Funktionsweise der Benutzerkontensteuerung
Die Benutzerkontensteuerung (User Account Control, UAC) ist ein grundlegender Baustein der Gesamtsicherheitsvision von Microsoft. UAC hilft dabei, die Auswirkung von Schadsoftware zu verringern.
UAC-Prozess und -Interaktionen
Jede App, die das Administratorzugriffstoken erfordert, muss zur Zustimmung aufgefordert werden. Die einzige Ausnahme ist die Beziehung, die zwischen übergeordneten und untergeordneten Prozessen besteht. Untergeordnete Prozesse erben das Zugriffstoken des Benutzers vom übergeordneten Prozess. Sowohl der übergeordnete als auch der untergeordnete Prozess müssen jedoch die gleiche Integritätsebene aufweisen. Windows schützt Prozesse, indem deren Integritätsebenen markiert werden. Integritätsebenen sind Vertrauensmessungen. Eine Anwendung mit "hoher" Integrität ist eine Anwendung, die Aufgaben ausführt, die Systemdaten ändern, z. B. eine Anwendung zur Partitionierung von Datenträgern, während eine Anwendung mit "niedriger" Integrität Aufgaben ausführt, die möglicherweise das Betriebssystem gefährden könnten, z. B. ein Webbrowser. Apps mit niedrigeren Integritätsstufen können Daten in Anwendungen mit höheren Integritätsstufen nicht ändern. Wenn ein Standardbenutzer versucht, eine App auszuführen, die ein Administratorzugriffstoken erfordert, muss der Benutzer gültige Administratoranmeldeinformationen angeben.
Um besser zu verstehen, wie dieser Prozess geschieht, sehen wir uns den Windows-Anmeldeprozess an.
Anmeldeprozess
Im Folgenden wird gezeigt, wie sich der Anmeldeprozess für einen Administrator vom Anmeldeprozess für einen Standardbenutzer unterscheidet.
Standardmäßig greifen Standardbenutzer und Administratoren auf Ressourcen zu und führen Apps im Sicherheitskontext von Standardbenutzern aus. Wenn sich ein Benutzer bei einem Computer anmeldet, erstellt das System ein Zugriffstoken für diesen Benutzer. Das Zugriffstoken enthält Informationen zur Zugriffsebene, die dem Benutzer gewährt wird, einschließlich spezifischer Sicherheits-IDs (SIDs) und Windows-Berechtigungen.
Wenn sich ein Administrator anmeldet, werden zwei separate Zugriffstoken für den Benutzer erstellt: ein Standardbenutzerzugriffstoken und ein Administratorzugriffstoken. Das Standardbenutzerzugriffstoken enthält die gleichen benutzerspezifischen Informationen wie das Administratorzugriffstoken, aber die administrativen Windows-Berechtigungen und SIDs werden entfernt. Das Standardbenutzerzugriffstoken wird verwendet, um Apps zu starten, die keine administrativen Aufgaben ausführen (Standardbenutzer-Apps). Das Standardbenutzerzugriffstoken wird dann verwendet, um den Desktop anzuzeigen (explorer.exe). Explorer.exe ist der übergeordnete Prozess, von dem alle anderen vom Benutzer initiierten Prozesse ihr Zugriffstoken erben. Daher werden alle Apps als Standardbenutzer ausgeführt, es sei denn, ein Benutzer erteilt seine Zustimmung oder Anmeldeinformationen, um einer App die Verwendung eines voll administrativen Zugriffstokens zu genehmigen.
Ein Benutzer, der Mitglied der Gruppe Administratoren ist, kann sich anmelden, im Web surfen und E-Mails lesen, während er ein Standardbenutzerzugriffstoken verwendet. Wenn der Administrator eine Aufgabe ausführen muss, die das Administratorzugriffstoken erfordert, fordert Windows den Benutzer automatisch zur Genehmigung auf. Diese Eingabeaufforderung wird als Aufforderung zur Erhöhung bezeichnet, und ihr Verhalten kann mithilfe des Snap-Ins "Lokale Sicherheitsrichtlinie" (Secpol.msc) oder Gruppenrichtlinie konfiguriert werden. Weitere Informationen finden Sie unter Einstellungen für die Sicherheitsrichtlinie für die Benutzerkontensteuerung.
