User Account Control (UAC): Mit PIN anmelden, Einstellungen per GPO konfigurieren

Wenn eine Anwendung erhöhte Berechtigungen benötigt, dann fordert die Benutzer­konten­steuerung zur Eingabe von Anmelde­informationen oder zu einer Zustimmung für die Rechteanhebung auf.

PIN und Windows Hello für UAC verwenden

In Windows 10 hat Microsoft die Möglichkeit hinzugefügt, die Berechtigungen durch andere Authentifizierungs­methoden als Benutzername und Passwort zu erhöhen.

Windows Hello bietet mit seinen biometrischen Verfahren robustere Alternativen, die zudem wesentlich komfortabler sind als die Eingabe des Kennworts.

Sobald ein Administrator zusätzliche Authentifizierungs­optionen für sein Konto konfiguriert, wie zum Beispiel PIN oder Windows Hello, dann sind diese auch in den UAC-Prompts für Standardbenutzer verfügbar.

Von diesem Zeitpunkt an erhält auch ein Standard­benutzer die Option, die zusätzlichen Authentifizierungs­methoden für das betreffende privilegierte Konto auszuwählen. Wenn Windows Hello konfiguriert ist, wird es hier ebenfalls angezeigt.

Die Option für die Verwendung von Windows Hello steht zur Verfügung, wenn der Benutzer an ein Microsoft-Konto gebunden ist. Lokale Konten können PIN und Kennwort für die Rechteerhöhung nutzen.

Keine Einstellung für die standardmäßige UAC-Authentifizierung

Offenbar gibt es keine Möglichkeit, eine andere Methode als ein Passwort für die Authentifizierung als Standard festzulegen, auch nicht über die Gruppen­richtlinien. Daher muss man im Dialog erst jedes Mal ein alternatives Verfahren manuell auswählen.

Das Fehlen einer expliziten Möglichkeit, dieses Verhalten zu steuern, ist ein wiederkehrendes Thema in vielen Foren. Siehe dazu beispielsweise folgenden Beitrag im Microsoft-Forum: How to make UAC always default to using Windows Hello Face instead of password.

UAC mit Gruppenrichtlinien steuern

Unternehmen können die Gruppenrichtlinien verwenden, um die UAC und ihr Verhalten für alle Benutzer anzupassen. Microsoft sieht dafür 10 Einstellungen vor.

Diese finden sich unter Computerkonfiguration => Windows-Einstellungen> Sicherheitseinstellungen => Lokale Richtlinien => Sicherheitsoptionen.

Einstellung	Registry-Schlüssel	Standard
Benutzer­konten­steuerung: Administrator­genehmigungs­modus für das integrierte Admini­strator­konto ("User Account Control: Admin Approval Mode for the built-in Administrator account")	FilterAdministratorToken	Nicht definiert
Benutzer­konten­steuerung: UIAccess-Anwendungen können erhöhte Rechte ohne sicheren Desktop anfordern ("User Account Control: Allow UIAccess appli­cations to prompt for ele­vation without using the secure desktop")	EnableUIADesktopToggle	Deaktiviert
Benutzer­konten­steuerung: Verhalten der Ein­gabe­auf­for­derung für erhöhte Rechte für Admini­stratoren im Admini­strator­genehmigungs­modus ("User Account Control: Behavior of the elevation prompt for administrators in Admin Approval Mode")	ConsentPromptBehaviorAdmin	Eingabeauf­forderung zur Zustimmung für Nicht-Windows-Binärdateien
Benutzer­konten­steuerung: Verhalten der Ein­gabe­auf­for­derung für erhöhte Rechte für Standard­benutzer ("User Account Control: Behavior of the elevation prompt for standard users")	ConsentPromptBehaviorUser	Ein­gabe­auf­for­derung zu Anmelde­informationen auf dem sicheren Desktop
Benutzer­konten­steuerung: Anwen­dungs­instal­lationen erkennen und erhöhte Rechte anfordern ("User Account Control: Detect application instal­lations and prompt for elevation")	EnableInstallerDetection	Aktiviert (deaktiviert in der Enterprise Edition)
Benutzer­konten­steuerung: Nur ausführbare Dateien herauf­stufen, die signiert und überprüft sind ("User Account Control: Only elevate executables that are signed and validated")	ValidateAdminCodeSignatures	Deaktiviert
Benutzer­konten­steuerung: Erhöhte Rechte nur für UIAccess-Anwendungen, die an sicheren Orten installiert sind ("User Account Control: Only elevate UIAccess appli­cations that are installed in secure locations")	EnableSecureUIAPaths	Aktiviert
Benutzer­konten­steuerung: Alle Admini­stratoren im Administrator­genehmigungs­modus ausführen ("User Account Control: Run all administrators in Admin Approval Mode")	EnableLUA	Aktiviert
Benutzer­konten­steuerung: Bei Ein­gabe­auf­for­derung nach erhöhten Rechten zum sicheren Desktop wechseln ("User Account Control: Switch to the secure desktop when prompting for elevation")	PromptOnSecureDesktop	Aktiviert
Benutzer­konten­steuerung: Datei- und Regi­strierungs­schreibfehler an Einzel­benutzer­orte virtualisieren ("User Account Control: Virtualize file and registry write failures to per-user locations")	EnableVirtualization	Aktiviert

