Internet Explorer-Wartung vs. GPO vs. IEAK

Nachdem das IEAK eine fast beliebige Anpassung des Browsers erlaubt, könnte man sich fragen, wofür man dann noch Gruppenrichtlinien für diesen Zweck benötigt. Die Arbeitsteilung zwischen den beiden Mechanismen ist aus der Sicht von Microsoft indes relativ klar.

Das IEAK wendet sich vor allem an Anwender und Umgebungen, in denen die PCs nicht Mitglieder in einer AD-Domäne sind. Das betrifft zum einen OEMs, Internet-Provider oder ISVs, die den IE mit einem Branding versehen oder als Komponente in ihre Software einbinden möchten. Sie können mit Hilfe des IEAK alternative Standardeinstellungen vorgeben (beispielsweise für die Homepage) oder den Browser-Titel ändern.

IEAK für Unternehmen ohne Active Directory

Zum anderen eignet sich das IEAK zur zentralen Konfiguration in Unternehmen, die keine AD-Infrastruktur besitzen und nicht jeden PC einzeln anpassen möchten. Ursprünglich war das IEAK stark auf das Deployment des Browsers ausgerichtet, so dass die Einstellungen mitsamt den Programmdateien verteilt werden mussten. Seit dem IEAK 7 ist es aber möglich, separate Branding Packages zu generieren, die unabhängig von der IE-Installation angewandt werden können.

Für Umgebungen mit einer AD-Infrastruktur lautet die Empfehlung von Microsoft, den IE zentral über Gruppenrichtlinien zu verwalten. Innerhalb des GPO-Editors fand sich zu diesem Zweck bis zum IE9 unter Benutzerkonfiguration => Windows-Einstellungen der Zweig Internet Explorer-Wartung (IE Maintenance, kurz IEM).

Sonderrolle der Internet Explorer-Wartung

Diese vom IEAK abgeleiteten Einstellungen führten ein gewisses Eigenleben, weil sie ein Add-on für den Gruppen­richt­linien­verwaltungs-Editor und zur Ausführung auf dem Ziel-PC eine eigene Client Side Extension benötigen. Die Anwendung der Richtlinien lassen sich zudem nicht über gpresult ermitteln, sondern sie müssen aus der Log-Datei brndlog.txt ausgelesen werden.

Ende der IEM mit dem IE10

Mit dem Internet Explorer 10 kommt nun das Aus für die IEM. Nachdem diese Version des Browsers unter Windows 8 und Server 2012 vorinstalliert ist, entfällt dort von Haus aus die Konfiguration über IEM. Die Internet Explorer-Wartung ist aber auch unter Windows 7 und Server 2008 R2 nicht mehr verfügbar, sobald man dort den IE10 installiert.

Diese Änderung betrifft alle Aspekte der IEM:

• es lassen sich keine neuen Richtlinien mehr festlegen
• da sie aus dem GPO-Editor verschwinden, kann man auch bestehende Einstellungen nicht mehr bearbeiten
• sie werden auf Maschinen mit IE10 nicht mehr angewandt

Wer unbedingt wieder die IEM nutzen möchte, dem bleibt nur der Ausweg, den IE10 zu deinstallieren.

Migration der IEM-Einstellungen auf Gruppenrichtlinien

Grundsätzlich besteht jedoch keine Notwendigkeit, auf IEM zu beharren, weil Microsoft im Lauf der letzten IE-Updates die meisten Einstellungen zu "richtigen" Policies migriert hat. Die Aufteilung der IEM zwischen dem Voreinstellungs- und Richtlinienmodus findet nun zwischen den administrativen Vorlagen und den Group Policy Preferences (GPP) statt.

Der Voreinstellungsmodus der IEM legt Vorgabewerte für den IE fest, die der Benutzer aber ändern kann. Nicht alle Einstellungen sind in diesem Modus verfügbar. Dagegen sind die im Richtlinienmodus vorgenommenen Konfigurationen verbindlich. Ähnlich ist das Verhältnis zwischen den administrativen Vorlagen und den Gruppenrichtlinien-Einstellungen.

Tabelle für IEM-Ersatz

Um herauszufinden, welche der bisherigen IEM-Einstellungen für IE10 nun durch welche Mechanismen ersetzt werden, bietet Microsoft als Migrationshilfe diese Tabelle an. Dabei fällt auf, dass nicht alle Einstellungen durch Gruppenrichtlinien abgedeckt werden, so dass für einige Optionen das IEAK einspringen muss.

Kein GPP-Support für IE9 unter Windows 7

Ein weiteres Manko der Umstellung von IEM auf Gruppenrichtlinien besteht derzeit darin, dass die GPP unter Windows 7 nur die Konfiguration des IE bis Version 8 zulassen. Die Ursache für das Problem liegt darin, dass die XML-Datei eine maximale Versionsnummer von 9.0.0.0 festlegt, aber der verwendete IE-Build darüber liegt. Man kann sich in diesem Fall durch Editieren der administrativen Vorlage behelfen, aber dieses Vorgehen wird von Microsoft nicht offiziell unterstützt.