ChannelBiz DE

Der Nutzen von User Access Control – UAC – in Windows Vista wurde so kontrovers diskutiert, dass es sich lohnt, das Thema regelmäßig kritisch zu hinterfragen. Holen wir uns noch einmal den eigentlichen Zweck von UAC vor Augen: UAC ermöglicht es dem User, seinen PC als Standard-User zu nutzen und dennoch wie ein Administrator relativ einfachen Zugang zu autorisierten Rechner-Operationen zu haben – falls diese nötig werden.

UAC regelt jedoch mehr als das. Selbst wenn Nutzer mit Admin-Status fungieren, so haben sie noch immer nicht alle Zugriffsrechte und werden gewarnt, sobald das System autorisierte Prozesse durchführen möchte. Microsoft begründet dies damit, dass UAC eben allumfassend sei, um die Sicherheit am Desktop zu erhöhen. UAC betreffe alle Operationen, so zum Beispiel auch einfachste Aufgaben wie das Ändern der auf dem Computer angezeigten Uhrzeit, was für jeden Standard-User letztendlich möglich ist.

Man kann den hehren Zweck nicht leugnen: Bösartige Software – Malware – nimmt zur Zeit rasant überhand. Die Urheber bedienen sich immer ausgeklügelterer Tricks dabei, indem sie zum Beispiel E-Mails mit Links auf pornografische Inhalte verschicken oder Grußkarten, die beim Öffnen Schaden auf dem Computer anrichten. Beim Klick auf diese mitgeschickten Links entschleunigt UAC den Vorgang, macht den User unmissverständlich darauf aufmerksam, dass er im Begriff ist, eine höchstwahrscheinlich gefährliche Transaktion durchzuführen und fragt ihn nochmals, ob er mit der Transaktion wirklich fortfahren will. Dasselbe gilt für Sicherheitslücken, die noch nicht einmal durch Vista-Schutzmechanismen wie ASLR (Address Space Layout Randomization) geschlossen werden, und vor denen umso dringlicher mittels UAC gewarnt werden sollte.

Und tatsächlich hat UAC einen Test auf Anti-Rootkit-Tools, den kürzlich die AV-Test GmbH, einer der führenden deutschen Anbieter im Bereich Test und Analyse von Anti-Viren-Software, durchgeführt hat, glänzend abgeschlossen: UAC hat jedes getestete Rootkit ausfindig gemacht und entsprechende Warnmeldungen an die User ausgegeben.

Sicher, UAC ist nicht perfekt. Es gibt administrative Aufgaben, die dieser Technologie widerstehen, obwohl Lösungsansätze bereits existieren. Die bei weitem größte Klage, die ich vernehme, und die ich sicher bin, auch von Lesern dieser Website zu hören, ist, dass die Warnmeldungen zu häufig und bei auch schon recht läppischen Vorfällen aufpoppen. Dafür gibt es zwei mögliche Erklärungen: Entweder führen Sie häufig gefährliche autorisierte Prozesse durch, wie zum Beispiel das Installieren von Programmen, oder Ihre Software ist schlicht und einfach schlecht entworfen worden.

User, die zum Beispiel sagen, dass sie ihre Anti-Spy-Programme für ein Update erst aufrufen müssen, sollten das Programm ihrem Händler vor die Füße werfen und verlangen, dass er nur richtig entwickelte Software verkauft. Moderne Programme sind davon aber nicht betroffen. Kein Zweifel: Falls Ihr Programm permanent Eingabeaufforderungen von UAC auf Ihren Bildschirm zaubert, liegt dies am Programmierer.

Microsoft hat Windows in vielerlei Hinsicht verbessert, um diese Probleme zu begrenzen. Zum Beispiel hat das Unternehmen Updates herausgegeben, die die ACLs (Access Control Lists, Zugriffssteuerungslisten) in Datei-Ordnern ändern, so dass Vista sich selbst updaten kann – ohne Admin-Privilegien. Vista ServicePack 1 enthält ebenfalls signifikante Verbesserungen hinsichtlich UAC: Manchmal bekam man bisher eine Vielzahl von für eine einzige Aktion nötigen Eingabeaufforderungen angezeigt, SP1 hat dieses Sammelsurium nun in einer einzigen Eingabeaufforderung zusammengeführt, auf die der User nur einmal reagieren muss.

Wenn Ihnen das an Vereinfachung immer noch nicht reicht, haben Sie zwei weitere Optionen: Entweder verwalten Sie Ihren PC als Administrator, dann müssen Sie nach einer Warnmeldung nur noch einen einzigen Button anklicken und nicht mehr Benutzername und Kennwort eingeben. Oder Sie schalten UAC einfach aus. In beiden Fällen, vor allem im letzteren, setzen Sie sich großer Gefahr aus.

Dann gibt es noch eine Reihe von Zwischenlösungen, die ich nicht empfehle, aber ich will Sie Ihnen nicht vorenthalten: Sie können die UAC-Eingabeaufforderungen für User mit Admin-Status eliminieren, ohne UAC komplett auszuschalten. Dafür öffnen Sie secpol.msc, den Editor zum Verwalten von Sicherheitsrichtlinien für den lokalen Computer, und ändern das Standard-Verhalten: Gehen Sie auf “Local Policies – Security Options”. Dort finden Sie eine Vielzahl von Richtlinien, die UAC betreffen, sie beginnen alle mit “User Account Control”. Die dritte davon heißt “Behavior and Elevation Prompt for Administrators”. Diese öffnen Sie, wählen die Einstellung “No prompt” (Keine Nachfrage). Von nun an leben Sie als Administrator frei von jeglichen Eingabeaufforderungen.

Aber ehrlich, für die meisten ist UAC überhaupt kein Problem. Microsoft zufolge haben 88 Prozent der User UAC aktiviert, und 66 Prozent davon bleiben von Prompts unbehelligt. Diese Zahlen sind vermutlich von Enthusiasten nach unten korrigiert worden, die alles Mögliche aus dem Internet downloaden. Aber ich vermute stark, dass die meisten User keinen einzigen Prompt mehr sehen, nachdem sie ein paar Wochen lang ihren PC aufgesetzt haben. Ich habe meine Frau an ihrem Home-PC vor Vista Business gesetzt. Sie benutzt ihren PC für Office-Programme und zum Surfen im Internet. Sie hatte monatelang keinen einzigen Prompt. Das weiß ich genau, denn sie hätte mich bestimmt gefragt, was das ist und wie man da raus kommt – und das war nicht der Fall.

Die echten Klagen über UAC kommen von Technik-Freaks, von Nerds, die ihre Freiheiten nicht eingeschränkt sehen möchten. Ich verweise hier gern auf die Vorschläge von Ed Bott, ein preisgekrönter High-Tech-Autor aus den USA. Über kurz oder lang wird Microsoft auch diese Bedenken ernst nehmen müssen, aber Microsoft will ja in erster Linie den Massenmarkt erreichen. Und für diese Leute ist UAC kein Problem, sondern etwas ganz Tolles. Wenn Sie also Windows-Lösungen verkaufen, erkundigen Sie sich erstmal vorsichtig nach dem Fachwissen des Käufers. Bei Unternehmen werden Sie fast nie Supportanfragen wegen UAC bekommen, bei selbsternannten Experten schon eher.

Larry Seltzer ist Redakteur im Security Center von eWeek.com und schreibt seit 1983 über die Computer-Industrie. Für weitergehende Infos rund um das Thema Security im Netz lesen Sie bitte Larry Seltzers Blog Cheap Hack