Zum Inhalt springen
Setup FoundrySetup Foundry
ENAnmelden

Dokumentation · Richtlinien-Anhang

Anmeldung und Konten

Jede Einstellung des Pakets „Anmeldung und Konten“ mit Wirkung, Wert und Empfehlungsquellen.

seit 0.9.8.11

Zweck

Diese Seite nennt jede Einstellung des Pakets „Anmeldung und Konten“: was sie bewirkt, welchen Wert Setup Foundry setzt und wer sie empfiehlt. Sie wird aus dem Katalog erzeugt und nicht von Hand geändert.

21 Einstellungen, davon 15 mit spürbarer Nebenwirkung.

Hinweise

Admin-Anmeldung auf sicherem Desktop bei Rechteerhöhung für Standardnutzer erzwingen

Verlangt von Standardbenutzern bei Rechteerhöhung eine Admin-Anmeldung auf dem sicheren Desktop.

Administratorkonten bei Rechteerhöhung nicht auflisten

Verbirgt bei einer Rechteerhöhung (UAC) die Liste vorhandener Administratorkonten.

Anmeldepasswort nach dem Aufwachen aus dem Standby verlangen (Akkubetrieb)

Verlangt im Akkubetrieb ein Anmeldepasswort, wenn der Rechner aus dem Ruhezustand aufwacht.

Nebenwirkung: Ein zusätzlicher Anmeldebildschirm nach jedem Zuklappen und Wiederöffnen - üblich und von den meisten Nutzern erwartet.

Anmeldepasswort nach dem Aufwachen aus dem Standby verlangen (Netzbetrieb)

Verlangt im Netzbetrieb ein Anmeldepasswort, wenn der Rechner aus dem Ruhezustand aufwacht.

Nebenwirkung: Ein zusätzlicher Anmeldebildschirm nach dem Standby - das ist aber ohnehin die übliche, von den meisten Nutzern erwartete Voreinstellung.

Nach Neustart nicht automatisch wieder anmelden

Verhindert, dass Windows nach einem automatischen Neustart den zuletzt angemeldeten Benutzer von selbst wieder anmeldet und den Bildschirm entsperrt.

Nebenwirkung: Nach einem Update-Neustart muss der Nutzer Kennwort oder PIN erneut eingeben, statt dass die Sitzung automatisch weiterläuft.

Nachladen fremder Sicherheitsmodule in den Anmeldedienst LSASS verbieten

Verbietet das Nachladen zusätzlicher, nicht von Windows mitgelieferter Sicherheitsmodule (SSPs/APs) in den LSASS-Prozess.

Nebenwirkung: Nur in seltenen Fällen betroffen: manche VPN- oder Single-Sign-On-Lösungen bringen ein eigenes Sicherheitsmodul mit, das dann nicht mehr lädt.

Nur anonyme Anmeldung bei Websites der eingeschraenkten Zone erzwingen

Legt fest, dass sich Internet Explorer bei Websites der Zone „Eingeschränkte Sites“ nur anonym anmeldet, nie mit echten Zugangsdaten.

Nebenwirkung: Eine integrierte Windows-Authentifizierung gegenüber als eingeschränkt eingestuften Websites schlägt fehl, weil kein Konto übergeben wird; im normalen Alltag betrifft das praktisch keine legitime Seite.

Vollen Admin-Zugriff lokaler Konten übers Netzwerk einschränken

Sorgt dafür, dass lokale Administratorkonten bei einer Anmeldung übers Netz nur ein eingeschränktes Zugriffstoken statt voller Administratorrechte bekommen.

Nebenwirkung: Im normalen Arbeitsalltag keine; betroffen ist ausschließlich administrativer Fernzugriff über lokale Konten, den Privatnutzer praktisch nie verwenden.

Anonyme Aufzaehlung von SAM-Konten verbieten

Der DWORD-Wert 1 entspricht dem aktivierten Zustand dieser Windows-Sicherheitsoption. Er verhindert, dass nicht authentifizierte Verbindungen die vom Security Accounts Manager (SAM) verwalteten Kontonamen anonym aufzählen.

Benutzerkontensteuerung: Admin-Genehmigungsmodus für das eingebaute Administratorkonto

Der DWORD-Wert FilterAdministratorToken mit den Wertdaten 1 versetzt ausschließlich das integrierte Administratorkonto – das lokale Konto mit der relativen ID (RID) 500 – in den Administratorgenehmigungsmodus der Benutzerkontensteuerung (UAC).

Nebenwirkung: Wer das eingebaute Administratorkonto aktiv nutzt, bekommt zusätzliche Bestätigungsdialoge.

LSASS als geschuetzten Prozess konfigurieren (RunAsPPL)

Lässt den zentralen Anmeldedienst LSASS als geschützten Prozess mit UEFI-Sperre laufen und erschwert so das Auslesen von Zugangsdaten.

Nebenwirkung: Sehr alte, nicht Microsoft-signierte Sicherheits- oder Smartcard-Treiber können nach der Aktivierung nicht mehr laden; wegen der UEFI-Verankerung lässt sich der Schutz danach nur über einen gezielten Wiederherstellungsschritt wieder abschalten, nicht per einfachem Registry-Rückbau.

