Windows7 - Autostart von Programmen mit admin-rechten nicht möglich! Design-Problem?

[ganja_man]

Hallo Freunde,

seit einiger Zeit nutze ich jetzt win7. Davor war ich mit xp, das ich auf meine Bedürfnisse perfekt abgestimmt habe, mehr oder weniger glücklich. Besonders das Rechtemangement hatte ich gut im Griff:

Es gibt einige Anwendungen, die beim Systemstart ohne! manuelle intervention mit admin-rechten ausgeführt werden müssen. Bei xp gibt es da nette kleine Hilfsmittel, mit denen man für diese Programme Verknüpfungen anlegen kann um sie wie beschrieben auszuführen.

Bei win7 scheint sich da aber die Katze in den Schwanz zu beissen!
Hat man uac aus Sicherheitsgründen aktiviert, gibt es zwar die Möglichkeit, über den Aufgabenplaner, Programme die admin-Rechte brauchen, so wie oben unter xp beschriebenl auszuführen.

Das funktioniert aber nur sollange man nur einen user hat, der auch admin-rechte besitzt!!!
Selbst wenn bei win7 als admin angemeldet ist, werden Prorgamme die man startet, immer mit standardbenutzerrechten ausgeführt.
Durch die Aufgabenplanermethode kann man das wie gesagt umgehen.

Legt man jetzt aber einen user mit admin-rechten an und setzt seinen standard user eben auf "standard" zurück, also entzieht ihm die admin-rechte, funktioniert das ganze nicht mehr!!!

Die Aufgabenplaner-Methode scheitert und für ein Programm das admin-rechte braucht, muß man immer das admin-passwort eingeben unter dem eingeschränkten user. Programme die admin-rechte brauchen, ohne manuelle intervention, autostarten zu lassen, scheint mit aktvierter uac, einfach nicht zu funktionieren!!!
Wenn man die uac ausschaltet oder nur einen "alround-user" der auch admin-rechte besitzt, im system hat, funktioniert die Aufhabenplaner-Methode. Das kann es aber ja auch irgendwie nicht sein.
Hier mal die Aufgabenplaner-Methode, damit man sich ein Bild von dem machen kann, was ich meine:
Anwendungen mit erhöhten Rechten ohne UAC-Abfrage starten - WinSupportForum
oder : Windows 7 - Programme in Windows 7 ohne Nachfrage starten

Aufgrund dieser Problematik, hinterlässt win7 bei mir zur Zeit einen faden Nachgeschmack.

Gruß
g.m

 

[ganja_man]

Du hast mich scheinbar nicht verstanden. Die programme sollen unter einem user mit standard-rechten, als admin ausgeführt werden!
Also so wie man unter xp auch machen muß, wenn man mit einem benutzer der eingeschränkte rechte hat, ein programm startet, das höhere privielgien benötigt!
Danzu gibt es unter xp den "runas"-Befehl, oder man benutz ein tool, mit dem man gleich eine Verknüpfung anlegen kann, die das jeweilige Programm dann mit admin rechten und ohne!!! manuelle intervention startet.
Diese Verknüpfung kann man dann z.b in den autostart legen.

Unter win7 möchte ich nun genau das gleiche haben und weshalb es nicht funktioniert, habe ich ja schon im Eingangsthread beschrieben!

Wäre nett wenn da vielleicht jemand einen brauchbaren Tipp hätte.

Gruß
g.m

 

[NixName]

Ich habs verstanden, habe aber keine Lösung.
Interessante Frage - werde ich mal weiter beobachten.

Windows 7 mit "Benutzer" Rechte starten dürfte echt selten sein.

 

[nemki]

Hier mal die Aufgabenplaner-Methode, damit man sich ein Bild von dem machen kann, was ich meine:
Anwendungen mit erhöhten Rechten ohne UAC-Abfrage starten - WinSupportForum
oder : Windows 7 - Programme in Windows 7 ohne Nachfrage starten

Aufgrund dieser Problematik, hinterlässt win7 bei mir zur Zeit einen faden Nachgeschmack.

Gruß
g.m

Sehe ich auch als großes Problem. Selbst wenn ich eine Textdatei in C:\ speichern möchte wird das nicht zugelassen!

 

[WIN.ini]

wozu hast du die UAC überhaupt noch an?

Bei jedem Rechner, den ich aufsetze schalte ich die sofort aus. Es gibt nichts schlimmeres.

Gerade wenn man genügend Ahnung von der Materie hat (davon geh ich bei dir aus) stört das Teil doch nur.

 

[0711]

Gerade wenn man genügend Ahnung von der Materie hat (davon geh ich bei dir aus) stört das Teil doch nur.

mumpitz...u.a. geht durch deaktivieren von uac auch der "protected mode" flöten...leuten die genügend ahnung von der materie haben sollte u.a. dieser gravierende sicherheitsnachteil bekannt sein, ebenso wie dass uac das arbeiten als normaler user enorm erleichtert.

---------- Beitrag hinzugefügt um 12:01 ---------- Vorheriger Beitrag war um 11:52 ----------

viel text

dein vorgehen ist beim überfliegen von dem text generell richtig aber eine frage hätte ich.
startet der prozess wirklich nicht oder ist das ein prozess der irgendwas anzeigen soll aber du siehst ihn nicht? Wenn ja ist das ein timingproblem (schreib ich später mit mehr zeit was dazu).

 

[WIN.ini]

Hätte er UAC an, dann hätte er das Problem nicht. Er will als Normaluser, dass Programme mit Adminrechten starten... was so nicht gehen wird. Das Programm müsste als Dienst oder ähnliches gestartet werden.

Programme die admin-rechte brauchen, ohne manuelle intervention, autostarten zu lassen, scheint mit aktvierter uac, einfach nicht zu funktionieren!!!
Wenn man die uac ausschaltet oder nur einen "alround-user" der auch admin-rechte besitzt, im system hat, funktioniert die Aufhabenplaner-Methode.

mumpitz...u.a. geht durch deaktivieren von uac auch der "protected mode" flöten...leuten die genügend ahnung von der materie haben sollte u.a. dieser gravierende sicherheitsnachteil bekannt sein, ebenso wie dass uac das arbeiten als normaler user enorm erleichtert.

die uac erleichtert gar nichts! Täglich auf zulassen zu klicken und somit wertvolle arbeitszeit zu verlieren, rechtfertigt es nicht einmal in 1000 Fällen ausversehen eine schädliche Datei -nun doch nicht- gestartet zu haben.

protected mode? sagt mir gerade nichts.. Kenne das nur im Zusammenhang mit dem IE...

 

[0711]

die uac erleichtert gar nichts! Täglich auf zulassen zu klicken...

du arbeitest offensichtlich nicht mit einem standardbenutzer sondern ständig mit einem administrativen account...dazu muss man eigentlich schon gar nichts mehr sagen

 

[WIN.ini]

Das ist korrekt, ich arbeite nur mit Adminrechten. Ich möchte mich ungerne in meiner Arbeit durch fehlende Rechte behindern.

Jeder, der weiß was er tut, sollte Adminrechte nutzen.
Wenn tatsächlich mal etwas schief gehen sollte, weil man nicht aufgepasst hat, hat man selber Schuld, aber dann gibt es ja noch Backups o.Ä.

Für DAU's kann es in der Tat sinnvoll sein normale UserAccounts anzulegen und auch erst dann macht die UAC einen Sinn, wenn man sie korrekt eingestellt hat und den Benutzer über die Funktionsweise aufgeklärt hat (Programme die Adminrechte benötigen vorausgesetzt).

Aber im Geschäftumfeld haben zumindest wir permantente Probleme mit der UAC, sodass wir sie komplett deaktivieren. Die Supports werden sichtlich weniger.

 

[WIN.ini]

@ WIN.ini

genau lesen, der TE drückt sich nicht gut aus:
Er macht ein Admin Konto zu einem normalen Konto.

Ja und? Das hab ich ja auch nicht bezweifelt, aber du hast geschrieben, das wenn er die UAC einschalten würde, hätte der TE die Probleme nicht mehr und das ist falsch, denn erst durch die Deaktivierung der UAC lösen sich seine Probleme und die Aufgabenplanung funktioniert. Aus mir bisher unbekannten Gründen will er die UAC-Funktion aber nutzen.

Ich arbeite "geschäftlich" nur als Benutzer und nie als Admin. Da sollte UAC doch theoretisch gar keine Rolle spielen.... oder?

Das hab ich nicht verstanden =)

Mit "geschäftlich" meine ich, dass ich IT-Dienstleister bin und Kunden meldeten sich mit Problemen, die durch die UAC ausgelöst wurden.
Seitdem wir Kunden-PCs grundsätzlich ohne UAC aufsetzen, haben wir einen angenehmeren Job


Aber du hast recht, der Anfangspost ist schon ziemlich verwirrend, habe momentan aber leider nicht die Zeit und Ressourcen eine Testumgebung aufzubauen um das Ganze zu testen.

