![](\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2015\/01\/win102.jpg\")
Untergr\u00e4bt die k\u00fcnftige Windows 10-Entwicklung die Systemsicherheit? Mir ist eine Sache aufgefallen, die ich hier mal zur Diskussion stellen will. F\u00fcr mich hat es den Anschein, dass sich mit Windows 10 k\u00fcnftig eine Entwicklung anbahnt, die den Zw(h)ang zum Arbeiten mit Administratorkonten bef\u00f6rdert. Aus dem Blickwinkel der Systemsicherheit eine fragw\u00fcrdige Geschichte. <\/p>\n
<\/p>\n
Zuerst m\u00f6chte ich kurz einen Blick auf die Hintergr\u00fcnde f\u00fcr den Beitrag werfen. Sowohl Standard-Benutzerkonten als auch Administratorkonten bekommen bei der Anmeldung nur ein Standard-Sicherheitstoken (filtered Token), welches keine administrativen Berechtigungen verleiht. <\/p>\n Um administrative Aufgaben ausf\u00fchren zu k\u00f6nnen, ben\u00f6tigt ein Prozess administrative Berechtigungen. Das betreffende Sicherheitstoken bekommt der Prozess (seit Windows Vista) beim Aufruf \u00fcber die Benutzerkontensteuerung (User Account Control, UAC) zugeteilt. <\/p>\n Dieser (sinnvolle) Mechanismus bewirkt, dass sich beim Start einer solchen Anwendung oder Funktion die UAC-Nachfrage beim Aufruf automatisch \u00f6ffnet. So sind Administratoren unter Admin-Konten gesch\u00fctzt und Nutzer unter Standard-Benutzerkonten haben die M\u00f6glichkeit, bei Bedarf administrative Funktionen aufzurufen (falls sie das System administrieren und das Administratorkennwort kennen). <\/p>\n Beim Arbeiten unter Administratorkonten gibt es aber ein Problem, auf welches ich im Blog-Beitrag Erebus Ransomware und die ausgetrickste UAC<\/a> hinweise. In den Standardeinstellungen ist die Benutzerkontensteuerungsabfrage seit Windows 7 auf das nachfolgend gezeigte Level voreingestellt. <\/p>\n Benachrichtigungen durch die UAC erfolgen nicht, wenn \u00c4nderungen an den Windows-Einstellungen vorgenommen werden. Sprich: Einem Administrator, der unter einem Administratorkonto arbeitet, werden bei einigen Funktionen ein paar Klicks erspart. Allerdings kann das durch Malware mit dem im Blog-Beitrag Erebus Ransomware und die ausgetrickste UAC<\/a> skizzierten UAC-Bypass-Ansatz ausgehebelt werden. <\/p>\n Abhilfe stellt das Verschieben der UAC-Einstellung auf \"Immer benachrichtigen\" (Regler in obigem Fenster ganz nach oben setzen). Das entspricht der Windows Vista-Vorgabe. Auf Grund der Kritik von Anwendern hat Microsoft dann ab Windows 7 die obige Standardeinstellung (der Regel steht auf der Stufe, bei der einige Benachrichtigungen unterbleiben) voreingestellt. <\/p>\n Das ist der Grund, warum ich empfehle, dass man m\u00f6glichst mit Standard-Benutzerkonten arbeiten sollte. Dann muss die Anforderung des ungefilterten Sicherheitstokens f\u00fcr administrative Aufgaben immer per Benutzerkontensteuerung abgefragt werden. Erst wenn dieses Sicherheitstoken zugeteilt ist, kann der Prozess administrative Funktionen durchf\u00fchren. <\/p>\n Um Diskussionen vorzubeugen: Nat\u00fcrlich kann jeder Administrator die UAC-Einstellungen auf die h\u00f6chste Benachrichtigungsstufe setzen. Die Fragen, die bleiben: Macht das jeder? Bleibt diese Einstellung auch erhalten, oder wird da was bei Feature-Upgrades (ggf. irrt\u00fcmlich) zur\u00fcckgesetzt). <\/p>\n<\/blockquote>\n Mit Kenntnis des obigen Sachverhalts werfen wir einen kurzen Blick auf die bisher unter Windows verwendeten Ans\u00e4tze. Immer, wenn administrative Berechtigungen verlangt werden, bietet Windows bei den entsprechenden Funktionen den Aufruf der Benutzerkontensteuerung an.<\/p>\n Erkennbar ist dies durch das beim betreffenden Befehl oder in Schaltfl\u00e4chen eingeblendete UAC-Symbol. Der obige Screenshot der Benutzerkontensteuerung zeigt verschiedene Befehle, die so gekennzeichnet sind. Ich kann diese Befehle unter Standard-Benutzerkonten anw\u00e4hlen, bekomme die Benutzerkontensteuerung angezeigt und kann, sofern ich das Kennwort des Administratorkontos kenne, die administrative Funktion freischalten. Das klappt auch \u2013 bis auf ein paar Sonderf\u00e4lle (wo dieses Feature m\u00f6glicherweise vergessen wurde) \u2013 auch ganz zuverl\u00e4ssig. Ich arbeite seit Windows 7 ausschlie\u00dflich unter einem Standard-Benutzerkonto mit diesem Modell. <\/p>\n Schauen wir uns nun einfach mal an, wo Microsoft mit Windows as a service hin will. Es ist erkl\u00e4rtes Ziel, die Systemsteuerung abzul\u00f6sen und alle Verwaltungsfunktionen in die Einstellungen<\/em>-App zu verlagern. Weil, das ist Fortschritt, das ist innovativ und das ist Touch-tauglich \u2026<\/p>\n In Windows 10 Creators Update (Version 1703) deutet sich jetzt an, dass man auf die Systemsteuerung verzichten will. Mit Windows<\/em>+X<\/em> erscheint das obige Schnellstartmen\u00fc, in dem statt Systemsteuerung <\/em>der Eintrag Einstellungen <\/em>zu finden ist. <\/p>\n Wer gezielt auf die Systemsteuerung zugreifen will oder muss, wird ab dem Creators Update zu Verrenkungen gezwungen. Entweder man gibt, wie oben im Screenshot skizziert, das K\u00fcrzel \"System\" im Suchfeld der Taskleiste ein und w\u00e4hlt den Treffer Systemsteuerung<\/em>. Oder man geht \u00fcber die Navigationsleiste des Explorerfensters \u2013 oder man tippt \"System\" im Suchfeld der Einstellungen<\/em>-App ein. Auf jeden Fall sind Schlenker erforderlich, und man muss (geht mir jedenfalls so) \u00fcberlegen, wie kommst Du zur Systemsteuerung. <\/p>\n Und: Immer mehr Funktionen wandern aus der Systemsteuerung in die Einstellungen<\/em>-App \u2013 ist ja das erkl\u00e4rte Ziel Microsofts, dass die Systemsteuerung verschwindet und alles in Einstellungen <\/em>wandert. Ok, das ist jetzt ein langer Text geworden und ich habe um das Thema herum geschwurbelt \u2013 war aber zur Einstimmung m\u00f6glicherweise ganz hilfreich. Preisfrage: Was l\u00e4uft nun schief, bzw. was st\u00f6rt mich?<\/p>\n Die obige Abbildung zeigt die Seite Konten <\/em><\/em>in der Einstellungen<\/em>-App, die mir als Standardbenutzer angezeigt wird. Da wird viel herum geschwurbelt \u2013 ich darf ein Bild mit der Kamera erstellen, nach Bildern f\u00fcr das Konto suchen, auf Anmeldeoptionen wie Hello zugreifen und und und. Ich kann aber nur mein eigenes Konto verwalten. Um als Administrator auch andere Konten zu verwalten, wird dagegen die nachfolgend gezeigte Seite ben\u00f6tigt.<\/p>\n Diese Darstellung erh\u00e4lt jedoch nur derjenige, der an einem Benutzerkonto der Gruppe Administratoren angemeldet ist. Die in der Systemsteuerung angebotene Option, durch Aufruf der Benutzerkontensteuerung administrative Tokens f\u00fcr die entsprechende Aufgaben anzufordern, fehlt schlicht. <\/p>\n Und wenn ich nichts \u00fcbersehen habe, fehlt die in der alten Systemsteuerung verf\u00fcgbare Option, administrative Funktionen per UAC aus der Einstellungen-App aufzurufen, komplett. <\/p>\n<\/blockquote>\n Erfordert eine solche Funktion administrative Berechtigungen, wird bestenfalls zur Zeit noch das Modul der Systemsteuerung \u00fcber einen Befehl der Einstellungen<\/em>-App aufgerufen. Im schlechtesten Fall bleibt die administrative Funktion (im Kontext des aktuelle Kontos) unsichtbar. Im oben skizzierten Fall kann man \u00fcber das Suchfeld der Einstellungen<\/em>-App die Systemsteuerung aufrufen, zur Kontenverwaltung gehen und erh\u00e4lt wieder Zugriff auf die Funktionen aller Konten.