Windows 11/10: Richtlinien zur Benutzerrechtezuweisung ändern

Richtlinien zur Benutzerrechtezuweisung in Windows 11 und 10 ändern: So passen Sie Benutzerrechte über die lokale Sicherheitsrichtlinie an.

Die Richtlinien zur Benutzerrechtezuweisung ändern Sie in Windows 11 und Windows 10 am schnellsten über die Lokale Sicherheitsrichtlinie (secpol.msc). Dort öffnen Sie „Lokale Richtlinien“ → „Zuweisen von Benutzerrechten“, doppelklicken auf das gewünschte Recht und fügen Benutzer oder Gruppen hinzu oder entfernen sie.

In den Home-Editionen fehlt dieses Werkzeug jedoch. Deshalb zeigt diese Anleitung zusätzlich gpedit.msc, secedit, PowerShell und Intune als Alternativen.

Was ist die Zuweisung von Benutzerrechten?

Die Zuweisung von Benutzerrechten (englisch „User Rights Assignment“) ist ein Teil der Windows-Sicherheitsrichtlinien. Sie legt fest, welche Konten welche systemweiten Aktionen ausführen dürfen. Zum Beispiel bestimmt sie, wer sich lokal anmelden darf, wer den PC herunterfahren kann oder wer die Systemzeit verstellen darf.

Im Gegensatz zu NTFS-Berechtigungen beziehen sich Benutzerrechte also nicht auf einzelne Dateien oder Ordner. Stattdessen gelten sie für den gesamten Computer. Außerdem können manche Rechte sogar Dateiberechtigungen aushebeln. Ein gutes Beispiel dafür ist das Recht „Sichern von Dateien und Verzeichnissen“.

Die Einstellungen finden Sie in Windows unter folgendem Pfad:

• Computerkonfiguration
• → Windows-Einstellungen
• → Sicherheitseinstellungen
• → Lokale Richtlinien
• → Zuweisen von Benutzerrechten

Zudem hat jedes Recht einen internen Konstantennamen, etwa SeShutdownPrivilege oder SeInteractiveLogonRight. Diese Namen benötigen Sie später, wenn Sie Benutzerrechte per Kommandozeile oder Skript ändern.

Anmelderechte und Privilegien: der Unterschied

Microsoft unterteilt die Benutzerrechte in zwei Kategorien. Diese Unterscheidung hilft Ihnen, die richtige Richtlinie schneller zu finden.

Anmelderechte (Logon Rights) steuern, wer sich wie anmelden darf. Dazu gehören zum Beispiel:

• Lokal anmelden zulassen (SeInteractiveLogonRight)
• Anmelden über Remotedesktopdienste zulassen (SeRemoteInteractiveLogonRight)
• Anmelden als Dienst (SeServiceLogonRight)
• Anmelden als Batchauftrag (SeBatchLogonRight)
• Auf diesen Computer vom Netzwerk aus zugreifen (SeNetworkLogonRight)

Privilegien (Privileges) erlauben dagegen bestimmte Systemaktionen. Typische Beispiele sind:

• Herunterfahren des Systems (SeShutdownPrivilege)
• Ändern der Systemzeit (SeSystemtimePrivilege)
• Debuggen von Programmen (SeDebugPrivilege)
• Übernehmen des Besitzes von Dateien und Objekten (SeTakeOwnershipPrivilege)
• Erstellen symbolischer Verknüpfungen (SeCreateSymbolicLinkPrivilege)

Darüber hinaus gibt es zu vielen Anmelderechten ein passendes „Verweigern“-Gegenstück. Wichtig: Ein Verweigern-Recht hat immer Vorrang vor dem entsprechenden Zulassen-Recht. Steht ein Benutzer also in beiden Listen, wird ihm der Zugriff verweigert.

Voraussetzungen: Edition und Administratorrechte

Bevor Sie Benutzerrechte ändern, sollten Sie zwei Dinge prüfen. Erstens benötigen Sie Administratorrechte. Zweitens hängt die verfügbare Methode von Ihrer Windows-Edition ab.

Windows-Edition herausfinden

So finden Sie Ihre Edition heraus:

1. Drücken Sie Windows-Taste + R.
2. Geben Sie winver ein und drücken Sie Enter.
3. Lesen Sie im Fenster die Edition ab, etwa Windows 11 Pro oder Windows 10 Home.

Alternativ öffnen Sie in Windows 11 Einstellungen → System → Info. Dort steht die Edition unter Windows-Spezifikationen.

