Standardeinstellungen für die Zugriffssteuerung in
Werbung
Standardeinstellungen für die Zugriffssteuerung in Windows 2000 Whitepaper Überblick Dieses Whitepaper beschreibt die Standardsicherheitseinstellungen für zahlreiche Komponenten des Betriebssystems Microsoft® Windows® 2000, einschließlich Registrierung, Dateisystem sowie Benutzerrechten und Gruppenmitgliedschaft. Die Folgen für Entwickler und Systemadministratoren werden erläutert und Antworten auf häufig gestellte Fragen werden bereitgestellt. Standardeinstellungen für die Zugriffssteuerung in Windows 2000 Ein bedeutender Anteil der Sicherheit des Betriebssystems Microsoft® Windows® 2000 wird durch die Standardzugriffsberechtigungen definiert, die den folgenden drei Gruppen erteilt werden: Administratoren, Hauptbenutzer und Benutzer. Diese Gruppen lassen sich auf einer hohen Ebene folgendermaßen beschreiben: Administratoren verfügen über alle Rechte. Bei den Standardsicherheitseinstellungen von Windows 2000 gibt es keinerlei Einschränkungen der Administorrechte auf Registrierungsoder Dateisystemobjekte. Administratoren können alle vom Betriebssystem unterstützten Funktionen durchführen. Alle Rechte, über die Administratoren nicht standardmäßig verfügen, können sie sich selbst erteilen. In der Regel sollten Administratorrechte für das System nur für folgende Funktionen benötigt werden: Installieren des Betriebssystems und der zugehörigen Komponenten (Hardwaretreiber, Systemdienste, usw.) Installieren von Service Packs und Hotfixes Installieren von Windows-Updates Aktualisieren des Betriebssystems Reparieren des Betriebssystems Konfigurieren wichtiger Betriebssystemparameter für den Computer1. In der Praxis müssen Administratorkonten oft zum Installieren und Ausführen älterer Windows-basierter Anwendungen verwendet werden. Benutzer sind das Gegenteil von Administratoren. Wenn Windows 2000 auf einer NTFSPartition ohne Betriebssystem neu installiert wird, verhindern die Standardsicherheitseinstellungen das Verletzen der Integrität des Betriebssystems und der installieren Anwendungen durch Benutzer. Benutzer können für den gesamten Computer geltende Registrierungseinstellungen, Betriebssystemdateien oder Programmdateien nicht ändern. Benutzer können keine Anwendungen installieren, die von anderen Benutzern ausgeführt werden können (wodurch trojanische Pferde verhindert werden). Auf die privaten Daten anderer Benutzer haben Benutzer keinen Zugriff. Demzufolge lauten zwei wichtige Aspekte zum Schutz eines Windows 2000-basierten Systems folgendermaßen: 1. Stellen Sie sicher, dass die Anwender nur Mitglieder der Gruppe Benutzer sind. 2. Stellen Sie Anwendungen bereit, die reguläre Benutzer erfolgreich ausführen können. In der Regel sollten Benutzer in der Lage sein, jede Anwendung auszuführen, die zuvor von einem Administrator, Hauptbenutzer oder den Benutzern selbst installiert wurde. Benutzer sollten keine Möglichkeit haben, von anderen Benutzern installierte Anwendungen auszuführen. In der Praxis können reguläre Benutzer die meisten älteren Anwendungen nicht ausführen, weil bei der Entwicklung dieser Anwendungen die Betriebssystemsicherheit nicht berücksichtigt wurde. Mitglieder der Gruppe Hauptbenutzer sollten in der Lage sein, solche Anwendungen auszuführen. Anwendungen, die die Anwendungsspezifikation für Windows 2000 ( http://msdn.microsoft.com/winlogo/win2000.asp [englischsprachig]) erfüllen, können in einem regulären Benutzerkontext erfolgreich ausgeführt werden. Hauptbenutzer sind bezüglich des Systemzugriffs zwischen Administratoren und Benutzern angesiedelt. Die Standardsicherheitseinstellungen von Windows 2000 für Hauptbenutzer sind abwärtskompatibel mit den Standardsicherheitseinstellungen für Benutzer des Betriebssystems Windows NT® 4.0. Zusammengefasst heißt dies: Hauptbenutzer verfügen über sehr viele Rechte. In der Regel sollten Hauptbenutzer in der Lage sein, alle Aufgaben außer den oben beschriebenen administrativen Aufgaben auszuführen. Hauptbenutzer sollten demnach Folgendes durchführen können: Installieren und Deinstallieren computerbezogener Anwendungen, die keine Systemdienste installieren. Anpassen von systemweiten Ressourcen (z. B. Systemzeit, Anzeigeeinstellungen, Freigaben, Energiekonfiguration, Drucker, usw.). Hauptbenutzer haben keinen Zugriff auf die Daten anderer Benutzer, die auf einer NTFSPartition gespeichert sind. In der Praxis können Hauptbenutzer viele ältere Anwendungen nicht installieren, weil diese Anwendungen während des Installationsvorgangs versuchen, Betriebssystemdateien zu ersetzen. Zu Beginn einer Installation im GUI-Modus während einer Neuinstallation von Windows 2000 oder einem Update von Windows 9x werden die Standardsicherheitseinstellungen verwendet. Sicherheitseinstellungen werden beim Update des Betriebssystems Windows NT® nicht geändert. Darüber hinaus können die Sicherheitseinstellungen für das Dateisystem nur übernommen werden, wenn Windows 2000 auf einer NTFS-Partition installiert wird. Die Standardsicherheitseinstellungen für Arbeitsstationen, Server und Domänencontroller finden Sie in den folgenden Dateien: %windir%\inf\defltwk.inf %windir%\inf\defltsv.inf %windir%\inf\defltdc.inf2 Da die Sicherheit zu Beginn der Installation im GUI-Modus übernommen wird, sind keine expliziten Sicherheitseinstellungen für optionale Komponenten definiert (z. B. IIS oder Terminal Server), die