Die UAC-Benutzeroberfläche
Wenn UAC aktiviert ist, unterscheidet sich die Benutzeroberfläche für Standardbenutzer von der Benutzeroberfläche von Administratoren im Admin Genehmigungsmodus. Die empfohlene und sicherere Methode zum Ausführen von Windows besteht darin, Ihr primäres Benutzerkonto zu einem Standardbenutzerkonto zu machen. Die Ausführung als Standardbenutzer trägt dazu bei, die Sicherheit für eine verwaltete Umgebung zu maximieren. Mit der integrierten UAC-Erhöhungskomponente können Standardbenutzer problemlos eine Administrative Aufgabe ausführen, indem sie gültige Anmeldeinformationen für ein lokales Administratorkonto eingeben. Die standardmäßige integrierte UAC-Erweiterungskomponente für Standardbenutzer ist die Anmeldeinformationsaufforderung.
Die Alternative zur Ausführung als Standardbenutzer besteht darin, als Administrator im genehmigungsmodus Admin auszuführen. Mit der integrierten UAC-Erweiterungskomponente können Mitglieder der lokalen Administratorgruppe eine Administrative Aufgabe einfach ausführen, indem sie die Genehmigung erteilen. Die standardmäßige integrierte UAC-Erweiterungskomponente für ein Administratorkonto im Admin Genehmigungsmodus wird als Zustimmungsaufforderung bezeichnet.
Zustimmungs- und Anmeldeinformationsaufforderungen
Wenn UAC aktiviert ist, fordert Windows zur Zustimmung oder zur Eingabe von Anmeldeinformationen eines gültigen lokalen Administratorkontos auf, bevor ein Programm oder eine Aufgabe gestartet wird, für die ein vollständiges Administratorzugriffstoken erforderlich ist. Durch diese Aufforderung wird sichergestellt, dass keine Schadsoftware im Hintergrund installiert werden kann.
Die Zustimmungsaufforderung
Die Zustimmungsaufforderung wird angezeigt, wenn ein Benutzer versucht, eine Aufgabe auszuführen, die das Administratorzugriffstoken eines Benutzers erfordert. Es folgt ein Beispiel für die UAC-Zustimmungsaufforderung.
Anmeldeinformationsaufforderung
Die Anmeldeinformationsaufforderung wird angezeigt, wenn ein Standardbenutzer versucht, eine Aufgabe auszuführen, die das Administratorzugriffstoken eines Benutzers erfordert. Administratoren können auch aufgefordert werden, ihre Anmeldeinformationen anzugeben, indem sie den Einstellungswert Benutzerkontensteuerung: Verhalten der Eingabeaufforderung für Rechteerweiterungen für Administratoren in Admin Richtlinieneinstellung für den Genehmigungsmodus auf Anmeldeinformationen anfordern festlegen.
Es folgt ein Beispiel für die Eingabeaufforderung für UAC-Anmeldeinformationen.
UAC-Eingabeaufforderungen zur Erhöhung
Die Eingabeaufforderungen zur Erhöhung der UAC sind app-spezifisch farbcodiert, sodass das potenzielle Sicherheitsrisiko einer Anwendung sofort identifiziert werden kann. Wenn eine App versucht, mit dem Vollzugriffstoken eines Administrators auszuführen, analysiert Windows zunächst die ausführbare Datei, um den Herausgeber zu ermitteln. Apps werden zunächst basierend auf dem Herausgeber der Datei in drei Kategorien unterteilt: Windows 10 oder Windows 11, Herausgeber verifiziert (signiert) und Herausgeber nicht überprüft (ohne Vorzeichen). Das folgende Diagramm veranschaulicht, wie Windows bestimmt, welche Farberweiterungsaufforderung dem Benutzer präsentiert werden soll.
Die Farbcodierung der Eingabeaufforderung zur Erhöhung sieht wie folgt aus:
- Roter Hintergrund mit einem roten Schildsymbol: Die App wird von Gruppenrichtlinie blockiert oder stammt von einem Herausgeber, der blockiert ist.
- Blauer Hintergrund mit einem blauen und goldenen Schildsymbol: Die Anwendung ist eine Windows 10 und Windows 11 administrative App, z. B. ein Systemsteuerung Element.
- Blauer Hintergrund mit blauem Schildsymbol: Die Anwendung wird mit Authenticode signiert und vom lokalen Computer als vertrauenswürdig eingestuft.
- Gelber Hintergrund mit gelbem Schildsymbol: Die Anwendung ist nicht signiert oder signiert, aber vom lokalen Computer noch nicht als vertrauenswürdig eingestuft.
Schildsymbol
Einige Systemsteuerung Elemente, z. B. Datums- und Uhrzeiteigenschaften, enthalten eine Kombination aus Administrator- und Standardbenutzervorgängen. Standardbenutzer können die Uhr anzeigen und die Zeitzone ändern, aber zum Ändern der lokalen Systemzeit ist ein Volladministratorzugriffstoken erforderlich. Im Folgenden sehen Sie einen Screenshot der Datums- und Uhrzeiteigenschaften Systemsteuerung Elements.
Das Schildsymbol auf der Schaltfläche Datum und Uhrzeit ändern gibt an, dass der Prozess ein vollständiges Administratorzugriffstoken erfordert und eine UAC-Eingabeaufforderung zur Erhöhung anzeigt.
Schützen der Eingabeaufforderung zur Erhöhung
Der Prozess der Erhöhung wird weiter gesichert, indem die Eingabeaufforderung an den sicheren Desktop geleitet wird. Die Zustimmungs- und Anmeldeinformationen werden standardmäßig auf dem sicheren Desktop in Windows 10 und Windows 11 angezeigt. Nur Windows-Prozesse können auf den sicheren Desktop zugreifen. Für ein höheres Sicherheitsniveau empfehlen wir, die Einstellung Benutzerkontensteuerung: Wechseln zum sicheren Desktop bei Aufforderung zur Erhöhung der Rechteerweiterung aktiviert zu lassen.
Wenn eine ausführbare Datei Rechteerweiterungen anfordert, wird der interaktive Desktop, der auch als Benutzerdesktop bezeichnet wird, auf den sicheren Desktop umgestellt. Der sichere Desktop blendet den Benutzerdesktop ab und zeigt eine Eingabeaufforderung zur Erhöhung an, auf die vor dem Fortfahren geantwortet werden muss. Wenn der Benutzer auf Ja oder Nein klickt, wechselt der Desktop zurück zum Benutzerdesktop.
Schadsoftware kann eine Nachahmung des sicheren Desktops darstellen, aber wenn die Einstellung Benutzerkontensteuerung: Verhalten der Aufforderung zur Erhöhung der Rechteerweiterung für Administratoren in Admin Richtlinieneinstellung Genehmigungsmodus auf Zustimmung anfordern festgelegt ist, erhält die Schadsoftware keine Erhöhung, wenn der Benutzer auf Ja für die Imitation klickt. Wenn die Richtlinieneinstellung auf Aufforderung zur Eingabe von Anmeldeinformationen festgelegt ist, kann schadsoftware, die die Anmeldeinformationsaufforderung imitiert, möglicherweise die Anmeldeinformationen vom Benutzer erfassen. Die Schadsoftware erhält jedoch keine erhöhten Berechtigungen, und das System verfügt über andere Schutzmaßnahmen, die verhindern, dass Schadsoftware die Kontrolle über die Benutzeroberfläche übernimmt, selbst wenn ein kennwortgefangen wurde.
Schadsoftware könnte zwar eine Nachahmung des sicheren Desktops darstellen, dieses Problem kann jedoch nur auftreten, wenn ein Benutzer die Schadsoftware zuvor auf dem PC installiert hat. Da Prozesse, die ein Administratorzugriffstoken erfordern, nicht automatisch installiert werden können, wenn UAC aktiviert ist, muss der Benutzer explizit seine Zustimmung erteilen, indem er auf Ja klickt oder Administratoranmeldeinformationen bereitstellt. Das spezifische Verhalten der UAC-Eingabeaufforderung zur Erhöhung hängt von Gruppenrichtlinie ab.
