Reihenfolge der Abarbeitung:

1. Lokale Richtlinie (Local Policy)
2. (Multi Lokale Richtlinien, mit Vista eingeführt)
3. Standortrichtlinien (Site)
4. Domänenrichtlinien (Domain)
5. OU-Richtlinien von der übergeordneten OU zur untergeordneten. (OU)

Der letzte Wert gewinnt.

* Anzeige des Gruppenrichtlinien-Ergebnisses für aktuellen Benutzer und PC mit gpresult.exe.
Komfortabler: MMC "Richtlinien-Ergenissatz".

* Aktualisierung der Gruppenrichtlinien mit gpupdate /force.
* Konto-Richtlinien (Kennwortlänge..) werden nur einmal pro Domain abgearbeitet, i.Allg. in der Default Domain Policy.

* Richtlinien abfragen mit: gpresult /scope computer /v >c:\GPO.txt

Domain auf neue Version aktualisieren: als Schema-Admin "adprep /forestprep" und "adprep /domainprep" von der jeweiligen Server-CD ausführen.

• Ablageort lokal: C:\Windows\PolicyDefinitions
• Ablageort Domain: \\<Domainname>\SYSVOL\Policies\PolicyDefinitions
Der komplette Ordnerinhalt kann gelöscht werden.
Jede darin enthaltene Datei läßt sich aus einem laufenden System oder aus dem Internet herunter laden.
ADMX-Dateien sind austauschbare Objekte mit GPO-Einstellungen +Anzeigenamen für die Konfigurationsdatei registry.pol.

Domain-GPO überschreibt lokale GPO, außer in der lokalen Registry gibt es diesen Eintrag:

HKEY_LOKAL_MASCHINE\Software\Policies\Microsoft\Windows\Group Policy
  EnableLocalStoreOverride=1  (Reg_DWord)

Konfigurationsdatei registry.pol kann angepasst werden durch ADMX-Dateien oder MS PowerShell CMDlets (https://www.dsinternals.com/en/).
• Set-GPRegistryValue
• Remove-GPRegistryValue

Richtlinien werden von der Domänenrichtlinie durch den Baum der OUs abgearbeitet. Die speziellen Einstellungen der OU überschreiben die allgemeinen Grundeinstellungen der Domain.

Links und Quellen:

• Gruppenrichtlinien, Infos, Anleitungen: gruppenrichtlinien.de
• Microsoft Policy Analizer (vergleicht Vorlagen und zeigt Unterschiede vor dem Einfügen) und Baseline Security Vorlagen-Downloads: https://www.it-administrator.de/suche/  "hs2a3"
• BSI SiSyPHuS GPO - Berücksichtigung aller deutschen Anforderungen (nur Windows 10): https://www.bsi.bund.de/DE/Service-Navi/Publikationen/Studien/SiSyPHuS_Win10/
• Security Technical Implementation Guides (STIG) des Department of Defense mit GPO-Download (Betriebssystem, Browser, Office, Adobe, Chrome, Mozilla) https://public.cyber.mil/stigs/
  (entspricht MS Baseline, wird mehrfach jährlich aktualisiert, ca. 25 einzelne Vorlagen, zum Import muss manifest.xml jedes einzelnen Ordners ausgewählt werden)
• GPO CentralStore mit Anleitungen und Vorlagen für Windows, Office, Adobe, Firefox https://www.gruppenrichtlinien.de/artikel/central-store-fuer-administrative-vorlagen

MS Download der Administrativen Templates (.admx) for Windows 10 Mai 2020 Update (2004)
Unterstützt: Windows 10, Windows 7, Windows 8, Windows 8.1, Windows Server 2008 R2, Windows Server 2012, Windows Server 2012 R2, Windows Server 2016, Windows Server 2019.

MS Download der Administrativen Templates (.admx) for Windows 10 October 2018 Update (1809)
Die Templates sind wie in den letzten Jahren nicht frei von Fehlern.
Workaround: Englische Tempates in das de-DE Verzeichnis kopieren.
  Oder man nimmt die Dateien von einem installierten Windows 1809.

MS Download Excel-Tabelle mit allen GPO- Einträgen in den verschiedenen OS-Versionen.

Technet Download:
https://blogs.technet.microsoft.com/secguide/2019/05/23/security-baseline-final-for-windows-10-v1903-and-windows-server-v1903/

Ausführliche Erklärung in BornCity:
https://www.borncity.com/blog/2019/05/24/windows-10-v1903-security-baseline-final-freigegeben/

RSAT ist ab Windows 10 1809 kein eigener Download mehr!
Installation über Apps & Features -> Optionale Features verwalten -> Feature hinzufügen.
siehte: RSAT unter Windows 10 ab 1809