---------- Beitrag hinzugefügt um 15:57 ---------- Vorheriger Beitrag war um 14:03 ----------

Habe gerade folgendes gefunden

3.1 - Das UAC Problem:
Dies wird von vielen Usern oft bemängelt. Es macht allerdings Sinn. Daher sollte UAC NICHT ausgeschaltet werden! Das Problem ist aber, das auch für Installierte Programme teilweise bei jedem ausführen eine Bestätigung benötigt wird. Dehm kann man mit einem kleinen Trick aber abhelfen: Es lassen sich Ausnahmen erstellen. Und das geht so:

* Zuerst wird das Tool "Application Compatibility Toolkit" von Microsoft benötigt.
* Nach der Installation wird über "Start > Alle Programme > Microsoft Application Compatibility Toolkit 5.0 > Den Eintrag "Compatibility Administrator" mit einem Linksklick "Als Administrator ausführen"
* Mit einem Klick auf "NewDatabase(1) [Untitled_1]" im Menüpunkt "Create New" den Eintrag "Application Fix" klicken.
* Der Name des Programms kommt in die Oberste Zeile und mit dem "Browser"-Button nach der Datei suchen, die zum starten des Programms benötigt wird.
* Im nächsten Fenster auf "None" stellen und "weiter" klicken.
* Nun in der Liste "Compatibility Fixes" den Eintrag "RunAsInvoher" anhaken.
* Einen Klick auf "weiter" und dann auf "Fertig stellen".

Es können danach noch andere Programme hinzugefügt werden, dabei geht man immer wie oben beschrieben vor. Nachdem die Datenbank vollständig ist, muss sie noch gespeichert und installiert werden:

* Die Datenbank wird mit einem klick auf "File" > "Save As" z.B. im Windows Verzeichniss unter "C:\Windows\Ausnahmen.sdb" gespeichert.
* Danach klickt kann das Programm geschlossen werden.
* Nun benötigen wir die "Eingabekonsole", allerdings als Administrator. Dazu wird im Suchfenster im Startmenü einfach "cmd" eingegeben, den Eintrag "cmd" unter "Programme" mit einem Rechtsklick > "Als Administrator ausführen" gestartet.
* Nun wird die Datenbank installiert. Dazu folgenden Befehl eingeben:

sdbinst [Datenbank-Speicherort]

also z.B.:

sdbinst E:\Windows\Ausnahmen.sdb

* Danach sollte eine Bestätigung benötigt werden. Diese dann mit "j" bestätigen. Dann wird die Datenbank installiert.

Danach werden dann alle als Ausnahmen eingetragenen Programme ohne Bestätigung gestartet. Man kann dort auch einstellen, das die Programme immer als Administrator gestartet werden, etz.

Vll wirkt das ja auch für den Autostart.

 

[ganja_man]

