Benutzerkonto mit Adminrechten oder nicht? - Benutzeranmeldescreen User ausblenden

[spike.sp.]

Durch ein Systemupgrade werde ich auch Win7 neu aufsetzen und wollte euch mal fragen, wie ihr eure Benutzerkonten verwaltet.

Meine bisherige Situation:
*Ich nutze den PC komplett alleine.
*Bei Installation des Win7 Systems hatte ich damals 2 Konten angelegt: 1x "Admin" (Benutzer mit Adminrechten + PW) und ein normales Systembenutzer Konto (ohne PW), welches ich zum Surfen, Spielen, Arbeiten etc. nutze. Das "Admin"-Konto ist nur da um UAC mit PW Abfrage unter dem Benutzerkonto nützen zu können.

Jetzt ist es aber jedesmal so gewesen, dass beim Win-Logon man nochmals den Benutzer auswählen muss und dann erst das System komplett startet.
Dies würde ich bei einer Neuinstallation gerne am Ende umgehen wollen, einfach weil ich im Grunde nie das "Admin" Konto brauche (läuft ja alles einwandfrei mit UAC).
Gibt es da einen Trick? Oder wie hält ihr es mit einem Nutzerkonto (surfen, spielen, arbeiten) Admin-Rechten als einziges Konto?

[Rajin the troll]

Ich mache es genause wie du.

Adminkonto mit PW und normalen benutzer zum arbeiten.
(Da merkt mann dann auch gleich welche Software murks ist weil sie grundlos Adminrechte braucht :-)

Was du suchts ist autologin.
Nach der Einrichtung Eingabeaufforderung mit Adminrechten starten.
Das hier eingeben: control userpasswords2
Benutzer markieren der Eingeloggt werden Soll.
Häckchen bei Benuter müssen kein Passwort eingeben oder so setzen.

Freuen.

[spike.sp.]

Merci, ja das wäre eine Lösung.

Und wenn ich dann mal doch volle Adminrechte brauche, einfach hochfahren und dann Benutzer wechseln?

[Phantom1]

Warum überhaupt gedanken daran verschwenden? eingeschränkte rechte bzw die UAC bringt doch eh sogut wie nix, einfach drauf verzichten. Selbst das c't magzin empfiehlt das und ich sehe das auch so, viren können mit eingeschränkten rechten ebenfalls viel schaden anrichten.

[PatkIllA]

Warum überhaupt gedanken daran verschwenden? eingeschränkte rechte bzw die UAC bringt doch eh sogut wie nix, einfach drauf verzichten.Eingeschränkte Rechte sind die Grundlage jeder Sicherheitsstrategie.
Selbst das c't magzin empfiehlt dasQuelle
und ich sehe das auch so, viren können mit eingeschränkten rechten ebenfalls viel schaden anrichten.Stimmt schon. Aber Programme die sich nur im eingeschränkten Benutzerkonto eingerichtet haben kann man mit dem Rechtesystem einschränken und außerdem wird man die halbwegs einfach wieder los.

@Topic
Ich hab UAC noch eine Stufe höher gedreht.

[Phantom1]

Ich zitiere mal das c't magazin (20/2012, Seite 106):

Maßnahmen zur Verbesserung der Sicherheit sollte man nach ihrem Kosten/Nutzen-Verhältnis bewerten. Zu den Kosten gehört dabei nicht nur monetäre Größen, sondern auch mangelnder Komfort beziehungsweise zu ertragende Nerverei. Der Nutzen hingegen ist allem daran zu bemessen, wie viel potenzielles Ungemach etwas verhindern und wie zuverlässig es das tut.

Um ein Beispiel zu nennen: Wir empfehlen Heimanwendern nicht mehr, sich mit Acounts mit eingeschränkten Rechten oder hohen Einstellungen der User Account Control (UAC) abzumühen, weil der Nutzen vergleichsweise gering ist. Fast alles, was ein typischer Trojaner bewerkstelligen will, kann er auch mit normalen Anwenderrechten: Passwörter oder Online-Banking ausspionieren, Spam verschicken, sich an DDos Attacken beteiligen und vieles mehr.

Wenn ein Trojaner trotzdem Administratorrechte benötigt, etwa um sich als Rootkit im System zu verankern, braucht er nur etwas Geduld. Er kann dazu etwa eine passend benannte DLL im Download-Verzeichnis ablegen, was kein speziellen Rechte erfordert. Unter Windows lädt ein Programm seine Bibliotheken standardmäßig zunächst aus dem gleichen Verzeichnis, in dem es selber liegt (schöne Grüße aus der DLL-Hölle). So wird der nächste legitime Installer, den der Anwender aus dem Internet herunterlädt und startet, die Trojaner-DLL laden und deren Code ausführen.

Weil der Anwender eine Installation erwartet, gewährt er dem Programm natürlich auch bedenkenlos die angeforderten Admin-Rechte, die es dann an die mitgeladene Trojaner-DLL vererbt. Auf der anderen Seite nervt es, ständig UAC-Prompts wegklicken oder sogar ein Passwort eingeben zu müssen. Fazit: beträchtlicher Aufwand für wenig Schutz.

[Rajin the troll]

Ich mag ja die CT im allgemeinen, aber dieser argumentation kann ich nicht folgen.

