Windows bekommt eine Fernsperre: Microsoft testet Remote Lock für verlorene und gestohlene Geräte
Microsoft arbeitet an einer neuen Sicherheitsfunktion für Windows, mit der sich verlorene, gestohlene oder möglicherweise kompromittierte Geräte aus der Ferne sperren lassen. Die Funktion trägt den Namen Remote Lock und wird derzeit als Vorschauversion über Microsoft Intune bereitgestellt.
Das Besondere daran: Der betroffene Rechner wird vollständig für die Anmeldung gesperrt, ohne dass Dateien gelöscht oder bestehende Einstellungen zurückgesetzt werden. Gerade für Unternehmen könnte das eine praktische Ergänzung zu den bisherigen Sicherheitsfunktionen sein.
Was ist Windows Remote Lock?
Mit Remote Lock können IT-Administratoren einen Windows-PC aus der Ferne sperren, wenn das Gerät beispielsweise verloren geht oder gestohlen wird.
Die Sperre erfolgt über Microsoft Intune, also Microsofts zentrale Verwaltungsplattform für Geräte in Unternehmen und Organisationen.
Sobald Remote Lock aktiviert wird, beendet Windows sämtliche laufenden Benutzersitzungen und deaktiviert die regulären Anmeldemöglichkeiten. Auf dem Bildschirm erscheint anschließend ein Hinweis, dass das Gerät durch die Organisation gesperrt wurde.
Der Nutzer kann sich dann weder mit seinem Passwort noch mit einer PIN anmelden. Auch ein lokales Administratorkonto hilft an dieser Stelle nicht weiter.
Entsperren lässt sich der Rechner ausschließlich durch eine entsprechende Anweisung der IT-Administration über Intune.
Damit unterscheidet sich Remote Lock deutlich von der normalen Windows-Sperre, die sich jederzeit mit den eigenen Zugangsdaten aufheben lässt.
Dateien und Programme bleiben vollständig erhalten
Ein großer Vorteil der neuen Funktion ist, dass vorhandene Daten nicht angetastet werden.
Während beim Zurücksetzen oder Löschen eines Geräts wichtige Informationen verloren gehen können, bleibt bei Remote Lock alles erhalten.
Dazu gehören unter anderem:
Persönliche Dateien und gespeicherte Dokumente
Installierte Programme und Anwendungen
Bestehende Windows-Einstellungen
Die Geräteverwaltung über Microsoft Intune
Eine bereits aktivierte BitLocker-Verschlüsselung
Wird das Gerät später wiedergefunden, kann die IT-Abteilung die Sperre aufheben. Anschließend lässt sich der Rechner wieder normal verwenden.
Gerade bei verlorenen Firmenlaptops finde ich diesen Ansatz sinnvoll. Schließlich muss ein verschwundenes Gerät nicht zwangsläufig dauerhaft verloren sein.
Wer einen Laptop beispielsweise im Zug liegen lässt und ihn später zurückbekommt, möchte normalerweise nicht erst sämtliche Programme und Dateien wiederherstellen müssen.
Die Sperre bleibt auch ohne Internet bestehen
Interessant ist außerdem, dass Remote Lock auch nach einem Neustart aktiv bleibt.
Ein gesperrter Windows-PC kann also nicht einfach durch Aus- und Einschalten wieder freigegeben werden.
Selbst wenn das Gerät anschließend keine Internetverbindung mehr hat, bleibt die bereits eingerichtete Sperre bestehen.
Allerdings gibt es dabei eine wichtige Einschränkung: Damit die erstmalige Sperrung überhaupt aktiviert werden kann, muss das Gerät die entsprechende Anweisung von Intune empfangen.
Ist ein verlorener Laptop bereits offline, kann Microsoft die Sperre nicht sofort aufspielen. Sie wird erst wirksam, sobald das Gerät wieder Kontakt zur Verwaltung aufnimmt.
Das Gleiche gilt für die spätere Entsperrung. Eine lokale Freigabe ohne Verbindung zu Intune ist nicht vorgesehen.
Diese Windows-Versionen unterstützen Remote Lock
Microsoft nennt in seiner Dokumentation mehrere Betriebssysteme, für die Remote Lock vorgesehen ist.
Dazu gehören:
Windows 11
Windows 10
Windows Server 2022
Windows Server 2019
Windows Server 2016
Voraussetzung ist allerdings eine geeignete Geräteverwaltung.
Die Rechner müssen entweder mit Microsoft Entra ID verbunden, hybrid eingebunden oder über eine unterstützte MDM-Verwaltung registriert sein.
Außerdem nennt Microsoft die Windows-Editionen Pro, Enterprise und Education als Voraussetzung.
Für klassische Privatgeräte ohne entsprechende Unternehmensverwaltung ist Remote Lock somit nicht gedacht.
Auch wichtig: Die Funktion befindet sich aktuell noch in der Preview-Phase. Bis zur endgültigen Veröffentlichung können sich einzelne Details zur Einrichtung und Bedienung verändern.
So funktioniert die Einrichtung über Microsoft Intune
Eine einfache Schaltfläche zum sofortigen Sperren eines Geräts steht in der aktuellen Vorschau nicht im Mittelpunkt. Stattdessen erfolgt die Konfiguration über ein benutzerdefiniertes Richtlinienprofil.
Administratoren öffnen dafür das Intune Admin Center und wechseln in die Gerätekonfiguration für Windows.
Dort wird eine neue Richtlinie für Windows 10 und neuere Versionen erstellt. Als Profiltyp dient eine benutzerdefinierte Konfiguration.
