Benutzerkontensteuerung: Administratorgenehmigungsmodus für das integrierte Administratorkonto
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (1)
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\FilterAdministratorToken
Der DWORD-Wert FilterAdministratorToken mit den Wertdaten 1 versetzt ausschließlich das integrierte Administratorkonto – das lokale Konto mit der relativen ID (RID) 500 – in den Administratorgenehmigungsmodus der Benutzerkontensteuerung (UAC).
Das Konto arbeitet dadurch bei der normalen Programmausführung ohne automatisch aktivierte Administratorrechte. Fordert ein Vorgang erhöhte Rechte an, kann Windows eine UAC-Abfrage anzeigen, über die Sie die Rechteerweiterung zulassen oder verweigern. Nach einer Genehmigung wird der betreffende Prozess mit den höchsten für dieses Konto verfügbaren Rechten ausgeführt.
Hinweise
Sicherheit
Die Einstellung verringert das Risiko, dass Programme unbemerkt mit den vollständigen Rechten des integrierten Administratorkontos ausgeführt werden. Sie entzieht dem Konto jedoch weder seine Administratorrechte noch verhindert sie eine Rechteerweiterung: Wird eine Anforderung genehmigt, erhält der betreffende Prozess die erhöhten Rechte.
Die tatsächliche Schutzwirkung hängt außerdem von den übrigen UAC-Einstellungen ab. Insbesondere bestimmt die Richtlinie für das Verhalten der Eingabeaufforderung für Administratoren, ob eine Zustimmung oder Anmeldeinformation verlangt wird oder ob eine Rechteerweiterung ohne Abfrage erfolgen darf.
Mögliche Nebenwirkungen
Benutzer des integrierten Administratorkontos erhalten bei Vorgängen, die erhöhte Rechte benötigen, zusätzliche UAC-Abfragen. Anwendungen oder administrative Aufgaben, die zuvor unmittelbar mit vollständigen Administratorrechten ausgeführt wurden, können eine ausdrückliche Genehmigung erfordern oder bei verweigerter Rechteerweiterung nicht vollständig funktionieren.
Hinweise
Die Einstellung gilt nur für das integrierte Administratorkonto mit RID 500, auch wenn dieses Konto umbenannt wurde. Sie verändert nicht unmittelbar das UAC-Verhalten anderer Konten in der lokalen Administratorengruppe.
Der Wert ist Teil der UAC-Konfiguration. Ist der Administratorgenehmigungsmodus systemweit über EnableLUA deaktiviert, sind auch die zugehörigen UAC-Richtlinien nicht wirksam. Für bereits bestehende Anmeldesitzungen kann eine erneute Anmeldung erforderlich sein, bevor das geänderte Verhalten vollständig gilt.
Microsoft-Dokumentation
Microsoft Learn: MS-GPSB – FilterAdministratorToken