Nach Neustart automatisch anmelden und letzten interaktiven Benutzer sperren

Zweck

Registry-Schlüssel anzeigen (1)

• HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableAutomaticRestartSignOn

Der Wert steuert Winlogon Automatic Restart Sign-On (ARSO). ARSO meldet nach einem geeigneten Neustart oder nach dem Herunterfahren mit anschließendem Kaltstart den zuletzt interaktiv angemeldeten Benutzer automatisch wieder an. Windows sperrt die dadurch erstellte Sitzung unmittelbar, sodass weiterhin eine Authentifizierung erforderlich ist, um auf den Desktop zuzugreifen.

DisableAutomaticRestartSignOn ist ein Wert des Typs REG_DWORD mit umgekehrter Bedeutung:

• 0 lässt ARSO zu.
• 1 deaktiviert ARSO.

Die automatische Anmeldung findet nur statt, wenn sich der letzte interaktive Benutzer vor dem Neustart oder Herunterfahren nicht abgemeldet hat.

Hinweise

Weitere Wirkungen

ARSO ermöglicht Windows Update, benutzerspezifische Verarbeitungsschritte nach einem Neustart bereits vor der Rückkehr des Benutzers abzuschließen. Außerdem können die für den Benutzer vorgesehenen Sperrbildschirm-Apps in der automatisch angemeldeten und anschließend gesperrten Sitzung wieder ausgeführt werden.

Ob ARSO nur bei aktivem, nicht angehaltenem BitLocker oder unabhängig vom BitLocker-Status zulässig ist, wird durch die separate Einstellung AutomaticRestartSignOnConfig bestimmt. Diese Einstellung hat keine Wirkung, wenn DisableAutomaticRestartSignOn den Wert 1 besitzt.

Sicherheit

Für ARSO speichert die Local Security Authority Anmeldeinformationen beziehungsweise daraus abgeleitete Geheimnisse so, dass Winlogon die Sitzung nach dem Neustart wiederherstellen kann. Nach erfolgreicher automatischer Anmeldung werden die gespeicherten Anmeldeinformationen laut Microsoft unmittelbar vom Datenträger gelöscht. Die Sitzung bleibt dennoch eine tatsächlich angemeldete Benutzersitzung; die anschließende Sperre schützt lediglich den interaktiven Zugriff.

Microsoft weist darauf hin, dass ein Angreifer mit physischem Zugriff möglicherweise die zugrunde liegende Plattform-, Firmware- oder TPM-Sicherheit kompromittieren und auf die für ARSO gespeicherten Anmeldeinformationen zugreifen könnte. ARSO kann außerdem den Schutz von mit der Data Protection API (DPAPI) geschützten Benutzerdaten beeinträchtigen, weil deren Entschlüsselung innerhalb der automatisch wiederhergestellten Sitzung nicht erneut die interaktive Eingabe der Benutzeranmeldeinformationen voraussetzt.

Winlogon ARSO wird nicht zusammen mit Personal Data Encryption unterstützt. Für den Einsatz dieser Windows-Funktion muss ARSO deaktiviert sein.

Mögliche Nebenwirkungen

Bei DisableAutomaticRestartSignOn = 1 werden die Sperrbildschirm-Apps des zuletzt angemeldeten Benutzers nach einem Neustart nicht automatisch wieder gestartet. Benutzerspezifische Verarbeitungsschritte eines Updates können dann erst bei einer regulären Anmeldung fortgesetzt werden.

Hinweise

Auf Geräten, die mit Active Directory oder Microsoft Entra ID verbunden sind, gilt diese Richtlinie nur für durch Windows Update ausgelöste Neustarts. Auf nicht entsprechend verbundenen Geräten kann sie zusätzlich für benutzerinitiierte Neustarts sowie für Herunterfahren mit anschließendem Kaltstart gelten.

Wenn die Richtlinie nicht konfiguriert ist, beschreibt Microsoft das zugehörige Richtlinienverhalten als standardmäßig aktiviert. Das Fehlen des Registry-Werts ist daher nicht mit dem expliziten Wert 1 gleichzusetzen.

Microsoft-Dokumentation

Microsoft Learn: WindowsLogon-Richtlinien-CSP

Microsoft Learn: Winlogon Automatic Restart Sign-On (ARSO)

Microsoft Learn: Einstellungen und Konfiguration der Verschlüsselung personenbezogener Daten

Siehe auch

• Eintrag in der Referenz