocker > Rechtsklick > „Richtlinie exportieren…“ als XML-Datei.
- Erstellen Sie in Intune unter Geräte > Konfiguration ein Profil vom Typ „Benutzerdefiniert“.
- Fügen Sie eine OMA-URI-Einstellung für die EXE-Regelsammlung hinzu und hinterlegen Sie dort den passenden XML-Abschnitt.
- Weisen Sie das Profil einer Gerätegruppe zu.
Für neue Projekte empfiehlt Microsoft in Intune allerdings eher App Control for Business. Mehr dazu lesen Sie weiter unten.
Regeln bearbeiten, löschen und sichern
Regeln ändern sich mit der Zeit. Deshalb sollten Sie wissen, wie Sie sie verwalten.
Regel bearbeiten
- Öffnen Sie secpol.msc > AppLocker > Ausführbare Regeln.
- Doppelklicken Sie rechts auf die gewünschte Regel.
- Ändern Sie in den Reitern Allgemein, Bedingungen oder Ausnahmen die Einstellungen.
- Bestätigen Sie mit OK und führen Sie gpupdate /force aus.
Regel löschen
- Klicken Sie mit der rechten Maustaste auf die Regel.
- Wählen Sie Löschen und bestätigen Sie mit Ja.
Richtlinie exportieren und importieren
Vor größeren Änderungen sollten Sie unbedingt eine Sicherung anlegen.
- Klicken Sie mit der rechten Maustaste auf AppLocker.
- Wählen Sie „Richtlinie exportieren…“ und speichern Sie die XML-Datei.
- Zum Wiederherstellen wählen Sie entsprechend „Richtlinie importieren…“.
Alle Regeln entfernen
Möchten Sie AppLocker komplett zurücksetzen, klicken Sie mit der rechten Maustaste auf AppLocker und wählen „Richtlinie löschen“. Danach deaktivieren Sie zusätzlich die Erzwingung und führen gpupdate /force aus.
Typische Probleme und Lösungen
Trotz sorgfältiger Planung klappt nicht immer alles auf Anhieb. Die folgenden Probleme treten dabei besonders häufig auf.
Regeln greifen nicht
Wenn Programme trotz Sperre starten, prüfen Sie diese Punkte:
- Läuft der Dienst Anwendungsidentität? Prüfen Sie das mit sc.exe query appidsvc.
- Ist die Erzwingung für ausführbare Regeln auf „Regeln erzwingen“ gestellt?
- Haben Sie gpupdate /force ausgeführt oder neu gestartet?
- Sind Sie als Administrator angemeldet? Die Standardregel erlaubt Administratoren schließlich alle Programme.
- Nutzen Sie eine Home-Edition? Dort funktioniert AppLocker nicht.
Alles ist gesperrt
Haben Sie Regeln ohne Standardregeln erzwungen, startet unter Umständen kaum noch etwas. In diesem Fall helfen folgende Schritte:
- Melden Sie sich mit einem Administratorkonto an, sofern Admins noch erlaubt sind.
- Starten Sie andernfalls Windows im abgesicherten Modus. Dort läuft der Dienst Anwendungsidentität nicht, deshalb greifen die Regeln in der Regel nicht.
- Öffnen Sie secpol.msc und erstellen Sie die Standardregeln oder löschen Sie die Richtlinie.
- Starten Sie den PC anschließend normal neu.
Store-Apps funktionieren nicht mehr
Ausführbare Regeln betreffen eigentlich keine Store-Apps. Haben Sie jedoch die Erzwingung für „Regeln für gepackte Apps“ aktiviert, brauchen Sie dort ebenfalls eine Standardregel. Klicken Sie deshalb mit der rechten Maustaste auf „Regeln für gepackte Apps“ und wählen Sie „Standardregeln erstellen“.
Programme im Benutzerprofil sind blockiert
Programme in %LOCALAPPDATA% oder %APPDATA% sind durch die Standardregeln für Standardbenutzer gesperrt. Legen Sie deshalb eine Herausgeberregel für das betreffende Programm an. Eine Pfadregel auf AppData sollten Sie dagegen vermeiden, da Benutzer dort beliebige Dateien ablegen können.
Alternativen für Windows 11/10 Home
Unter Windows Home steht AppLocker nicht zur Verfügung. Trotzdem gibt es einige Möglichkeiten, EXE-Dateien zu sperren.
Programme per Registry sperren (DisallowRun)
Über die Registrierung können Sie bestimmte Programme anhand ihres Dateinamens sperren. Diese Sperre gilt nur für den Benutzer, unter dessen Konto Sie sie einrichten.
