Admin-Rechte für Programme in einem eingeschränktem Benutzerkonto

[Jan]

Ich möchte aus Sicherheitsgründen eigentlich in einem eingeschränkten Benutzerkonto arbeiten, habe aber ein Programm, das administrative Rechte benötigt, damit es fehlerfrei ausgeführt wird.

Hintergrund:
Benutzerkonten mit administrativen Rechten bergen bei der täglichen Arbeit ein hohes Risiko, denn jede Anwendung, die in einem Admin-Konto ausgeführt wird, hat ebenfalls volles Zugriffsrecht auf das System. Leider unterscheidet der Rechner dabei nicht zwischen erwünschten Programmen und Computerschädlingen. Daher rät Microsoft selbst davon ab, Windows für alltägliche Aufgaben in einem Admin-Konto auszuführen. Die Lösung ist einfach und effektiv: Durch die Verwendung von eingeschränkten Benutzerkonten kann häufig eine Infektion mit einem Computerschädling verhindert werden.

Doch einige Anwendungen wie zum Beispiel manche Computerspiele verursachen Fehlermeldungen, wenn sie in einem eingeschränkten Benutzerkonto ausgeführt werden. Nachvollziehbar finde ich das nicht, immerhin gibt es NT-basierte Betriebssysteme (Windows 2000, XP, Vista) schon seit 1993. Falls möglich empfehle ich Dir, Dich nach besseren Alternativen für solche Anwendungen umzuschauen. Leider ziehen manche Anwender daraus die Konsequenz, weiter in dem Admin-Konto zu arbeiten - mit allen Risiken, die damit verbunden sind.

Lösung:
Wenn Du auf die Anwendung nicht verzichten möchtest, gibt es die Möglichkeit, das Programm als Admin aus dem eingeschränken Benutzerkonto heraus zu starten. Dafür kannst Du zum Beispiel 'Ausführen als...' oder den Kommandozeilenbefehl 'Runas' verwenden. Falls Du eine Verknüpfungen mit 'Runas' auf dem Desktop erstellen möchtest, findest Du hier und hier weitere Informationen. (Hinweis: Bei der Eingabe des Passworts werden keine Zeichen wie Sterne o. ä. angezeigt.) Beispiel 'Runas':

%windir%\system32\runas.exe /user:"Name Admin-Konto" "%SystemRoot%\system32\wupdmgr.exe"

Sollen verschiedene Personen mit eingeschränkten Benutzerkonten auf die Anwendung zugreifen können, kann 'Ausführen als...' und 'Runas' nicht eingesetzt werden, da sonst alle Anwender das Admin-Passwort kennen müssten. Hier helfen Tools wie Runasspc oder pcwRunAs weiter. Mit diesen Tools lassen sich Verknüpfungen erstellen, die keine zuätzliche Eingabe des Admin-Passworts erforden. Das Passwort kann dabei verschlüsselt werden, um ein Auslesen zu verhindern.

[Petra]

Hallo Jan,

prima Anleitung . Es taucht übrigens häufig die Frage auf, wie man am schnellsten nach der Einrichtung eines eingeschränkten Benutzerkontos die wichtigsten Programme wie Browser, Mailprogramm etc. in diesem Konto ans Laufen bekommt. Geht das nur über Neuinstallation in dem eingeschränkten Konto oder gibt es da auch Tricks? Hast Du eine Idee, wie man das am besten ohne Neuinstallation bewerkstelligt?

[Karl]

Je nach Art der störrischen Anwendung können aber auch andere Maßnahmen helfen, denn runas lässt die komplette anwendung mit Administratorrechten laufen und wer weiß schon spo genau, was alles drin steckt.

Ich benutze z.B. einen Editor der seine Konfiguration als INI Datei in C:\Windows ablegt und darüber stolpert, dass er diese Datei nicht schreiben kann. Ok, ist eine Prtierung eines uralten DOS-Programms nach Windows, aber im LAuf der Jahre extrem vertraut geworden. Als Administrator meinem eingeschränkten Konto das Schreiben dieser Datei (und sonst nichts) erlaubt: Problem gelöst.

[Karl]

Die Umstellung eines laufenden Systems: Die wenigsten Probleme (das heißt nicht: keine) gibt es normalerweise, wenn man erstmal ein neues Konto mit Administratorrechten anlegt und von dem aus dann dem bisher benutzten Konto die Administratorrechte entzieht.

[Jan]

Es taucht übrigens häufig die Frage auf, wie man am schnellsten nach der Einrichtung eines eingeschränkten Benutzerkontos die wichtigsten Programme wie Browser, Mailprogramm etc. in diesem Konto ans Laufen bekommt... Die wenigsten Probleme gibt es normalerweise, wenn man erstmal ein neues Konto mit Administratorrechten anlegt und von dem aus dann dem bisher benutzten Konto die Administratorrechte entzieht.

Dem kann ich nur zustimmen. Häufig erwartet die Anwendung eben genau in dem Konto ausgeführt zu werden, in dem sie auch installiert wurde. Daher kann es helfen, das Konto erst als Admin einzurichten und danach die Adminrechte von einem zweiten Adminkonto aus zu entziehen. Aber wie Karl schon sagte funktioniert das nicht immer: Manche Software 'benötigt' im Betrieb, oder zumindest für den Erststart, Schreib-Rechte in der Registry (z. B. im Bereich von HKLM). Da hilft es dann auch nicht mehr, dass die Anwendung im richtigen Konto ausgeführt wird.

Natürlich gibt es neben Runas auch noch andere Wege, Anwendungen in einem eingeschränken Konto zum Laufen zu bringen - z.B. kann man dem eingeschränkten Benutzerkonto zeitweise Admin-Rechte einräumen. Oder man gewährt Zugriffsrechte nur auf bestimmte Dateien, Verzeichnisse und Registry-Werte (Stichwort: Freigabe von Verzeichnissen, Gruppen- und Sicherheitsrichtlinien, FileMon, RegMon, secpol.msc, gpedit.msc, mmc.exe, regedt32.exe, etc.).

Letztlich bergen aber beide Varianten ein Risiko: In dem einen Fall gewährt man einer Anwendung volle Zugriffsrechte auf ein System, in dem anderen Fall gewährt man dem eingeschränkten Benutzer (und damit allen Anwendungen, die in diesem Konto laufen) Zugriffrechte zumindest auf bestimmte Strukturen des Systems. Beides ist ja nicht gerade sicher. Daher ist meiner Meinung nach der beste Weg: Such Dir eine Alternative, die auch mit einem NT-basierten System umgehen kann.

Gruss, Jan

[Silversurfer]

hallöchen erst mal nach langer Zeit wieder mal hier.
Das Thema interessiert mich auch. Hatte diesbezüglich etwas von SuRun gehört. Diese Soft kann benutzt werden unter einem eingesch. Konto und übernimmt in etwa die Funktion von Vistas Meckerbalken, lol.
Kennt einer das Proggi, auch auf Heise hab ich was darüber gefunden ?
Überlege selbst noch ein Admin Konto zu erstellen und dann meinem Admin anschl die Rechte zu entziehen? Aber läuft dann auch wirklich alles ???

cu SS

[Karl]

Hi

Aber läuft dann auch wirklich alles ???

Diese Frage kannst nur Du selber beantworten. Versuch macht klug.

Gruß, Karl