Benutzerkontensteuerung: Alle Administratoren im Administratorbestätigungsmodus ausführen
Der DWORD-Wert `EnableLUA` steuert, ob die Benutzerkontensteuerung (User Account Control, UAC) und der Administratorbestätigungsmodus systemweit aktiv sind.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (1)
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\EnableLUA
Der DWORD-Wert EnableLUA steuert, ob die Benutzerkontensteuerung (User Account Control, UAC) und der Administratorbestätigungsmodus systemweit aktiv sind. Der Wert 1 aktiviert diese Funktionen.
Mitglieder der lokalen Gruppe „Administratoren“ führen gewöhnliche Anwendungen dadurch standardmäßig mit einem gefilterten Zugriffstoken und nicht mit ihren vollständigen administrativen Berechtigungen aus. Benötigt ein Vorgang erhöhte Rechte, kann Windows einen Prozess mit dem administrativen Zugriffstoken starten. Ob dabei eine Zustimmungs- oder Anmeldeinformationsaufforderung erscheint, richtet sich nach den weiteren UAC-Sicherheitsoptionen.
Die Einstellung entfernt weder die Mitgliedschaft in der Administratorengruppe noch die damit verbundenen Rechte. Sie trennt vielmehr die normale Programmausführung von ausdrücklich erhöht ausgeführten Prozessen.
Hinweise
Weitere Wirkungen
EnableLUA=1 ist eine grundlegende Voraussetzung für die zugehörigen UAC-Richtlinien und -Funktionen. Dazu gehören unter anderem das konfigurierbare Verhalten von Eingabeaufforderungen für erhöhte Rechte, die Erkennung bestimmter Installationsprogramme sowie die Datei- und Registrierungsvirtualisierung für geeignete ältere Anwendungen. Welche dieser Funktionen tatsächlich verwendet werden, bestimmen zusätzliche UAC-Einstellungen und die Eigenschaften der jeweiligen Anwendung.
Für das integrierte Administratorkonto legt EnableLUA allein nicht abschließend fest, ob es mit einem gefilterten Zugriffstoken arbeitet. Dessen Verhalten wird zusätzlich durch die separate Sicherheitsoption „Benutzerkontensteuerung: Administratorbestätigungsmodus für das integrierte Administratorkonto“ beziehungsweise den Registry-Wert FilterAdministratorToken beeinflusst.
Sicherheit
Die Trennung zwischen dem gefilterten Standardzugriffstoken und dem administrativen Zugriffstoken begrenzt die Rechte, mit denen Anwendungen im normalen Benutzerkontext eines Administrators ausgeführt werden. Dadurch erhält beispielsweise unbeabsichtigt gestarteter oder schädlicher Code nicht allein deshalb sofort administrative Ausführungsrechte, weil der angemeldete Benutzer Mitglied der Administratorengruppe ist.
UAC stellt jedoch keine eigenständige Sicherheitsgrenze dar und verhindert eine Rechteerweiterung nicht in jedem Fall. Genehmigt ein Administrator eine Anforderung für erhöhte Rechte, wird der betreffende Prozess mit den verfügbaren administrativen Berechtigungen ausgeführt. Das konkrete Sicherheitsniveau hängt daher auch von den übrigen UAC-Richtlinien und vom Umgang mit Erhöhungsanforderungen ab.
Mögliche Nebenwirkungen
Administrative Programme und Aufgaben können eine Rechteerweiterung erfordern und – abhängig von den weiteren UAC-Einstellungen – eine Eingabeaufforderung auslösen. Ältere Anwendungen, die ohne passende Manifeste oder Berechtigungen in geschützte Systembereiche schreiben, können ein verändertes Verhalten zeigen. Eine gegebenenfalls verfügbare Datei- und Registrierungsvirtualisierung hängt von separaten Einstellungen und der Eignung der Anwendung ab.
Hinweise
EnableLUA ist ein computerweiter DWORD-Wert. Eine Änderung dieser Einstellung wird erst nach einem Neustart vollständig wirksam.
Der Wert 1 aktiviert das UAC-Grundmodell, legt aber nicht selbst fest, wie einzelne Erhöhungsanforderungen behandelt oder angezeigt werden. Hierfür gelten die jeweils konfigurierten UAC-Sicherheitsoptionen.
Microsoft-Dokumentation
Microsoft Learn: Einstellungen und Konfiguration der Benutzerkontensteuerung
Microsoft Learn: Richtlinien-CSP – LocalPoliciesSecurityOptions