UAC-Architektur
Im folgenden Diagramm wird die UAC-Architektur erläutert.
Um die einzelnen Komponenten besser zu verstehen, sehen Sie sich die folgende Tabelle an:
Benutzer
| Komponente | Beschreibung |
|---|---|
Benutzer führt vorgang aus, der Berechtigungen erfordert |
Wenn der Vorgang das Dateisystem oder die Registrierung ändert, wird Virtualisierung aufgerufen. Alle anderen Vorgänge rufen ShellExecute auf. |
Shellexecute |
ShellExecute ruft CreateProcess auf. ShellExecute sucht in CreateProcess nach dem ERROR_ELEVATION_REQUIRED Fehler. Wenn der Fehler empfangen wird, ruft ShellExecute den Anwendungsinformationsdienst auf, um zu versuchen, die angeforderte Aufgabe mit der Eingabeaufforderung mit erhöhten Rechten auszuführen. |
Createprocess |
Wenn die Anwendung Rechteerweiterungen erfordert, lehnt CreateProcess den Aufruf mit ERROR_ELEVATION_REQUIRED ab. |
System
| Komponente | Beschreibung |
|---|---|
Anwendungsinformationsdienst |
Ein Systemdienst, mit dem Apps gestartet werden können, für die eine oder mehrere erhöhte Berechtigungen oder Benutzerrechte erforderlich sind, z. B. lokale Verwaltungsaufgaben, und Apps, die höhere Integritätsstufen erfordern. Der Anwendungsinformationsdienst hilft beim Starten solcher Apps, indem er einen neuen Prozess für die Anwendung mit dem Vollzugriffstoken eines Administratorbenutzers erstellt, wenn rechte Rechte erforderlich sind und der Benutzer (abhängig von Gruppenrichtlinie) die Zustimmung dazu erteilt. |
Erhöhen einer ActiveX-Installation |
Wenn ActiveX nicht installiert ist, überprüft das System die UAC-Schiebereglerebene. Wenn ActiveX installiert ist, wird die Einstellung Benutzerkontensteuerung: Wechseln zum sicheren Desktop aktiviert, wenn Sie zur Erhöhung Gruppenrichtlinie auffordern. |
Überprüfen der UAC-Schiebereglerebene |
UAC verfügt über einen Schieberegler, mit dem Sie aus vier Benachrichtigungsebenen auswählen können.
|
Sicherer Desktop aktiviert |
Die Richtlinieneinstellung Benutzerkontensteuerung: Wechseln zum sicheren Desktop bei Aufforderung zur Erhöhung der Rechte ist aktiviert:
|
Createprocess |
CreateProcess ruft die Erkennung von AppCompat, Fusion und Installer auf, um zu bewerten, ob die App eine Erhöhung erfordert. Die Datei wird dann überprüft, um die angeforderte Ausführungsebene zu ermitteln, die im Anwendungsmanifest für die Datei gespeichert ist. CreateProcess schlägt fehl, wenn die im Manifest angegebene angeforderte Ausführungsebene nicht mit dem Zugriffstoken übereinstimmt und einen Fehler (ERROR_ELEVATION_REQUIRED) an ShellExecute zurückgibt. |
AppCompat |
Die AppCompat-Datenbank speichert Informationen in den Anwendungskompatibilitätsfixeinträgen für eine Anwendung. |
Fusion |
Die Fusion-Datenbank speichert Informationen aus Anwendungsmanifesten, die die Anwendungen beschreiben. Das Manifestschema wird aktualisiert, um ein neues Feld mit angeforderter Ausführungsebene hinzuzufügen. |
Installationsprogrammerkennung |
Die Installationsprogrammerkennung erkennt Setupdateien, wodurch verhindert wird, dass Installationen ohne Wissen und Zustimmung des Benutzers ausgeführt werden. |
Kernel
| Komponente | Beschreibung |
|---|---|
Virtualisierung |
Die Virtualisierungstechnologie stellt sicher, dass nicht konforme Apps nicht automatisch ausgeführt oder fehlschlagen, sodass die Ursache nicht ermittelt werden kann. UAC bietet auch Datei- und Registrierungsvirtualisierung und Protokollierung für Anwendungen, die in geschützte Bereiche schreiben. |
Dateisystem und Registrierung |
Die Datei- und Registrierungsvirtualisierung pro Benutzer leitet Registrierungs- und Dateischreibanforderungen pro Computer an entsprechende Speicherorte pro Benutzer um. Leseanforderungen werden zuerst an den virtualisierten Standort pro Benutzer und zweitens an den Standort pro Computer umgeleitet. |
Der Schieberegler deaktiviert UAC niemals vollständig. Wenn Sie sie auf Nie benachrichtigen festlegen, geschieht Folgendes:
- Lassen Sie den UAC-Dienst ausgeführt.