Lokale Konten mit leerem Kennwort vom Netzwerkzugriff ausschliessen

Der Wert LimitBlankPasswordUse ist ein DWORD-Wert und bildet die gleichnamige Windows-Sicherheitsoption ab. Der Wert 1 aktiviert die Beschränkung: Ein lokales Benutzerkonto mit leerem Kennwort kann nicht für Netzwerk- oder interaktive Remoteanmeldungen verwendet werden. Davon betroffen sind beispielsweise Anmeldungen über Remotedesktopdienste sowie Netzwerkdienste, die Windows-Anmeldeinformationen verwenden.

Nebenwirkung: Ist unter Windows 11 bereits Standard; betrifft nur die seltenen Fälle eines absichtlich kennwortlosen lokalen Kontos.

Speicherung des LAN-Manager-Passwort-Hashs verhindern

Der DWORD-Wert NoLMHash mit den Wertdaten 1 verhindert, dass Windows beim nächsten Festlegen oder Ändern eines Kontokennworts einen LAN-Manager-Kennworthash (LM-Hash) erzeugt und speichert. Für lokale Konten betrifft dies die lokale SAM-Datenbank; auf Domänencontrollern betrifft es die in Active Directory gespeicherten Kennwortdaten der Domänenkonten.

UAC-Bestätigungsdialog für Administratoren auf „Ja/Nein“ umstellen

Der DWORD-Wert 2 legt fest, dass Administratoren im Administratorbestätigungsmodus einer angeforderten Rechteerweiterung auf dem sicheren Desktop ausdrücklich zustimmen oder sie ablehnen müssen. Die UAC-Eingabeaufforderung stellt dafür die Auswahl „Ja“ oder „Nein“ bereit; Administratoranmeldeinformationen werden nicht verlangt.

Nebenwirkung: Ein zusätzlicher Klick bei Installationen und Systemänderungen.

UAC: Alle Administratoren im Admin-Genehmigungsmodus laufen lassen

Der DWORD-Wert EnableLUA steuert, ob die Benutzerkontensteuerung (User Account Control, UAC) und der Administratorbestätigungsmodus systemweit aktiv sind. Der Wert 1 aktiviert diese Funktionen.

Nebenwirkung: Ohne UAC-Bestaetigungen würde jede Software automatisch mit vollen Rechten laufen; mit aktivem UAC erscheinen bei Installationen/Systemänderungen die bekannten Bestätigungsdialoge.

WDigest-Authentifizierung deaktivieren

Der DWORD-Wert UseLogonCredential steuert, ob WDigest Anmeldeinformationen im Arbeitsspeicher speichert. Beim Wert 0 speichert WDigest keine Kennwortanmeldeinformationen für die spätere Wiederverwendung im Arbeitsspeicher.

Kamera-Schnellzugriff vom Sperrbildschirm entfernen

Entfernt die Kamera-Schnellzugriffstaste vom Sperrbildschirm.

Nebenwirkung: Wer den schnellen Kamerazugriff ohne Anmeldung gewohnt war, verliert diesen Weg; die Kamera-App bleibt nach dem Einloggen normal nutzbar.

Tinte-Arbeitsbereich zulassen, aber vor Anmeldung sperren

Aktiviert den Tintenarbeitsbereich, sperrt ihn aber vor der Anmeldung am Gerät.

Automatisches Nachschieben von Store-Apps per Push-to-Install unterbinden

Diese computerweit geltende Richtlinie steuert, ob Benutzer Apps über den Microsoft Store auf anderen Geräten oder im Web zur Installation an dieses Gerät senden können.

Nebenwirkung: Die „Auf diesem Gerät installieren“-Funktion aus dem Microsoft Store auf anderen Geräten funktioniert dann nicht mehr.

LSASS-Prozess vor Codeeinschleusung schützen (LSA-Schutz)

Lässt den LSASS-Prozess (Anmeldedaten-Speicher) als geschützten Prozess mit UEFI-Sperre laufen, um Codeeinschleusung zu verhindern.

Nebenwirkung: Normalerweise nichts spürbar; nur vereinzelte, ältere unsignierte Treiber (z. B. manche Smartcard-Treiber), die sich in den Prozess einklinken wollen, laden dann nicht mehr.

  • Technisch:
    • Richtlinie: HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\System\RunAsPPL = 1 (REG_DWORD)
    • Bedeutung des Werts: 1 = LSA-Schutz aktiviert MIT UEFI-Sperre; 2 = aktiviert OHNE UEFI-Sperre (nur Windows 11 22H2 und neuer); 0 bzw. gelöscht = deaktiviert.
  • Schalter in der App: Richtlinien › Anmeldung und Konten
  • Empfohlen von: Windows 11 v25H2 Security Baseline

LanMan-Authentifizierung auf „nur NTLMv2, LM/NTLM ablehnen“ setzen

Der DWORD-Wert 5 entspricht der Sicherheitseinstellung Nur NTLMv2-Antworten senden. LM und NTLM verweigern. Bei Netzwerkanmeldungen, für die NTLM-basierte Anforderungs-/Antwortauthentifizierung verwendet wird, erzeugt der Computer als Client ausschließlich NTLMv2-Antworten. NTLMv2-Sitzungssicherheit wird verwendet, sofern die Gegenstelle sie unterstützt.

Nebenwirkung: Sehr alte Geräte oder Software, die nur LM/NTLMv1 sprechen, können die Verbindung verlieren - bei modernen Windows-11-Umgebungen unkritisch. Kann sehr alte Geräte oder NAS-Systeme aus der Windows-XP-Aera aussperren, die nur klassisches NTLM/LM sprechen; moderne Geräte sind nicht betroffen.

Siehe auch