Zum Inhalt springen
Setup FoundrySetup FoundryDoku
aktuell · 0.9.8.12
aktuell · 0.9.8.120.9.8.120.9.8.110.9.8.100.9.8.90.9.8.80.9.8.6
ENAnmelden

Anmeldung und Konten ​

seit 0.9.8.11

Zweck ​

Diese Seite nennt jede Einstellung des Pakets „Anmeldung und Konten“: was sie bewirkt, welchen Wert Setup Foundry setzt und wer sie empfiehlt. Sie wird aus dem Katalog erzeugt und nicht von Hand geändert.

19 Einstellungen, davon 13 mit spürbarer Nebenwirkung.

Hinweise ​

Admin-Anmeldung auf sicherem Desktop bei Rechteerhöhung für Standardnutzer erzwingen ​

Verlangt von Standardbenutzern bei Rechteerhöhung eine Admin-Anmeldung auf dem sicheren Desktop.

Administratorkonten bei Rechteerhöhung nicht auflisten ​

Verbirgt bei einer Rechteerhöhung (UAC) die Liste vorhandener Administratorkonten.

Anmeldepasswort nach dem Aufwachen aus dem Standby verlangen (Akkubetrieb) ​

Verlangt im Akkubetrieb ein Anmeldepasswort, wenn der Rechner aus dem Ruhezustand aufwacht.

Nebenwirkung: Ein zusätzlicher Anmeldebildschirm nach jedem Zuklappen und Wiederöffnen - üblich und von den meisten Nutzern erwartet.

Anmeldepasswort nach dem Aufwachen aus dem Standby verlangen (Netzbetrieb) ​

Verlangt im Netzbetrieb ein Anmeldepasswort, wenn der Rechner aus dem Ruhezustand aufwacht.

Nebenwirkung: Ein zusätzlicher Anmeldebildschirm nach dem Standby - das ist aber ohnehin die übliche, von den meisten Nutzern erwartete Voreinstellung.

Nach Neustart nicht automatisch wieder anmelden ​

Verhindert, dass Windows nach einem automatischen Neustart den zuletzt angemeldeten Benutzer von selbst wieder anmeldet und den Bildschirm entsperrt.

Nebenwirkung: Nach einem Update-Neustart muss der Nutzer Kennwort oder PIN erneut eingeben, statt dass die Sitzung automatisch weiterläuft.

Nachladen fremder Sicherheitsmodule in den Anmeldedienst LSASS verbieten ​

Verbietet das Nachladen zusätzlicher, nicht von Windows mitgelieferter Sicherheitsmodule (SSPs/APs) in den LSASS-Prozess.

Nebenwirkung: Nur in seltenen Fällen betroffen: manche VPN- oder Single-Sign-On-Lösungen bringen ein eigenes Sicherheitsmodul mit, das dann nicht mehr lädt.

Nur anonyme Anmeldung bei Websites der eingeschraenkten Zone erzwingen ​

Legt fest, dass sich Internet Explorer bei Websites der Zone „Eingeschränkte Sites“ nur anonym anmeldet, nie mit echten Zugangsdaten.

Nebenwirkung: Eine integrierte Windows-Authentifizierung gegenüber als eingeschränkt eingestuften Websites schlägt fehl, weil kein Konto übergeben wird; im normalen Alltag betrifft das praktisch keine legitime Seite.

Vollen Admin-Zugriff lokaler Konten übers Netzwerk einschränken ​

Sorgt dafür, dass lokale Administratorkonten bei einer Anmeldung übers Netz nur ein eingeschränktes Zugriffstoken statt voller Administratorrechte bekommen.

Nebenwirkung: Im normalen Arbeitsalltag keine; betroffen ist ausschließlich administrativer Fernzugriff über lokale Konten, den Privatnutzer praktisch nie verwenden.

Anonyme Aufzaehlung von SAM-Konten verbieten ​

Der DWORD-Wert 1 entspricht dem aktivierten Zustand dieser Windows-Sicherheitsoption. Er verhindert, dass nicht authentifizierte Verbindungen die vom Security Accounts Manager (SAM) verwalteten Kontonamen anonym aufzählen.

Benutzerkontensteuerung: Admin-Genehmigungsmodus für das eingebaute Administratorkonto ​

Der DWORD-Wert FilterAdministratorToken mit den Wertdaten 1 versetzt ausschließlich das integrierte Administratorkonto – das lokale Konto mit der relativen ID (RID) 500 – in den Administratorgenehmigungsmodus der Benutzerkontensteuerung (UAC).

Nebenwirkung: Wer das eingebaute Administratorkonto aktiv nutzt, bekommt zusätzliche Bestätigungsdialoge.