Welche Editionen secpol.msc enthalten

Die grafischen Werkzeuge stehen nicht in jeder Version zur Verfügung. Die Home-Editionen von Windows 10 und Windows 11 enthalten die Konsole standardmäßig nicht, während die Editionen Pro, Education und Enterprise sie mitbringen. Die Übersicht:

• Windows 11/10 Pro: secpol.msc und gpedit.msc vorhanden
• Windows 11/10 Enterprise: secpol.msc und gpedit.msc vorhanden
• Windows 11/10 Education: secpol.msc und gpedit.msc vorhanden
• Windows 11/10 Home: keine grafische Konsole, aber secedit funktioniert

Trotzdem gilt: Auch ohne secpol.msc setzt Windows Home Passwortregeln, Benutzerrechte und Sicherheitsverhalten im Hintergrund durch. Die Richtlinien existieren also, nur die Oberfläche fehlt.

Hinweis zu Windows 10

Der reguläre Support für Windows 10 endete bereits im Oktober 2025. Die Benutzerrechtezuweisung funktioniert dort zwar weiterhin genauso wie in Windows 11. Dennoch sollten Sie einen Umstieg auf Windows 11 einplanen, falls Ihr Gerät keine Sicherheitsupdates mehr erhält.

Methode 1: Benutzerrechte mit der Lokalen Sicherheitsrichtlinie ändern

Die Lokale Sicherheitsrichtlinie ist der einfachste Weg. Außerdem bietet sie eine übersichtliche Liste aller Rechte samt Beschreibung.

secpol.msc öffnen

Es gibt mehrere Wege, die Konsole zu starten. Am schnellsten geht es so:

1. Drücken Sie Windows-Taste + R.
2. Tippen Sie secpol.msc ein.
3. Bestätigen Sie mit Enter oder OK.
4. Bestätigen Sie gegebenenfalls die Benutzerkontensteuerung mit Ja.

Alternativ funktionieren auch diese Varianten:

• Startmenü: Geben Sie „Lokale Sicherheitsrichtlinie“ ein und klicken Sie auf das Ergebnis.
• Terminal: Starten Sie das Windows-Terminal als Administrator und tippen Sie secpol.msc.
• Windows-Tools: Öffnen Sie in Windows 11 Start → Alle Apps → Windows-Tools → Lokale Sicherheitsrichtlinie. In Windows 10 heißt der Ordner Windows-Verwaltungsprogramme.

Benutzerrechte aufrufen

Nachdem die Konsole geöffnet ist, navigieren Sie in der linken Spalte:

1. Klappen Sie Sicherheitseinstellungen auf.
2. Öffnen Sie Lokale Richtlinien.
3. Klicken Sie auf Zuweisen von Benutzerrechten.

Rechts sehen Sie nun alle Richtlinien. Die Spalte Sicherheitseinstellung zeigt zudem, welche Benutzer und Gruppen das jeweilige Recht aktuell besitzen.

Benutzer oder Gruppe hinzufügen

So weisen Sie einem Konto ein Benutzerrecht zu:

1. Doppelklicken Sie auf die gewünschte Richtlinie, zum Beispiel Ändern der Systemzeit.
2. Klicken Sie auf Benutzer oder Gruppe hinzufügen…
3. Klicken Sie auf Objekttypen… und setzen Sie den Haken bei Gruppen, falls Sie eine Gruppe hinzufügen möchten. Bestätigen Sie mit OK.
4. Geben Sie den Kontonamen ein, zum Beispiel Max oder Benutzer.
5. Klicken Sie auf Namen überprüfen. Windows unterstreicht den Namen, wenn er gefunden wurde.
6. Bestätigen Sie mit OK.
7. Klicken Sie anschließend auf Übernehmen und OK.

Falls Sie den genauen Namen nicht kennen, hilft die Schaltfläche Erweitert… → Jetzt suchen. Dort zeigt Windows alle lokalen Konten und Gruppen an.

Benutzer oder Gruppe entfernen

Ebenso einfach entfernen Sie ein Recht wieder:

1. Doppelklicken Sie auf die entsprechende Richtlinie.
2. Markieren Sie den Benutzer oder die Gruppe in der Liste.
3. Klicken Sie auf Entfernen.
4. Bestätigen Sie mit Übernehmen und OK.

Vorsicht: Entfernen Sie niemals die Gruppe Administratoren aus kritischen Rechten wie Lokal anmelden zulassen. Andernfalls sperren Sie sich unter Umständen selbst aus.

Erklärung zu jeder Richtlinie lesen

Zusätzlich bietet jede Richtlinie einen Reiter Erklärung. Dort beschreibt Microsoft, was das Recht bewirkt und welche Standardwerte gelten. Deshalb lohnt sich ein kurzer Blick, bevor Sie etwas ändern.

