Installation von Geräten mit Treibern verhindern, die diesen Gerätesetupklassen entsprechen
Diese Computerrichtlinie verhindert die Installation und Aktualisierung von Treiberpaketen, deren Gerätesetupklassen-GUID in der Sperrliste enthalten ist.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (3)
HKLM\Software\Policies\Microsoft\Windows\DeviceInstall\Restrictions\DenyDeviceClassesHKLM\Software\Policies\Microsoft\Windows\DeviceInstall\Restrictions\DenyDeviceClassesRetroactiveHKLM\Software\Policies\Microsoft\Windows\DeviceInstall\Restrictions\DenyDeviceClasses\<Wertname>
Diese Computerrichtlinie verhindert die Installation und Aktualisierung von Treiberpaketen, deren Gerätesetupklassen-GUID in der Sperrliste enthalten ist. Gerätesetupklassen fassen Geräte zusammen, die von Windows auf vergleichbare Weise installiert und konfiguriert werden. Die Richtlinie kann daher eine ganze Geräteklasse betreffen und ist nicht auf ein bestimmtes Gerätemodell oder eine einzelne Geräteinstanz beschränkt.
Der Wert DenyDeviceClasses unter dem Schlüssel Restrictions aktiviert die Einschränkung. Die unter dem gleichnamigen Unterschlüssel DenyDeviceClasses gespeicherten Zeichenfolgenwerte enthalten die gesperrten Gerätesetupklassen-GUIDs. Die Namen dieser Listeneinträge dienen ihrer Nummerierung; entscheidend sind die als Wertdaten gespeicherten GUIDs.
Ohne die rückwirkende Anwendung verhindert die Richtlinie neue Installationen und Treiberaktualisierungen, lässt aber bereits installierte Geräte grundsätzlich unberührt. DenyDeviceClassesRetroactive erweitert die Einschränkung auf passende Geräte, die bereits installiert sind.
Hinweise
Weitere Wirkungen
Auf einem Remotedesktop-Sitzungshost wirkt sich die Richtlinie auch auf die Umleitung passender Geräte von einem Remotedesktopclient zum Host aus.
Standardmäßig haben Richtlinien, die eine Geräteinstallation verhindern, Vorrang vor Richtlinien, die sie zulassen. Ist zusätzlich die Richtlinie zur mehrstufigen Auswertungsreihenfolge aktiviert, werden sich überschneidende Regeln nach ihrer Spezifität ausgewertet: Geräteinstanz-ID vor Geräte-ID, Gerätesetupklasse und schließlich Wechselgerät. Dadurch kann eine spezifischere Zulassungsregel eine allgemeinere Klassensperre für das betreffende Gerät übersteuern.
Sicherheit
Die Richtlinie kann verhindern, dass Geräte aus nicht zugelassenen Setupklassen neu eingerichtet oder durch ein anderes Treiberpaket aktualisiert werden. Dies kann die Verwendung unerwünschter Peripheriegeräte einschränken und damit die Angriffsfläche durch solche Geräte reduzieren.
Sie ist jedoch keine allgemeine Zugriffsrichtlinie für die Funktionen oder Daten eines Geräts. Insbesondere entzieht eine nicht rückwirkende Klassensperre einem bereits installierten Gerät nicht automatisch den Zugriff und ersetzt keine Richtlinien, die beispielsweise den Lese- oder Schreibzugriff auf Wechselmedien steuern.
Mögliche Nebenwirkungen
Gerätesetupklassen können sehr weit gefasst sein. Bei rückwirkender Anwendung können deshalb auch für den Betrieb benötigte Geräte unbrauchbar werden. Microsoft nennt unter anderem interne Datenträger und Netzwerkgeräte als kritische Beispiele. Je nach gesperrter Klasse können Startfähigkeit, Netzwerkzugang oder lokale Eingabemöglichkeiten verloren gehen.
Multifunktions- und Verbundgeräte bestehen häufig aus mehreren Plug-&-Play-Knoten mit unterschiedlichen Klassen-GUIDs. Eine Klassensperre kann daher nur einzelne Funktionen eines Geräts treffen oder durch die Sperre eines übergeordneten Knotens mehrere untergeordnete Funktionen beeinträchtigen.
Hinweise
Die Richtlinie gilt für den Computer und damit für alle Benutzer dieses Computers. Eine Gerätesetupklasse wird durch eine GUID in geschweiften Klammern dargestellt. Da ein physisches Gerät mehreren Knoten im Plug-&-Play-Gerätebaum zugeordnet sein kann, bestimmt erst die Gesamtheit der betroffenen Klassen-GUIDs, welche Gerätefunktionen tatsächlich blockiert werden.
Die deutsche Microsoft-Dokumentation verwendet teilweise abweichende Übersetzungen des Anzeigenamens; der technische Richtlinienbezeichner und die Registry-Zuordnung sind davon nicht betroffen.
Microsoft-Dokumentation
Microsoft Learn: Verwalten der Geräteinstallation mit Gruppenrichtlinien