während der Installation im GUI-Modus ausgewählt werden können. Die optionale Komponente ist für das Festlegen der eigenen Sicherheit verantwortlich, falls die Sicherheit vom ererbten Standard abweichen sollte. Die abwärtskompatiblen Berechtigungen (Zugriffssteuerung) für Windows 2000Hauptbenutzer finden Sie in Anhang A für Dateisystemobjekte und in Anhang B für Registrierungsobjekte. Diese abwärtskompatiblen Standardberechtigungen für Hauptbenutzer sind so großzügig angelegt, dass die meisten Anwendungen von einem Hauptbenutzer installiert werden können. Zum Beispiel verfügen Hauptbenutzer über die Änderungsberechtigung für folgende Komponenten: HKEY_LOCAL_MACHINE \Software Programmdateien %windir% %windir%\system32 Obwohl Hauptbenutzer über die Änderungsberechtigung für die Verzeichnisse %windir% und %windir%\system32 verfügen, haben sie nur schreibgeschützten Zugriff auf die Dateien, die während der Installation im Textmodus von Windows 2000 in diesen Verzeichnissen installiert werden. Dies ermöglicht älteren Anwendungen das Schreiben neuer Dateien in die Systemverzeichnisse, hindert jedoch Hauptbenutzer an Änderungen der Windows 2000-Systemdateien. Außerdem können Hauptbenutzer keine Windows 2000Dienste installieren. Die Standardberechtigungen für Administratoren und Benutzer lassen sich einfacher folgendermaßen beschreiben: Administratoren, System und Ersteller-Besitzer erhalten Vollzugriff auf alle Dateisystem- und Registrierungsobjekte, die zu Beginn der Installation im GUIModus vorhanden sind. Benutzern wird die Schreibberechtigung explizit nur für die folgenden Speicherorte erteilt: Objekt HKEY_Current_User %UserProfile% All Users\Dokumente All Users\Anwendungsdaten %Windir%\Temp \ (Stammverzeichnis) Berechtigun g Kommentar Die Benutzerkomponente der Registrierung Vollzugriff Das Verzeichnis des Benutzerprofils Der Speicherort freigegebener Ändern Dokumente Der Speicherort freigegebener Ändern Anwendungsdaten Synchronisier Computerbezogenes temporäres en, Verzeichnis. Dies ist ein Zugeständnis an Durchsuchen, dienstbasierte Anwendungen, damit Datei Profile nicht geladen werden müssen, um hinzufügen, auf das benutzerbezogene temporäre Unterverzeich Verzeichnis eines Benutzers mit nis hinzufügen Identitätswechsel zuzugreifen. Dies wird während der Installation nicht Wird während konfiguriert, da das Vererbungsmodell der der Zugriffssteuerungslisten von Windows Installation 2000 alle untergeordneten Objekte nicht beeinträchtigen würde, einschließlich der konfiguriert Objekte außerhalb der Installationsreichweite. Vollzugriff Benutzer haben schreibgeschützten Zugriff (oder weniger) auf das restliche System. Es sollte beachtet werden, dass während der Installation keine Berechtigungen für das Stammverzeichnis definiert werden. Deshalb werden alle Berechtigungen beibehalten, die bereits für das Stammverzeichnis vorhanden sind. Standardmäßig erteilt der Befehl Format für Jeder den Vollzugriff, weshalb Administratoren das Stammverzeichnis gemäß den jeweiligen Sicherheitsanforderungen und den Anforderungen der Anwendungen konfigurieren sollten, die ausgeführt werden müssen. Das Setup-Programm ändert die Berechtigungen für das Stammverzeichnis nicht, weil das ACL-Vererbungsmodell von Windows 2000 rekursiv versuchen würde, alle Unterverzeichnisse des Stammverzeichnisses zu konfigurieren. Dies könnte zu unerwünschten Änderungen bei Verzeichnissen führen, die nicht auf Windows 2000 basieren und möglicherweise auf der Installationspartition vorhanden sind. Die standardmäßigen Benutzerrechte für neu installierte Arbeitsstationen und Mitgliedsserver sind in der folgenden Tabelle definiert. Sie unterscheiden sich nur in einer Beziehung, nämlich im Recht Herunterfahren des Systems. Auf Servern wird Benutzern dieses Recht standardmäßig nicht erteilt. Benutzerrecht Standardarbeitsstation Standardserver Ersetzen eines Tokens auf Prozessebene Generieren von Sicherheitsüberwachungen Anmelden als Stapelverarbeitungsauftra g Sichern von Dateien und Administratoren, Verzeichnissen Sicherungs-Operatoren Administratoren, Umgehen der Sicherungs-Operatoren, durchsuchenden Hauptbenutzer, Benutzer, Überprüfung Jeder Erstellen einer Administratoren Auslagerungsdatei Erstellen von dauerhaft freigegebenen Objekten Erstellen eines Tokenobjekts Debuggen von Administratoren Programmen Erhöhen der Administratoren Planungspriorität Erhöhen von Administratoren Datenträgerkontigenten Administratoren, Sicherungs-Operatoren, Lokales Anmelden Hauptbenutzer, Benutzer, Gast3 Laden und Entfernen von Administratoren Gerätetreibern Sperren von Seiten im Arbeitsspeicher Hinzufügen von Arbeitsstationen zur Domäne Zugreifen auf diesen Administratoren, Computer vom Netzwerk Sicherungs-Operatoren, Administratoren, SicherungsOperatoren Administratoren, SicherungsOperatoren, Hauptbenutzer, Benutzer, Jeder Administratoren Administratoren Administratoren Administratoren Administratoren, SicherungsOperatoren, Hauptbenutzer, Benutzer, Gast Administratoren Administratoren, SicherungsOperatoren, Hauptbenutzer, aus Erstellen eines Profils für einen Einzelprozess Erzwingen des Herunterfahrens von einem Remotesystem aus Wiederherstellen von Dateien und Verzeichnissen Verwalten von Überwachungs- und Sicherheitsprotokollen Als Dienst anmelden Herunterfahren des Systems Verändern der FirmwareUmgebungsvariablen Erstellen eines Profils der Systemleistung