<\/p>\n Nat\u00fcrlich ist mir klar, dass ich in Business-Umgebungen mit Windows 10 Pro oder Enterprise die Benutzerkonten \u00fcber Dom\u00e4nencontroller oder lokal \u00fcber die Computerverwaltung handhaben kann. Und ein Administrator, der diese Optionen nicht nutzt, kann noch auf die Systemsteuerung und das obige Fenster zur Kontenverwaltung zugreifen. <\/p>\n Der hier skizzierte Ansatz steht momentan auch nur stellvertretend f\u00fcr eine Entwicklung, die mir im eingangs skizzierten Kontext erstmals in allen Konsequenzen bewusst geworden ist. Mit der \u00dcbernahme vieler Funktionen in die Einstellungen<\/em>-App sieht es so aus, als ob Nutzer von Standardkonten keinen Zugriff mehr auf Funktionen bekommen, die administrative Berechtigungen erfordern. Ich postuliere mal: Weil die Einstellungen<\/em>-App das technisch nicht zul\u00e4sst. <\/p>\n Man sieht es on obigem Screenshot, auf der Testmaschine mit Windows 10 Version 1703 habe ich gleich mehrere Konten mit Administratorrechten eingerichtet. Denn nur so ist ein sinnvolles Arbeiten m\u00f6glich. Und damit kommen wir wieder zum Eingangsthema: Der Ansatz, auch als Administrator unter Standardkonten zu arbeiten, wird gerade \"r\u00fcckabgewickelt\". M\u00f6glicherweise interpretiere ich das Ganze wieder zu eng, oder es ist einfach kein Praxisproblem. Wie wird das so von euch gesehen? <\/p>\n \u00c4hnliche Artikel:<\/strong> Untergr\u00e4bt die k\u00fcnftige Windows 10-Entwicklung die Systemsicherheit? Mir ist eine Sache aufgefallen, die ich hier mal zur Diskussion stellen will. F\u00fcr mich hat es den Anschein, dass sich mit Windows 10 k\u00fcnftig eine Entwicklung anbahnt, die den Zw(h)ang zum Arbeiten … Weiterlesen Seht es ausdr\u00fccklich mal als Diskussionsbeitrag \u2013 wir brauchen die finale Version von Windows 10 Version 1703, um das abschlie\u00dfend zu bewerten. Zudem kann es sein, dass ich noch was \u00fcbersehen habe oder falsch interpretiere. Aufgefallen ist mir das Ganze bei Arbeiten an einem Windows 10-Buch, wo ich an ein paar Stellen tiefer unter den Teppich blicke. Und beim Blog-Beitrag Windows: Fehlende Administratorrechte stopfen 94% aller Sicherheitsl\u00fccken!<\/a> hat es dann \"Klick gemacht\". Das hier ist daher auch der (bereits angemeckerte) Erg\u00e4nzungsbeitrag, den ich im verlinkten Artikel angesprochen habe. Aber Vorsicht, it's long man. tl;dr;<\/p>\n
Von filtered Token, UAC Bypassung und Administratoraufgaben<\/h3>\n
\n
![\"Funktionen](\"https:\/\/web.archive.org\/web\/20190705123222\/https:\/\/v14.imgup.net\/Kontoverwad586.jpg\"\/ "\\"Funktionen")
<\/p>\n![\"UAC-Standard\"](\"https:\/\/i.imgur.com\/nApEFWX.jpg\"\/ "\\"UAC-Standard\\"")
<\/p>\n\n
Verwendung administrativer Funktionen \u2013 die alte L\u00f6sung<\/h3>\n
<\/p>\nWindows 10: Die Entwicklung erzwingt Administratorkonten<\/h3>\n
![\"Schnellstartmenü\"](\"https:\/\/i.imgur.com\/An3tE0k.jpg\"\/ "\\"Schnellstartmenü\\"")
<\/p>\n![\"Systemsteuerung](\"https:\/\/i.imgur.com\/YLx18Dw.jpg\"\/ "\\"Systemsteuerung")
<\/p>\n![\"Benutzerkonto](\"https:\/\/i.imgur.com\/BwG9r1r.jpg\"\/ "\\"Benutzerkonto")
<\/p>\n![\"Benutzerkonten](\"https:\/\/i.imgur.com\/sazxE4P.jpg\" "\\"Benutzerkonten")
<\/p>\n\n
![\"Konten](\"https:\/\/i.imgur.com\/kePhZoY.jpg\"\/ "\\"Konten")
<\/p>\n\n
Windows: Fehlende Administratorrechte stopfen 94% aller Sicherheitsl\u00fccken!<\/a>
Erebus Ransomware und die ausgetrickste UAC<\/a>
Windows: Benutzerkontensteuerung (UAC) unsichtbar<\/a>
Windows: Ja bei Benutzerkontensteuerung nicht anw\u00e4hlbar<\/a>
Wissen: Die Benutzerkontensteuerung unter Windows 7 \u2026<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"