UAC: Sicherheit der Benutzerkontensteuerung auf Vista-Level erhöhen statt abschalten

Mit einer einfachen Einstellung behebt man das Problem: Konträr zu allen Heimbenutzer-orientierten Publikationen sollte man im Business-Umfeld die UAC wieder so einstellen, dass sie bei jeder Aktion nachfragt, die erhöhte Privilegien benötigt, wie dies ursprünglich unter Vista der Fall war. In der Systemsteuerung unter den Einstellungen für jedes Benutzerkonto findet sich auch der Link „Einstellungen der Benutzer­konten­steuerung ändern“. Er ist mit dem UAC-Symbol versehen, lässt sich aber trotzdem ohne Bestätigung öffnen, und illustriert damit anschaulich das Problem. Schiebt man hier den Regler nach ganz oben, ist für den betreffenden Rechner die White List der Programme, welche sich selbst Privilegien zuteilen dürfen, außer Kraft gesetzt.

UAC-Gruppenrichtlinie für Organisation setzen

In den Gruppenrichtlinien finden man die entsprechende Einstellung unter „Computerkonfiguration ⇒ Richtlinien ⇒ Sicherheitseinstellungen ⇒ Lokale Richtlinien ⇒ Sicherheitsoptionen“. Hier konfiguriert man die Sicherheitslevel mittels der Optionen „Verhalten der Eingabe­aufforderung für erhöhte Rechte für Administratoren im Administrator­bestätigungs­modus“ und „Verhalten der Eingabe­aufforderung für erhöhte Rechte für Standard­benutzer“, welche jeweils den Einstellungen des Reglers in der Systemsteuerung für Administratoren und Benutzer entsprechen. Die Einstellungen sind im TechNet dokumentiert – allein sie helfen nicht viel. Erfahrene Administratoren riechen den Braten: Der Richtlinienpfad enthält „Lokale Richtlinien“, und das bedeutet: Die Einstellung wird zwar zunächst wirksam, kann jedoch einfach pro Maschine von jedem lokalen Administrator zurückgesetzt werden.

Die UAC-Einstellmöglichkeit per GPO lokal abzuschalten ist nicht möglich, an dieser Stelle verlässt sich Microsoft anscheinend darauf, dass nur Standard-Benutzer vor den Geräten sitzen und dies mit jeglicher im Unternehmen eingesetzten Software auch funktioniert. Dass man dann gar keine Benutzer­konten­steuerung bräuchte, sei dahingestellt – in zahllosen Forenbeiträgen verweisen Admins auf den letzten Ausweg, die UAC-Einstellungen per Startup-Script direkt in die Registry zu schreiben und so wenigstens beim Start jeder Maschine wieder zu aktivieren, wenn sie zwischendurch verstellt waren. Alternativ geht das ein wenig eleganter mit Group Policy Preferences. Der zuständige Registry-Schlüssel ist HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System. Hier müssen 3 DWORD-Werte gesetzt werden: