(0) exportieren Drucken
Alle erweitern

UAC-Prozesse und -Interaktionen

Letzte Aktualisierung: Mai 2009

Betrifft: Windows 7, Windows Server 2003 R2

Die folgende Abbildung veranschaulicht, wie sich der Anmeldeprozess für einen Administrator vom Anmeldeprozess für einen Standardbenutzer unterscheidet.

Windows 7-Anmeldevorgang

Standardmäßig greifen Standardbenutzer und Administratoren auf Ressourcen zu und führen Anwendungen im Sicherheitskontext von Standardbenutzern aus. Wenn sich ein Benutzer am Computer anmeldet, erstellt das System ein Zugriffstoken für den Benutzer. Das Zugriffstoken beinhaltet Informationen zur Zugriffsebene, die dem Benutzer gewährt wurde, darunter Sicherheits-IDs und Windows-Rechte.

Wenn sich ein Administrator anmeldet, werden für den Benutzer zwei separate Zugriffstoken erstellt: ein Zugriffstoken für Standardbenutzer und ein Zugriffstoken für Administratoren. Das Zugriffstoken für Standardbenutzer beinhaltet die gleichen benutzerspezifischen Informationen wie das Zugriffstoken für Administratoren, doch die Windows-Administratorrechte und SIDs werden entfernt. Das Zugriffstoken für Standardbenutzer dient zum Starten von Anwendungen, von denen keine administrativen Aufgaben (Standardbenutzeranwendungen) ausgeführt werden. Das Zugriffstoken für Standardbenutzer dient anschließend zum Anzeigen des Desktops (Explorer.exe). "Explorer.exe" ist der übergeordnete Prozess, von dem alle anderen vom Benutzer initiierten Prozesse ihre Zugriffstoken erben. Daher werden alle Anwendungen mit Standardbenutzerrechten ausgeführt, sofern ein Benutzer nicht seine Zustimmung erklärt oder seine Anmeldeinformationen angibt, um einer Anwendung die Verwendung eines vollständigen Administratorzugriffstokens zu gestatten.

Ein Benutzer, der Mitglied der Gruppe Administratoren ist, kann sich mit einem Zugriffstoken für Standardbenutzer anmelden, im Internet surfen und E-Mails lesen. Wenn der Administrator eine Aufgabe ausführen muss, für die das Administratorzugriffstoken erforderlich ist, fordert Windows 7 den Benutzer automatisch zur Genehmigung auf. Diese Eingabeaufforderung wird als Eingabeaufforderung für erhöhte Rechte bezeichnet, und das Verhalten kann mithilfe des Snap-Ins für die lokale Sicherheitsrichtlinie (Secpol.msc) oder der Gruppenrichtlinie konfiguriert werden.

noteHinweis
Der Begriff "Heraufstufen" bezeichnet den Prozess in Windows 7, bei dem der Benutzer seine Zustimmung erteilen oder Anmeldeinformationen angeben muss, um ein Token für vollständigen Administratorzugriff zu verwenden.

Jede Anwendung, die das Administratorzugriffstoken erfordert, muss den Administrator zur Zustimmung auffordern. Die einzige Ausnahme ist die Beziehung, die zwischen den über- und den untergeordneten Prozessen besteht. Untergeordnete Prozesse erben das Benutzerzugriffstoken vom übergeordneten Prozess. Allerdings müssen sowohl die über- als auch die untergeordneten Prozesse die gleiche Integritätsebene besitzen.

Windows 7 schützt Prozesse durch Markieren der Integritätsebenen. Integritätsebenen geben Aufschluss über die Vertrauenswürdigkeit. Eine Anwendung mit hoher Integrität führt Aufgaben aus, bei denen Systemdaten geändert werden (dazu zählt zum Beispiel eine Datenträger-Partitionierungsanwendung), wohingegen eine Anwendung mit niedriger Integrität Aufgaben ausführt, die unter Umständen das Betriebssystem gefährden können, zum Beispiel Webbrowser. Anwendungen mit niedrigeren Integritätsebenen können keine Daten in Anwendungen mit höheren Integritätsebenen ändern.

Wenn ein Standardbenutzer eine Anwendung ausführen möchte, die ein Administratorzugriffstoken erfordert, muss der Benutzer gültige Administratoranmeldeinformationen angeben.

Wenn die Benutzerkontensteuerung aktiviert ist, unterscheidet sich die Benutzerfunktionalität für Standardbenutzer von der Funktionalität für Administratoren im Administratorgenehmigungsmodus. Die empfohlene und sicherere Methode für die Ausführung von Windows 7 besteht darin, das primäre Benutzerkonto als Standardbenutzerkonto festzulegen. Bei der Ausführung als Standardbenutzer wird die Sicherheit für eine verwaltete Umgebung maximiert. Mit der integrierten Benutzerkontensteuerungs-Komponente für die Höherstufung von Rechten können Standardbenutzer problemlos eine administrative Aufgabe ausführen, indem sie gültige Anmeldeinformationen für ein lokales Administratorkonto eingeben. Die standardmäßige integrierte Benutzerkontensteuerungs-Komponente für die Höherstufung von Rechten ist die Administratoranmeldeaufforderung.

Die Alternative zur Ausführung als Standardbenutzer besteht darin, Vorgänge mit Administratorrechten im Administratorgenehmigungsmodus auszuführen. Mit der integrierten Benutzerkontensteuerungs-Komponente für die Höherstufung von Rechten können Mitglieder der lokalen Gruppe Administratoren durch Erteilen einer Genehmigung problemlos eine administrative Aufgabe ausführen. Die standardmäßige integrierte Benutzerkontensteuerungs-Komponente für die Höherstufung von Rechten für ein Administratorkonto im Administratorgenehmigungsmodus wird als Zustimmungsaufforderung bezeichnet. Das Verhalten der Eingabeaufforderung für erhöhte Rechte in der Benutzerkontensteuerung kann mithilfe des Snap-Ins für die lokale Sicherheitsrichtlinie (Secpol.msc) oder der Gruppenrichtlinie konfiguriert werden.

Wenn die Benutzerkontensteuerung aktiviert ist, fordert Windows 7 eine Zustimmung oder die Angabe von Anmeldeinformationen eines gültigen lokalen Administratorkontos, bevor ein Programm oder eine Aufgabe gestartet wird, das bzw. die ein Token für vollständigen Administratorzugriff erfordert. Mit dieser Eingabeaufforderung wird sichergestellt, dass keine Schadsoftware unbeaufsichtigt installiert werden kann.

Die Zustimmungsaufforderung

Die Zustimmungsaufforderung wird angezeigt, wenn ein Benutzer eine Aufgabe ausführen möchte, die das Administratorzugriffstoken eines Benutzers erfordert. Die folgende Abbildung zeigt eine Zustimmungsanforderung der Benutzerkontensteuerung.

Zustimmungsaufforderung der Bneutzerkontensteuerung

Die Administratoranmeldeanforderung

Die Administratoranmeldeanforderung wird angezeigt, wenn ein Standardbenutzer eine Aufgabe ausführen möchte, für die das Administratorzugriffstoken erforderlich ist. Dieses standardmäßige Eingabeaufforderungsverhalten für Standardbenutzer kann mithilfe des Snap-Ins der lokalen Sicherheitsrichtlinie (Secpol.msc) oder der Gruppenrichtlinie konfiguriert werden. Administratoren können auch zur Angabe ihrer Anmeldeinformationen aufgefordert werden, indem der Richtlinieneinstellungswert Benutzerkontensteuerung: Verhalten der Eingabeaufforderung für erhöhte Rechte für Administratoren im Administratorbestätigungsmodus auf Eingabeaufforderung zu Anmeldeinformationen festgelegt wird.

Der folgende Screenshot zeigt ein Beispiel der Administratoranmeldeanforderung in der Benutzerkontensteuerung.

Aufforderung der Benutzerkontensteuerung zur Eingabe der Anmeldeinformationen

Die Eingabeaufforderungen für erhöhte Rechte in der Benutzerkontensteuerung besitzen eine Farbcodierung, damit sie bestimmten Anwendungen zugeordnet werden können. Dadurch wird die direkte Identifizierung der potenziellen Sicherheitsrisiken einer Anwendung ermöglicht. Wenn eine Anwendung mit dem Vollzugriffstoken eines Administrators ausgeführt werden soll, analysiert Windows 7 zuerst die ausführbare Datei, um den Herausgeber zu ermitteln. Anwendungen werden anhand des Herausgebers der ausführbaren Datei zuerst in zwei Kategorien unterteilt: Windows 7, Herausgeber überprüft (signiert) und Herausgeber nicht überprüft (nicht signiert). Das folgende Diagramm zeigt, wie von Windows 7 bestimmt wird, in welcher Farbe dem Benutzer die Eingabeaufforderung für erhöhte Rechte angezeigt wird.

Flussdiagramm zur Entscheidung bei der UAC-Aufforderung

Die Farbcodierung der Eingabeaufforderung für erhöhte Rechte sieht folgendermaßen aus:

  • Roter Hintergrund mit einem roten Schildsymbol: Die Anwendung wird von der Gruppenrichtlinie gesperrt, oder sie stammt von einem gesperrten Herausgeber.

  • Blauer Hintergrund mit einem blauen und einem goldfarbenen Schildsymbol: Die Anwendung ist eine administrative Windows 7-Anwendung, zum Beispiel eine Option in der Systemsteuerung.

