<p>In einigen Tipps wurde schon auf die Konfiguration der Benutzerkontensteuerung eingegangen. Hier wird die neue Funktion - ab Windows Vista- genauer beschrieben und alle entsprechenden Informationen dazu geben.</p>
<p> </p>
<p>Die <b>Benutzerkontensteuerung</b> oder wie es in der englischen Version hei▀t <b>User Account Control</b> (<a href="#" class="Hyperlink_Hyperlink">UAC</a>), ist dafⁿr verantwortlich, dass bei der Ausfⁿhrung von administrativen Aufgaben eine zusΣtzliche BestΣtigung erforderlich ist.</p>
<p> </p>
<p>Eingefⁿhrt wurde das, da immer noch die meisten Anwender unter administrativen Berechtigungen arbeiten und damit fⁿr Viren und Angriffen ein erh÷htes Sicherheitsrisiko darstellen. Bis Windows Vista hatten die Angreifer dadurch immer gleich die vollen Berechtigungen auf dem laufenden System.</p>
<p> </p>
<p>Vorgesehen war, die administrativen Berechtigungen nur fⁿr die Installation und Konfiguration von Windows und den ben÷tigten Anwendungen zu benutzen. Wenn man ganz normal am System arbeitet, sollte man das eigentlich als normaler Benutzer ohne administrative Berechtigungen machen. Nur wer hat sich in der Praxis schon daran gehalten?</p>
<p> </p>
<p>Das UAC stellt also ein Kompromiss zu dem oben aufgefⁿhrten Konzept dar. Wenn Sie sich mit aktivem UAC als Administrator am System anmelden, arbeiten Sie mit "normalen" Benutzerrechten. Sobald eine Anwendung administrative Berechtigungen fⁿr die Ausfⁿhrung ben÷tigt, wird ein Dialogfeld angezeigt, welches extra zu bestΣtigen ist, damit fⁿr eine Anwendung die entsprechenden Berechtigungen gewΣhrt werden.</p>
<p> </p>
<p>
<img src="../icons/uac_03.jpg" />
</p>
<p> </p>
<p>Zur schnellen Sicherheits-EinschΣtzung benutzt Windows in der Benutzerkontensteuerung eine farbkodierte Fensterleiste:</p>
<br />Die "sicherste" Kennzeichnung, die anzeigt, dass es sich bei dem Programm um eine von Microsoft signierte, betriebssystemnahe Applikation wie beispielsweise ein Systemsteuerungs-Addin handelt</li>
<li value="2"><b><u>graue</u> Fensterleiste:</b>
<br />signiertes Programm von einem Drittanbieter</li>
<li value="3"><b><u>gelbe</u> Fensterleiste:</b>
<br />Unsignierte Anwendung.</li>
</ul>
<p>Dadurch k÷nnen keine Anwendungen im Hintergrund mit administrativen Berechtigungen ─nderungen am System vornehmen, weil eine entsprechende BestΣtigung notwendig ist.</p>
<p> </p>
<p> Das UAC bietet also die Sicherheit eines normalen Benutzeraccounts ohne administrative Berechtigungen. ZusΣtzlich k÷nnen aber auch administrative Aufgaben ausgefⁿhrt werden, ohne dass eine neue Anmeldung mit einem administrativen Account notwendig wird.</p>
<h2>Die Arbeitsweise der Benutzerkontensteuerung (UAC)</h2>
<p>Die administrativen Benutzer bekommen zwei Security-Token zugewiesen. StandardmΣ▀ig wird mit dem Token gearbeitet, das sie als Standardbenutzer identifiziert. Sie haben also die gleichen Berechtigungen wie ein Standardbenutzer und arbeiten mit eingeschrΣnkten Zugriffsberechtigungen. Nur durch eine explizierte BestΣtigung des Anwenders kann ein Prozess auf das zweite Token des Anwenders wechseln, welches ihm volle administrative Berechtigungen gibt. Es wird also zwischen <u>zwei</u> Security-Token gewechselt.</p>
<p> </p>
<p>Damit das sauber funktioniert, muss Windows auch erkennen, ob die Anwendung administrative Berechtigungen ben÷tigt. Die Anwendungen werden beim Start in "<b>Integrity Level</b>" (siehe hierzu Tipp: <a href="../tip2000/tip2329.htm">Sicherheitsmechanismus "Integrity Level" (IL)</a>) eingestuft.</p>
<p> </p>
<p>Wenn eine Anwendung administrative Berechtigungen ben÷tigt und entsprechend gekennzeichnet ist, wird das von Windows erkannt. Bei Aufruf der Anwendung wird ein Dialog zum BestΣtigen eingeblendet. Wird hier die Aktion abgebrochen oder eine lΣngere Zeit keine entsprechende Auswahl getroffen, wird die Anwendung nicht mit administrativen Berechtigungen gestartet. Die Windows-Anwendungen, welche administrative Berechtigungen ben÷tigen, k÷nnen Sie meist auch schon am Symbol erkennen. Hier finden Sie im Symbol ein buntes Schild.</p>
<p> </p>
<p>
<img src="../icons/uac_01.jpg" />
</p>
<p> </p>
<p>Dabei stellen Σltere Anwendungen ein Problem dar, die nicht fⁿr UAC entwickelt wurden. Wenn solch eine Σltere Anwendung gestartet wird, fehlt diese Information (welche im sogenannten "<b>Application Manifest</b>" gespeichert werden).</p>
<p> </p>