Methode 2: Benutzerrechte im Gruppenrichtlinien-Editor ändern

Der Editor für lokale Gruppenrichtlinien (gpedit.msc) enthält dieselben Einstellungen. Er ist vor allem dann praktisch, wenn Sie ohnehin weitere Gruppenrichtlinien bearbeiten.

So gehen Sie vor:

1. Drücken Sie Windows-Taste + R.
2. Geben Sie gpedit.msc ein und bestätigen Sie mit Enter.
3. Navigieren Sie zu Richtlinien für Lokaler Computer → Computerkonfiguration → Windows-Einstellungen → Sicherheitseinstellungen → Lokale Richtlinien → Zuweisen von Benutzerrechten.
4. Doppelklicken Sie auf die gewünschte Richtlinie.
5. Fügen Sie Konten über Benutzer oder Gruppe hinzufügen… hinzu oder entfernen Sie sie mit Entfernen.
6. Bestätigen Sie mit OK.

Die Bedienung ist also identisch mit secpol.msc. Allerdings müssen Sie hier ein paar Ebenen mehr aufklappen.

Methode 3: Benutzerrechte per secedit ändern (auch für Home)

Das Kommandozeilenwerkzeug secedit.exe ist in allen Editionen von Windows 11 und Windows 10 enthalten. Deshalb ist es die beste offizielle Lösung für Windows Home. Außerdem eignet es sich für Skripte und mehrere Rechner.

Schritt 1: Aktuelle Einstellungen exportieren

Zunächst exportieren Sie die vorhandenen Benutzerrechte in eine Textdatei:

1. Klicken Sie mit der rechten Maustaste auf Start.
2. Wählen Sie Terminal (Administrator) oder Eingabeaufforderung (Administrator).
3. Legen Sie einen Arbeitsordner an: mkdir C:\Temp
4. Exportieren Sie die Benutzerrechte: secedit /export /cfg C:\Temp\rechte.inf /areas USER_RIGHTS

Anschließend finden Sie die Datei rechte.inf im Ordner C:\Temp. Gleichzeitig dient sie Ihnen als Sicherung.

Schritt 2: SID des Benutzers ermitteln

In der INF-Datei stehen Konten meist als Sicherheits-ID (SID). Deshalb benötigen Sie die SID des Kontos, das Sie hinzufügen möchten.

Für das aktuell angemeldete Konto genügt dieser Befehl:

whoami /user

Für ein anderes lokales Konto nutzen Sie PowerShell:

Get-LocalUser -Name "Max" | Select-Object Name, SID

Darüber hinaus gibt es bekannte SIDs für Standardgruppen, die überall gleich sind:

• Administratoren: S-1-5-32-544
• Benutzer: S-1-5-32-545
• Gäste: S-1-5-32-546
• Sicherungs-Operatoren: S-1-5-32-551
• Remotedesktopbenutzer: S-1-5-32-555
• Authentifizierte Benutzer: S-1-5-11
• Lokaler Dienst: S-1-5-19
• Netzwerkdienst: S-1-5-20

Schritt 3: INF-Datei bearbeiten

Öffnen Sie die exportierte Datei zum Beispiel mit dem Editor (Notepad):

notepad C:\Temp\rechte.inf

Im Abschnitt [Privilege Rights] steht jedes Recht in einer eigenen Zeile. Ein Beispiel sieht so aus:

SeSystemtimePrivilege = *S-1-5-19,*S-1-5-32-544

Möchten Sie nun einen Benutzer ergänzen, hängen Sie seine SID mit einem Komma und einem Sternchen an:

SeSystemtimePrivilege = *S-1-5-19,*S-1-5-32-544,*S-1-5-21-1234567890-1234567890-1234567890-1001

Zum Entfernen löschen Sie dagegen den entsprechenden Eintrag aus der Zeile. Speichern Sie die Datei danach.

Wichtig: secedit ersetzt die komplette Liste eines Rechts. Lassen Sie deshalb alle bestehenden Einträge stehen, die erhalten bleiben sollen. Andernfalls verlieren diese Konten das Recht.

Schritt 4: Änderungen anwenden

Abschließend importieren Sie die bearbeitete Datei:

secedit /configure /db C:\Temp\rechte.sdb /cfg C:\Temp\rechte.inf /areas USER_RIGHTS

Windows meldet anschließend, dass der Vorgang abgeschlossen wurde. Melden Sie sich danach ab und wieder an, damit die neuen Rechte greifen.

Fehler prüfen

Falls etwas nicht klappt, schreibt secedit eine Protokolldatei. Sie finden sie unter:

%windir%\security\logs\scesrv.log

Dort sehen Sie zum Beispiel, ob ein Konto nicht gefunden wurde oder ob ein Tippfehler in der INF-Datei steckt.

