Ein ungewöhnliches Fehlerbild auf Citrix Multi-Session-VDAs:
Anwendungen funktionieren zunächst problemlos. Ein weiterer Benutzer meldet sich am selben Session Host an – und plötzlich lassen sich bestimmte Anwendungen in bereits bestehenden Sitzungen nicht mehr starten.
❌ Anwendungen werden unerwartet blockiert
❌ Unterschiedliches Verhalten auf identisch konfigurierten VDAs
❌ Der Fehler tritt scheinbar zufällig auf
❌ Ein erneuter Login kann das Verhalten verändern
🔍 Root Cause: WEM Application Security + Windows AppLocker
Citrix WEM kann Application-Security-Regeln benutzerbezogen zuweisen.
Windows AppLocker arbeitet jedoch mit einer maschinenweiten Richtlinie.
Ist in WEM der Enforcement Mode Overwrite aktiviert, kann die Anmeldung eines weiteren Benutzers die bisherige AppLocker-Richtlinie ersetzen.
Fehlen in der neuen Richtlinie zuvor vorhandene Allow-Regeln, werden Anwendungen plötzlich blockiert – auch für Benutzer, die längst angemeldet sind.
🛠️ Mein Troubleshooting-Ansatz
Zuerst prüfe ich die AppLocker-Ereignisse auf dem betroffenen VDA:
* Event ID 8004 – EXE/DLL blockiert
* Event ID 8007 – Script/MSI blockiert
* Event ID 8001 – AppLocker-Richtlinie angewendet
Danach exportiere ich die effektiven AppLocker-Regeln:
Get-AppLockerPolicy -Effective -Xml
Besonders aufschlussreich ist der Vergleich vor und nach der Anmeldung eines weiteren Benutzers.
In den WEM-Agent-Logs suche ich nach:
AgentHostProxyService.ProcessAppLockerRules()
und:
Mode Overwrite will be applied
✅ Die Lösung
In WEM Application Security den Rule Enforcement Mode von Overwrite auf Merge umstellen.
Damit werden Regeln unterschiedlicher Benutzer zusammengeführt, statt bei jeder Anmeldung die vorhandene Richtlinie zu ersetzen.
Wichtig: Vorher bestehende AppLocker-Regeln auf unerwünschte Freigaben prüfen. Merge darf nicht dazu führen, dass Anwendungen ungewollt erlaubt werden.
💡 Mein Fazit
Wenn Anwendungen auf einem Citrix Session Host plötzlich blockiert werden, muss die Ursache nicht bei der Anwendung selbst liegen.
Manchmal reicht die Anmeldung eines anderen Benutzers, um die effektive Sicherheitsrichtlinie zu verändern.
Multi-Session-Betrieb und maschinenweite Sicherheitsrichtlinien sind eine Kombination, die man bei WEM unbedingt berücksichtigen sollte.