Vielen Dank an euch alle für euer interessantes Feedback!
Zunächst einmal: Diese Materie ist recht komplex und auch nicht gerade einfach zu umschreiben, so das es da leicht zu Missverständnissen kommen kann. Am besten ich fange nochmal ganz vom Anfang an.
----------------
Unter windows xp hatte ich zwei Benutzer: Einen mit admin-rechten und einen mit eingeschränkten rechten. Den mit admin-rechten, habe ich nur benutzt wenn ich Dinge installieren oder etwas am system verändern wollte.
Standardmäßig habe ich aber mit dem Benutzer gearbeitet der nur eingeschränkte rechte hatte. Der wurde auch automatisch angemeldet.
Diese Masnahme zur Sicherheit war nur eine aus einer ganzen reihe von Vorkehrungen die ich getroffen habe. Unter anderem hatte ich auch immer einen aktuellen virenscanner und auch immer die neusten ms-updates.
Manche mögen das vielleicht für übertrieben halten, aber dank dieser Vorkehrungen und natürlich auch etwas Brain2.0, habe ich mir so noch nie ein bösartiges Programm eingefangen. Für mich hat sich diese Arbeitsweise also bewährt, weshalb ich sie auch unter win7 beibehalten möchte.
Einwände wie das man so nicht gescheit arbeiten könne und man doch immer admin-rechte brauchen würde, lasse ich nicht gelten! Ich kann aus eigener Erfahrung sagen, das es eben nicht stimmt.
Es gibt und gab natürlich viele Programme die unter dem eingeschränkten user nicht richtig gelaufen sind, weil sie höhere Privelgien benötigen.
Als Beispiele seien hier mal ein paar genannt: ProcessExplorer = Ein super Taskmanager Ersatz, der dem integrierten Taskmamanger weit überlegen ist ;
Acronis trueimage = Bester imag er den ich kenne. unverzichtbar! HD-Tune = tool um die smartwerte von hd`s auszulesen, sie auf Fehler zu überprüfen usw. Die Liste ließe sich jetzt noch einige Zeit fortsetzen.
Diese Programme nutze ich natürlich unter dem Konto mit eingeschränkten rechten und bin darauf angewiesen, das sie einwandfrei funktionieren.
Deshalb müsssen sie mit admin-rechten gestartet werden!
Unter xp konnte man mit Boardmitteln solche Programme nur mit dem runas-Befehl als admin starten. Dazu war aber immer die Eingabe es admin-users und des pw notwendig, also eine manuelle intervention.
Das ist komplett unakzeptabel, der einige dieser Programme schon beim anmelden des Benutzers mit admin-rechten gestartet werden müssen, z.b der ProcessExplorer. Da jedesmal noch benutzername (vom admin) und pw einzugeben, ist einfach vollkommen unaktzeptabel!!!
Deshalb gibt es zumindest unter winxp Hilfsmittel, die einem das abnehmen! Das Programme pcwrunas ist so eines dieser Hifsmittel: pcwRunAs Download - - PC-WELT
Damit legt man für jedes dieser Programme eine Verknüpfung an, die es zulässt, selbiges ohne manuelle internvention!, mit admin-rechten zu starten.
Somit konnte ich also unter windows-xp, recht sicher und komfortabel mit eingeschränkten rechten arbeiten. Den user mit admin-rechten, mußte ich wie gesagt nur bemühen, wenn ich etwas installieren oder am system ändern wollte.
Soweit mal zu xp, widmen wir uns jetzt windows7:

Unter windows7 wurde das Rechtemangment stark verändert. Dort gibt es jetzt diesen uac-Mechanismus, der Programme stets mit eingeschränkten rechten ausführt, selbst wenn der jeweilie Benutzer als admin angemeldet ist.
Diese Vorkehrung dient der Sicherheit und ist nicht generell schlecht.
Zur Problematik:
Hat man nur einen einzigen Benutzer bei win7 erstellt, so hat dieser erstmal auch admin-rechte. Ist ja auch klar, weil ein user immer auch admin sein muß. Ganze ohne geht es nicht. Dieser user führt jetzt alle Anwendungen die man startet, erstmal mit eingeschränkten rechten aus, obwohl er admin ist. Das dient nur der Sicherheit und ist nicht generell verkehrt.
Ich habe weiter oben einige Programme genannt, die nicht mit eingeschränkten rechten funktionieren und admin-priveligien brauchen um richtig funktionieren zu können. Einige dieser Programme brauche autostartend, sobald das System hochfährt und sich der user (mit eingeschränkten rechten) anmeldet (bei mir erfolgt automatische anmeldung. Ich habe das extra so eingestellt, das immer ein Benutzer automatisch angemeldet wird. Das aber nur der Vollständigkeithalber).
Weiter im sehr langen Text:
Um zu umgehen, das diese Programme, die höhere Privilegien benötigen, mit eingeschränkten rechten ausgeführt werden, gibt es unter win7, die bereits zuvor erwähnte Aufgabenplanermethode. Alle anderen Versuche solche Prorgamme als admin zu starten, funktionieren nicht, weil da immer! eine manuelle intervention erforderlich ist (Eingabe von passwort). Bei Programmen die z.b per autostart mit admin-rechten gestartet werden müssen, ist das also vollkommen unakzeptabel!!!
Back 2 the roots:
Nutzt man für solche Programme jetzt also die Aufgabenplanermethode, funktioniert das erstmal. Erstellt man sich jetzt aber einen zweiten User, dem man admin-rechte gibt und setzt seinen Benutzer, den man standardmäßig verwenden möchte (der in meinem Fall auch automatisch angemeldet wird), wieder auf eingeschränkte rechte zurück, funktioniert diese Aufgabenplanermethode nicht mehr!!! Es wird wieder explizit immer!, nach dem passwort des Benutzers mit admin-rechten gefragt, wennman eines der genanten Programme mit höchsten Privilegien starten möchte. Einziger workaround um das Porblem zu lösen:
uac ganz abschalten oder nur einen Benutzer, der auch admin-rechte hat verwenden. Das sehe ich jedoch als große Sicherheitslücke an.
Ich häte gerne wie unter xp auch, einen Benutzer mit eingeschränkten rechten, mit dem ich standardmäßig arbeite und einem mit admin-rechten, den ich jedoch nur zum installieren von Programme usw verwende.
Das geht so eben unter win7 scheinbar nicht, deshalb meine Frage hier.