Methode 4: Benutzerrechte mit PowerShell verwalten

Windows bringt kein eigenes PowerShell-Cmdlet für Benutzerrechte mit. Trotzdem können Sie Benutzerrechte komfortabel per PowerShell setzen. Dafür eignet sich das kostenlose Modul Carbon aus der PowerShell Gallery.

Carbon installieren

1. Öffnen Sie PowerShell als Administrator.
2. Installieren Sie das Modul: Install-Module -Name Carbon -Scope AllUsers
3. Bestätigen Sie die Nachfrage zur Paketquelle mit J oder A.
4. Laden Sie das Modul: Import-Module Carbon

Rechte anzeigen, vergeben und entziehen

Anschließend stehen Ihnen praktische Befehle zur Verfügung. So zeigen Sie alle Rechte eines Kontos an:

Get-CPrivilege -Identity "Max"

Ein Recht vergeben Sie zum Beispiel so:

Grant-CPrivilege -Identity "Max" -Privilege SeBatchLogonRight

Ebenso einfach entziehen Sie es wieder:

Revoke-CPrivilege -Identity "Max" -Privilege SeBatchLogonRight

Der Vorteil: Carbon ändert nur das betroffene Konto und lässt alle anderen Einträge unangetastet. Deshalb ist diese Methode weniger fehleranfällig als die manuelle Bearbeitung einer INF-Datei.

Was ist mit ntrights.exe?

Viele ältere Anleitungen empfehlen ntrights.exe. Dieses Tool stammt jedoch aus dem Windows Server 2003 Resource Kit und wird seit Langem nicht mehr gepflegt. Deshalb sollten Sie es nicht mehr verwenden. Nutzen Sie stattdessen secedit oder Carbon.

Windows 11/10 Home: Benutzerrechte trotzdem ändern

In den Home-Editionen fehlt die grafische Oberfläche. Dennoch haben Sie mehrere Möglichkeiten.

Option 1: secedit oder PowerShell nutzen

Die empfohlene Lösung für Home-Nutzer ist secedit (Methode 3) oder PowerShell mit Carbon (Methode 4). Beide Wege funktionieren offiziell und ohne Eingriffe ins System.

Option 2: Gruppenrichtlinien-Pakete nachinstallieren

Zudem kursiert ein inoffizieller Trick, um die Gruppenrichtlinien-Werkzeuge nachzurüsten. Die Pakete liegen nämlich bereits auf der Festplatte. So gehen Sie vor:

1. Öffnen Sie die Eingabeaufforderung als Administrator.
2. Geben Sie den ersten Befehl ein und drücken Sie Enter: FOR %F IN ("%SystemRoot%\servicing\Packages\Microsoft-Windows-GroupPolicy-ClientTools-Package~*.mum") DO (DISM /Online /NoRestart /Add-Package:"%F")
3. Geben Sie anschließend den zweiten Befehl ein: FOR %F IN ("%SystemRoot%\servicing\Packages\Microsoft-Windows-GroupPolicy-ClientExtensions-Package~*.mum") DO (DISM /Online /NoRestart /Add-Package:"%F")
4. Starten Sie den PC neu.
5. Öffnen Sie danach gpedit.msc über Windows-Taste + R.

Allerdings unterstützt Microsoft diesen Weg nicht offiziell. Außerdem funktionieren nicht alle Richtlinien zuverlässig, und große Funktionsupdates können die Pakete wieder entfernen. Erstellen Sie deshalb vorher einen Wiederherstellungspunkt.

Option 3: Auf Windows Pro upgraden

Wer regelmäßig mit Sicherheitsrichtlinien arbeitet, fährt mit einem Upgrade auf Windows 11 Pro am besten. Das geht direkt im System:

1. Öffnen Sie Einstellungen → System → Aktivierung.
2. Klicken Sie bei Windows-Edition upgraden auf Product Key ändern oder auf Store öffnen.
3. Geben Sie einen gültigen Pro-Key ein oder kaufen Sie das Upgrade im Microsoft Store.

Nach dem Neustart stehen Ihnen secpol.msc und gpedit.msc vollständig zur Verfügung.

Benutzerrechte in Unternehmen zentral verwalten

In Firmennetzwerken ändern Administratoren Benutzerrechte meist nicht lokal. Stattdessen setzen sie zentrale Richtlinien ein. Dadurch bleiben die Einstellungen auf allen Geräten einheitlich.

