Standardkonto wirklich sicherer als Adminkonto mit UAC auf höchster Stufe?
 

Hallo,

ich habe mir auf Basis der Empfehlungen hier im Forum gestern ein gesondertes Adminkonto eingerichtet und mein altes Konto mit Adminrechten auf ein Standardkonto herabgestuft. UAC hatte ich dort vorher auf der höchsten Stufe. Zwei Fragen habe ich und wäre für Meinungen/Infos dankbar:

1. Ich habe gerade Folgendes gelesen und bin jetzt verunsichert, ob der Schritt zu einer Umstellung Admin/Standard sinnvoll war:

"Die Eingabe des Passwortes zur Authentifizierung kann leicht selbst zur Sicherheitslücke werden. Mit einem vorgetäuschten Authentifizierungsdialog (sogenanntes Spoofing) könnten Angreifer in den Besitz Ihres Passwortes gelangen. Erfahrenen Nutzern raten wir daher dazu, bei der Standardeinstellung "Authentifizierung mit einem Klick auf OK" zu bleiben.", Quelle hxxp://www.chip.de/artikel/Windows-7-perfekt-absichern-Security-Guide-2_37971546.html (Mir ist es nicht gelungen, den Link über die Link Einfügen Funktion korrekt einzufügen. Keine Ahnung, was ich da falsch gemacht habe).
Jetzt stellt sich für mich die Frage, ob die Variante Admin/Standard wirklich sicherer ist oder ob das ständige Eingeben des Passwortes nicht auch eine gesonderte Gefahrenquelle darstellt?

2. Problematisch finde ich an dieser neuen Variante auch, dass der Rechner jetzt beständig das Admin-Passwort haben möchte. Beim Windowsstart lädt bei mir z.B. Crystal-Disk-Info und hierfür muss ich jetzt jedesmal das PW eingeben. Gibt es eine Möglichkeit, sofern ich bei der neuen Variante Admin/Standard bleibe, bestimmte Programme von der Eingabe des Admin-PW auszuschließen?

Grüße in den noch jungen Morgen

Als Ergänzung zu Frage 2: Ich wollte gerade eine Verknüpfung auf dem Desktop löschen und sollte dafür das Admin-PW eingeben! Auch solche Kleinigkeiten würde ich (natürlich) gerne ohne PW-Eingabe machen können.

Hallo nickcave,

grundsätzlich ist es so, dass die von dir erwähnte Variante sicherer ist - wenn auch nicht gerade komfortabel..... :crazy:
dass die Eingabe des Passwortes selbst dabei ein (eher geringes) Sicherheitsrisiko hinzufügt ändert nichts an dieser Tatsache!

Allerdings solltest du einen wesentlichen Denkfehler vermeiden:

In Wahrheit haben die Benutzerkonten inklusive UAC mit den tatsächlichen Rechten bei NTFS nur wenig zu tun - hier geht es schlicht und ergreifend darum, dich vor dir selbst zu schützen!
Wenn der Zugriff auf bestimmte Dienste, welche die Systemsicherheit und/oder -stabilität verwehrt wird, dann ist das eben "sicherer".

Hier gilt aber nicht wirklich eine echte Sicherheitsgrenze, denn aktuelle Malware verschafft sich die Adminrechte längst ganz einfach selbst - daher bleibt der Ball nach wie vor bei dir, deinem Sicherheitskonzept und damit deiner eigenen Konsequenz hängen.....

Um noch auf eine weitere Frage einzugehen:

Nein, eine "einfache" Lösung zwecks Programmausschlusses gibt es leider nicht - nur unbequeme, meist über die Registrierung.

Mein Rat: Wenn dich das Thema wirklich interessiert, dann solltest du dich mal über "Gruppenrichtlinien" belesen - möglichst mithilfe eines Buches, denn das Netz reicht maximal für einen (sehr) groben Überblick.

Liebe Grüße, Alois

Moinsen Alois,

vielen Dank für Deine ausführliche Antwort.

Was meinst Du mit, vor "Dir selbst schützen"? Ich muss gestehen, das ist mir nicht klar geworden. :confused:

Wenn ich das richtig verstehe, stellt die Konstellation Admin/Standardkonto+Passwort für Malware also kein größeres Problem dar, wie ich gehofft hatte? Gilt dies nur für den Fall, dass es einem solchen Schädling gelingt, das PW durch eine gefakte Eingabemaske o.ä. "abzugreifen" oder ist so etwas überhaupt nicht notwendig? In letzterem Fall würde ich bei den Einschränkungen, die diese Konstellation nach sich zieht, wohl darüber nachdenken, die Sache wieder rückgängig zu machen.