@WIN.ini

Das Application Compatibility Toolkit habe ich ebenfalls schon getestet. Funktioniert leider unter dem beschrieben zwei user-Methode nicht.

Gruß
g.m

 

[Patric_]

ich blick nicht ganz durch, aber würde es nicht gehen, in der Aufgabenplanung den Task anzulegen und dort den Administrator-Benutzer als ausführenden Benutzer zu hinterlegen (samt Passwort)? Ich glaube ich hatte mal den Fall, dass ich Speedfan immer als Admin ausführen wollte (Autostart), der eigentliche Benutzer des PC aber nur ein Standard-Konto hatte - und genau da konnte ich (wenn mich jetzt nicht alles täuscht) einen anderen Benutzer (sprich den Admin) in der Aufgabenplanung hinterlegen - samt Passwort.

Bin mir aber nicht mehr 100% sicher

 

[ganja_man]

Das einfachste wäre sicherlich, ein Admin Konto zu nehmen und UAC auf die höchste Stufe zu stellen, genau dafür gibt es das ja.

Dann hätte ich aber einen multiuser, der auch admin ist. Wenn ich ein Programm mit admin rechten ausführen möchte, ohne vorher die Aufgabenplanermethode zu nutzen, werde ich bei diesem user, noch nichtmal nach dem Passwort gefragt, sondern ich kann es aus dem Kontextmenü direkt als admin starten und die darauf folgende Meldung mit der Maus weg klicken.
So sicher kommt mir das nicht vor. Wer weiss, ob Schadprorgamme diese Meldung nicht einfach umgehen können. Deshalb wäre mir ein Benutzer mit admin und und einer mit eingeschränkten rechten, schon lieber.

ich blick nicht ganz durch, aber würde es nicht gehen, in der Aufgabenplanung den Task anzulegen und dort den Administrator-Benutzer als ausführenden Benutzer zu hinterlegen (samt Passwort)?

Das hatte ich probiert, hat aber nicht funktioniert. Um auszuschließen das ich vielleicht etzwas übersehen habe, werde ich mir das bei Gelgenheit aber nochmal anschauen. Danke für deinen Hinweis.

Gruß
g.m

 

[ganja_man]

So, mal weiter im Text

Ich habe mir den Vorschlag von Patric_ jetzt nochmal genauer angeschaut und es war wirklich genauso, wie ich das noch in erinnerung hatte. Wusste doch, das ich natürlich auch das getestet hatte, war mir aber nicht mehr ganz sicher.

Der Vorschlag war:

in der Aufgabenplanung den Task anzulegen und dort den Administrator-Benutzer als ausführenden Benutzer zu hinterlegen (samt Passwort)?

Kurzfassung: Es funktioniert nicht!;(
Man kann in der Aufgabenplanung, die man dann natürlich als der Benutzer mit admin-rechten ausführt, nur einstellen, ob die jeweilige Anwendung, die mit admin-rechten autogestartet werden soll, im Kontext des admins ausgeführt wird, was widerum bedeutet, das sie nicht! ausgeführt wird, wenn sich der standard-benutzer mit eingeschränkten rechten (in meinem Fall automatisch) anmeldet, oder man kann die jeweilige Anwendung bei Anmeldung des genannten standard-user ausführen lassen. Selbst wenn man dann ausführen mit höchsten Privelegien anwählt, wird die Anwendung immer nur mit eingeschränkten rechten ausgeführt, weil der betreffende Benutzer ja auch gar keine admin-rechte besitzt.
Somit ist also auch dieser Ansatz leider unbrauchbar;(

Das einzige was funktioniert und womit ich zur Zeit auch arbeite ist:
Nur einen einzigen Benutzer anlegen, der auch admin-rechte hat und für diesen die Aufgabenplanung bemühen, um die entsprechenden Programme mit admin-rechten autostarten zu lassen.
Eine andere Möglichkeit kenne ich zur Zeit nicht und bei dieser, habe ich wie gesagt ein mulmiges Gefühl, da man immer mit einem Benutzer arbeiten muß, der auch admin-rechte besitzt.
Anders ist win7, derzeit auf einem Produktiv-System, bei dem einfach gewisse Vorgänge, automatisiert als admin ausgeführt werden müssen, nicht benutzbar!