Gruppenrichtlinien in der Active-Directory-Domäne

In einer Domäne nutzen Sie die Gruppenrichtlinienverwaltung (gpmc.msc):

1. Öffnen Sie auf einem Server oder einem Admin-PC mit RSAT die Gruppenrichtlinienverwaltung.
2. Erstellen Sie ein neues Gruppenrichtlinienobjekt (GPO) oder bearbeiten Sie ein bestehendes.
3. Navigieren Sie zu Computerkonfiguration → Richtlinien → Windows-Einstellungen → Sicherheitseinstellungen → Lokale Richtlinien → Zuweisen von Benutzerrechten.
4. Doppelklicken Sie auf die gewünschte Richtlinie.
5. Aktivieren Sie Diese Richtlinieneinstellungen definieren.
6. Fügen Sie die Benutzer oder Gruppen hinzu und bestätigen Sie mit OK.
7. Verknüpfen Sie das GPO mit der passenden Organisationseinheit (OU).

Beachten Sie dabei: Domänen-GPOs überschreiben lokale Einstellungen. Deshalb erscheinen diese Richtlinien auf den Clients anschließend ausgegraut.

Microsoft Intune und Policy CSP

Für Cloud-verwaltete Geräte steht in Microsoft Intune der Policy CSP „UserRights“ bereit. So richten Sie eine Richtlinie ein:

1. Öffnen Sie das Microsoft Intune Admin Center.
2. Wechseln Sie zu Geräte → Konfiguration → Erstellen → Neue Richtlinie.
3. Wählen Sie Windows 10 und höher sowie Einstellungskatalog.
4. Suchen Sie nach User Rights.
5. Wählen Sie die gewünschten Rechte aus und tragen Sie die Konten ein.

Für die Werte verwenden Sie idealerweise SIDs. Mehrere Gruppen lassen sich dabei über ihre SIDs kombinieren, etwa Administratoren und Authentifizierte Benutzer mit „S-1-5-32-544S-1-5-11“.

Aktuelle Sicherheitsbaseline beachten

Außerdem passt Microsoft seine Empfehlungen regelmäßig an. In der Sicherheitsbaseline für Windows 11 Version 25H2 hat Microsoft zum Beispiel „RESTRICTED SERVICES\PrintSpoolerService“ zur Richtlinie „Annehmen der Clientidentität nach Authentifizierung“ hinzugefügt. Prüfen Sie deshalb bei jeder neuen Windows-Version, ob sich die empfohlenen Werte geändert haben. Die Baselines erhalten Sie im Microsoft Security Compliance Toolkit.

Die wichtigsten Benutzerrechte im Überblick

Windows kennt mehr als 40 Benutzerrechte. Im Alltag benötigen Sie jedoch nur einen kleinen Teil davon. Die folgende Übersicht zeigt die häufigsten Richtlinien samt Konstantennamen.

Rechte rund um die Anmeldung

• Lokal anmelden zulassen (SeInteractiveLogonRight): Erlaubt die Anmeldung direkt am PC.
• Lokal anmelden verweigern (SeDenyInteractiveLogonRight): Sperrt die lokale Anmeldung für bestimmte Konten.
• Anmelden über Remotedesktopdienste zulassen (SeRemoteInteractiveLogonRight): Erlaubt RDP-Verbindungen.
• Anmelden über Remotedesktopdienste verweigern (SeDenyRemoteInteractiveLogonRight): Blockiert RDP für bestimmte Konten.
• Auf diesen Computer vom Netzwerk aus zugreifen (SeNetworkLogonRight): Regelt den Zugriff auf Freigaben.
• Anmelden als Dienst (SeServiceLogonRight): Nötig für Dienstkonten.
• Anmelden als Batchauftrag (SeBatchLogonRight): Nötig für geplante Aufgaben.

Rechte für Systemaktionen

• Herunterfahren des Systems (SeShutdownPrivilege): Erlaubt das lokale Herunterfahren.
• Erzwingen des Herunterfahrens von einem Remotesystem aus (SeRemoteShutdownPrivilege): Erlaubt das Herunterfahren über das Netzwerk.
• Ändern der Systemzeit (SeSystemtimePrivilege): Erlaubt das Umstellen der Uhrzeit.
• Ändern der Zeitzone (SeTimeZonePrivilege): Erlaubt das Ändern der Zeitzone.
• Erstellen symbolischer Verknüpfungen (SeCreateSymbolicLinkPrivilege): Erlaubt das Anlegen von Symlinks.

Besonders kritische Rechte

• Debuggen von Programmen (SeDebugPrivilege): Gewährt Zugriff auf jeden Prozess.
• Übernehmen des Besitzes von Dateien und Objekten (SeTakeOwnershipPrivilege): Erlaubt die Übernahme fremder Dateien.
• Sichern von Dateien und Verzeichnissen (SeBackupPrivilege): Umgeht Leserechte.
• Wiederherstellen von Dateien und Verzeichnissen (SeRestorePrivilege): Umgeht Schreibrechte.
• Einsetzen als Teil des Betriebssystems (SeTcbPrivilege): Gewährt nahezu vollständige Kontrolle.

