Geschützten Modus aktivieren
Diese Richtlinie steuert den geschützten Modus für Websites der Internetzone in Internet Explorer und für entsprechende Inhalte im Internet-Explorer-Modus von Microsoft Edge.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (2)
HKLM\Software\Policies\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\2500HKCU\Software\Policies\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\2500
Diese Richtlinie steuert den geschützten Modus für Websites der Internetzone in Internet Explorer und für entsprechende Inhalte im Internet-Explorer-Modus von Microsoft Edge. Der geschützte Modus führt Webinhalte mit einer niedrigen Integritätsstufe aus und beschränkt dadurch die Bereiche der Registrierung und des Dateisystems, in die der betreffende Prozess schreiben kann.
2500 ist ein REG_DWORD-Wert. Der Wert 0 aktiviert den geschützten Modus, der Wert 3 deaktiviert ihn. Bei aktivierter Richtlinie können Benutzer den geschützten Modus für die Internetzone nicht ausschalten; bei deaktivierter Richtlinie können sie ihn nicht einschalten. Ohne konfigurierte Richtlinie bleibt die Einstellung grundsätzlich durch den Benutzer änderbar, sofern keine andere Richtlinie dies verhindert.
Der Pfad unter HKLM gehört zur Computerkonfiguration, der Pfad unter HKCU zur Benutzerkonfiguration.
Hinweise
Sicherheit
Der geschützte Modus begrenzt die Auswirkungen von Sicherheitslücken in der Internet-Explorer-Engine. Schadcode, der innerhalb eines geschützten Prozesses ausgeführt wird, kann nicht ohne Weiteres in Dateien, Registrierungsschlüssel oder Prozesse mit einer höheren Integritätsstufe schreiben. Dadurch wird insbesondere das Verändern von Benutzer- und Systemeinstellungen sowie das dauerhafte Ablegen von Schadcode erschwert.
Die Einstellung verhindert jedoch weder das Ausnutzen einer Sicherheitslücke noch gewährt sie eine vollständige Isolation. Wird der geschützte Modus deaktiviert, entfällt diese zusätzliche Begrenzung für Inhalte der Internetzone; solche Inhalte können dann mit einer höheren Integritätsstufe ausgeführt werden und erhalten dadurch weiterreichende Schreibmöglichkeiten im Benutzerkontext.
Mögliche Nebenwirkungen
Webanwendungen, Add-ons oder eingebettete Browserkomponenten, die Schreibzugriffe außerhalb der für Prozesse mit niedriger Integritätsstufe zugelassenen Bereiche erwarten, können bei aktiviertem geschützten Modus eingeschränkt sein.
Verwendet ein Anmelde- oder Weiterleitungsablauf mehrere Sicherheitszonen mit unterschiedlichen Einstellungen für den geschützten Modus, können die beteiligten Inhalte mit unterschiedlichen Integritätsstufen ausgeführt werden. Bei bestimmten älteren Desktopanwendungen kann dies die Übergabe von Authentifizierungsdaten oder andere zonenübergreifende Interaktionen verhindern.
Hinweise
Die Einstellung gilt ausschließlich für die Internetzone, die durch den Zonenschlüssel 3 bezeichnet wird. Inhalte in der lokalen Intranetzone, der Zone „Vertrauenswürdige Sites“, der Zone „Eingeschränkte Sites“ oder der lokalen Computerzone werden durch deren eigene Zoneneinstellungen gesteuert.
Der geschützte Modus ist nicht mit dem separaten erweiterten geschützten Modus gleichzusetzen. Dieser erweitert die Beschränkungen unter anderem auf Lesezugriffe und wird durch andere Richtlinienwerte gesteuert.
Die eigenständige Internet-Explorer-11-Desktopanwendung ist auf vielen Windows-Versionen außer Betrieb. Der Internet-Explorer-Modus von Microsoft Edge unterstützt jedoch weiterhin Internet-Explorer-Richtlinien, die Sicherheitszonen und den geschützten Modus betreffen. Wenn die separate Richtlinie „Sicherheitszonen: Nur Computereinstellungen verwenden“ aktiv ist, werden für Sicherheitszonen ausschließlich Einstellungen des Computers berücksichtigt.
Microsoft-Dokumentation
Microsoft Learn: InternetExplorer-Richtlinien-CSP – InternetZoneEnableProtectedMode
Microsoft Learn: Internet Explorer-Einstellungen – Geschützten Modus aktivieren
Microsoft Learn: Was ist der Internet Explorer (IE)-Modus?