Erklärung zu den Einstellungen

Es gibt ein paar Richtlinien, die aufgrund ihrer Bedeutung erklärungsbedürftig sind:

Administrator­genehmigungs­modus für das integrierte Administrator­konto: Gemäß den Best Practices von Microsoft sollte man das integrierte Administratorkonto auf dem Client-Computer nicht aktivieren, sondern ein Standard­benutzerkonto mit UAC zu verwenden. Wenn Sie das integrierte Administratorkonto jedoch nutzen, dann sollte diese Einstellung aktiviert werden.

Bei Eingabe­auf­forderung nach erhöhten Rechten zum sicheren Desktop wechseln: Wenn diese Einstellung aktiviert ist, läuft der UAC-Prompt in einem geschützten Speicherbereich, auf den nur vertrauenswürdige Systemprozesse zugreifen können. Dadurch wird das Spoofing von Eingaben und Ausgaben durch einen Angreifer unterbunden.

Verhalten der Eingabeaufforderung für erhöhte Rechte für Standardbenutzer: Sie bietet folgende Einstellungen:

• Anforderungen für erhöhte Rechte automatisch ablehnen: Dies führt zur Meldung "Zugriff verweigert".
• Eingabeaufforderung zu Anmeldeinformationen auf dem sicheren Desktop: Damit wird sichergestellt, dass UAC-Prompt auf dem sicheren Desktop angezeigt wird
• Eingabeaufforderung zu Anmeldeinformationen: Bei dieser Einstellung wird die Verwendung der sicheren Desktops nicht erzwungen

UAC-Einstellung in der Security Baseline

Da Kennwörter und Benutzernamen für lokale Konten in vielen Umgebungen häufig wiederverwendet werden und anfällig für Angriffe sind, empfiehlt Microsoft in der Security Baseline, die Einstellung Apply UAC restrictions to local accounts on network logons.

Sie veranlasst die UAC, die Zugriffs-Token zu filtern, wenn lokale Konten für die Netzwerk­anmeldung verwendet werden. Damit verhindert sie den Zugriff lokaler Administrator­konten auf Ressourcen wie C$. Diese Einstellung wird über die Registry gesetzt:

• HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\
  DWORD mit dem Namen LocalAccountTokenFilterPolicy
• 0 –Token-Filter ist aktiviert (default)
• 1 – Tokens für privilegierten Zugriff sind erlaubt

Zusammenfassung

Die Benutzer­kontensteuerung ist ein Sicherheits­mechanismus, mit dem Anwender das Least-Privilege-Prinzip umsetzen können. Admins können normale Tätigkeiten im Kontext eines Standardbenutzers erledigen und für die System­verwaltung oder Installation von Software höhere Privilegien anfordern.

Die Authentifizierung mittels PIN und Windows Hello erhöhen den Benutzerkomfort, lassen sich aber leider nicht als Standard vorgeben. Das gilt auch für Gruppenrichtlinien, die in einer Domänenumgebung zahlreiche Möglichkeiten bieten, um das Verhalten der UAC anzupassen.