Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

110 Kapitel 4: Grundlagen der Benutzerkontensteuerung
Benutzerkontensteuerung: Alle Benutzer (inkl. Administratoren)
als Standardbenutzer ausführen
Dies ist der Ein-/Ausschalter für die UAC. Deaktivieren Sie die UAC nicht! Falls die UAC
deaktiviert ist, werden auch alle dazugehörigen Features deaktiviert. Datei- und Registrierungsvirtualisierung
arbeiten nicht mehr, und für den Benutzer sieht es aus, als wären alle
virtualisierten Daten verloren gegangen. Benutzer, die im Administratorbestätigungsmodus
gearbeitet haben, werden nun mit vollständigen Administratorrechten angemeldet, und alle
Anwendungen laufen völlig stillschweigend mit Administratorprivilegien! Auch Anwendungskompatibilitäts-Shims,
die die Kompatibilität zu alten Anwendungen sicherstellen
sollen, sind deaktiviert. Der geschützte Modus im Internet Explorer ist deaktiviert, sodass
der Internet Explorer mit administrativen Privilegien ausgeführt wird. Haben wir Sie ausreichend
abgeschreckt, sodass Sie die UAC eingeschaltet lassen? In der Standardeinstellung ist
diese Einstellung aktiviert.
Benutzerkontensteuerung: Bei Benutzeraufforderung nach erhöhten Rechten
zum sicheren Desktop wechseln
Diese Einstellung legt fest, ob Anhebungsanforderungen auf dem interaktiven Desktop des
Benutzers oder auf dem sicheren Desktop angezeigt werden. Der sichere Desktop verhindert
eine Fälschung der angezeigten Daten (spoofing). Das bedeutet, dass nicht manipuliert werden
kann, was der Benutzer auf dem sicheren Desktop angezeigt bekommt. UAC-Dialogfelder
auf dem interaktiven Desktop des Benutzers können gefälscht werden, daher sind sie
weniger sicher als die im sicheren Desktop. In der Standardeinstellung ist diese Richtlinie
aktiviert.
Benutzerkontensteuerung: Datei- und Registrierungsschreibfehler
an Einzelbenutzerstandorte virtualisieren
Diese Einstellung aktiviert oder deaktiviert die Umleitung von fehlgeschlagenen Schreibversuchen
in Dateisystem und Registrierung. Deaktivieren Sie dieses Feature, falls Sie ausschließlich
Software verwenden, die die Anforderung an das Windows Vista- oder Windows
Server 2008-Logo erfüllen. Wie Sie Virtualisierungseinstellungen anpassen können, ist im
Abschnitt »Konfigurieren der Registrierungsvirtualisierung zum Verbessern der Anwendungskompatibilität«
weiter oben in diesem Kapitel beschrieben. In der Standardeinstellung
ist diese Richtlinie aktiviert.
Zugehörige UAC-Richtlinien
Windows Vista und Windows Server 2008 haben zwei ergänzende Richtlinieneinstellungen:
Vertrauenswürdiger Pfad für Anmeldeinformationseintrag erforderlich und Bei Ausführung
mit erhöhten Rechten Administratorkonten auflisten. Sie finden beide Einstellungen im
Gruppenrichtlinien-Editor unter dem Knoten Richtlinien für lokaler Computer\Computerkonfiguration\Administrative
Vorlagen\Windows-Komponenten\Benutzerschnittstelle für
Anmeldeinformationen.
Vertrauenswürdiger Pfad für Anmeldeinformationseintrag erforderlich
Diese Einstellung steuert, ob der Benutzer Windows-Anmeldeinformationen über einen
vertrauenswürdigen Pfad eingeben muss. Der vertrauenswürdige Pfad ist eine sichere Tastenkombination,
die auch als Secure Attention Sequence (SAS) bezeichnet wird. Sie soll