Gruß
g.m

Nachtag: Was mir noch einfällt: Ich kjönnte mal versuchen, zu dem Benutzer mit admin rechten, einen zweiten anzulegen, diesem admin-rechte geben und meinen jetzigen Benutzer, auf standard-rechte zurückzusetzen und dann die auc für beide Nutzer komplett abschalten. Danach testen, ob das automatische starten von Programmen mit admin-rechten, durch die Aufgabenplanung, unter dem Benutzer mit eingeschränkten rechten funktioniert. Mit aktivierter uac-hat es ja nicht funktioniert;(

 

[0711]

Das ist korrekt, ich arbeite nur mit Adminrechten. Ich möchte mich ungerne in meiner Arbeit durch fehlende Rechte behindern.

Jeder, der weiß was er tut, sollte Adminrechte nutzen.
Wenn tatsächlich mal etwas schief gehen sollte, weil man nicht aufgepasst hat, hat man selber Schuld, aber dann gibt es ja noch Backups o.Ä.

Für DAU's kann es in der Tat sinnvoll sein normale UserAccounts anzulegen und auch erst dann macht die UAC einen Sinn, wenn man sie korrekt eingestellt hat und den Benutzer über die Funktionsweise aufgeklärt hat (Programme die Adminrechte benötigen vorausgesetzt).

ausgefallene arbeitszeit ist durch nichts zu ersetzen...verlorene/aus dem haus geschafte daten sind auch immer sehr willkommen in den meisten branchen.

deswegen handelt man in der regel präventiv
ich empfehle dir durchaus mal die lektüre dieses schmöckers Learn more about 2009 Microsoft vulnerability analysis
respektive die zusammenfassungen davon Windows Security - Build another STANDARD ACCOUNT for safety from most malware attacks - Harry Waldron - Computer Security News
"• 90% of Critical Windows 7 operating system vulnerabilities are mitigated by having users log in as standard users
• 100% of Microsoft Office vulnerabilities reported in 2009
• 94% of Internet Explorer and 100% of IE 8 vulnerabilities reported in 2009
• 64% of all Microsoft vulnerabilities reported in 2009
• 87% of vulnerabilities categorized as Remote Code Execution vulnerabilities are mitigated by removing administrator rights"
viel anders sieht es auch 2010 nicht aus...

"selber schuld" ist auch ne argumentationsweise der ich hier voll zustimmen kann.

Aber im Geschäftumfeld haben zumindest wir permantente Probleme mit der UAC, sodass wir sie komplett deaktivieren. Die Supports werden sichtlich weniger.

das kommt auf die sonstige konfiguration an aber wenn du es wie im ersten teil deines posts hältst und generell adminrechte empfiehlst (ausgenommen unbedarfte user)...sorry. Jeder seriöse dienstleister kann so ein vorgehen nicht empfehlen, nahezu jedes geschäftsprogramm rennt innerhalb von 5 minuten ohne adminrechte.

Ja und? Das hab ich ja auch nicht bezweifelt, aber du hast geschrieben, das wenn er die UAC einschalten würde, hätte der TE die Probleme nicht mehr und das ist falsch, denn erst durch die Deaktivierung der UAC lösen sich seine Probleme und die Aufgabenplanung funktioniert. Aus mir bisher unbekannten Gründen will er die UAC-Funktion aber nutzen.

für die tägliche arbeit unter einem standardbenutzer kann uac ganz praktisch sein...kein rechtsklick, ausführen als, eingabe des administrativen passworts in einem geschützten desktop (keyloggerschutz) usw usf.

zumal man es eigentlich wärend der arbeit nur selten braucht (auch als it dienstleister)

Mit "geschäftlich" meine ich, dass ich IT-Dienstleister bin und Kunden meldeten sich mit Problemen, die durch die UAC ausgelöst wurden.
Seitdem wir Kunden-PCs grundsätzlich ohne UAC aufsetzen, haben wir einen angenehmeren Job

ihr habt anwendungen die mit uac probleme machen? dann macht ihr vermutlich was an der konfiguration falsch...
anyway auch ms kennt diese argumentation von wegen tco bla, sie ist im gesamten betrachtet falsch und fahrlässig. Genau die gleiche argumentation wird gern für das nutzen von standardpasswörtern verwendet...man hat schon oft gesehn wie schön das in die hose gegangen ist.