- Bewirkt, dass alle von Administratoren initiierten Rechteerweiterungsanforderungen automatisch genehmigt werden, ohne dass eine UAC-Eingabeaufforderung angezeigt wird.
- Automatisches Verweigern aller Rechteerweiterungsanforderungen für Standardbenutzer.
Wichtig
Um die Benutzerkontensteuerung vollständig zu deaktivieren, müssen Sie die Richtlinie Benutzerkontensteuerung: Alle Administratoren im Admin Genehmigungsmodus ausführen deaktivieren.
Warnung
Einige Universelle Windows-Plattform-Apps funktionieren möglicherweise nicht, wenn UAC deaktiviert ist.
Virtualisierung
Da Systemadministratoren in Unternehmensumgebungen versuchen, Systeme zu sichern, sind viele Branchenanwendungen so konzipiert, dass sie nur ein Standardbenutzerzugriffstoken verwenden. Daher müssen Sie die meisten Apps nicht ersetzen, wenn die UAC aktiviert ist.
Windows 10 und Windows 11 die Datei- und Registrierungsvirtualisierungstechnologie für Apps enthalten, die nicht mit UAC kompatibel sind und für die eine ordnungsgemäße Ausführung des Zugriffstokens eines Administrators erforderlich ist. Wenn eine administrative App, die nicht mit der UAC kompatibel ist, versucht, in einen geschützten Ordner wie Programme zu schreiben, gibt UAC der App eine eigene virtualisierte Ansicht der Ressource, die sie ändern möchte. Die virtualisierte Kopie wird im Profil des Benutzers verwaltet. Diese Strategie erstellt eine separate Kopie der virtualisierten Datei für jeden Benutzer, der die nicht konforme App ausführt.
Die meisten App-Aufgaben funktionieren mithilfe von Virtualisierungsfeatures ordnungsgemäß. Obwohl die Virtualisierung die Ausführung eines Großteils von Anwendungen ermöglicht, handelt es sich um eine kurzfristige Lösung und keine langfristige Lösung. App-Entwickler sollten ihre Apps so schnell wie möglich so ändern, dass sie konform sind, anstatt sich auf die Datei-, Ordner- und Registrierungsvirtualisierung zu verlassen.
Virtualisierung ist in den folgenden Szenarien keine Option:
Die Virtualisierung gilt nicht für Apps mit erhöhten Rechten, die mit einem voll administrativen Zugriffstoken ausgeführt werden.
Virtualisierung unterstützt nur 32-Bit-Apps. 64-Bit-Apps mit nicht erhöhten Rechten erhalten einfach eine Zugriffsverweigerungsmeldung, wenn sie versuchen, ein Handle (einen eindeutigen Bezeichner) für ein Windows-Objekt zu erhalten. Native Windows 64-Bit-Apps müssen mit UAC kompatibel sein und Daten an die richtigen Speicherorte schreiben.
Die Virtualisierung ist deaktiviert, wenn die App ein App-Manifest mit einem angeforderten Ausführungsebenen-Attribut enthält.
