Geräte und Wechselmedien

seit 0.9.8.11

Zweck

Diese Seite nennt jede Einstellung des Pakets „Geräte und Wechselmedien“: was sie bewirkt, welchen Wert Setup Foundry setzt und wer sie empfiehlt. Sie wird aus dem Katalog erzeugt und nicht von Hand geändert.

9 Einstellungen, davon 3 mit spürbarer Nebenwirkung.

Hinweise

Autorun-Befehle auf Wechselmedien komplett unterbinden

Schaltet die automatische Ausführung von Autorun-Befehlen beim Einlegen von Medien komplett ab.

• Technisch:
  • Richtlinie: HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoAutorun = 1 (REG_DWORD)
  • Bedeutung des Werts: 1 = Autorun-Befehle werden komplett unterbunden (nicht ausgeführt); laut Richtlinienbeschreibung stehen alternativ Werte für Rückfrage (Standard) und automatisches Ausführen wie vor Windows Vista zur Verfügung, deren genaue Zahlen auf der eingesehenen Quelle nicht tabellarisch aufgeführt waren.
• Schalter in der App: Richtlinien › Geräte und Wechselmedien
• Ausführlich: Standardverhalten von AutoAusführen festlegen
• Quelle: Microsoft Learn: Richtlinien-CSP – Automatische Wiedergabe – SetDefaultAutoRunBehavior
• Empfohlen von: Windows 11 v25H2 Security Baseline

BitLocker-Wechseldatenträger unabhängig von Organisationskennung beschreibbar lassen

Lässt BitLocker-geschützte Wechseldatenträger aus fremden Organisationen weiterhin beschreibbar - die Organisationsprüfung ist hier nicht aktiv.

• Technisch:
  • Richtlinie: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\FVE\RDVDenyCrossOrg = 0 (REG_DWORD)
  • Bedeutung des Werts: 0 = Zusatzoption „Schreibzugriff auf Geräte aus anderen Organisationen verweigern“ ist aus; 1 = wäre aktiviert (Schreibzugriff nur mit passender Organisationskennung).
• Schalter in der App: Richtlinien › Geräte und Wechselmedien
• Ausführlich: Schreibzugriff auf Wechseldatenträger verweigern, die nicht durch BitLocker geschützt sind
• Quelle: Microsoft Learn: Konfigurieren von BitLocker – Schreibzugriff auf Wechseldatenträger verweigern
• Empfohlen von: Windows 11 v25H2 Security Baseline

Druckertreiber-Installation nur für Administratoren erlauben

Erlaubt nur Administratoren, neue Druckertreiber auf diesem Rechner zu installieren.

Nebenwirkung: Auf Rechnern mit reinem Standardbenutzer-Konto schlägt das Verbinden mit einem Drucker fehl, dessen Treiber fehlt; bei unseren Kunden ist der Hauptnutzer aber i. d. R. selbst Administrator seines Geräts.

• Technisch:
  • Richtlinie: HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint\RestrictDriverInstallationToAdministrators = 1 (REG_DWORD)
  • Bedeutung des Werts: 1 = aktiviert bzw. Standard - Treiberinstallation nur für Administratoren; 0 = auch Standardbenutzer dürfen neue Treiber installieren
• Schalter in der App: Richtlinien › Geräte und Wechselmedien
• Ausführlich: Beschränkt die Installation von Druckertreibern auf Administratoren
• Quelle: Microsoft Learn: Drucker-Richtlinien-CSP – RestrictDriverInstallationToAdministrators
• Empfohlen von: Windows 11 v25H2 Security Baseline

Gesperrte Gerätetreiber-Klasse auch bei bereits angeschlossenen Geräten durchsetzen

Wendet die Geräteklassen-Sperre auch rückwirkend auf bereits installierte Geräte an, statt nur auf neue.

• Technisch:
  • Richtlinie: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceInstall\Restrictions\DenyDeviceClassesRetroactive = 1 (REG_DWORD)
  • Bedeutung des Werts: 0/nicht gesetzt = nur neue Geräte werden blockiert, bestehende laufen weiter; 1 = auch bereits installierte Geräte der gesperrten Klasse werden deaktiviert.
• Schalter in der App: Richtlinien › Geräte und Wechselmedien
• Ausführlich: Installation von Geräten mit Treibern verhindern, die diesen Gerätesetupklassen entsprechen
• Quelle: Microsoft Learn: DeviceInstallation-Richtlinien-CSP – Verhindern der Installation übereinstimmender Gerätesetupklassen
• Empfohlen von: Windows 11 v25H2 Security Baseline

Installation von Treibern bestimmter, gesperrter Gerätetreiber-Klassen blockieren

Aktiviert die Sperre der Gerätetreiber-Installation für bestimmte, in einer Liste angegebene Geräteklassen.

Nebenwirkung: Ein angeschlossenes FireWire-Speichergerät wird nicht erkannt; da FireWire auf aktueller Hardware praktisch ausgestorben ist, betrifft das so gut wie niemanden.