Ändern der Systemzeit Hauptbenutzer, Benutzer, Benutzer, Jeder Jeder Administratoren, Administratoren, Hauptbenutzer Hauptbenutzer Administratoren Administratoren Administratoren, Sicherungs-Operatoren Administratoren, SicherungsOperatoren Administratoren Administratoren Administratoren, Sicherungs-Operatoren, Administratoren, SicherungsHauptbenutzer, Operatoren, Hauptbenutzer Benutzer Administratoren Administratoren Administratoren Administratoren Administratoren, Hauptbenutzer Administratoren, Hauptbenutzer Übernehmen des Besitzes Administratoren von Dateien und Objekten Einsetzen als Teil des Betriebssystems Lokale Anmeldung verweigern Anmeldung als Batchauftrag verweigern Anmeldung als Dienst verweigern Zugriff vom Netzwerk auf diesen Computer verweigern Entfernen des Computers Administratoren, von der Dockingstation Hauptbenutzer, Benutzer Synchronisieren von Verzeichnisdienstdaten Zulassen, dass Computerund Benutzerkonten für Delegierungszwecke vertraut wird Administratoren Administratoren, Hauptbenutzer, Benutzer Neben den Berechtigungen über die standardmäßigen Zugriffssteuerungslisten und Benutzerrechte haben Hauptbenutzer die folgenden Berechtigungen: Lokale Benutzer und Gruppen erstellen Erstellte Benutzer und Gruppen bearbeiten Nicht-Administratoren-Dateifreigaben erstellen und löschen Lokale Drucker einrichten, verwalten und freigeben Administratoren können alle diese Funktionen ebenfalls durchführen. Bei der Kontenverwaltung jedoch können Administratoren jedes Konto einrichten, löschen oder ändern, während Hauptbenutzer nur Konten ändern oder löschen können, die sie selbst erstellt haben. Benutzer können keine dieser zusätzlichen Hauptbenutzerfunktionen durchführen. Ein wichtiger Unterschied bei den Standardsicherheitseinstellungen zwischen Windows NT 4.0 und Windows 2000 ist die Art und Weise, wie die Zugriffssteuerung zugewiesen wird. In Windows NT 4.0 wurde die Gruppe Jeder global für Dateisystem-Zugriffssteuerungslisten, Registrierungs-Zugriffssteuerungslisten und Benutzerrechte verwendet. In gewisser Weise ist die Gruppe Jeder keine übliche Gruppe, weil der Administrator nicht bestimmen kann, wer der Gruppe angehören soll. Stattdessen kontrolliert Windows NT automatisch die Gruppenmitgliedschaft, so dass jeder Benutzer ein Mitglied der Gruppe Jeder ist. Wenn ein Administrator eine genauere Zugriffssteuerung möchte, müssten die standardmäßigen Zugriffssteuerungslisten geändert werden, um die Gruppe Jeder zu entfernen und die Gruppen hinzuzufügen, die der Administrator kontrolliert. Windows 2000 verwendet einen anderen Ansatz. Gruppen wie Jeder und Authentifizierte Benutzer, deren Mitgliedschaft automatisch vom Betriebssystem konfiguriert wird, werden nicht zum Zuweisen von Berechtigungen verwendet4 . Stattdessen werden nur die Gruppen verwendet, deren Mitgliedschaft von einem Administrator kontrolliert werden kann. Im Prinzip die drei behandelten Gruppen: Benutzer, Hauptbenutzer und Administratoren. Die folgende Tabelle beschreibt, welche Benutzer die Standardmitglieder in diesen Gruppen bilden. Wenn ein Benutzer Mitglied einer Gruppe ist, erhält er automatisch die zugewiesenen Berechtigungen dieser Gruppe. Standardarbeitsstations Standardservermitgliede Lokale Gruppe -Mitglieder r Administratoren Hauptbenutzer Benutzer Administrator Interaktive Benutzer Authentifizierte Benutzer Administrator Authentifizierte Benutzer Standardmäßig wird auf Computern, auf denen das Betriebssystem neu installiert wurde, die Gruppe Authentifizierte Benutzer zur Gruppe Benutzer unter Windows 2000 Professional und Windows 2000 Server hinzugefügt. Die Gruppe Interaktive Benutzer wird nur auf Computern unter Windows 2000 Professional zur Gruppe Hauptbenutzer hinzugefügt. Die Mitgliedschaft in den Gruppen Authentifizierte Benutzer und Interaktive Benutzer wird automatisch vom Betriebssystem kontrolliert. Die Gruppe Authentifizierte Benutzer ist mit der Gruppe Jeder identisch, enthält aber keine anonymen Benutzer. Standardmäßig gilt deshalb Folgendes: Jeder Nicht-Administrator, der auf einen Windows 2000 Server zugreift, ist automatisch ein regulärer Benutzer. Jeder Nicht-Administrator, der auf ein Windows 2000 Professional-basiertes System über das Netzwerk zugreift, ist ein regulärer Benutzer. Jeder Nicht-Administrator, der auf ein Windows 2000 Professional-basiertes System lokal zugreift, ist automatisch ein Hauptbenutzer. Dadurch wird standardmäßig die Abwärtskompatibilität für Computer unter Windows 2000 Professional bezüglich der Zugriffssteuerungseinstellungen sichergestellt. Da Windows 2000Hauptbenutzer über dieselben Dateisystem- und Registrierungsberechtigungen wie Windows NT 4.0-Benutzer verfügen, sollten interaktive Benutzer auf Computern unter Windows 2000 Professional in der Lage sein, alle Anwendung en auszuführen, die Windows NT 4.0Benutzer ausführen konnten. Das Einrichten der Sicherheit für eine Windows 2000-basierte Arbeitsstation ist nun allerdings wesentlich einfacher als in früheren Versionen von Windows NT. Anstatt zahlreiche Dateisystem- und Registrierungs-Zugriffssteuerungslisten zu ändern, entfernen Sie einfach Interaktive Benutzer aus der Gruppe der Hauptbenutzer. Nachfolgende (Nicht-Administratoren) Anmeldungen werden der Gruppe Benutzer zugeordnet, wodurch automatisch eine ideale Zugriffssteuerungsrichtlinie gewährleistet wird. Um ein System unter Windows 2000 