Entscheidend ist anschließend die Einstellung LockState.
Diese wird über folgende OMA-URI angesprochen:
./Device/Vendor/MSFT/RemoteDeviceLock/LockState
Der Wert bestimmt, ob das Gerät gesperrt oder freigegeben wird.
| Wert | Bedeutung |
|---|---|
1 | Gerät sperren |
0 | Gerät entsperren |
Microsoft empfiehlt, dafür getrennte Gerätegruppen zu verwenden.
Wird ein Rechner der Sperrgruppe hinzugefügt, übernimmt er die entsprechende Richtlinie bei seiner nächsten Verbindung mit Intune.
Für die Freigabe wird das Gerät anschließend aus dieser Gruppe entfernt und einer zweiten Gruppe mit der Entsperrrichtlinie zugewiesen.
Die Verwaltung lässt sich dadurch in bestehende Unternehmensabläufe integrieren.
Eigene Hinweise auf dem Sperrbildschirm möglich
Neben der eigentlichen Sperre können Unternehmen auch zusätzliche Informationen anzeigen lassen.
Dafür stellt Microsoft zwei optionale Einstellungen bereit.
Über LockReason lässt sich ein eigener Sperrgrund hinterlegen. Das können beispielsweise Hinweise auf einen Verlust oder eine Sicherheitsmaßnahme sein. Dafür stehen bis zu 1.024 Zeichen zur Verfügung.
Mit RecoveryHint können Administratoren ergänzend eine Kontaktmöglichkeit hinterlegen, etwa die Telefonnummer des internen IT-Supports. Dieses Feld unterstützt bis zu 256 Zeichen.
Auf dem Sperrbildschirm könnte damit beispielsweise stehen, dass das Gerät aus Sicherheitsgründen gesperrt wurde und sich der Finder an die IT-Abteilung wenden soll.
Zusätzlich lässt sich der aktuelle Zustand über eine Statusabfrage kontrollieren. Microsoft unterscheidet dabei zwischen entsperrt, gesperrt, ausstehender Sperre und Fehler.
Remote Lock ersetzt keine vollständige Gerätesicherung
So praktisch die neue Funktion klingt, einige Einschränkungen sollte man kennen.
Remote Lock verhindert zunächst die normale Anmeldung am betroffenen Windows-Gerät. Das Benutzerkonto selbst wird dadurch aber nicht gesperrt.
Die Zugangsdaten bleiben gültig und können weiterhin auf anderen Geräten verwendet werden.
Soll ein möglicherweise kompromittiertes Konto ebenfalls deaktiviert werden, muss die IT-Abteilung zusätzliche Maßnahmen über Microsoft Entra ID ergreifen.
Außerdem trennt Remote Lock den Rechner nicht automatisch vom Netzwerk und löscht auch keine gespeicherten Informationen.
Eine weitere Einschränkung betrifft die Wiederherstellungsumgebung von Windows.
Der Start über externe Datenträger, den abgesicherten Modus oder die Windows-Wiederherstellung verhindert Remote Lock nicht grundsätzlich.
Deshalb weist Microsoft ausdrücklich darauf hin, dass Unternehmen weiterhin auf BitLocker setzen sollten. Die Laufwerksverschlüsselung sorgt dafür, dass gespeicherte Daten auch dann geschützt bleiben, wenn jemand versucht, das Betriebssystem zu umgehen oder das Laufwerk auszubauen.
Eine Fernsperre ist eben kein vollständiger Ersatz für ein durchdachtes Sicherheitskonzept.
Wann wird Remote Lock für alle verfügbar sein?
Microsoft hat die Funktion in seiner Dokumentation vom 13. November 2026 als Preview beschrieben.
Einen konkreten Termin für die allgemeine Verfügbarkeit nennt das Unternehmen bislang nicht.
Auch ist offen, ob die Einrichtung später noch vereinfacht wird und Administratoren beispielsweise eine direkte Sperrfunktion innerhalb der Geräteübersicht erhalten.
Aktuell steht zunächst die Verwaltung über benutzerdefinierte Intune-Richtlinien im Vordergrund.
Fazit: Sinnvolle Sicherheitsfunktion mit klaren Grenzen
Mit Remote Lock ergänzt Microsoft die Windows-Geräteverwaltung um eine Funktion, die besonders bei verlorenen oder gestohlenen Firmenrechnern hilfreich sein könnte.
Dass sich ein Gerät vollständig für die Anmeldung sperren lässt, ohne es gleich zurücksetzen oder löschen zu müssen, ist aus meiner Sicht eine vernünftige Lösung.
Vor allem die Möglichkeit, einen wiedergefundenen Rechner später mit sämtlichen vorhandenen Daten weiterzuverwenden, spricht für den Ansatz.
Allerdings darf man die Funktion nicht überschätzen. Remote Lock verhindert weder sämtliche alternativen Startmethoden noch ersetzt es die Verschlüsselung oder zusätzliche Maßnahmen zum Schutz kompromittierter Benutzerkonten.
Für Unternehmen, die ihre Windows-Geräte ohnehin über Microsoft Intune verwalten, könnte Remote Lock trotzdem eine wertvolle zusätzliche Sicherheitsmaßnahme werden.
Entscheidend wird sein, wie zuverlässig die Funktion nach dem Ende der Vorschau arbeitet und ob Microsoft die Bedienung bis zur endgültigen Veröffentlichung noch vereinfacht.
Quelle
Microsoft Learn – Remote lock for Windows Devices (Preview)
Offizielle technische Dokumentation zur Fernsperre von Windows-Geräten über Microsoft Intune.
