Kurz gesagt: Wenn eine Gruppenrichtlinie nicht greift, erzeugst du auf dem betroffenen Client mit gpresult /h gp.html einen Bericht und schaust, ob die GPO dort als angewendet oder abgelehnt steht. Danach prüfst du das Ereignisprotokoll unter Microsoft > Windows > GroupPolicy > Operational. Die häufigsten Ursachen sind Sicherheitsfilterung, WMI-Filter, blockierte Vererbung, fehlender Zugriff auf SYSVOL, DNS-Probleme und eine Zeitabweichung zum Domänencontroller.
Stand: 03.11.2026
In welcher Reihenfolge werden Gruppenrichtlinien verarbeitet?
Bevor du suchst, lohnt ein Blick auf die Grundregeln aus der Microsoft-Dokumentation. GPOs werden in dieser Reihenfolge angewendet: lokale GPO, dann Standort, dann Domäne, dann Organisationseinheiten (OU). Bei verschachtelten OUs zuerst die übergeordnete, dann die untergeordnete. Der Container, der dem Benutzer oder Computer am nächsten liegt, gewinnt bei Konflikten. Computereinstellungen überschreiben Benutzereinstellungen. Sind mehrere GPOs an einen Container gebunden, hat die mit der niedrigsten Verknüpfungsreihenfolge Vorrang.
Zwei Ausnahmen drehen die Logik um: Erzwungen (Enforced) sorgt dafür, dass eine übergeordnete GPO nicht von tiefer liegenden überschrieben werden kann. Vererbung deaktivieren (Block Inheritance) an einer OU stoppt alle GPOs von oben, außer den erzwungenen. Enforced ist eine Eigenschaft der Verknüpfung und gewinnt gegen Block Inheritance als Eigenschaft des Containers.
Zur Aktualisierung: Clients laden Richtlinien standardmäßig alle 90 Minuten neu, mit einem zufälligen Zuschlag von bis zu 30 Minuten. Domänencontroller prüfen alle 5 Minuten. Wer direkt nach einer Änderung testet, sieht sie deshalb oft noch nicht.
Du kommst nicht weiter? Wir übernehmen das für dich, meist per Fernwartung. Ruf an: 0541 507 988 08, schreib uns oder buch ein Erstgespräch.
Wie finde ich heraus, ob die GPO überhaupt ankommt?
- Melde dich auf dem betroffenen Client an und öffne eine Eingabeaufforderung als Administrator.
- Erzwinge eine Aktualisierung: gpupdate /force. Für nur eine Seite: gpupdate /force /target:computer oder /target:user.
- Erstelle den Bericht: gpresult /h gp.html und öffne die Datei im Browser. Alternativ zeigt gpresult /r eine Kurzfassung im Textfenster.
- Suche im Bericht die betroffene GPO. Steht sie unter den abgelehnten GPOs, nennt der Bericht den Grund, zum Beispiel einen nicht erfüllten Filter.
- Fehlt die GPO ganz, ist sie nicht an die OU des Benutzers oder Computers gebunden, die Verknüpfung ist deaktiviert oder die Vererbung ist blockiert.
Prüfe auch die Berechtigungen der GPO, per PowerShell etwa mit Get-GPPermission -Name „Name der GPO“ -All. Eine GPO wird laut Microsoft nur angewendet, wenn der Benutzer oder Computer die Rechte Lesen und Gruppenrichtlinie übernehmen hat. Ein Klassiker: Jemand hat „Authentifizierte Benutzer“ aus der Sicherheitsfilterung entfernt und nur eine Benutzergruppe eingetragen. Dann kann der Computer die GPO nicht mehr lesen.
Welche Filter und Einstellungen blockieren die GPO?
- Sicherheitsfilterung: Ohne Lesen und Gruppenrichtlinie übernehmen für das Konto greift nichts. Die Filterung kann nicht für einzelne Einstellungen innerhalb einer GPO verwendet werden, nur für die ganze GPO.
- WMI-Filter: Jede GPO kann einen WMI-Filter haben. Er wird auf dem Zielcomputer ausgewertet, und die GPO gilt nur, wenn das Ergebnis wahr ist. Ein veralteter Filter auf eine alte Windows-Version ist eine häufige Ursache.
- Deaktivierte Teile: Eine GPO kann komplett deaktiviert sein, oder nur die Computer- beziehungsweise Benutzereinstellungen. Das sieht man in der Gruppenrichtlinienverwaltung unter Details.
- Loopback: Bei aktiviertem Loopback-Modus (Richtlinie „Loopbackverarbeitungsmodus für Benutzergruppenrichtlinie konfigurieren“ unter Computerkonfiguration > Richtlinien > Administrative Vorlagen > System > Gruppenrichtlinie) gelten für Benutzer die GPOs des Computers. Im Modus „Ersetzen“ werden die Benutzer-GPOs gar nicht mehr geladen. Wer das vergessen hat, wundert sich auf Terminalservern.
Was sagen die Ereignisprotokolle?