zu sichern, werden deshalb unbedingt Anwendungen benötigt, die die Windows 2000-Anwendungsspezifikation erfüllen. Diese Anwendungen werden erfolgreich in einem (Nicht-Administratoren-, Nicht-Hauptbenutzer-) Benutzerkontext ausgeführt. Standardmäßig gehört auf neu installierten Windows 2000-Servern kein Benutzer der Gruppe Hauptbenutzer an. Deshalb arbeiten Anwender (oder Dienstkonten), die sich bei Windows 2000-Servern anmelden, automatisch in der sicheren Umgebung, die regulären (Nicht-Administratoren, Nicht-Hauptbenutzer) Benutzern angeboten wird. Ein Administrator muss spezielle Maßnahmen ergreifen, um solche Konten in der weniger sicheren Gruppe Hauptbenutzer zu platzieren, falls Abwärtskompatibilität mit Windows NT 4.0 erforderlich ist. Wenn schließlich eine Arbeitsstation oder ein Server einer Domäne beitritt, werden dieselben Domänengruppen zu lokalen Windows 2000-Gruppen hinzugefügt, die zu lokalen Windows NT 4.0-Gruppen hinzugefügt wurden. Domänen-Administratoren und DomänenBenutzer werden beim Beitritt zur Domäne zur lokalen Gruppe Administratoren - bzw. zur lokalen Gruppe Benutzer hinzugefügt. Zusammenfassung Ein Großteil der Sicherheit des Betriebssystems Windows 2000 wird durch die Zugriffsberechtigungen definiert, die den folgenden drei Gruppen erteilt werden: Administratoren, Hauptbenutzer und Benutzer. Standardmäßig verfügen Administratoren auf neu installierten NTFS-Systemen über Vollzugriff auf wichtige Betriebssystemkomponenten, während Benutzer (höchstens) schreibgeschützten Zugriff haben. Diese standardmäßigen Zugriffssteuerungseinstellungen, die für reguläre (NichtAdministratoren, Nicht-Hauptbenutzer) definiert sind, bieten eine standardmäßige sichere Windows-basierte Umgebung, die Anwendungsentwickler als Zielvorgabe verwenden können und die einfach zu testen ist. Anwendungen, die die Windows 2000-Anwendungsspezifikation erfüllen, können von regulären Benutzern erfolgreich ausgeführt werden. Wenn solche Anwendungen bereitgestellt werden, können Administratoren die Computersicherheit erheblich verbessern, indem sie auf Computern unter Windows 2000 Professional Interaktive Benutzer aus der Gruppe Hauptbenutzer entfernen. Bis zur Bereitstellung solcher Anwendungen bietet die Gruppe Hauptbenutzer einen bequemen Abwärtskompatibilitätsmechanismus für ältere Anwendungen, die von Benutzern nicht erfolgreich ausgeführt werden können. Häufig gestellte Fragen (FAQs) Wenn Sie ein Entwickler sind, stellen Sie sicher, dass Ihr Code die Anforderungen der Anwendungsspezifikation für Windows 2000 erfüllt, insbesondere Kapitel 3, "User and Computer Settings Management". Das Erfüllen dieser Anforderungen bietet Kunden die optimale Sicherheit ohne Verlust von Anwendungsfunktionalität und kann als solches vermarktet werden. Wenn Sie ein Tester sind, stellen Sie sicher, dass die zu testende Anwendung die Anforderungen der Anwendungsspezifikation für Windows 2000 erfüllt, insbesondere Kapitel 3, "User and Computer Settings Management". Das Testen der Laufzeitaspekte der Anwendung ist einfach: 3. Führen Sie eine Neuinstallation von Windows 2000 auf einer NTFS-Partition durch (treten Sie gegebenenfalls einer Domäne bei). 4. Melden Sie sich als Administrator an. 5. Installieren Sie die Anwendung im Verzeichnis Programme 6. Erstellen Sie das Benutzerkonto Test (Nicht-Administrator) 7. Entfernen Sie Interaktive Benutzer aus der Gruppe Hauptbenutzer. 8. Melden Sie sich als der in Schritt 4 erstellte Benutzer Test an. 9. Führen Sie die Anwendung aus. Wenn Sie ein Systemadministrator sind, sollten Sie sich bezüglich der in Ihrer Umgebung unterstützten Anwendung an die internen Entwickler oder an unabhängige Softwarehersteller wenden. Windows 2000 definiert eine Standardsicherheitsplattform, die Entwickler als Zielvorgabe verwenden können und die einfach zu testen ist. Nun sind Anwendungen erforderlich, die erfolgreich auf dieser Plattform ausgeführt werden können. Wenn Anwendungen bereitgestellt werden, die erfolgreich "als Benutzer ausgeführt" werden können, ist es möglich, Benutzer von der Gruppe Hauptbenutzer in die Gruppe Benutzer zu verschieben. Dies hat eine deutliche Verbesserung bezüglich Sicherheit, Zuverlässigkeit und Verwaltung zur Folge. Anwendungen, die die Anforderungen der Anwendungsspezifikation für Windows 2000 erfüllen, insbesondere Kapitel 3, "User and Computer Settings Management", werden erfolgreich "als Benutzer ausgeführt". Microsoft Office 2000 erfüllt diese Anforderungen. Die Standardsicherheitseinstellungen von Windows 2000 werden nur bei einer Neuinstallation des Betriebssystems übernommen. Updates früherer Versionen von Windows NT ändern die vorherigen Sicherheitseinstellungen nicht. Darüber hinaus muss Windows 2000 auf einem NTFS-Dateisystem neu installiert werden, damit die standardmäßigen Dateisystem-Zugriffssteuerungslisten übernommen werden. Da die Sicherheit auf aktualisierten Computern während der Installation von Windows 2000 nicht geändert wird, müssen die Standardsicherheitseinstellungen nach Abschluss der Installation vom Administrator übernommen werden: Im Verzeichnis %windir%\security\templates kann der folgende Befehl auf Arbeitsstationen ausgeführt werden: Secedit /configure /cfg basicwk.inf /db basicwk.sdb /log basicwk.log /verbose Für Server werden die Standardsicherheitseinstellungen in Basicsv.inf definiert: Secedit /configure /cfg basicsv.inf /db