„Angeforderte Remoteunterstützung“ konfigurieren

Zweck

Registry-Schlüssel anzeigen (5)

• HKLM\Software\policies\Microsoft\Windows NT\Terminal Services\fAllowToGetHelp
• HKLM\Software\policies\Microsoft\Windows NT\Terminal Services\fAllowFullControl
• HKLM\Software\policies\Microsoft\Windows NT\Terminal Services\MaxTicketExpiry
• HKLM\Software\policies\Microsoft\Windows NT\Terminal Services\MaxTicketExpiryUnits
• HKLM\Software\policies\Microsoft\Windows NT\Terminal Services\fUseMailto

Diese computerbezogene Gruppenrichtlinie steuert die angeforderte Windows-Remoteunterstützung. Bei fAllowToGetHelp=1 können Benutzer andere Personen über eine Einladung um Hilfe bitten. Windows unterstützt hierfür Einladungen per E-Mail oder Dateiübertragung sowie Verbindungen, die über kompatible Chatprogramme eingeleitet werden. fAllowToGetHelp=0 unterbindet diese Formen der angeforderten Remoteunterstützung.

Die Werte sind REG_DWORD-Werte. Bei aktivierter Richtlinie bestimmen die weiteren Werte die zulässige Sitzungsart und die Eigenschaften der Einladung:

• fAllowFullControl=1 lässt zu, dass eine helfende Person die Fernsteuerung anfordern kann. Bei fAllowFullControl=0 ist nur das Anzeigen des Computers zulässig.
• MaxTicketExpiry enthält die maximale Gültigkeitsdauer einer per E-Mail oder Dateiübertragung erstellten Einladung.
• MaxTicketExpiryUnits legt die Einheit hierfür fest: 0 steht für Minuten, 1 für Stunden und 2 für Tage.
• fUseMailto=1 wählt den Mailto-Standard, bei dem der Empfänger über einen Internetlink zur Einladung gelangt. fUseMailto=0 wählt Simple MAPI (SMAPI), bei dem die Einladung als Anlage an die E-Mail angefügt wird.

Ist die Richtlinie nicht konfiguriert, können Benutzer die angeforderte Remoteunterstützung und ihre Optionen über die Windows-Systemeigenschaften selbst steuern.

Hinweise

Weitere Wirkungen

Die Richtlinie betrifft nur Sitzungen, die der Benutzer durch eine Hilfeanforderung beziehungsweise Einladung einleitet. Sie aktiviert keine angebotene, nicht angeforderte Remoteunterstützung und berechtigt keine festgelegte Supportgruppe dazu, ohne Einladung eine Verbindung herzustellen.

Die maximale Ticketzeit begrenzt lediglich, wie lange eine Einladung für den Verbindungsaufbau verwendet werden kann. Sie legt weder eine maximale Sitzungsdauer fest noch beendet sie eine bereits hergestellte Sitzung nach Ablauf dieser Zeit.

Sicherheit

Eine gültige Einladung eröffnet einer anderen Person einen vorgesehenen Zugangsweg zur interaktiven Sitzung des Benutzers. Ein längerer Gültigkeitszeitraum vergrößert daher das Zeitfenster, in dem eine weitergegebene oder abgefangene Einladung verwendet werden könnte. Einladungsdaten und zugehörige Zugangsinformationen sollten nur vertrauenswürdige Empfänger erhalten.

Mit fAllowFullControl=1 kann eine verbundene helfende Person Eingaben in der Sitzung vornehmen und dadurch Programme bedienen oder auf Daten zugreifen, die im Sicherheitskontext des angemeldeten Benutzers erreichbar sind. fAllowFullControl weist der helfenden Person jedoch weder ein Windows-Benutzerrecht noch ein Administratorkonto oder einen allgemeinen Dateizugriff zu. Für administrative Aktionen gelten weiterhin die Windows-Berechtigungen und die Benutzerkontensteuerung.

Bei fAllowFullControl=0 kann die helfende Person den angezeigten Desktop über die Remoteunterstützung betrachten, aber nicht fernsteuern. Auch eine reine Ansicht kann vertrauliche Informationen offenlegen, die während der Sitzung auf dem Bildschirm sichtbar sind.

Mögliche Nebenwirkungen

Ohne passende Windows-Firewallregeln kann die Remoteunterstützung trotz aktivierter Richtlinie keine Verbindung herstellen.

Die gewählte E-Mail-Methode muss vom verwendeten E-Mail-Programm unterstützt werden. Eine ungeeignete Auswahl kann verhindern, dass Einladungen korrekt erstellt oder verarbeitet werden. Unter Windows Vista ist diese Auswahl nicht verfügbar; dort wird ausschließlich SMAPI unterstützt.

Bei deaktivierter Richtlinie können Benutzer keine Einladungen für die klassische angeforderte Windows-Remoteunterstützung über E-Mail, Dateiübertragung oder kompatible Chatprogramme erstellen. Andere Fernunterstützungsprodukte wie Schnellhilfe, Remotedesktop oder Microsoft Intune Remote Help werden durch diese Richtlinie nicht konfiguriert.

Hinweise

fAllowToGetHelp ist der Hauptwert der Richtlinie. Die übrigen aufgeführten Werte sind Optionen dieser Richtlinie und entfalten ihre vorgesehene Wirkung nur im Zusammenhang mit aktivierter angeforderter Remoteunterstützung.

Die zugrunde liegende Gruppenrichtlinie und die klassische Windows-Remoteunterstützung existieren bereits in älteren Windows-Versionen.

Microsoft-Dokumentation

Microsoft Learn: Richtlinien-CSP – RemoteAssistance, Angeforderte Remoteunterstützung

Microsoft Learn: Microsoft-Windows-RemoteAssistance-Exe

Microsoft Learn: MaxTicketExpiryUnits

Siehe auch

• Eintrag in der Referenz