Microsoft rät ausdrücklich, das Recht „Einsetzen als Teil des Betriebssystems“ keinem Benutzerkonto zuzuweisen. Benötigt ein Dienst dieses Recht, soll er stattdessen mit dem lokalen Systemkonto laufen.

Praxisbeispiele: typische Anpassungen Schritt für Schritt

Viele Nutzer suchen nicht allgemein nach Benutzerrechten, sondern haben ein konkretes Problem. Deshalb folgen hier die häufigsten Szenarien.

Beispiel 1: Geplante Aufgabe läuft nicht

Eine geplante Aufgabe startet nicht, wenn das Konto „unabhängig von der Benutzeranmeldung“ ausgeführt werden soll? Dann fehlt oft das Recht Anmelden als Batchauftrag.

1. Öffnen Sie secpol.msc.
2. Gehen Sie zu Lokale Richtlinien → Zuweisen von Benutzerrechten.
3. Doppelklicken Sie auf Anmelden als Batchauftrag.
4. Fügen Sie das betroffene Konto hinzu.
5. Prüfen Sie zusätzlich, ob das Konto in Anmelden als Batchauftrag verweigern steht. Falls ja, entfernen Sie es dort.

Beispiel 2: Dienst mit eigenem Konto starten

Soll ein Dienst unter einem bestimmten Benutzerkonto laufen, benötigt dieses Konto das Recht Anmelden als Dienst. Zwar vergibt die Diensteverwaltung (services.msc) dieses Recht oft automatisch. Trotzdem lohnt sich ein Blick in die Richtlinie, falls der Dienst mit Fehler 1069 abbricht.

Beispiel 3: Remotedesktop für Standardbenutzer erlauben

Ein Standardbenutzer kann sich nicht per Remotedesktop verbinden? In diesem Fall fehlt meist die Mitgliedschaft in der richtigen Gruppe. Am einfachsten lösen Sie das so:

1. Öffnen Sie Einstellungen → System → Remotedesktop.
2. Aktivieren Sie Remotedesktop.
3. Klicken Sie auf Remotedesktopbenutzer.
4. Fügen Sie das Konto über Hinzufügen hinzu.

Die Gruppe Remotedesktopbenutzer besitzt nämlich standardmäßig das Recht Anmelden über Remotedesktopdienste zulassen. Prüfen Sie außerdem, ob das Konto in der Verweigern-Richtlinie steht. Remotedesktop als Host steht übrigens nur in den Pro-, Enterprise- und Education-Editionen zur Verfügung.

Beispiel 4: Standardbenutzer darf Uhrzeit nicht ändern

Möchten Sie verhindern, dass Standardbenutzer die Systemzeit verstellen, gehen Sie so vor:

1. Doppelklicken Sie auf Ändern der Systemzeit.
2. Entfernen Sie die Gruppe Benutzer, falls sie dort steht.
3. Lassen Sie Administratoren und LOKALER DIENST stehen.

Der Eintrag LOKALER DIENST ist wichtig, denn der Windows-Zeitdienst benötigt ihn für die automatische Synchronisierung.

Beispiel 5: Herunterfahren für bestimmte Konten sperren

Auf Kiosk-PCs oder Präsentationsrechnern soll niemand den Rechner ausschalten? Dann passen Sie Herunterfahren des Systems an:

1. Doppelklicken Sie auf Herunterfahren des Systems.
2. Entfernen Sie die Gruppe Benutzer.
3. Lassen Sie Administratoren und gegebenenfalls Sicherungs-Operatoren stehen.

Anschließend verschwindet für Standardbenutzer die Option zum Herunterfahren im Startmenü.

Beispiel 6: Symbolische Links ohne Adminrechte erstellen

Entwickler möchten oft Symlinks ohne erhöhte Rechte anlegen. Dafür gibt es zwei Wege. Einerseits können Sie das Recht Erstellen symbolischer Verknüpfungen dem Konto zuweisen. Andererseits aktivieren Sie den Entwicklermodus unter Einstellungen → System → Für Entwickler. Der zweite Weg ist meist bequemer.

Änderungen wirksam machen

Neue Benutzerrechte greifen nicht sofort. Microsoft schreibt dazu: Jede Änderung an der Benutzerrechtezuweisung wird bei der nächsten Anmeldung des Kontos wirksam.