basicsv.sdb /log basicsv.log /verbose Die Basiskonfigurationsdateien übernehmen alle Standardsicherheitseinstellungen außer für Benutzerrechteund für die Mitgliedschaft in den Gruppen Benutzer und Hauptbenutzer. Deshalb muss möglicherweise nach der Übernahme der Basisvorlage die Gruppe Interaktiven Benutzer zur Hauptbenutzer hinzugefügt werden. Das Dateisystem, auf dem Windows 2000 installiert wird, muss NTFS sein, um die standardmäßigen Dateisystem-Zugriffssteuerungslisten zu erhalten. Das Setup-Programm ändert die Berechtigungen für das Stammverzeichnis nicht, weil das ACL-Vererbungsmodell von Windows 2000 rekursiv versuchen würde, alle Unterverzeichnisse des Stammverzeichnisses zu konfigurieren. Dies könnte zu unerwünschten Änderungen bei anderen als Windows 2000-basierten Verzeichnissen führen, die möglicherweise auf der Installationspartition vorhanden sind. Deshalb sollten Administratoren die Stammverzeichnissicherheit gemäß ihren eigenen Systemkonfigurationen und Anwendungsanforderungen konfigurieren. Gewünschte Sicherheitseinstellungen für das Stammverzeichnis können in die während der Installation zur Konfiguration von Windows 2000 verwendeten Standardsicherheitsvorlagen eingebunden werden. Diese Dateien heißen entsprechend Defltwk.inf und Defltsv.inf und können mit dem Sicherheitsvorlagen-Snap-In von MMC geändert werden. Ältere Desktopanwendungen, die unter Windows NT 4.0 unter einem Benutzerkontext ausgeführt wurden, müssen in Windows 2000 höchstwahrscheinlich unter einem Hauptbenutzerkontext ausgeführt werden. Alle interaktiven Benutzer sind auf Windows 2000-basierten Arbeitsstationen standardmäßig Mitglieder der Gruppe Hauptbenutzer. Da Hauptbenutzer dieselben Zugriffssteuerungsmöglichkeiten wie Windows NT 4.0-Benutzer haben, sollten Hauptbenutzer in der Lage sein, diese Anwendungen erfolgreich auszuführen. Neue Anwendungen, die die Windows 2000-Anwendungsspezifikation erfüllen, benötigen zum erfolgreichen Ausführen keine Hauptbenutzerfunktionen. Serverbasierte Anwendungen, die unter Windows NT 4.0 unter einem Benutzerkontext ausgeführt wurden, müssen unter Windows 2000 höchstwahrscheinlich unter einem Hauptbenutzerkontext ausgeführt werden. Deshalb sollten die Dienstkonten solcher Anwendungen für Windows 2000 Server-Plattformen zur Gruppe Hauptbenutzer hinzugefügt werden, um Abwärtskompatibilität mit der Windows NT 4.0-basierten Umgebung zu erreichen. Dienstkonten, die als lokales System oder unter einem Administratorkontext ausgeführt wurden, sind von den Standardsicherheitseinstellungen nicht betroffen. Anwendungen, die die Anforderungen der Anwendungsspezifikation für Windows 2000 erfüllen, insbesondere Kapitel 3, "User and Computer Settings Management", werden erfolgreich "als Benutzer ausgeführt". Ziehen Sie den Windows 2000-Anwendungskatalog heran, um zu ermitteln, welche Anwendungen diese Anforderung erfüllen. Der aktuelle Speicherort für den Windows 2000-Anwendungskatalog ist http://www.microsoft.com/windows2000/upgrade/compat/search/default.asp . Microsoft Office 2000 und Microsoft Internet Explorer, der im Lieferumfang von Windows 2000 enthalten ist, werden erfolgreich unter einem Benutzerkontext ausgeführt. Beachten Sie, dass eine Anwendung möglicherweise erfolgreich "als Benutzer ausgeführt wird", aber dennoch nicht alle restlichen Anforderungen der Windows 2000Anwendungsspezifikation erfüllt. Früher war das Einrichten der Sicherheit für eine Windows NT-basierte Umgebung sehr aufwendig. Das Ziel ist, die optimale Sicherheit ohne Beeinträchtigung der Anwendungsfunktionalität zu ermitteln. Bei statischen Anwendungen ist dies ein mühsames Unterfangen. Mit den sich ständig ändernden Anwendungsanforderungen gestaltet sich diese Aufgabe zunehmend schwierig. Glücklicherweise gibt es keine technischen Gründe für dieses Problem (und die damit verbundenen Kosten). Die Standardberechtigungen für Windows 2000-Benutzer definieren eine ideale Zugriffssteuerungsrichtlinie. In dieser Umgebung werden die Benutzer daran gehindert, Dateisystem- und Registrierungswerte für das Betriebssystem und die Anwendungen zu ändern, die unter diesem Betriebssystem ausgeführt werden. Benutzer werden außerdem daran gehindert, die privaten Daten anderer Benutzer zu ändern. Die Festlegung dieser vorgefertigten Standardeinstellungen löst zwei signifikante Probleme: Zunächst bietet dies eine Standardsicherheitsplattform, die Entwickler als Zielvorgabe verwenden können und die einfach zu testen ist. Dieser Standard treibt in Verbindung mit der Marktnachfrage die Entwicklung von sicherheitsbewußten Anwendungen voran. Zum anderen wird nach dem Überprüfen der Unterstützung dieses Standards durch die Anwendungen der Schutz einer Windows-basierten Umgebung durch die Standardberechtigungen wesentlich einfacher. Anstatt die Zugriffssteuerungslisten für eine Vielzahl von Objekten neu zu konfigurieren, entfernen Sie einfach die Gruppe Interaktive Benutzer aus der Gruppe Hauptbenutzer. Das Durchführen dieses einzelnen Vorgangs schützt die Umgebung vor später auf das System zugreifende Nicht-Administratoren und Nicht-Hauptbenutzern. Bis zur Entwicklung und Bereitstellung sicherheitsbewußter Anwendungen muss die Abwärtskompatibilität mit Windows NT 4.0-basierten Umgebungen aufrechterhalten werden. Da Zugriffsberechtigungen für die Windows 2000-Gruppe Benutzer die sichere Plattform für zukünftige Anwendungsversionen