Eingabeaufforderung und Batch-Dateien über GPOs deaktivieren

Will man den Kommandointerpreter aus bestimmten Gründen deaktivieren, dann kann man dies über eine eigene Einstellung in den Gruppenrichtlinien tun. Sie findet sich unter Benutzerkonfiguration => Richtlinien => Administrative Vorlagen => System und heißt Zugriff auf Eingabeaufforderung verhindern.

Sie umfasst zusätzlich die Option, die Ausführung von Batch-Dateien zu unterbinden. Betroffen sind davon Scripts sowohl mit der Endung .bat als auch .cmd. Bevor man diese Einstellung aktiviert, sollte man überprüfen, ob im Rahmen der Systemverwaltung Logon-, Logoff-, Startup- oder Shutdown-Scripts genutzt werden. Sie wären von der Deaktivierung des Script-Interpreters ebenfalls betroffen.

Aus der Benutzersicht äußert sich das Deaktivieren der Eingabe­aufforderung dadurch, dass sie bei ihrem Start nach dem zuständigen Registry-Eintrag sucht und die weitere Tätigkeit einstellt, wenn dieser gesetzt wurde. Dabei erscheint die Meldung "Die Eingabe­aufforderung ist vom Administrator deaktiviert worden."

Bei Batch-Dateien bewirkt diese Einstellung dagegen, dass der Befehl Öffnen im Kontextmenü nicht mehr die Stapeldatei startet, sondern sie in den Editor lädt. Das gleiche Ergebnis bewirkt ein Doppelklick im Explorer oder die Eingabe ihres Namens unter Ausführen.