- Melden Sie sich mit dem Konto an, das gesperrt werden soll.
- Drücken Sie Windows + R, geben Sie regedit ein und bestätigen Sie die Benutzerkontensteuerung.
- Navigieren Sie zu HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer. Fehlt der Schlüssel Explorer, erstellen Sie ihn über Rechtsklick > Neu > Schlüssel.
- Erstellen Sie im Schlüssel Explorer einen DWORD-Wert (32-Bit) namens DisallowRun mit dem Wert 1.
- Legen Sie unter Explorer zusätzlich einen neuen Schlüssel namens DisallowRun an.
- Erstellen Sie darin einen Zeichenfolgenwert mit dem Namen 1 und dem Wert spiel.exe.
- Für weitere Programme legen Sie entsprechend die Werte 2, 3 usw. an.
- Melden Sie sich ab und wieder an.
Beachten Sie jedoch: Diese Methode prüft nur den Dateinamen und gilt nur für Programme, die über den Explorer gestartet werden. Wer die Datei umbenennt, umgeht die Sperre deshalb leicht.
In Windows Pro finden Sie dieselbe Einstellung übrigens bequemer in gpedit.msc unter Benutzerkonfiguration > Administrative Vorlagen > System > „Angegebene Windows-Anwendungen nicht ausführen“.
Intelligente App-Steuerung (Smart App Control)
Windows 11 bietet zudem die Intelligente App-Steuerung. Sie blockiert unbekannte und nicht vertrauenswürdige Programme automatisch, ohne dass Sie Regeln anlegen müssen.
- Öffnen Sie Einstellungen > Datenschutz und Sicherheit > Windows-Sicherheit.
- Klicken Sie auf App- und Browsersteuerung.
- Wählen Sie Einstellungen für die intelligente App-Steuerung.
- Stellen Sie die Funktion auf Ein oder Bewertung.
Allerdings können Sie dort keine einzelnen Programme gezielt sperren oder freigeben. Außerdem lässt sich die Funktion nach dem Ausschalten in vielen Fällen nur durch eine Neuinstallation von Windows wieder aktivieren.
Jugendschutz mit Microsoft Family Safety
Für Kinderkonten eignet sich außerdem Microsoft Family Safety. Damit blockieren Sie Apps und Spiele für Kinder.
- Öffnen Sie Einstellungen > Konten > Familie.
- Fügen Sie das Kinderkonto hinzu, falls noch nicht geschehen.
- Öffnen Sie anschließend die Family Safety-App oder das Family-Safety-Webportal von Microsoft im Browser.
- Wählen Sie das Kind aus und öffnen Sie „Bildschirmzeit“ bzw. „Apps und Spiele“.
- Sperren Sie dort einzelne Anwendungen.
Upgrade auf Windows Pro
Benötigen Sie echte Anwendungssteuerung, ist ein Upgrade auf Windows 11 Pro sinnvoll. Öffnen Sie dazu Einstellungen > System > Aktivierung und wählen Sie „Windows-Edition aktualisieren“. Danach stehen Ihnen AppLocker, secpol.msc und gpedit.msc zur Verfügung.
AppLocker oder App Control for Business?
Microsoft bietet neben AppLocker eine zweite Lösung: App Control for Business, früher bekannt als Windows Defender Application Control (WDAC).
Microsoft entwickelt AppLocker nicht mehr aktiv weiter. AppLocker erhält zwar weiterhin Sicherheitskorrekturen, jedoch keine neuen Funktionen. Zudem empfiehlt Microsoft ausdrücklich, App Control einzusetzen, wo das möglich ist.
| Merkmal | AppLocker | App Control for Business |
|---|---|---|
| Weiterentwicklung | Nur Sicherheitskorrekturen | Aktiv weiterentwickelt |
| Regeln pro Benutzer/Gruppe | Ja | Nein, gilt für das ganze Gerät |
| Einrichtung | Einfach per secpol.msc | Komplexer, per XML/Assistent/Intune |
| Schutz auf Kernelebene | Nein | Ja |
| Ideal für | Familien-PC, Kiosk, kleine Büros | Unternehmensflotten |
Wann ist AppLocker die bessere Wahl?
AppLocker bleibt trotzdem sinnvoll, wenn Sie Folgendes brauchen:
- Unterschiedliche Regeln für verschiedene Benutzer auf einem gemeinsam genutzten PC
- Eine schnelle, einfache Lösung ohne große Planung
- Regeln für einen einzelnen Heim- oder Büro-PC
Außerdem lassen sich beide Lösungen kombinieren. Microsoft beschreibt AppLocker ausdrücklich als Ergänzung: App Control bildet dann die strenge Basis, während AppLocker benutzerspezifische Feinheiten regelt.