definiert, bietet die Gruppe Hauptbenutzer die Abwärtskompatibilität für ältere Anwendungsversionen. Standardmäßig verfügen Windows 2000-Hauptbenutzer über dieselben Dateisystem- und Registrierungsberechtigungen die Windows NT 4.0-Benutzern zur Verfügung stand. Durch das standardmäßige Hinzufügen der interaktiven Benutzer zur Gruppe Hauptbenutzer werden deshalb Anwendungen, die unter Windows NT 4.0 als Benutzer ausgeführt wurden, unter Windows 2000 weiterhin für interaktive (Haupt-) Benutzer ausgeführt. Einige Systemadministratoren betrachten die Gruppe Hauptbenutzer wegen der integrierten Berechtigungen, über die Mitglieder dieser Gruppe verfügen, eventuell als zu großzügig5: Lokale Benutzer und Gruppen erstellen Erstellte Benutzer und Gruppen bearbeiten Nicht-Administratoren-Dateifreigaben erstellen und löschen Lokale Drucker einrichten, verwalten und freigeben Da es keine Möglichkeit gibt, die zugewiesenen integrierten Berechtigungen von Hauptbenutzern zu deaktivieren, müssen Administratoren, die diese integrierten Berechtigungen als zu unsicher einschätzen, die Gruppe Interaktive Benutzeraus der Gruppe Hauptbenutzer entfernen. Gegebenenfalls müssen die Zugriffssteuerungslisten für die Benutzergruppe geöffnet werden, um die zu unterstützenden Anwendungen auszuführen. In den meisten Fällen repräsentieren die weniger sicheren Zugriffssteuerungslisten, die zum Ausführen älterer Anwendungen erforderlich sind, den schwächsten Punkt der Gesamtsicherheit des Systems und rechtfertigen deshalb nicht den Aufwand, diese integrierten Berechtigungen zu umgehen. Standardmäßig kann ein Administrator Folgendes durchführen: Betriebssystem installieren Hardwaregerätetreiber installieren oder konfigurieren6 Systemdienste installieren Service Packs, Hotfixes und Windows-Updates installieren Betriebssystem aktualisieren Betriebssystem reparieren Anwendungen installieren, die Windows-Systemdateien ändern Kennwortrichtlinien konfigurieren Überwachungsrichtlinien konfigurieren Sicherheitsprotokolle verwalten Administrative Freigaben erstellen Administratorkonten erstellen Gruppen oder Konten ändern, die von anderen Benutzern erstellt wurden Auf die Registrierung von einem Remotestandort zugreifen Dienste beenden oder starten Dienste konfigurieren Kontingente erhöhen Ausführungsprioritäten erhöhen Herunterfahren des Systems von einem Remotestandort Besitzrechte für beliebige Objekte übernehmen Benutzerrechte zuweisen Sperre eines Computers außer Kraft setzen Festplatte formatieren Systemweite Umgebungsvariablen formatieren Private Daten anderer Benutzer aufrufen Dateien sichern und wiederherstellen Ein Hauptbenutzer kann Folgendes durchführen: Lokale Benutzer und Gruppen erstellen Erstellte Benutzer und Gruppen bearbeiten Nicht-Administratoren-Dateifreigaben erstellen und löschen Lokale Drucker einrichten, verwalten und freigeben Systemzeit ändern (Standardbenutzerrecht) Nicht automatisch gestartete Dienste beenden oder starten Standardmäßig verfügen Hauptbenutzer außerdem über die folgenden Berechtigungen: Zugriffsrechte auf das Verzeichnis Programme ändern Zugriffsrechte auf viele Speicherorte in der Registrierungsstruktur HKEY_LOCAL_MACHINE \Software ändern. Schreibzugriff auf die meisten Systemverzeichnisse, einschließlich %windir% und %windir%\system32. Diese Berechtigungen ermöglichen Hauptbenutzern Folgendes: Computerbezogenes Installieren von Anwendungen, die keine WindowsSystemdateien ändern. Ausführen älterer Anwendungen, die benutzerbezogene Daten in computerbezogenen Standorten nicht ordnungsgemäß speichern (ohne Empfangen von Fehlermeldungen). Leider erlauben eben diese Berechtigungen Hauptbenutzern auch Folgendes: Einbringen von trojanischen Pferden, die die beim Ausführen von Administratoren oder anderen Benutzern die System- und Datensicherheit beschädigen können. Durchführen systemweiter Betriebssystem- und Anwendungsänderungen, die Auswirkungen auf andere Benutzer des Systems haben. Benutzer können keine computerbezogenen Installationen von Anwendungen durchführen, da Sie nicht in systemweite Speicherorte schreiben können. Es gibt jedoch keinen Grund, weshalb ein Benutzer (Nicht-Administrator, Nicht-Hauptbenutzer) keine benutzerbezogene Anwendungsinstallation vornehmen kann, vorausgesetzt das Installationsprogramm der Anwendung unterstützt dies. Eine solche Anwendung müsste im Profilverzeichnis des Benutzers installiert werden und dürfte nur Registrierungseinstellungen für HKEY_CURRENT_USER und benutzerbezogene Startmenüelemente ändern. Deshalb kann nur der Benutzer diese Anwendung ausführen, der die Anwendung installiert hat. Dies ist die einzige sichere Möglichkeit, um nicht-vertrauenswürdigen Benutzern die Installation von Anwendungen zu erlauben. Da Administratoren die vollständige Kontrolle über das Betriebssystem haben, müssen Systemadministratoren eine Anmeldung als Administrator vermeiden, wenn sie keine Verwaltungsaufgaben ausführen. Dies kann Ihr System davor schützen, dass zerstörerischer Code unter dem privilegierten Sicherheitskontext ausgeführt wird. Das übliche Szenario ist das Downloaden und Ausführen von Code aus dem Internet. Um das Ausführen unter einem weniger privilegierten Kontext zu fördern, bietet Windows 2000 ein geeignetes Tool, das Administratoren das Anmelden als Benutzer oder Hauptbenutzer erlaubt. Anschließen können sie vertrauenswürdige Verwaltungsprogramme