So stellen Sie sicher, dass die Änderungen aktiv sind:

1. Öffnen Sie die Eingabeaufforderung als Administrator.
2. Aktualisieren Sie die Richtlinien: gpupdate /force
3. Melden Sie das betroffene Konto ab und wieder an.
4. Bei Diensten starten Sie den Dienst neu oder führen einen Neustart durch.

Anschließend prüfen Sie die Rechte des aktuellen Kontos mit:

whoami /priv

Dieser Befehl zeigt alle Privilegien samt Status an. Allerdings erscheinen dort nur Privilegien, keine Anmelderechte.

Einstellungen sichern und auf Standard zurücksetzen

Bevor Sie größere Änderungen vornehmen, sollten Sie immer eine Sicherung anlegen. Dadurch können Sie jederzeit zum alten Zustand zurückkehren.

Sicherung erstellen

Die einfachste Sicherung erstellen Sie mit secedit:

secedit /export /cfg C:\Temp\sicherung-benutzerrechte.inf /areas USER_RIGHTS

Zusätzlich empfiehlt sich ein Wiederherstellungspunkt:

1. Drücken Sie Windows-Taste + R.
2. Geben Sie sysdm.cpl ein.
3. Wechseln Sie zum Reiter Computerschutz.
4. Klicken Sie auf Erstellen und vergeben Sie einen Namen.

Sicherung wiederherstellen

Möchten Sie die alten Einstellungen zurückspielen, nutzen Sie diesen Befehl:

secedit /configure /db C:\Temp\restore.sdb /cfg C:\Temp\sicherung-benutzerrechte.inf /areas USER_RIGHTS

Standardwerte von Windows wiederherstellen

Haben Sie keine Sicherung, können Sie die Standard-Sicherheitseinstellungen von Windows zurücksetzen. Microsoft liefert dafür eine Vorlage mit:

secedit /configure /cfg %windir%\inf\defltbase.inf /db defltbase.sdb /verbose

Dabei erscheinen häufig Warnungen, dass einige Einträge nicht gefunden wurden. Diese Meldungen sind jedoch normal und können ignoriert werden. Starten Sie den PC anschließend neu.

Achtung: Dieser Befehl setzt alle lokalen Sicherheitseinstellungen zurück, nicht nur die Benutzerrechte. Deshalb sollten Sie ihn nur im Notfall verwenden.

Probleme beim Ändern der Benutzerrechte lösen

Manchmal lassen sich Benutzerrechte nicht ändern. Die Ursachen sind jedoch meist schnell gefunden.

Einstellungen sind ausgegraut

Sind die Schaltflächen Hinzufügen und Entfernen ausgegraut, steuert eine Domänen-Gruppenrichtlinie oder Intune die Einstellung. Lokale Änderungen sind dann nicht möglich.

So finden Sie heraus, welche Richtlinie greift:

1. Öffnen Sie die Eingabeaufforderung als Administrator.
2. Erstellen Sie einen Bericht: gpresult /h C:\Temp\gpbericht.html
3. Öffnen Sie die Datei im Browser.
4. Suchen Sie unter Computerdetails → Einstellungen nach Zuweisen von Benutzerrechten.

Dort sehen Sie das verantwortliche GPO. Wenden Sie sich in diesem Fall an Ihre IT-Abteilung.

„Windows kann secpol.msc nicht finden“

Diese Meldung erscheint fast immer auf Windows Home. Nutzen Sie dann secedit, PowerShell oder ein Upgrade auf Pro. Erscheint der Fehler dagegen auf einer Pro-Edition, prüfen Sie die Systemdateien:

sfc /scannow

Falls das nicht hilft, reparieren Sie das Systemabbild:

DISM /Online /Cleanup-Image /RestoreHealth

Konto wird nicht gefunden

Meldet Windows beim Hinzufügen, dass der Name nicht gefunden wurde, prüfen Sie den Suchpfad. Klicken Sie im Dialog auf Pfade… und wählen Sie den lokalen Computer statt der Domäne. Bei Microsoft-Konten geben Sie zudem den lokalen Kontonamen ein, nicht die E-Mail-Adresse. Den lokalen Namen sehen Sie im Ordner C:\Benutzer.

Änderung zeigt keine Wirkung

Greift ein neues Recht nicht, hat sich das Konto vermutlich noch nicht neu angemeldet. Außerdem kann ein Verweigern-Recht das Zulassen-Recht überschreiben. Prüfen Sie deshalb immer beide Richtlinien.

Sicherheitstipps für die Benutzerrechtezuweisung

Benutzerrechte sind ein mächtiges Werkzeug. Deshalb sollten Sie einige Grundregeln beachten.