  • Blauer Hintergrund mit blauem Schildsymbol: Die Anwendung wird mithilfe von Authenticode signiert und wird vom lokalen Computer als vertrauenswürdig eingestuft.

  • Gelber Hintergrund mit gelbem Schildsymbol: Die Anwendung ist nicht signiert oder signiert, doch sie wird vom lokalen Computer nicht als vertrauenswürdig eingestuft.

Für die Eingabeaufforderungen für erhöhte Rechte wird die gleiche Farbcodierung wie für die Dialogfelder in Windows Internet Explorer 8 verwendet.

Einige Optionen in der Systemsteuerung, zum Beispiel Datums- und Uhrzeiteigenschaften, enthalten eine Kombination aus Administrator- und Standardbenutzervorgängen. Standardbenutzer können die Uhrzeit anzeigen und die Zeitzone ändern, doch zum Ändern der lokalen Systemzeit ist ein Token für vollständigen Administratorzugriff erforderlich. Nachfolgend finden Sie einen Screenshot der Systemsteuerungsoption Datums- und Uhrzeiteigenschaften.

UAC-Schildsymbol

Das Schildysmbol auf der Schaltfläche Datum und Uhrzeit ändern gibt an, dass der Prozess ein Token für vollständigen Administratoren erfordert. Eine Eingabeaufforderung für erhöhte Rechte der Benutzerkontensteuerung wird angezeigt.

Die Höherstufung von Rechten wird zusätzlich durch Weiterleiten der Aufforderung an den sicheren Desktop gesichert. Die Zustimmungs- und Administratoranmeldeanforderung werden standardmäßig auf dem sicheren Desktop in Windows 7 angezeigt. Nur mit Windows-Prozessen ist Zugriff auf den sicheren Desktop möglich. Ein höheres Sicherheitsniveau erzielen Sie, wenn Sie die Richtlinieneinstellung Benutzerkontensteuerung: Bei Benutzeraufforderung nach erhöhten Rechten zum sicheren Desktop wechseln aktiviert lassen.

Wenn eine ausführbare Datei erhöhte Rechte erfordert, wechselt der interaktive Desktop (wird auch als Benutzerdesktop bezeichnet) zum sicheren Desktop. Der sichere Desktop blendet den Benutzerdesktop ab und zeigt eine Eingabeaufforderung für erhöhte Rechte an, die beantwortet werden muss, bevor der Vorgang fortgesetzt wird. Wenn der Benutzer auf Ja oder Nein klickt, wechselt der Desktop wieder zurück zum Benutzerdesktop.

Schadsoftware kann eine Imitation des sicheren Desktops darstellen, doch wenn die Richtlinieneinstellung Benutzerkontensteuerung: Verhalten der Eingabeaufforderung für erhöhte Rechte für Administratoren im Administratorbestätigungsmodus auf Eingabeaufforderung zur Zustimmung festgelegt wurde, erhält die Schadsoftware keine erhöhten Rechte, wenn der Benutzer auf dem imitierten Desktop auf Ja klickt. Wenn die Richtlinieneinstellung auf Eingabeaufforderung zu Anmeldeinformationen festgelegt wird, kann Schadsoftware, die die Administratoranmeldeanforderung imitiert, möglicherweise die Anmeldeinformationen des Benutzers sammeln. Allerdings erhält die Schadsoftware keine erhöhten Rechte, und das System besitzt andere Schutzmechanismen, die die Schadsoftware daran hindern, die Kontrolle der Benutzeroberfläche zu übernehmen, auch wenn ein abgefangenes Kennwort verwendet wird.

ImportantWichtig
Auch wenn Schadsoftware eine Imitation des sicheren Desktops darstellen kann, kann dieses Problem nur dann auftreten, wenn ein Benutzer die Schadsoftware zuvor auf dem Computer installiert hat. Da Prozesse, für die ein Administratorzugriffstoken erforderlich ist, nicht unbeaufsichtigt installiert werden können, wenn die Benutzerkontensteuerung aktiviert ist, muss der Benutzer ausdrücklich seine Zustimmung erklären, indem er auf Ja klickt oder Administratoranmeldeinformationen angibt. Das spezielle Verhalten der Eingabeaufforderung für erhöhte Rechte in der Benutzerkontensteuerung ist von der Gruppenrichtlinie abhängig.

Fanden Sie dies hilfreich?
(1500 verbleibende Zeichen)
Vielen Dank für Ihr Feedback.

Community-Beiträge

HINZUFÜGEN
Microsoft führt eine Onlineumfrage durch, um Ihre Meinung zur MSDN-Website zu erfahren. Wenn Sie sich zur Teilnahme entscheiden, wird Ihnen die Onlineumfrage angezeigt, sobald Sie die MSDN-Website verlassen.

Möchten Sie an der Umfrage teilnehmen?
Anzeigen:
© 2014 Microsoft