Kurzfassung: Es funktioniert nicht!;(
Man kann in der Aufgabenplanung, die man dann natürlich als der Benutzer mit admin-rechten ausführt, nur einstellen, ob die jeweilige Anwendung, die mit admin-rechten autogestartet werden soll, im Kontext des admins ausgeführt wird, was widerum bedeutet, das sie nicht! ausgeführt wird, wenn sich der standard-benutzer mit eingeschränkten rechten (in meinem Fall automatisch) anmeldet, oder man kann die jeweilige Anwendung bei Anmeldung des genannten standard-user ausführen lassen.

bist du bei letzterem wirklich sicher? Schau mal im task manager ob der prozess läuft und du ihn nur nicht siehst (und ja das ist ein gewolltes verhalten druch uac)?

Selbst wenn man dann ausführen mit höchsten Privelegien anwählt, wird die Anwendung immer nur mit eingeschränkten rechten ausgeführt, weil der betreffende Benutzer ja auch gar keine admin-rechte besitzt.
Somit ist also auch dieser Ansatz leider unbrauchbar;(

wär auch fatal wenn ein standardbenutzer so an adminrechte kommen könnte

ich find grad nicht den richtigen punkt, dein problem lässt sich aber sofern mich meine erinnerung nicht trübt mittels dem application comp toolkit und der aufgabenplanung lösen...(wenn der punkt zutrifft dass du die anwendung nur nicht siehst) -> hat nichts mit runasinvoker zu tun

Wer weiss, ob Schadprorgamme diese Meldung nicht einfach umgehen können

einfach nicht aber es geht...

 

[WIN.ini]

ausgefallene arbeitszeit ist durch nichts zu ersetzen...verlorene/aus dem haus geschafte daten sind auch immer sehr willkommen in den meisten branchen.

deswegen handelt man in der regel präventiv
ich empfehle dir durchaus mal die lektüre dieses schmöckers Learn more about 2009 Microsoft vulnerability analysis
respektive die zusammenfassungen davon Windows Security - Build another STANDARD ACCOUNT for safety from most malware attacks - Harry Waldron - Computer Security News
"• 90% of Critical Windows 7 operating system vulnerabilities are mitigated by having users log in as standard users
• 100% of Microsoft Office vulnerabilities reported in 2009
• 94% of Internet Explorer and 100% of IE 8 vulnerabilities reported in 2009
• 64% of all Microsoft vulnerabilities reported in 2009
• 87% of vulnerabilities categorized as Remote Code Execution vulnerabilities are mitigated by removing administrator rights"
viel anders sieht es auch 2010 nicht aus...

Ich werde mir deine Meinung mal zu Herzen nehmen. Ich arbeite mich in das Thema ein und werde im privaten Umfeld mal zukünftig auf Standard Accounts setzen. Testweise sozusagen. Wenn ich dadurch mehr Arbeit haben werde, wird meine Erfahrung bestätigt und ich schreib dir eine unfreundliche PM

Sollte das Ganze genau so ablaufen wie sonst auch, ich aber auf langfristiger Sicht weniger Probleme mit Viren etc damit haben, melde ich mich mit einer positiven PM bei dir. Ich glaube aber nicht wirklich daran. Klar stimmen die Statistiken, aber ich persönlich habe zu 95% NIE Probleme mit Viren/Schadsoftware und meine Privatkunden auch nur selten, Meistens sind es auch nur diese Fake Antivirenprogramme die man "leicht" entfernen kann.

PS: Blöde UAC

 

[0711]

Das ist natürlich schlecht, aber so hat MS noch Verbesserungspotential für das nächste Windows.

unter vista war uac deutlich effektiver, unter 7 ist die standardeinstellung bei nem adminaccount (2. höchste stufe) hin und wieder nutzlos -> wenn dann ganz hoch

aber auch das ist im zweifel schlechter als ein angeschränkter benutzeraccount (also einer der nicht nur den security token übergezogen bekommen hat) -> New Windows 0-day exploit speaks Chinese (ist zwischenzeitlich gepatcht gepatcht)

ist ja nicht so dass ms nichts für seine aktuellen systeme macht

---------- Beitrag hinzugefügt um 11:02 ---------- Vorheriger Beitrag war um 09:47 ----------

Ich werde mir deine Meinung mal zu Herzen nehmen. Ich arbeite mich in das Thema ein und werde im privaten Umfeld mal zukünftig auf Standard Accounts setzen. Testweise sozusagen. Wenn ich dadurch mehr Arbeit haben werde, wird meine Erfahrung bestätigt und ich schreib dir eine unfreundliche PM

du wirst für einige anwendugnen anpassungen vornehmen müssen, weil sie sich eben verhalten wie unter windows 95...