• Technisch:
  • Richtlinie: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceInstall\Restrictions\DenyDeviceClasses = 1 (REG_DWORD)
  • Bedeutung des Werts: 0/nicht konfiguriert = keine Sperre nach Geräteklasse; 1 = Sperre aktiv für die in der Liste angegebenen Klassen.
• Schalter in der App: Richtlinien › Geräte und Wechselmedien
• Ausführlich: Installation von Geräten mit Treibern verhindern, die diesen Gerätesetupklassen entsprechen
• Quelle: Microsoft Learn: DeviceInstallation-Richtlinien-CSP – Verhindern der Installation übereinstimmender Gerätesetupklassen
• Empfohlen von: Windows 11 v25H2 Security Baseline

Treiberinstallation für FireWire-Speichergeräte (SBP2) sperren

Trägt die Geräteklasse „SBP2“ (IEEE-1394/FireWire-Speichergeräte) in die Sperrliste ein - deren Treiberinstallation wird verhindert.

• Technisch:
  • Richtlinie: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceInstall\Restrictions\DenyDeviceClasses\1 = {d48179be-ec20-11d1-b6b8-00c04fa372a7} (REG_SZ)
  • Bedeutung des Werts: Der Stringwert ist die Geräteklassen-GUID {d48179be-ec20-11d1-b6b8-00c04fa372a7} = Geräteklasse „SBP2“ (IEEE-1394-Geräte mit SBP2-Protokoll, z. B. FireWire-Speicher); der Listenindex „1“ ist nur die Positionsnummer in der Aufzählung.
• Schalter in der App: Richtlinien › Geräte und Wechselmedien
• Ausführlich: Installation von Geräten mit Treibern verhindern, die diesen Gerätesetupklassen entsprechen
• Quelle: Microsoft Learn: DeviceInstallation-Richtlinien-CSP – Verhindern der Installation übereinstimmender Gerätesetupklassen
• Empfohlen von: Windows 11 v25H2 Security Baseline

Zusatzdateien bei Netzwerkdruckern auf Farbprofile beschränken

Beschränkt beim Verbinden mit einem Netzwerkdrucker automatisch mitinstallierte Zusatzdateien auf Farbprofile.

• Technisch:
  • Richtlinie: HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows NT\Printers\CopyFilesPolicy = 1 (REG_DWORD)
  • Bedeutung des Werts: 1 = 'Limit Queue-specific files to Color profiles' (Standard) - nur Farbprofil-Dateien werden übernommen; 0 = gar keine Zusatzdateien erlaubt; 2 = alle Zusatzdateien erlaubt
• Schalter in der App: Richtlinien › Geräte und Wechselmedien
• Ausführlich: Verwalten der Verarbeitung von warteschlangenspezifischen Dateien
• Quelle: Microsoft Learn: Richtlinien-CSP – Drucker, ConfigureCopyFilesPolicy
• Empfohlen von: Windows 11 v25H2 Security Baseline

Druckspooler vor schädlichen Datei-Umleitungen schützen

Schützt den Druckspooler-Dienst davor, schädlichen Datei-Umleitungen zu folgen.

• Technisch:
  • Richtlinie: HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows NT\Printers\RedirectionGuardPolicy = 1 (REG_DWORD)
  • Bedeutung des Werts: 1 = Redirection Guard aktiviert (Standard); 0 = deaktiviert; 2 = nur protokollieren (Audit-Modus), ohne zu blockieren
• Schalter in der App: Richtlinien › Geräte und Wechselmedien
• Ausführlich: Umleitungsschutz konfigurieren
• Quelle: Microsoft Learn: Richtlinien-CSP – Drucker – ConfigureRedirectionGuardPolicy
• Empfohlen von: Windows 11 v25H2 Security Baseline

Point-and-Print-Warnung/-Elevation nicht abschalten (PrintNightmare-Absicherung)

Diese Computerrichtlinie steuert Point-and-Print-Verbindungen zu freigegebenen Netzwerkdruckern, die keinen paketfähigen Druckertreiber verwenden. Sie kann die zulässigen Druckserver einschränken und festlegen, welche Sicherheitsabfragen bei der erstmaligen Installation oder einer späteren Aktualisierung des Druckertreibers erscheinen.

Nebenwirkung: Beim Verbinden mit Netzwerkdruckern kann ein zusätzlicher Bestätigungsdialog erscheinen.

• Technisch:
  • Richtlinie: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\Printers\PointAndPrint\NoWarningNoElevationOnInstall = 0 (REG_DWORD)
• Schalter in der App: Richtlinien › Geräte und Wechselmedien
• Ausführlich: Point-and-Print-Einschränkungen
• Quelle: Microsoft Learn: Drucker-Richtlinien-CSP – PointAndPrintRestrictions
• Empfohlen von: Setup Foundry

Siehe auch

• Richtlinien-Referenz
• Anmeldung und Konten
• Kernschutz