Windows Vista User Account Control (UAC)

[Lemmi]

Im deutschen Windows Vista nennt sich diese Funktion Benutzerkontenschutz.

UAC ist eine Sammlung von neuen Infrastrukturtechnologien in Microsoft® Windows Vista™, die Organisationen bei der Bereitstellung von besser verwalteten Desktops und der Vermeidung von Malware unterstützen sollen. UAC sorgt dafür, dass alle Benutzer Anwendungen und Aufgaben unter einem Standard-Benutzerkonto ausführen. So wird der administrative Zugriff auf autorisierte Prozesse eingeschränkt. Es gibt Ihnen die Möglichkeit, den Desktoprechner abzusichern und so die Ausführung von nicht autorisierten Anwendungen und versehentliche Änderungen der Systemeinstellungen durch den Benutzer zu verhindern.

Unter Windows Vista gibt es zwei Benutzerarten: Standardbenutzer und Administratoren. Standardbenutzer führen Anwendungen unter einem Benutzerkonto aus, das Mitglied in der Gruppe Benutzer ist. Administratoren verwenden ein Konto, das Mitglied in der lokalen Gruppe Administratoren ist. Wenn ein Benutzer eine Anwendung startet, werden sein Zugriffstoken und seine administrativen Rechte zur Laufzeit auf die Anwendung angewandt. Das bedeutet, dass eine Anwendung, die als Mitglied der Gruppe Administratoren gestartet wurde, mit allen Rechten und Privilegien eines lokalen Administrators ausgeführt wird. Wenn ein Mitglied der Gruppe Benutzer die gleiche Anwendung startet, wird diese jedoch nur mit den Rechten und Privilegien eines Standardbenutzers gestartet. Unter Windows Vista verfügen die meisten Anwendungen entweder über ein "Administrator"- oder ein "Standard"-Token. Wenn eine Anwendung nicht als administrative Anwendung identifiziert werden kann, wird diese als Standardanwendung gestartet. Bevor eine administrative Anwendung gestartet wird, fragt Windows Vista den Benutzer, ob er die Anwendung mit den erweiterten Rechten starten möchte. Dieses Feature heißt Admin Approval Mode. Die Abfrage wird immer angezeigt - auch dann, wenn der Benutzer ein Mitglied der lokalen Gruppe Administratoren ist. Dies liegt daran, dass auch Administratoren als Standardbenutzer arbeiten - und zwar so lange, bis eine Anwendung oder Systemkomponente administrative Rechte benötigt.

Indem die Benutzer informiert werden, wenn Sie Aktionen durchführen, die möglicherweise Systemeinstellungen beschädigen könnten - zum Beispiel das Installieren einer Anwendung - können die Auswirkungen von schädlicher Software reduziert werden. Wenn ein Benutzer die entsprechenden Anmeldeinformation eingibt, unternimmt Windows Vista Schritte, um die administrative Anwendung vor Angriffen durch Standardanwendungen und -prozessen zu schützen. Da ein Administrator eine Anwendungsinstallation bestätigen muss, kann es nicht passieren, dass nicht-autorisierte Anwendungen automatisch installiert werden. Außerdem werden Standardbenutzer daran gehindert, systemweite Betriebssystemeinstellungen zu verändern.

Die Verdunkelung des Desktops bei der Aufforderung des Benutzerkontenschutzes lässt sich übrigens mit einem Registryeintrag abschalten.
Ändere dazu den REG_DWORD Wert von

PromptOnSecureDesktop

im Schlüssel

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System

auf "0".

[e2e4]

Steuerung der Benutzerkontensteuerung für Administratoren:

V ista-Sicherheitshandbuch

secpol.msc eingeben
Reiter Lokale Sicherheitseinstellungen - Lokale Richtlinien - Sicherheitsoptionen auswählen
Option "Benutzerkontensteuerung: Verhalten der Benutzeraufforderung mit erhöhten Rechten für Administratoren im Administratorbestätigungsmodus" wählen

Einstellung entsprechend tätigen:

Benutzerkontensteuerung: Verhalten der Benutzeraufforderung mit erhöhten Rechten für Administratoren im Administratorbestätigungsmodus
Diese Einstellung bestimmt das Verhalten von Windows Vista, wenn ein angemeldeter Administrator eine Aufgabe auszuführen versucht, für die erhöhte Rechte erforderlich sind. Diese Einstellung kann drei verschiedene Werte annehmen:

• Keine Aufforderung. Mit diesem Wert werden die Rechte automatisch im Hintergrund erhöht.

• Aufforderung zur Eingabe der Zustimmung. Dieser Wert bewirkt, dass die Benutzerkontensteuerung zur Zustimmung auffordert, bevor sie die Rechte erhöht, ohne jedoch Anmeldeinformationen zu verlangen.

• Aufforderung zur Eingabe der Anmeldeinformationen. Dieser Wert bewirkt, dass die Benutzerkontensteuerung einen Administrator dazu auffordert, gültige Administrator-Anmeldeinformationen einzugeben, bevor sie die Rechte erhöht.

Grüße, e2e4