M 4.340 Einsatz der Windows Vista Benutzerkontensteuerung - UAC

Verantwortlich für Initiierung: IT-Sicherheitsbeauftragter, Leiter IT

Verantwortlich für Umsetzung: Administrator, IT-Sicherheitsbeauftragter

Die Benutzerkontensteuerung (UAC, User Account Control) ist eines der neuen Sicherheitsmerkmale von Windows Vista. Sie realisiert das Prinzip des Least-Privileged User Account, um die Missbrauchsmöglichkeiten administrativer Privilegien zu begrenzen.

Alle Benutzer von Windows Vista arbeiten grundsätzlich als Standardbenutzer. Auch Administratoren führen ihre Tätigkeiten zunächst als Standardbenutzer aus. Bestimmte Aktivitäten erfordern jedoch erhöhte Rechte, die Standardbenutzer nicht besitzen. Zu diesen Aktivitäten zählen beispielsweise die Installation von Anwendungen, schreibender Zugriff auf Systemverzeichnisse oder die Ausführung bestimmter Betriebssystemprogramme.

Die Benutzerkontensteuerung erkennt, wenn ein Benutzer erhöhte Rechte benötigt und weist Sie ihm zu oder verweigert sie, je nachdem wie sie konfiguriert wurde.

In der Standardeinstellung von Windows Vista ist die Benutzerkontensteuerung aktiviert. Dies sollte beibehalten werden.

Die Benutzerkonensteuerung kann über Gruppenrichtlinieneinstellungen (GPO, Group Policy Objects) konfiguriert werden. In der Standardeinstellung erlaubt die Benutzerkontensteuerung den Standardbenutzern, die nicht Mitglied der administrativen Gruppe sind, die Erhöhung von Rechten. Hierzu muss der Standardbenutzer die Anmeldeinformationen eines Administrators angeben können. Es wird empfohlen, diese Standardeinstellung zu ändern. Die entsprechende GPO-Richtlinie Benutzerkontensteuerung: Verhalten der Anhebungsaufforderung für Standardbenutzer sollte mit der Einstellung Anforderungen für erhöhte Rechte automatisch ablehnen konfiguriert werden. In der Folge ist Standardbenutzern, die nicht Mitglied der administrativen Gruppe sind, eine Rechteerhöhung nicht mehr möglich.

In der Standardeinstellung erlaubt die Benutzerkontensteuerung Benutzern, die Mitglieder der administrativen Gruppe sind, die Erhöhung von Rechten, ohne dass Anmeldeinformationen eines Administrators erneut eingegeben werden müssten. Der Benutzer muss allerdings einen Hinweis von Windows Vista zur Rechteerhöhung bestätigen. Dies erhöht naturgemäß die Anzahl der Schritte, die ein Administrator für eine Aufgabe durchführen muss, die erhöhte Rechte voraussetzt. Es empfiehlt sich, die Auswirkungen der zusätzlichen Schritte gemeinsam mit den betroffenen Administratoren zu beurteilen. Bei einer zu starken Beeinträchtigung der Arbeitseffizienz der Administratoren durch die zusätzlichen Aufforderungen der Benutzerkontensteuerung, kann die Aufforderung abgeschaltet werden. Dies geschieht, indem der GPO-Richtlinie Benutzerkontensteuerung: Verhalten der Benutzeraufforderung mit erhöhten Rechten für Administratoren im Administratorbestätigungsmodus die Einstellung Keine Aufforderung zugewiesen wird.

In der Folge erhöht die Benutzerkontensteuerung die Rechte für den Administrator im Hintergrund, das heißt ohne Interaktion mit dem Administrator. Die beschriebene Einstellung erfordert ein Abwägen von Bedienbarkeit und Sicherheitsniveau.

Unabhängig von der Konfiguration der Benutzerkontensteuerung sollten alle Konten mit Administratorenrechten dokumentiert sein. Vergebene Administratorrechte sollten regelmäßig auf ihre Notwendigkeit überprüft und entsprechend angepasst (das heißt ggf. auch wieder entzogen) werden, siehe M 2.8 Vergabe von Zugriffsrechten.

Prüffragen: