Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Zusammenfassung 113
Besser
Schreiben Sie vor, dass alle Benutzer, die Administratorprivilegien brauchen, zwei Konten
haben: ein Standardbenutzerkonto für alltägliche Tätigkeiten wie das Lesen von E-Mail, und
eines für die seltener ausgeführten administrativen Operationen. Der Benutzer kann sich als
Standardbenutzer anmelden, und bei Bedarf kann er über eine UAC-Eingabeaufforderung
seine Anmeldeinformationen eingeben und so eine Anhebung durchführen. Das ist nicht die
beste Lösung, weil der Benutzer in derselben interaktiven Sitzung Anwendungen mit Standardbenutzer-
und Administratorprivilegien ausführt. Um die Sicherheit zu verbessern, kann
ein Unternehmen erzwingen, dass der Benutzer immer die schnelle Benutzerumschaltung
(Fast User Switching, FUS) verwendet, wenn er eine Operation mit erhöhten Privilegien
durchführen will. Die schnelle Benutzerumschaltung ist zwar sicherer, sie ist aber weniger
benutzerfreundlich. Um die Sicherheit zu verbessern, können Sie außerdem auch hier fordern,
dass bei allen Anhebungen die Tastenkombination STRG+ALT+ENTF verwendet werden
muss.
Am besten
Lassen Sie alle Benutzer als Standardbenutzer arbeiten. Die IT-Abteilung muss dann davon
ausgehen, dass Standardbenutzer im Allgemeinen keine Anwendungen installieren können.
Daher muss sie Software für die Benutzer bereitstellen. Windows stellt dafür einen Installationsdienst
zur Verfügung, den MSI-Dienst (Microsoft Software Installer). Außerdem erlaubt
die GPSI-Erweiterung (Group Policy Software Installation) es, Anwendungen auf den Computer
eines Benutzers zu verteilen, ohne dass dafür eine Interaktion des Benutzers erforderlich
ist. Weitere Informationen finden Sie in der Dokumentation der GPSI-Erweiterung unter
http://go.microsoft.com/fwlink/?LinkId=71356.
Zusammenfassung
UAC ist wahrscheinlich das am meisten diskutierte Feature in Windows Vista. Sie wird
sogar in Werbeanzeigen konkurrierender Softwarehersteller erwähnt. Es ist schwer zu sagen,
ob man es als schmeichelhaft oder ärgerlich empfinden sollte, wenn Microsofts Konkurrenz
ihre Produkte als besser anpreist, weil Windows zu sicher ist. Die UAC ist auf jeden Fall ein
bedeutender Schritt für Windows. Der frühere Zustand, in dem Benutzer ganz normale Aufgaben
als Administratoren ausführten, ist jedenfalls inakzeptabel und hat zu einer gewaltigen
Verbreitung von Malware geführt. Nur wenn wir den Benutzern helfen, ihre Aufgaben als
Nicht-Administratoren auszuführen, können wir hoffen, die Flut von Malware aufzuhalten
und die Betriebskosten für Desktopsysteme zu senken.
In der Zukunft setzen die Benutzer administrative Privilegien nur noch bei Bedarf ein. Die
UAC ist ein Schritt in diese Richtung. Das kann aber nur funktionieren, wenn Benutzer sie
auch einsetzen und von den Softwareherstellern verlangen, dass ihre Programme als Standardbenutzer
ausgeführt werden können. Sie können Ihren Teil dazu beitragen, das IT-Ökosystem
zu schützen, indem Sie die UAC nutzen, Software kaufen, die damit funktioniert.
und Software zurückweisen, die dazu nicht in der Lage ist.