Konfiguriert LSASS für die Ausführung als geschützter Prozess
Der Registrierungswert `RunAsPPL` legt fest, ob der Prozess der lokalen Sicherheitsautorität (`LSASS.exe`) mit zusätzlichem LSA-Schutz als Protected Process Light (PPL) ausgeführt wird.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (1)
HKLM\System\CurrentControlSet\Control\Lsa\RunAsPPL
Der Registrierungswert RunAsPPL legt fest, ob der Prozess der lokalen Sicherheitsautorität (LSASS.exe) mit zusätzlichem LSA-Schutz als Protected Process Light (PPL) ausgeführt wird. LSASS verarbeitet unter anderem lokale und entfernte Anmeldungen, setzt lokale Sicherheitsrichtlinien durch und verwaltet dafür benötigte Anmeldeinformationen.
Der Wert hat den Datentyp REG_DWORD. Microsoft dokumentiert folgende Wertdaten:
1: Aktiviert den LSA-Schutz und verwendet auf geeigneten Systemen eine in der UEFI-Firmware gespeicherte Variable.2: Aktiviert den LSA-Schutz ohne UEFI-Sperre. Diese Wertdaten werden erst ab Windows 11, Version 22H2, erzwungen.0: Deaktiviert den über diesen Registrierungswert gesteuerten LSA-Schutz, sofern keine weiterhin wirksame UEFI-Sperre besteht.
Eine Änderung wird beim nächsten Systemstart wirksam.
Hinweise
Weitere Wirkungen
Bei der Einstellung mit UEFI-Sperre wird die Schutzkonfiguration auf Geräten mit geeigneter UEFI- und Secure-Boot-Unterstützung in der Firmware verankert. Anschließende Änderungen am Registrierungswert oder an einer Richtlinie können diese Firmwareeinstellung nicht aufheben. Auf Geräten ohne nutzbare UEFI-/Secure-Boot-Unterstützung beruht der Schutz dagegen allein auf der Registrierungskonfiguration.
Der LSA-Schutz und Windows Defender Credential Guard ergänzen sich, sind aber unterschiedliche Funktionen. RunAsPPL aktiviert nicht automatisch die VBS-basierte Geheimnisisolierung von Credential Guard.
Sicherheit
Als geschützter Prozess verweigert LSASS nicht geschützten Prozessen bestimmte Zugriffe auf seinen Speicher und erschwert das Einschleusen nicht vertrauenswürdigen Codes. Dadurch sinkt insbesondere das Risiko, dass Schadsoftware von LSASS verwaltete Anmeldeinformationen durch Speicherzugriffe oder Code Injection entwendet.
Die UEFI-gesperrte Variante bietet zusätzlichen Schutz gegen eine nachträgliche Deaktivierung über Registrierung oder Richtlinien. Ohne UEFI-Sperre kann ein Angreifer mit ausreichenden Rechten die Konfiguration verändern; die Deaktivierung wird nach einem Neustart wirksam.
Der Wert schützt nicht sämtliche Anmeldeinformationen unter allen Umständen und ersetzt weder Credential Guard noch andere Maßnahmen zum Schutz privilegierter Konten und Authentifizierungsdaten.
Mögliche Nebenwirkungen
LSA-Plug-Ins und Treiber müssen die Signatur- und Sicherheitsanforderungen für geschützte Prozesse erfüllen. Nicht kompatible Komponenten können nicht in LSASS geladen werden. Betroffen sein können beispielsweise Smartcardtreiber, kryptografische Plug-Ins, Kennwortfilter und Komponenten für Kennwortänderungsbenachrichtigungen.
Auch signierte Komponenten können abgewiesen werden, wenn sie unzulässige freigegebene Speicherabschnitte verwenden oder andere Anforderungen des geschützten Prozessmodells nicht erfüllen. Dadurch können von diesen Komponenten bereitgestellte Anmelde-, Smartcard- oder Kennwortfunktionen ausfallen. An einen als geschützten Prozess ausgeführten LSASS kann außerdem kein Debugger zum Debuggen benutzerdefinierter LSA-Plug-Ins angefügt werden.
Hinweise
Die Registrierungssteuerung über HKLM\System\CurrentControlSet\Control\Lsa\RunAsPPL wird von Microsoft für Windows 8.1 und höher sowie Windows Server 2012 R2 und höher dokumentiert. Der Wert 2 ohne UEFI-Sperre ist jedoch erst ab Windows 11, Version 22H2, wirksam.
Der gleichnamige ADMX-Richtlinieneintrag unter „System > Lokale Sicherheitsautorität“ ist eine eigene Richtlinienschnittstelle für Windows 11, Version 22H2 und höher und wird dem Richtlinienzweig Software\Policies\Microsoft\Windows\System zugeordnet. Er darf nicht mit dem hier dokumentierten direkten Systemwert RunAsPPL gleichgesetzt werden.
Ein fehlender RunAsPPL-Wert bedeutet auf neu installierten Windows-11-Systemen nicht zwingend, dass der Schutz ausgeschaltet ist. Seit Windows 11, Version 22H2, kann Windows den LSA-Schutz auf geeigneten, unternehmensgebundenen und HVCI-fähigen Clientgeräten automatisch ohne UEFI-Sperre aktivieren.
Microsoft-Dokumentation
Microsoft Learn: Konfigurieren des hinzugefügten LSA-Schutzes
Microsoft Learn: LocalSecurityAuthority-Richtlinien-CSP