Gerade das Thema mit den DLLs ist doch etwas merkwürdig. Da könnte ich genausogut argumentieren das ein Einbrecher ja die Haustür aufbrechen kann, also brauche ich gar keine.
Eine Sicherheitslücke als Argument zu verwenden überhaupt keine Sicherheitsmaßnahmen zu ergreifen ist einfach ..... merkwürdig.

Auch ständig UAC-Prompts wegklicken oder sogar ein Passwort eingeben zu müssen darf beim Thema kein argument sein. Denn im alltagsbetrieb sollte man das ohnehin nur bei einer Softwareinstallationbenötigen. Die einzige ausnahme ist wenn man Murkssoftware einsetzt die grundlos Adminrechte benötigt. Das ist dann aber ein Problem mit der Software und kein Grund ein vernünftiges Sicherheitskonzept zu ignorieren.

[PatkIllA]

Welcher Installer lädt denn welche DLLs? Ich weiß dass es das gibt aber da muss man doch auch die richtige DLL für den richtigen Installer hinlegen.
Viele Installer prüfen dann auch noch die Signaturen, entpacken sich vorher in einen Unterordner im Temp oder prüfen DLL-Ladepfade.

Gibt es konkret Schadsoftware die das macht?

Ich finde es als Feedback auch ganz praktisch zu wissen, dass da jetzt was mit Adminrechten läuft.

[ShadowXX]

Ihr wisst aber schon das selbst Administratoren unter Windows 7 als ganz normale User agieren solange etwas nicht extra mit "Als Administrator ausführen" gestartet wurde, oder?

@c't
ich kann den "Tipp" der c't auch nicht so ganz nachvollziehen.
Speziell würde eine DLL die im Downloadverzeichnis landet und nicht gepackt ist jedem normlen Anwener komisch vorkommen müsste und als zweites (wichtiger!) diese DLL überhaupt nicht vom Installer des nächsten Programmes genutzt werden würde, da jeder Installer in sich erstmal autark ist und ein eigenes temporäres Verzeichnis für seine Dateien anlegt (in dem dann natürlich die böse DLL gar nicht drinne ist).
Es mag konstellationen geben wo soetwas passieren kann wie von der c't beschrieben, aber es ist a.) IMHO etwas an den Haaren herbeigezogen und b.) muss man es der Schadsoftware nicht noch extra einfach machen (speziell da unter Win7 die UAC nun wirklich nicht mehr stört).


Merci, ja das wäre eine Lösung.

Und wenn ich dann mal doch volle Adminrechte brauche, einfach hochfahren und dann Benutzer wechseln?

Du kannst jedes Programm auch als normaler Benutzer mit "Als Administrator starten" ausführen und musst dann nur den Namen des Adminkontos + Passwort eingeben.

Und nicht das original "Administrator"-Konto für den Admin verwenden, es hat schon seinen Grund warum das deaktiviert ist. Besser einen weiter Benutzer mit Adminrechten einrichten.
Aber wie oben schon erwähnt ist das eigentlich überflüssig, da selbst User die in der Gruppe der Administratoren sind im normal laufenden Betrieb wie normale User agieren...der Unterschied zum normalen User ist eigentlich nur das man dann nicht noch extra Username + Passwort eingeben muss.

[Rajin the troll]

Aber wie oben schon erwähnt ist das eigentlich überflüssig, da selbst User die in der Gruppe der Administratoren sind im normal laufenden Betrieb wie normale User agieren...der Unterschied zum normalen User ist eigentlich nur das man dann nicht noch extra Username + Passwort eingeben muss.

Zu großen Teilen ist das schon richtig. Allerdings gibt es einen kleinen Unterschied. Ein Administratorbenutzer befindet sich in der Administratorengruppe, und hatt dadurch bereites leicht erhöhte Rechte auf dem Dateisystem, die nicht vollständig von der UAC abgefanngen werden.

Ich persönlich bevorzuge dazu auch die nachfrage nach dem Passwort (Benutzername) anstatt einer Ja/Nein schaltfläche.

[Nomadd]

eine Frage.... ich war bisher alleiniger Benutzer aufm Haus-Notebook, mit ADMIN-Rechten... jetzt habe ich für weitere Familienmitglieder Benutzeraccounts eingerichtet... gibt es eine Möglichkeit, die Taskleiste, so wie ich sie auf meinem Admin-Acc konfiguriert habe, auf die anderen Konten zu übertragen? Das würde mir Arbeit sparen, will ich nicht alles manuell machen müssen...

[PatkIllA]

eine Frage.... ich war bisher alleiniger Benutzer aufm Haus-Notebook, mit ADMIN-Rechten... jetzt habe ich für weitere Familienmitglieder Benutzeraccounts eingerichtet... gibt es eine Möglichkeit, die Taskleiste, so wie ich sie auf meinem Admin-Acc konfiguriert habe, auf die anderen Konten zu übertragen? Das würde mir Arbeit sparen, will ich nicht alles manuell machen müssen...
Du kannst mit Einschränkungen RegistryEinträge ex- und dann wieder importieren und Dateien bzw. Ordner rüberkopieren
Welche Teile der Taskleiste denn? Soviel kann man an der Taskleiste doch gar nicht einstellen.

[Nomadd]

Welche Teile der Taskleiste denn? Soviel kann man an der Taskleiste doch gar nicht einstellen.

Alle ;D
So viel ist es tatsächlich nicht, aber interessieren ob's geht würde es mich schon ^^