Download von unsignierten ActiveX-Steuerelementen
Diese Richtlinieneinstellung steuert, ob Seiten in der Internetzone unsignierte ActiveX-Steuerelemente herunterladen dürfen.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (2)
HKLM\Software\Policies\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\1004HKCU\Software\Policies\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\1004
Diese Richtlinieneinstellung steuert, ob Seiten in der Internetzone unsignierte ActiveX-Steuerelemente herunterladen dürfen. Der Wert 1004 entspricht der URL-Aktion URLACTION_DOWNLOAD_UNSIGNED_ACTIVEX; die Zonennummer 3 bezeichnet die Internetzone.
Der Wert ist vom Typ REG_DWORD. Die unterstützten Richtlinienwerte sind:
0: Das Herunterladen wird ohne Rückfrage zugelassen.1: Der Benutzer wird gefragt, ob das Steuerelement zugelassen werden soll.3: Das Herunterladen wird blockiert.
Die Einstellung betrifft ausschließlich ActiveX-Steuerelemente ohne digitale Signatur. Ob ein heruntergeladenes oder bereits vorhandenes Steuerelement ausgeführt, initialisiert oder durch Skripts angesprochen werden darf, hängt zusätzlich von anderen ActiveX- und Sicherheitszoneneinstellungen ab.
Hinweise
Sicherheit
Mit dem Wert 0 können Webseiten der Internetzone unsignierten ActiveX-Code ohne Benutzerbestätigung bereitstellen. Da keine digitale Signatur zur Überprüfung des Herausgebers und der Codeintegrität vorhanden ist, steigt das Risiko, manipulierte oder schädliche Steuerelemente zu laden. Welche Aktionen ein solches Steuerelement anschließend ausführen kann, wird jedoch weiterhin durch dessen Ausführungskontext, die Berechtigungen des Benutzers und weitere Sicherheitsrichtlinien begrenzt.
Der Wert 1 verlagert die Entscheidung auf den Benutzer. Dies verhindert einen unbeaufsichtigten Download, bietet aber keinen verlässlichen Schutz, wenn eine irreführende Webseite den Benutzer zur Zustimmung bewegt.
Der Wert 3 blockiert diese Downloadmöglichkeit und verringert damit die Angriffsfläche für unsignierten ActiveX-Code aus der Internetzone.
Mögliche Nebenwirkungen
Das Blockieren kann ältere Webanwendungen beeinträchtigen, die ein nicht signiertes ActiveX-Steuerelement erstmals herunterladen müssen. Bereits installierte Steuerelemente werden durch diese Einstellung allein nicht grundsätzlich gesperrt; für ihre Ausführung und Skriptverwendung gelten eigene Richtlinien.
Hinweise
Die Einstellung gilt nur für Inhalte, die der Internetzone zugeordnet sind. Befindet sich eine Website beispielsweise in der Zone „Lokales Intranet“ oder „Vertrauenswürdige Sites“, ist der entsprechende Wert im Schlüssel dieser Zone maßgeblich.
Der Pfad unter HKCU enthält die benutzerbezogene Richtlinie, der Pfad unter HKLM die computerbezogene Richtlinie. Ist die Richtlinie „Sicherheitszonen: Nur Computereinstellungen verwenden“ wirksam, werden für Sicherheitszonen ausschließlich die Computereinstellungen berücksichtigt.
ActiveX wird im normalen Chromium-Modus von Microsoft Edge nicht verwendet. Im Internet-Explorer-Modus unterstützt Microsoft Edge jedoch ActiveX-Steuerelemente und berücksichtigt Internet-Explorer-Richtlinien für Sicherheitszonen.
Diese Einstellung ist nicht mit Richtlinien für ungültige Signaturen oder mit den separaten Einstellungen zum Ausführen, Initialisieren und Skripten von ActiveX-Steuerelementen gleichzusetzen.
Microsoft-Dokumentation
Microsoft Learn: Richtlinien-CSP – InternetExplorer: InternetZoneDownloadUnsignedActiveXControls
Microsoft Learn: Was ist der Internet Explorer-Modus?