Netzwerkzugriff: Anonyme Aufzählung von SAM-Konten nicht erlauben
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (1)
HKLM\System\CurrentControlSet\Control\Lsa\RestrictAnonymousSAM
Der DWORD-Wert 1 entspricht dem aktivierten Zustand dieser Windows-Sicherheitsoption. Er verhindert, dass nicht authentifizierte Verbindungen die vom Security Accounts Manager (SAM) verwalteten Kontonamen anonym aufzählen.
Die Einstellung beschränkt gezielt die Aufzählung von SAM-Konten. Sie verhindert nicht die anonyme Aufzählung von Netzwerkfreigaben; dafür ist die separate Sicherheitseinstellung mit dem Registry-Wert RestrictAnonymous maßgeblich.
Hinweise
Weitere Wirkungen
Microsoft beschreibt den aktivierten Zustand außerdem so, dass in den betreffenden Sicherheitsberechtigungen die Gruppe „Jeder“ durch „Authentifizierte Benutzer“ ersetzt wird. Berechtigungen, die nur über „Jeder“ bestehen, stehen einer anonymen Verbindung dadurch nicht zur Verfügung. Andere ausdrücklich gewährte Berechtigungen sind davon getrennt zu betrachten.
Sicherheit
Die Einstellung erschwert es nicht authentifizierten Angreifern, gültige Kontonamen als Grundlage für Kennwortversuche oder Social-Engineering-Angriffe zu ermitteln.
Sie sperrt weder Benutzerkonten noch verhindert sie authentifizierte Anmeldungen. Ebenso entzieht sie nicht automatisch jeden anonymen Ressourcenzugriff; hierfür sind die jeweiligen Berechtigungen und weitere Sicherheitseinstellungen entscheidend.
Mögliche Nebenwirkungen
Anwendungen oder Verwaltungsabläufe, die Konten ohne Authentifizierung ermitteln müssen, können keine entsprechenden Kontolisten mehr abrufen. Dies kann insbesondere Abläufe über eine einseitige Vertrauensstellung beeinträchtigen, wenn Konten der anderen Domäne aufgezählt werden müssen.
Hinweise
Es handelt sich um eine computerbezogene Sicherheitsoption. Nach der Microsoft-Dokumentation hat sie keine Auswirkung auf Domänencontroller.
Microsoft-Dokumentation
Microsoft Learn: Richtlinien-CSP – LocalPoliciesSecurityOptions
Microsoft Learn: Referenz der Windows Server 2025-Gastkonfigurationsbaseline