Anforderungsausführungsebenen
Ein App-Manifest ist eine XML-Datei, die die freigegebenen und privaten parallelen Assemblys beschreibt und identifiziert, an die eine App zur Laufzeit gebunden werden soll. Das App-Manifest enthält Einträge für UAC-App-Kompatibilitätszwecke. Administrative Apps, die einen Eintrag im App-Manifest enthalten, fordern den Benutzer zur Berechtigung auf, auf das Zugriffstoken des Benutzers zuzugreifen. Obwohl ihnen kein Eintrag im App-Manifest fehlt, können die meisten administrativen Apps ohne Änderungen mithilfe von App-Kompatibilitätskorrekturen ausgeführt werden. App-Kompatibilitätskorrekturen sind Datenbankeinträge, mit denen Anwendungen, die nicht UAC-kompatibel sind, ordnungsgemäß funktionieren.
Für alle UAC-kompatiblen Apps sollte dem Anwendungsmanifest eine angeforderte Ausführungsebene hinzugefügt werden. Wenn die Anwendung Administratorzugriff auf das System erfordert, wird durch Markieren der App mit der angeforderten Ausführungsebene "Administrator erforderlich" sichergestellt, dass das System dieses Programm als administrative App identifiziert und die erforderlichen Schritte zur Erhöhung ausführt. Angeforderte Ausführungsebenen geben die berechtigungen an, die für eine App erforderlich sind.
Erkennungstechnologie für Installationsprogramme
Installationsprogramme sind Apps, die zum Bereitstellen von Software entwickelt wurden. Die meisten Installationsprogramme schreiben in Systemverzeichnisse und Registrierungsschlüssel. Diese geschützten Systemspeicherorte können in der Regel nur von einem Administrator in der Installationsprogrammerkennungstechnologie geschrieben werden. Dies bedeutet, dass Standardbenutzer nicht über ausreichendEn Zugriff zum Installieren von Programmen verfügen. Windows 10 und Windows 11 Installationsprogramme heuristisch erkennen und Administratoranmeldeinformationen oder Genehmigungen vom Administratorbenutzer anfordern, um mit Zugriffsberechtigungen auszuführen. Windows 10 und Windows 11 auch heuristisch Updates und Programme erkennen, die Anwendungen deinstallieren. Eines der Entwurfsziele von UAC besteht darin, zu verhindern, dass Installationen ohne Wissen und Zustimmung des Benutzers ausgeführt werden, da Installationsprogramme in geschützte Bereiche des Dateisystems und der Registrierung schreiben.
Die Installationsprogrammerkennung gilt nur für:
- Ausführbare 32-Bit-Dateien.
- Anwendungen ohne angefordertes Ausführungsebenen-Attribut.
- Interaktive Prozesse, die als Standardbenutzer mit aktivierter UAC ausgeführt werden.
Bevor ein 32-Bit-Prozess erstellt wird, werden die folgenden Attribute überprüft, um zu bestimmen, ob es sich um ein Installationsprogramm handelt:
- Der Dateiname enthält Schlüsselwörter wie "install", "setup" oder "update".
- Versionsverwaltungsressourcenfelder enthalten die folgenden Schlüsselwörter: Anbieter, Firmenname, Produktname, Dateibeschreibung, Ursprünglicher Dateiname, interner Name und Exportname.
- Schlüsselwörter im parallelen Manifest werden in die ausführbare Datei eingebettet.
- Schlüsselwörter in bestimmten StringTable-Einträgen sind in der ausführbaren Datei verknüpft.
- Schlüsselattribute in den Ressourcenskriptdaten sind in der ausführbaren Datei verknüpft.
- In der ausführbaren Datei sind Bestimmte Bytesequenzen vorhanden.
Hinweis
Die Schlüsselwörter und Bytesequenzen wurden von allgemeinen Merkmalen abgeleitet, die von verschiedenen Installationsprogrammtechnologien beobachtet wurden.
Hinweis
Die Richtlinieneinstellung Benutzerkontensteuerung: Anwendungsinstallationen erkennen und Zur Erhöhung auffordern muss aktiviert sein, damit installationsprogramme erkannt werden können. Weitere Informationen finden Sie unter Einstellungen für die Sicherheitsrichtlinie für die Benutzerkontensteuerung.