unter einem Administratorkontext starten, ohne sich abmelden und erneut anmelden zu müssen. Dieses Tool hat den Namen Runas.exe. Beispielsweise sieht eine Befehl zum Starten eines Befehlsfensters unter dem Administratorkontext folgendermaßen aus: RUNAS /u:computername\administrator cmd In diesem Befehlsfenster gestartete Anwendungen erben den Zugriffstoken des übergeordneten Objekts. Runas ist auch in die Windows 2000-Shell integriert, damit Programme und Programmverknüpfungen von der Benutzeroberfläche unter einem anderen Benutzerkontext gestartet werden können. Um Runas in der Shell zu verwenden, wählen Sie eine ausführbare Datei aus, und klicken Sie bei gedrückter Umschalttaste mit der rechten Maustaste. Domänencontroller unterstützen ein breiteres Spektrum integrierter Gruppen als Arbeitsstationen oder Server. Zum Beispiel unterstützen Domänencontroller KontenOperatoren und Druck-Operatoren. Anstatt allen in den Domänencontroller integrierten Gruppen Standardzugriffsberechtigungen zu erteilen, wird der Dateisystem- und Registrierungszugriff für Domänencontroller in erster Linie für folgende Gruppen erteilt: Authentifizierte Benutzer Server-Operatoren Administratoren Authentifizierte Benutzer verfügen, unabhängig davon, ob sie Konten- oder DruckOperatoren oder reguläre Benutzer sind, die von einem Remotestandort auf den Domänencontroller zugreifen, über dieselben eingeschränkten Standardberechtigungen wie Benutzer für Arbeitsstationen oder Server (d. h., schreibgeschützter Zugriff auf Systemstandort, Vollzugriff für das eigene Profil und HKEY_CURRENT_USER). Server-Operatoren auf Domänencontrollern verfügen über wesentlich mehr Rechte als Hauptbenutzer auf Arbeitsstationen oder Servern. Beispielsweise können Server-Operatoren Windows-Systemdateien ersetzen und müssen deshalb vollständig vertrauenswürdige Benutzer sein. Beachten Sie, dass die Gruppe Hauptbenutzer auf Domänencontrollern nicht vorhanden ist. Daher gibt es keine Abwärtskompatibilitätsmechanismus für Anwendungen, die unter einem Benutzerkontext auf Windows NT 4.0-Domänencontrollern ausgeführt wurden. Im Allgemeinen rät Microsoft davon ab, Anwendungen auf Domänencontrollern auszuführen. Dies gilt besonders für Anwendungen, die höhere Zugriffsberechtigungen als Authentifizierter Benutzer erfordern, um erfolgreich ausgeführt zu werden. Anhang A: Standardmäßige DateisystemZugriffssteuerungslisten für Hauptbenutzer und Benutzer Die folgende Tabelle beschreibt die standardmäßigen Zugriffssteuerungseinstellungen, die während einer Neuinstallation von Windows 2000 auf einer NTFS-Partition für Dateisystemobjekte für Hauptbenutzer und Benutzer übernommen werden. Falls nicht anders angegeben (in Klammern) gelten für Verzeichnisse die Berechtigungen für das Verzeichnis, für Unterverzeichnisse und Dateien. %systemdir% bezieht sich auf %windir%\system32 *.* bezieht sich auf die Dateien (nicht Verzeichnisse), die in einem Verzeichnis enthalten sind RX bedeutet Lesen und Ausführen Standardberechtigungen Standardberechtigungen Dateisystemobjekt für Hauptbenutzer für Benutzer c:\boot.ini c:\ntdetect.com c:\ntldr c:\ntbootdd.sys c:\autoexec.bat c:\config.sys \Programme %windir% %windir%\*.* %windir%\config\*.* %windir%\cursors\*.* RX RX RX RX Ändern Ändern Ändern Ändern RX RX RX %windir%\Temp Ändern %windir%\repair %windir%\addins Ändern Ändern Keine Keine Keine Keine RX RX RX RX RX RX RX Synchronisieren, Durchsuchen, Datei hinzufügen, Unterverzeichnis hinzufügen Ordnerinhalt auflisten RX %windir%\Connection Wizard %windir%\fonts\*.* %windir%\help\*.* %windir%\inf\*.* %windir%\java %windir%\media\*.* %windir%\msagent %windir%\security %windir%\speech %windir%\system\*.* %windir%\twain_32 %windir%\Web %systemdir% %systemdir%\*.* %systemdir%\config %systemdir%\dhcp %systemdir%\dllcache %systemdir%\drivers %systemdir%\CatRoot %systemdir%\ias %systemdir%\mui (Verzeichnis\Unterverzeich nisse) RX (Dateien) Ändern (Verzeichnis\Unterverzeich nisse) RX (Dateien) RX RX RX Ändern (Verzeichnis\Unterverzeich nisse) RX (Dateien) RX Ändern (Verzeichnis\Unterverzeich nisse) RX (Dateien) RX Ändern (Verzeichnis\Unterverzeich nisse) RX (Dateien) RX Ändern (Verzeichnis\Unterverzeich nisse) RX (Dateien) Ändern (Verzeichnis\Unterverzeich nisse) RX (Dateien) Ändern RX Ordnerinhalt auflisten RX Keine RX Ändern (Verzeichnis\Unterverzeich nisse) RX (Dateien) Ändern (Verzeichnis\Unterverzeich nisse) RX (Dateien) Ändern (Verzeichnis\Unterverzeich RX RX RX RX RX RX RX RX RX RX RX RX RX RX Ordnerinhalt auflisten RX Keine RX RX RX RX %systemdir%\OS2\*.* %systemdir%\OS2\DLL\*.* %systemdir%\RAS\*.* %systemdir%\ShellExt %systemdir%\Viewers\*.