Öffne die Ereignisanzeige und prüfe zuerst Windows-Protokolle > System auf Warnungen und Fehler des Gruppenrichtliniendienstes. Danach das Operational-Protokoll unter Anwendungs- und Dienstprotokolle > Microsoft > Windows > GroupPolicy > Operational. Dort stehen die angewendeten und abgelehnten GPOs mit Begründung. Die wichtigsten Event-IDs laut Microsoft:
| Event-ID | Ursache | Prüfung |
|---|---|---|
| 1129 | Keine Netzwerkverbindung zum Domänencontroller, oft LDAP-Port 389 blockiert | Namensauflösung, Firewall, Verbindung auf Port 389 prüfen |
| 1030 | Namensauflösung oder Verbindung zum DC fehlt | DNS-Einträge des Clients, Firewall zwischen Client und DC |
| 1006 | Anmeldung am DC fehlgeschlagen. Code 49: ungültige Anmeldedaten, etwa abgelaufenes Kennwort. Code 258: Timeout, meist DNS | Kennwort, Kontosperre, nslookup auf _ldap._tcp.<Domäne> |
| 1058 | Datei aus SYSVOL nicht lesbar. Code 3: Pfad nicht gefunden, 5: Zugriff verweigert, 53: Netzwerkpfad nicht gefunden | \<DC>SYSVOL<Domäne>Policies<GUID>gpt.ini im Explorer öffnen, Replikation und DFS-Client prüfen |
| 1053 | Benutzername nicht auflösbar. Code 525: Benutzer existiert nicht oder fehlende Leserechte auf die OU, 1355: Domäne nicht erreichbar, 1727: RPC blockiert | OU-Berechtigungen, DNS, Firewall |
| 1097 | Computerkonto kann nicht ermittelt werden, meist Zeitabweichung über 5 Minuten | w32tm /resync, Zeitzone prüfen, Neustart |
| 1002 | Systemressourcen erschöpft | Speicher und Festplattenplatz, Neustart |
Event 1058 mit Code 5 oder 53 ist in kleinen Netzen der häufigste Fall: Der Client erreicht SYSVOL nicht, weil die Replikation zwischen zwei Domänencontrollern hängt oder weil SMB-Signierung und ältere Geräte sich nicht vertragen. Event 1097 trifft Rechner, die lange aus waren und deren Uhr abgedriftet ist.
Wie grenze ich einen einzelnen Durchlauf ein?
- Doppelklicke im Systemprotokoll das Warn- oder Fehlerereignis der Gruppenrichtlinie, wechsle auf Details, aktiviere „Friendly view“ und kopiere unter System die ActivityID.
- Lege in der Ereignisanzeige unter Benutzerdefinierte Ansichten eine neue Ansicht an, Registerkarte XML, „Edit query manually“, und filtere das Operational-Protokoll nach dieser ActivityID.
- Du siehst jetzt nur diesen einen Durchlauf von Anfang bis Ende und kannst die erste Warnung finden. Nach jedem gpupdate ändert sich die ActivityID.
Für harte Fälle schaltet man das ausführliche Protokoll des Gruppenrichtliniendienstes ein: Registrierungsschlüssel HKEY_LOCAL_MACHINESoftwareMicrosoftWindows NTCurrentVersionDiagnostics, DWORD GPSvcDebugLevel mit Wert 30002 (hexadezimal), danach gpupdate /force. Das Protokoll liegt unter %windir%debugusermodegpsvc.log. Der Ordner usermode muss vorher existieren. Microsoft rät, vor Registrierungsänderungen eine Sicherung anzulegen und das Logging danach wieder abzuschalten.
So unterstützen wir dich
Wir betreuen Windows-Server und Active Directory für Unternehmen in Osnabrück und Umgebung, entfernter per Fernwartung. Wenn eine Richtlinie hakt, finden wir die Ursache meist in wenigen Minuten anhand des gpresult-Berichts und des Operational-Protokolls. Mehr dazu unter IT-Support in Osnabrück.
Häufige Fragen
Wie lange dauert es, bis eine neue Gruppenrichtlinie greift?
Standardmäßig bis zu 90 Minuten plus bis zu 30 Minuten Zufallszuschlag. Mit gpupdate /force geht es sofort, manche Einstellungen brauchen aber eine Ab- und Anmeldung oder einen Neustart.
Die GPO steht im gpresult als abgelehnt. Was heißt das?
Der Client hat die GPO gefunden, aber nicht angewendet. Der Bericht nennt den Grund, meist ein nicht erfüllter Sicherheits- oder WMI-Filter.
Warum greift die GPO auf dem Server, aber nicht auf dem Client?
Oft eine Zeitabweichung (Event 1097), ein fehlender Zugriff auf SYSVOL (Event 1058) oder ein WMI-Filter, der nur auf Serverversionen zutrifft.
Hilft es, die GPO neu zu verknüpfen?
Selten. Prüfe erst gpresult und das Operational-Protokoll, sonst behebst du nur Symptome.
Quellen
- Applying Group Policy troubleshooting guidance (Microsoft Learn, abgerufen am 03.11.2026)
- Group Policy processing (Microsoft Learn, abgerufen am 03.11.2026)