<p>Diese Anwendungen werden weiterhin ausgefⁿhrt, aber nicht mit administrativen Berechtigungen gestartet. Greift die Anwendung aber auf systemkritische Bereiche (Registry, Systemdateien) zu, dann werden die VerΣnderungen in einem Virtualisierten-Bereich ausgefⁿhrt. Dabei werden diese ─nderungen nur im Benutzerbereich gespeichert und nicht im Windows-System ausgefⁿhrt. So hat eine ─nderung im Virtualisierten-Bereich von "HKEY_LOCAL_MACHINE\ à" keinen Einfluss auf das Windows System.</p>
<p> </p>
<p> Wenn diese Anwendungen auch mit echten administrativen Berechtigungen ausgefⁿhrt werden sollen, mⁿssen Sie die Anwendungen ⁿber "<b>Als Administrator ausfⁿhren</b>" starten.</p>
<p> </p>
<p> Klicken Sie dazu die Anwendung mit der rechten Maustaste an und wΣhlen aus dem Kontextmenⁿ den Eintrag "<b>Als Administrator ausfⁿhren</b>". Wenn Sie das immer bei dieser Anwendung machen wollen, k÷nnen Sie auch aus dem Kontextmenⁿ den Eintrag "Eigenschaften" auswΣhlen. Hier finden Sie im Tabreiter "KompatibilitΣt" unter "Berechtigungsstufe" den Eintrag "Programm als ein Administrator ausfⁿhren". Wenn Sie das aktivieren, wird die Anwendung immer mit administrativen Berechtigungen gestartet. ▄ber die Anwendungen "<b>RunLegacyCPLElevated.exe</b>" k÷nnen Σltere Anwendungen/CPL-Dateien mit administrativen Rechten gestartet werden.</p>
<h2>Administrator-Account</h2>
<p>Der "echte" Administrator Account wird ab Windows Vista nach der Installation automatisch gesperrt. Bei der Installation wird nach einem Namen fⁿr einen administrativen Account gefragt, der mit dem angegebenen Passwort angelegt wird. Der "echte" Administrator-Account hat eine Besonderheit, trotz aktiver UAC ist diese Funktion bei diesem Account standardmΣ▀ig nicht aktiv (kann ⁿber "Benutzerkontensteuerung: AdministratorbestΣtigungsmodus fⁿr das integrierte Administratorkonto" aktiviert werden). Sie k÷nnen den Account ⁿber das MMC-SNAP-IN "Lokale Benutzer und Gruppen" oder ⁿber die Kommandozeile mit dem folgenden Befehl aktivieren:</p>
<p class="htmllisting" style="text-align: center;">net user Administrator /active</p>
<p> </p>
<p>Sperren k÷nnen Sie das Konto wieder ⁿber:</p>
<p class="htmllisting" style="text-align: center;">net user Administrator /active:no</p>
<p> </p>
<p>Der Account ist aus Sicherheitsgrⁿnden deaktiviert und sollte deshalb nur aktiviert werden, wenn Sie die den Account ben÷tigen. Da der Name des Accounts bekannt ist (meist wird der Account nicht umbenannt) bietet er den Angreifern ein gern gesehenes Ziel.</p>
<p> </p>
<p>
<img src="../icons/uac_02.jpg" />
</p>
<p> </p>
<p>ZusΣtzlich werden beim Erstellen neuer Benutzerkonten nur noch Standardberechtigungen vergeben. Die administrativen Berechtigungen mⁿssen <u>extra</u> zugewiesen werden</p>
<h2>Konfiguration der Benutzerkontensteuerung</h2>
<p>Die Benutzerkontensteuerung kann ⁿber die Gruppenrichtlinien oder lokalen Systemrichtlinien konfiguriert werden. Die Einstellungen finden Sie dort unter: "Computerkonfiguration" -> "Windows-Einstellungen" -> "Sicherheitseinstellungen" -> "Lokale Richtlinien" -> "Sicherheitsoptionen".</p>
<p> </p>
<p>Hier finden Sie folgende EintrΣge:</p>
<ul>
<li value="1"><a href="tip2527.htm">Benutzerkontensteuerung: AdministratorbestΣtigungsmodus fⁿr das integrierte Administratorkonto</a>
</li>
<li value="2"><a href="../tip2000/tip2151.htm">Benutzerkontensteuerung: Alle Administratoren im AdministratorbestΣtigungsmodus ausfⁿhren</a>
</li>
<li value="3"><a href="../tip2000/tip2215.htm">Benutzerkontensteuerung: Anwendungsinstallationen erkennen und erh÷hte Rechte anfordern</a>
</li>
<li value="4"><a href="../tip2000/tip2218.htm">Benutzerkontensteuerung: Bei Benutzeraufforderung nach erh÷hten Rechten zum sicheren Desktop wechseln</a>
</li>
<li value="5"><a href="tip2530.htm">Benutzerkontensteuerung: Datei- und Registrierungsschreibfehler an Einzelbenutzerstandorte virtualisieren</a>
</li>
<li value="6"><a href="tip2528.htm">Benutzerkontensteuerung: Nur ausfⁿhrbare Dateien heraufstufen, die signiert und validiert sind</a>
</li>
<li value="7"><a href="tip2529.htm">Benutzerkontensteuerung: Nur erh÷hte Rechte fⁿr UIAccess-Anwendungen, die an sicheren Orten installiert sind</a>
</li>
<li value="8"><a href="../tip2000/tip2216.htm">Benutzerkontensteuerung: Verhalten der Anhebungsaufforderung fⁿr Standardbenutzer</a>
</li>
<li value="9"><a href="../tip2000/tip2217.htm">Benutzerkontensteuerung: Verhalten der Benutzeraufforderung mit erh÷hten Rechten fⁿr Administratoren im AdministratorbestΣtigungsmodus.</a>