Grüße

Gern geschehen! :)

Vereinfacht ausgedrückt können all die obengenannten Beschränkungen lediglich verhindern, dass du selbst etwas "anstellst";
auf alles, was im System und seinen Bestandteilen selbst (auch der Browser gehört dazu) vor sich geht, haben diese Einstellungen keinen Einfluss.

Generell ist es daher schon sicherer, mit dieser Konstellation zu arbeiten -

aber am sichersten und besten ist es, wenn du dir dein eigenes Sicherheitskonzept erarbeitest - dann brauchst du diese Beschränkungen nicht mehr und bist ohne sie tatsächlich sicherer als je zuvor.

Vielleicht kann es dir aber auch jemand, der als Admin arbeitet, noch verständlicher erklären? :heilig:

Liebe Grüße, Alois

Die UAC ist doch nichts weiter als ein Kompromiss weil MS unter Windows seinen Kunden nie wirklich Systemsicherheit beibringen wollte, die haben doch erst für die breite Masse mit WinXP ein NT-Betriebssystem eingeführt, das eine Rechteverwaltung kannte...und dann wurde es halbherzig umgesetzt, der erste User war immer voller Admin ohne großartige Warnungen. Und viele ältere Anwendungen laufen nicht ohne Adminrechte, ja nichtmal mit aktiver UAC...aber das ist ne andere Geschichte, bei sowas sollte man mal überlegen diese Anwendungen auszulagern in ne VM oder so.

Mit der UAC ist man schlimmstenfalls nur ein Klick vom Unheil entfernt. Aber besser als nichts. Wer viel und oft administrative Rechte benötigt, für den mag es praktikabler sein, seinen Standard-Benutzer mit Adminrechten auszustatten aber dafür UAC aktiv. Wenn man ständig und tagtäglich sein Passwort wegen Adminrechte eingeben muss, hat hier nur etwas per "Fingerbewegungen", nachdenken was genau und warum eine Aktion plötzlich höhere Rechte muss (sollte) man eh immer.

Ich frag mich allerdings wer ständig Adminrechte braucht. Tut denn sowas not, dass sowas wie Crystal Disk Info im Autostart sein müssen :balla: ich bin der Meinung mal sollte den Autostart auf das allernötigste beschränken und wenn man es braucht => Rechtsklick auf die Programmverknüpfung => als anderer Benutzer ausführen

Ich bin da vielleicht etwas naiv, aber wenn man zur täglichen Arbeit ständig Admin Rechte benötigt- sehe ich das als Lücke im Sicherheitskonzept an.

(Es sei denn man arbeitet beruflich als Admin in einer Firma... )

Lieber Dackel, bei mir ist Theorie und Praxis vereint: UAC off und volle Adminrechte :D

"Brain turned on" fehlt noch, lieber "cosinus" :cool:

@Cosinus: seit wann verwendest du denn Puppy Linux ? Oder etwa Kali Linux ?

Brain.exe (bzw. brain.sh) sind natürlich wichtige Sicherheitsprogramme die auf keinem System fehlen sollten...

Auf der Arbeit verwende ich nur Microsoft Linux - the premier linux distro :blabla:

full adminrights plus deactivated UAC minus Brain = :crazy::kaffee::kaffee:

aus deinem Link:

:rofl: :huepp: :party:

Das hat schon was von Bullshit Bingo :blabla:

Und das tollste ist wenn man ein Problem hat kommt crapd zum Einsatz :lach:

Bullshit Bingo hin oder her - komischerweise erinnern mich diese Sprüche irgendwie an gewisse Werbeversprechen der IT-Branche..... :D

Vor ganz langer Zeit habe ich auch mal angefangen, mir ein eingeschränktes Konto einzurichten, hatte dabei aber irgendwelche allgemeinen Nutzungsprobleme.
Ist aber so lange her, das ich schon nicht mehr weiß, was es war.
Seitdem bin ich zwar mit allen möglichen Sicherheitsvorkehrungen, auch von hier, allerdings mit dem Adminkonto unterwegs.
Brain.exe 3.0 ist natürlich auch an.

Allerdings frage ich mich jetzt noch eins:
Wo ist bei der Sicherheit der Unterschied zwischen einem eingeschränkten Nutzerkonto und der grundsätzlichen Verwendung einer Sandbox im Adminkonto.
Wenn irgendetwas auf das System außerhalb der Sandbox zugreifen will, kommt ja auch stets eine Meldung, ob man das denn zulassen möchte.
Ist denn nicht die Sandbox mit einem eingeschränkten Nutzerkonto vergleichbar?

Und kann nicht Malware, die aus der SAndbox ausbrechen kann, genausgut auch aus dem eingeschränkten Konto ausbrechen?

Fragen über Fragen. :glaskugel:

Eine Infektion hatte ich in der gesamten Zeit noch keine, was doch wohl für meine Sicherheitsvorkehrungen spricht.