* %systemdir%\wbem %systemdir%\wbem\mof %UserProfile% All Users All Users\Dokumente All Users\Anwendungsdaten nisse) RX (Dateien) RX RX RX Ändern (Verzeichnis\Unterverzeich nisse) RX (Dateien) RX Ändern (Verzeichnis\Unterverzeich nisse) RX (Dateien) Ändern Vollzugriff Ändern Ändern Ändern RX RX RX RX RX RX RX Vollzugriff Lesen Ändern Ändern Beachten Sie, dass ein Hauptbenutzer zwar neue Dateien in die folgenden Verzeichnisse schreiben kann, jedoch die Dateien nicht ändern kann, die dort während der Installation im Textmodus installiert werden. Darüber hinaus erben alle anderen Hauptbenutzer die Änderungsberechtigungen für die in diesen Verzeichnissen erstellten Dateien. %windir% %windir%\config %windir%\cursors %windir%\fonts %windir%\help %windir%\inf %windir%\media %windir%\system %systemdir% %systemdir%\OS2 %systemdir%\OS2\DLL %systemdir%\RAS %systemdir%\Viewers Für Verzeichnisse, die als [Ändern (Verzeichnis\Unterverzeichnisse) RX (Dateien)] ausgewiesen sind, können Hauptbenutzer neue Dateien schreiben. Andere Hauptbenutzer können diese Dateien jedoch nur lesen. Anhang B: Standardmäßige RegistrierungsZugriffssteuerungslisten für Hauptbenutzer und Benutzer Die folgende Tabelle beschreibt die standardmäßigen Zugriffssteuerungseinstellungen, die während einer Neuinstallation von Windows 2000 für Registrierungsobjekte für Hauptbenutzer und Benutzer übernommen werden. Für das jeweilige Objekt gelten die Berechtigungen für dieses Objekt und alle untergeordneten Objekte, außer das untergeordnete Objekt ist ebenfalls in der Tabelle aufgeführt. Registrierungsobjekt HKEY_LOCAL_MACHINE HKLM\Software HKLM\SW\Classes\helpfile HKLM\SW\Classes\.hlp HKLM\SW\MS\Command Processor HKLM\SW\MS\Cryptography\OID HKLM\SW\MS\Cryptography\Providers\Trus t HKLM\SW\MS\Cryptography\Services HKLM\SW\MS\Driver Signing HKLM\SW\MS\EnterpriseCertificates HKLM\SW\MS\Non-Driver Signing HKLM\SW\MS\NetDDE HKLM\SW\MS\Ole HKLM\SW\MS\Rpc HKLM\SW\MS\Secure HKLM\SW\MS\SystemCertificates HKLM\SW\MS\Windows\CV\RunOnce HKLM\SW\MS\W NT\CV\DiskQuota HKLM\SW\MS\W NT\CV\Drivers32 HKLM\SW\MS\W NT\CV\Font Drivers HKLM\SW\MS\W NT\CV\FontMapper HKLM\SW\MS\W NT\CV\Image File Execution Options HKLM\SW\MS\W NT\CV\IniFileMapping HKLM\SW\MS\W NT\CV\Perflib Standardberechti Standardberechtigu gungen für ngen für Benutzer Hauptbenutzer Ändern Lesen Lesen Lesen Lesen Lesen Lesen Lesen Lesen Lesen Lesen Lesen Lesen Lesen Lesen Lesen Keine Lesen Lesen Lesen Lesen Lesen Lesen Lesen Lesen Lesen Lesen Lesen Lesen Lesen Keine Lesen Lesen Lesen Lesen Lesen Lesen Lesen Lesen Lesen Lesen Lesen Lesen Lesen (über "Interaktiv") Lesen Lesen Lesen Lesen Lesen Lesen Lesen Lesen Lesen Lesen Lesen Lesen Lesen Lesen (über "Interaktiv") Lesen Lesen Lesen Lesen Lesen Lesen Lesen Lesen Lesen Lesen Lesen Lesen HKLM\SW\MS\W NT\CV\SecEdit HKLM\SW\MS\W NT\CV\Time Zones HKLM\SW\MS\W NT\CV\Windows HKLM\SW\MS\W NT\CV\Winlogon HKLM\SW\MS\W NT\CV\AsrCommands HKLM\SW\MS\W NT\CV\Classes HKLM\SW\MS\W NT\CV\Console HKLM\SW\MS\W NT\CV\EFS HKLM\SW\MS\W NT\CV\ProfileList HKLM\SW\MS\W NT\CV\Svchost HKLM\SW\Policies HKLM\System HKLM\SYSTEM\CCS\Control\SecurePipeSer Keine vers\winreg Keine HKLM\SYSTEM\CCS\Control\Session Ändern Manager\Executive HKLM\SYSTEM\CCS\Control\TimeZoneInfor Ändern mation HKLM\SYSTEM\CCS\Control\WMI\Security Keine Lesen (über HKLM\Hardware "Jeder") Lesen (über HKLM\SAM "Jeder") HKLM\Security Keine HKEY_USERS USERS\.DEFAULT USERS\.DEFAULT\SW\MS\NetDDE Lesen Keine Lesen Lesen Keine Lesen (über "Jeder") Lesen (über "Jeder") Keine Lesen Keine HKEY_CURRENT_CONFIG = HKLM\System\CCS\HardwareProfiles\ Current HKEY_CURRENT_USER Vollzugriff HKEY_CLASSES_ROOT = Kombination von HKLM\SW\Classes + HKCU\SW\Classes Vollzugriff HKLM = HKEY_LOCAL_MACHINE SW = Software MS = Microsoft CV = CurrentVersion CCS = CurrentControlSet W NT = Windows NT Weitere Informationen Die neuesten Informationen zu Windows 2000 finden Sie im Microsoft TechNet oder in unserer World Wide Web-Site unter http://www.microsoft.com/germany/windows2000 oder unter http://www.microsoft.com/ntserver (englischsprachig) oder im Windows 2000 Forum von Microsoft Network (Suchbegriff: MSNTS). © 1999 Microsoft Corporation. Alle Rechte vorbehalten. Die in diesem Dokument enthaltenen Informationen stellen die behandelten Themen aus der Sicht der Microsoft Corporation zum Zeitpunkt der Veröffentlichung dar. Da Microsoft auf sich ändernde Marktanforderungen reagieren muss, stellt dies keine Verpflichtung seitens Microsoft dar, und Microsoft kann die Richtigkeit der hier dargelegten Informationen nach dem Zeitpunkt der Veröffentlichung nicht garantieren. Dieses Whitepaper dient nur zu Informationszwecken. MICROSOFT SCHLIESST FÜR DIESES DOKUMENT JEDE GEWÄHRLEISTUNG AUS, SEI SIE AUSDRÜCKLICH ODER KONKLUDENT. Das BackOffice-Logo, Microsoft, Windows und Windows NT sind eingetragene Marken der Microsoft Corporation. Weitere in diesem Dokument aufgeführte Produkt- und Firmennamen können geschützte Marken ihrer jeweiligen Inhaber sein. Microsoft Corporation • One Microsoft Way • Redmond, WA 98052-6399 • USA 04/99 1 Zum Beispiel: Kernelmodus-Treiberkonfiguration, Kennwortrichtlinien, Zugriffssteuerungsund Überwachungsfunktionen. 2 Standardmäßige Domänencontroller-Sicherheitseinstellungen werden während DCPromo übernommen. 3 Das Gastkonto muss aktiviert sein, bevor die interaktive Anmeldung möglich ist. 4 Es gibt einige Ausnahmen. Z. B. wird mithilfe der Gruppe Jeder einigen Dateisystem- und Registrierungsobjekten der Lesezugriff erteilt für die Abwärtskompatibilität mit Anwendungen, die einen anonymen Lesezugriff erfordern. Außerdem wird die Gruppe Interaktive Benutzer für Dienst-ACLs verwendet, bei denen der Zugriff davon abhängt, wie Sie beim System angemeldet sind, und nicht mit welchem Benutzerkonto Sie angemeldet sind. 5 Alle anderen zusätzlichen Rechte, wie z. B. Ändern der Systemzeit oder Nicht automatisch gestartete Dienste beenden oder starten können für den Hauptbenutzer durch Ändern der entsprechenden Benutzerrechte oder Konfigurieren der entsprechende Zugriffssteuerungsliste neu konfiguriert werden. 6 Hauptbenutzer können Druckertreiber installieren.