• Prinzip der geringsten Rechte: Vergeben Sie nur die Rechte, die ein Konto wirklich benötigt.
• Gruppen statt Einzelkonten: Weisen Sie Rechte möglichst Gruppen zu. Dadurch bleibt die Verwaltung übersichtlich.
• Kritische Rechte schützen: Rechte wie Debuggen von Programmen oder Übernehmen des Besitzes gehören ausschließlich zu Administratoren.
• Gastkonto sperren: Tragen Sie Gäste in Lokal anmelden verweigern und Auf diesen Computer vom Netzwerk aus zugreifen verweigern ein.
• Änderungen dokumentieren: Notieren Sie jede Anpassung samt Datum und Grund.
• Regelmäßig prüfen: Exportieren Sie die Rechte zum Beispiel vierteljährlich per secedit und vergleichen Sie die Dateien.
• Erst testen: Probieren Sie neue Einstellungen zunächst auf einem Testgerät aus.

Zusätzlich lohnt sich ein Abgleich mit anerkannten Vorgaben wie der Microsoft-Sicherheitsbaseline oder den CIS Benchmarks. Beide enthalten konkrete Empfehlungen für jede Richtlinie.

Häufige Fragen zu Benutzerrechten in Windows

Wo finde ich die Zuweisung von Benutzerrechten in Windows 11?

Sie finden sie in der Lokalen Sicherheitsrichtlinie. Drücken Sie Windows-Taste + R, geben Sie secpol.msc ein und öffnen Sie Sicherheitseinstellungen → Lokale Richtlinien → Zuweisen von Benutzerrechten. In Windows 10 ist der Pfad identisch.

Kann ich Benutzerrechte in Windows 11 Home ändern?

Ja, allerdings nicht über eine grafische Oberfläche. Stattdessen nutzen Sie secedit in der Eingabeaufforderung oder das PowerShell-Modul Carbon. Alternativ rüsten Sie gpedit inoffiziell nach oder führen ein Upgrade auf Windows 11 Pro durch.

Was ist der Unterschied zwischen Benutzerrechten und Berechtigungen?

Benutzerrechte gelten für den gesamten Computer und steuern Systemaktionen wie Anmelden oder Herunterfahren. Berechtigungen beziehen sich dagegen auf einzelne Objekte, etwa Dateien, Ordner oder Registry-Schlüssel.

Wann werden geänderte Benutzerrechte wirksam?

Die Änderungen greifen bei der nächsten Anmeldung des Kontos. Führen Sie deshalb gpupdate /force aus und melden Sie sich ab und wieder an. Bei Diensten ist zudem ein Neustart des Dienstes nötig.

Warum kann ich eine Richtlinie nicht bearbeiten?

Meist steuert eine Domänen-Gruppenrichtlinie oder Intune die Einstellung. In diesem Fall ist sie lokal ausgegraut. Mit gpresult /h finden Sie heraus, welches GPO verantwortlich ist.

Wie setze ich die Benutzerrechte auf den Standard zurück?

Führen Sie in der Eingabeaufforderung als Administrator secedit /configure /cfg %windir%\inf\defltbase.inf /db defltbase.sdb /verbose aus. Beachten Sie jedoch, dass dieser Befehl alle lokalen Sicherheitseinstellungen zurücksetzt.

Welche Benutzerrechte sind besonders gefährlich?

Besonders kritisch sind Debuggen von Programmen, Einsetzen als Teil des Betriebssystems, Übernehmen des Besitzes von Dateien und Objekten sowie Sichern und Wiederherstellen von Dateien und Verzeichnissen. Diese Rechte sollten nur Administratoren oder Systemkonten besitzen.

Wie sehe ich, welche Rechte mein Konto hat?

Öffnen Sie die Eingabeaufforderung und geben Sie whoami /priv ein. Daraufhin zeigt Windows alle Privilegien Ihres Kontos an. Anmelderechte sehen Sie dagegen nur in secpol.msc oder in einer per secedit exportierten Datei.

Was passiert, wenn ein Konto in „Zulassen“ und „Verweigern“ steht?

In diesem Fall gewinnt immer die Verweigern-Richtlinie. Das Konto erhält also keinen Zugriff. Entfernen Sie es deshalb aus der Verweigern-Liste, wenn es das Recht nutzen soll.

Fazit

Die Richtlinien zur Benutzerrechtezuweisung ändern Sie in Windows 11/10 Pro am einfachsten über secpol.msc oder gpedit.msc. Für die Home-Editionen eignen sich dagegen secedit und PowerShell am besten.

Sichern Sie jedoch vor jeder Änderung die aktuellen Einstellungen. Außerdem sollten Sie kritische Rechte ausschließlich Administratoren überlassen. So bleibt Ihr System flexibel und gleichzeitig sicher.