Häufige Fragen zu AppLocker und EXE-Regeln
Funktioniert AppLocker unter Windows 11 Pro?
Ja. Microsoft hat die frühere Beschränkung auf Enterprise und Education per Update entfernt. Deshalb setzt Windows 11 Pro AppLocker-Regeln ebenso durch. Voraussetzung ist jedoch, dass der Dienst Anwendungsidentität läuft.
Gibt es AppLocker in Windows 11 Home?
Nein. In Windows 11 Home und Windows 10 Home fehlen sowohl AppLocker als auch die Lokale Sicherheitsrichtlinie. Als Alternative eignen sich deshalb der Registry-Schlüssel DisallowRun, die Intelligente App-Steuerung oder Microsoft Family Safety.
Warum werden nach dem Erstellen einer Regel alle Programme blockiert?
AppLocker arbeitet nach dem Whitelist-Prinzip. Sobald eine ausführbare Regel existiert, ist alles Nicht-Erlaubte gesperrt. Erstellen Sie deshalb immer zuerst die Standardregeln über Rechtsklick > „Standardregeln erstellen“.
Gelten AppLocker-Sperren auch für Administratoren?
Das hängt von der Regel ab. Eine Verweigern-Regel für „Jeder“ gilt nämlich auch für Administratoren. Wählen Sie stattdessen die Gruppe „Benutzer“ oder ein bestimmtes Konto, wenn Admins ausgenommen bleiben sollen.
Welche Regelbedingung ist die beste zum Blockieren einer EXE?
Für signierte Programme ist die Herausgeberregel am zuverlässigsten, denn sie übersteht Updates und Umbenennungen. Für unsignierte Dateien nutzen Sie hingegen die Dateihashregel. Pfadregeln lassen sich dagegen leicht durch Kopieren umgehen.
Wie prüfe ich, ob AppLocker eine Datei blockiert hat?
Öffnen Sie die Ereignisanzeige (eventvwr.msc) und navigieren Sie zu Anwendungs- und Dienstprotokolle > Microsoft > Windows > AppLocker > EXE and DLL. Die Ereignis-ID 8004 zeigt eine Blockierung, die ID 8003 hingegen eine Blockierung im Überwachungsmodus.
Kann ich AppLocker-Regeln auf einen anderen PC übertragen?
Ja. Klicken Sie in secpol.msc mit der rechten Maustaste auf AppLocker und wählen Sie „Richtlinie exportieren…“. Auf dem Ziel-PC wählen Sie anschließend „Richtlinie importieren…“. Alternativ nutzen Sie Set-AppLockerPolicy in PowerShell.
Wie deaktiviere ich AppLocker wieder?
Klicken Sie mit der rechten Maustaste auf AppLocker und wählen Sie „Richtlinie löschen“. Entfernen Sie danach unter Eigenschaften > Erzwingung die Häkchen. Zusätzlich können Sie den Dienst mit sc.exe config appidsvc start= demand wieder auf „Manuell“ setzen.
Blockiert AppLocker auch Programme auf USB-Sticks?
Ja, sofern keine Regel sie erlaubt. Da USB-Sticks nicht unter „Programme“ oder „Windows“ liegen, sperren die Standardregeln solche EXE-Dateien für Standardbenutzer automatisch. Zudem können Sie mit der Pfadvariable %HOT% gezielte Regeln für Wechseldatenträger anlegen.
Sollte ich 2026 noch AppLocker verwenden?
Für einzelne PCs, Familienrechner und Kiosksysteme ist AppLocker weiterhin eine gute und einfache Lösung. Für größere Unternehmensumgebungen empfiehlt Microsoft jedoch App Control for Business, da AppLocker nur noch Sicherheitskorrekturen erhält.
Fazit
Mit AppLocker steuern Sie unter Windows 11/10 Pro, Enterprise und Education zuverlässig, welche EXE-Dateien starten dürfen. Entscheidend sind dabei die Standardregeln, der laufende Dienst Anwendungsidentität und ein vorheriger Test im Überwachungsmodus.
Für gemeinsam genutzte PCs bleibt AppLocker deshalb eine einfache Lösung. In großen Firmennetzwerken lohnt sich hingegen der Blick auf App Control for Business, das Microsoft aktiv weiterentwickelt.