PS: Blöde UAC

 

[ganja_man]

@0711

wär auch fatal wenn ein standardbenutzer so an adminrechte kommen könnte

Der standardbenutzer soll ja auch nicht an admin-rechte kommen, sondern die jeweilige anwendung soll unter dem standardbenutzer mit admin-rechten laufen, weil sie einfach höhere Privielgien braucht um gescheit zu funktionieren
Das ist dann doch ein großer Unterschied. Hat auch nichts mit privileg-escalation zu tun, weil das ausdrücklich so eingerichtet wurde und gewollt ist! Siehe xp-Analogie. Da habe ich genau erklärt was ich meine.

ich find grad nicht den richtigen punkt, dein problem lässt sich aber sofern mich meine erinnerung nicht trübt mittels dem application comp toolkit und der aufgabenplanung lösen...(wenn der punkt zutrifft dass du die anwendung nur nicht siehst) -> hat nichts mit runasinvoker zu tun

Nö, geht eben nicht. Hab ich alles schon probiert.
Mach doch mal die Gegenprobe:
Leg dir zwei Benutzer an: Einen mit admin-rechten und einen standardbenutzer. Bei beiden lässt du natürlich uac aktviert. Jetzt stellst du es so ein, das sich der standardbenutzer immer automatisch bei systemstart anmeldet. Dann versuchst du ein Programm das admin-rechte braucht unter dem standardbenutzer automatisch bei anmeldung starten zu lassen.
Nimm z.b den ProcessExplorer aus der sysinternal-suite. Wenn der nicht mit admin-rechten ausgeführt wird, siehst du das sehr schnell, da er dann nicht alles anzeigen kann: access denied. (Um den minimiert starten zu lasen, was einfach mehr Sinn macht, Parameter /t verwenden)
Wenn du es wiedererwartend doch hinbekommen solltest, verate mir bitte wie

Zitat von ganja_man
Wer weiss, ob Schadprorgamme diese Meldung nicht einfach umgehen können

einfach nicht aber es geht...

Danke! Genau das ist nämlich auch meine Befürchtung. Somit war ich unter xp, mit meinem zwei Benutzermodell, sicherer, als unter win7, mit einem "universal-Benutzer der auch admin-rechte hat. Ich habs befürchtet.
In Punkto Sicherheit, was das beschriebene Szenario betrifft, ohne das man win7 einfach nicht produktiv benutzen kann, weil einige Programme einfach admin-rechte benötigen damit sie ihre Aufgaben erfüllen können und einige davon auch automatisiert starten müssen!, hat ms einfach geschlampt.
Anderst kann man das nicht sagen!
Denn das beschriebene Szenario funktioniert nur mit einem allroundbenutezr der auch admin-rechte hat.

p.s.: Anderes Problem: Habe es so eingestellt, das nach einer gewissen Zeit sich der Bildschirm abschaltet und man sich wieder neu anmelden muß. IN diesem Zustand reagiert der Rechner nicht wenn ich auf den AUschalter (Powerknopf) drücke. Möchte ich den Computer nun auschalten, muß ich mich erst wieder anmelden und dann, oh Wunder, reagiert er wieder auf das Drücken des Auschalters. Das ist mal meganervig! Kann man irgendwo einstellen, das sich der Rechner beim drücken des Powerschalters automatisch runterfährt, auch wenn der Benutzer nicht angemeldet ist? Das sollte doch eigentlich selbstverständlich sein!

 

[Bogey]

Autostart von Anwendungen mit erhöhten Rechten ohne UAC-Abfrage

Also ich hatte das gleiche Problem mit den auf meinem Netbook (Windows 7 Starter) vorinstallierten Samsung-Tools Update Plus Background, Battery Life Extender und Smart Restarter Programm.

Mit diesen mit Administratorrechten manuell vorgenommenen Einstellungen in der Aufgabenplanung



laufen sie jetzt sowohl unter Administrator- als auch unter Standardbenutzerkonto ohne die lästige UAC-Rückfrage.

MfG Bogey