Lokale Konten mit leerem Kennwort vom Netzwerkzugriff ausschliessen ​

Der Wert LimitBlankPasswordUse ist ein DWORD-Wert und bildet die gleichnamige Windows-Sicherheitsoption ab. Der Wert 1 aktiviert die Beschränkung: Ein lokales Benutzerkonto mit leerem Kennwort kann nicht für Netzwerk- oder interaktive Remoteanmeldungen verwendet werden. Davon betroffen sind beispielsweise Anmeldungen über Remotedesktopdienste sowie Netzwerkdienste, die Windows-Anmeldeinformationen verwenden.

Nebenwirkung: Ist unter Windows 11 bereits Standard; betrifft nur die seltenen Fälle eines absichtlich kennwortlosen lokalen Kontos.

Speicherung des LAN-Manager-Passwort-Hashs verhindern ​

Der DWORD-Wert NoLMHash mit den Wertdaten 1 verhindert, dass Windows beim nächsten Festlegen oder Ändern eines Kontokennworts einen LAN-Manager-Kennworthash (LM-Hash) erzeugt und speichert. Für lokale Konten betrifft dies die lokale SAM-Datenbank; auf Domänencontrollern betrifft es die in Active Directory gespeicherten Kennwortdaten der Domänenkonten.

UAC-Bestätigungsdialog für Administratoren auf „Ja/Nein“ umstellen ​

Der DWORD-Wert 2 legt fest, dass Administratoren im Administratorbestätigungsmodus einer angeforderten Rechteerweiterung auf dem sicheren Desktop ausdrücklich zustimmen oder sie ablehnen müssen. Die UAC-Eingabeaufforderung stellt dafür die Auswahl „Ja“ oder „Nein“ bereit; Administratoranmeldeinformationen werden nicht verlangt.

Nebenwirkung: Ein zusätzlicher Klick bei Installationen und Systemänderungen.

UAC: Alle Administratoren im Admin-Genehmigungsmodus laufen lassen ​

Der DWORD-Wert EnableLUA steuert, ob die Benutzerkontensteuerung (User Account Control, UAC) und der Administratorbestätigungsmodus systemweit aktiv sind. Der Wert 1 aktiviert diese Funktionen.

Nebenwirkung: Ohne UAC-Bestaetigungen würde jede Software automatisch mit vollen Rechten laufen; mit aktivem UAC erscheinen bei Installationen/Systemänderungen die bekannten Bestätigungsdialoge.

WDigest-Authentifizierung deaktivieren ​

Der DWORD-Wert UseLogonCredential steuert, ob WDigest Anmeldeinformationen im Arbeitsspeicher speichert. Beim Wert 0 speichert WDigest keine Kennwortanmeldeinformationen für die spätere Wiederverwendung im Arbeitsspeicher.

Kamera-Schnellzugriff vom Sperrbildschirm entfernen ​

Entfernt die Kamera-Schnellzugriffstaste vom Sperrbildschirm.

Nebenwirkung: Wer den schnellen Kamerazugriff ohne Anmeldung gewohnt war, verliert diesen Weg; die Kamera-App bleibt nach dem Einloggen normal nutzbar.

Tinte-Arbeitsbereich zulassen, aber vor Anmeldung sperren ​

Aktiviert den Tintenarbeitsbereich, sperrt ihn aber vor der Anmeldung am Gerät.

Automatisches Nachschieben von Store-Apps per Push-to-Install unterbinden ​

Diese computerweit geltende Richtlinie steuert, ob Benutzer Apps über den Microsoft Store auf anderen Geräten oder im Web zur Installation an dieses Gerät senden können.

Nebenwirkung: Die „Auf diesem Gerät installieren“-Funktion aus dem Microsoft Store auf anderen Geräten funktioniert dann nicht mehr.

LanMan-Authentifizierung auf „nur NTLMv2, LM/NTLM ablehnen“ setzen ​

Der DWORD-Wert 5 entspricht der Sicherheitseinstellung Nur NTLMv2-Antworten senden. LM und NTLM verweigern. Bei Netzwerkanmeldungen, für die NTLM-basierte Anforderungs-/Antwortauthentifizierung verwendet wird, erzeugt der Computer als Client ausschließlich NTLMv2-Antworten. NTLMv2-Sitzungssicherheit wird verwendet, sofern die Gegenstelle sie unterstützt.

Nebenwirkung: Sehr alte Geräte oder Software, die nur LM/NTLMv1 sprechen, können die Verbindung verlieren - bei modernen Windows-11-Umgebungen unkritisch. Kann sehr alte Geräte oder NAS-Systeme aus der Windows-XP-Aera aussperren, die nur klassisches NTLM/LM sprechen; moderne Geräte sind nicht betroffen.

Siehe auch ​