faq-o-matic.net » Windows 7

Konfigurationsempfehlungen vom BSI für Windows 7

Helge Klein — Wed, 18 Jan 2012 05:00:37 +0000

Das Bundesamt für Sicherheit in der Informationstechnik hat kürzlich eine Anleitung zur sicheren Konfiguration von Windows 7 veröffentlicht. Das Dokument mit dem Titel Anleitung zur Installation und Minimierung eines Arbeitsplatz-PCs mit Windows 7 enthält sehr detaillierte Angaben darüber, welche Einstellungen gesetzt werden sollten, damit ein PC mit Windows 7 sicher betrieben werden kann. Dabei gehen die Autoren recht weit und empfehlen zum Beispiel, den Serverdienst zu deaktivieren, wodurch unter anderem administrative Freigaben wie C$ nicht mehr zur Verfügung stehen. Auch das Löschen der Auslagerungsdatei beim Herunterfahren könnte für Unmut sorgen, verzögert es doch jeden Neustart um mehrere Minuten.

Unabhängig davon macht das BSI viele sinnvolle Vorschläge, die jedoch auch als ebensolche angesehen werden sollten, und keinesfalls als "Vorgaben" zu interpretieren sind. Wie auch die Autoren schreiben, ist jede Einstellung auf Sinnhaftigkeit für die eigene Situation und Kompatibilität mit vorhandenen Anwendungen zu prüfen.

Die Empfehlungen sind sorgsam recherchiert. Einige kleine Fehlerchen konnte ich dennoch finden:

Seite 66, "Datenausführungsverhinderung"
Es wird empfohlen, DEP für alle Programme und Dienste einzuschalten. Dies kann jedoch zu Fehlfunktionen bei manchen Programmen führen und erfordert gründliches Testen.
Seite 75, "Neue Drucker automatisch in Active-Directory veröffentlichen"
Es wird empfohlen, dies zu deaktivierten. Die Einstellung ist jedoch für Windows 7 ohnehin nicht wirksam.
Seite 75, "Installation von Druckern, die Kernelmodustreiber verwenden, nicht zulassen"
Es wird empfohlen, dies zu deaktivierten. Die Einstellung ist jedoch für Windows 7 ohnehin nicht wirksam.

Alles in allem ein sinnvolles Dokument, dessen Lektüre für jeden auf Sicherheit bedachten Administrator selbstverständlich sein sollte. Es ist übrigens das erste Dokument des BSI zu Windows 7. Bislang musste sich, wer Empfehlungen des BSI befolgen wollte, mit dessen Informationen zu Windows Vista behelfen.

Windows-Bibliotheken per GPO verwalten

Heiko Bernd — Wed, 16 Nov 2011 05:23:00 +0000

Seit Windows 7 und Server 2008 R2 hat Microsoft sogenannte Windows Bibliotheken (Windows Libraries) im Grundzustand für Bilder, Musik, Dokumente und Videos eingeführt. In den Bibliotheken werden nun Daten an einem Ort zusammengefasst, unabhängig davon wo sich der tatsächliche Speicherplatz befindet. In der Standardeinstellung gibt es pro Bibliothek zwei Pfade, deren Daten in den Bibliotheken angezeigt werden.

Abbildung 1

In Abbildung 1 ist die Bibliothek Dokumente gezeigt. Der erste Pfad ist benutzerbezogen und verweist auf %userprofile%\Documents. Der zweite Eintrag verweist auf den Ordner %public%\Documents und wird den meisten Admins Sorgen bereiten, wenn mehrere Benutzer an diesem Computer arbeiten und darüber Daten ausgetauscht werden – besonders problematisch bei Terminalservern. Auch in deutschsprachigen Windows-Versionen werden diese Pfadangaben verwendet, erkennbar in Abbildung 3, wenn man in die Adresszeile klickt.

Abbildung 2

Abbildung 3

Analog gelten auch immer zwei Pfade für die anderen Bibliotheken Bilder, Musik und Videos:

Bilder
- Eigene Bilder = %userprofile%\pictures
- Öffentliche Bilder = %public%\pictures
Dokumente (Abbildung 1, 2 und 3)
- Eigene Dokumente = %userprofile%\documents
- Öffentliche Dokumente = %public%\documents
Musik
- Eigene Musik = %userprofile%\music
- Öffentliche Musik = %public%\music
Video
- Eigene Videos = %userprofile%\videos
- Öffentliche Videos = %public%\videos

Leider hat Microsoft anscheinend vergessen, eine zentrale Konfigurationsmöglichkeit der Bibliotheken über Gruppenrichtlinien (GPO) zur Verfügung zu stellen. Man vermisst dies bei zentralisierten Netzwerken mit Windows-7-Clients ebenso wie bei der Einrichtung von Terminalservern unter Windows Server 2008R2. Dabei kann es durchaus sinnvoll sein, für verschiedene Benutzergruppen an einen zentralen Bilder- oder Video-Ordner im Netzwerk umzuleiten, dabei gibt es ein paar Stolpersteine zu beachten. Im einfachsten Falle möchte man einfach nur bei allen Benutzern den Eintrag zu Öffentliche Bilder, Öffentliche Dokumente, Öffentliche Musik und Öffentliche Videos entfernen.

Prinzipiell lassen sich die Bibliotheken ganz einfach über das Kontextmenü konfigurieren, siehe Abbildung 1. Dabei werden die Einstellungen in die Dateien

Documents.library-ms
Music.library-ms
Pictures.library-ms
Videos.library-ms

im Pfad

%userprofile%\AppData\Roaming\Microsoft\Windows\Libraries

abgespeichert und werden im Windows Explorer in Deutsch und ohne Dateiendung angezeigt. Die Dateien sind nur zu sehen, wenn man versteckte Dateien anzeigen lässt. Wer will, kann diese Dateien auch mit dem Notepad einmal öffnen. Ich finde es zu umständlich, mit Skripten die richtigen Pfade in den Dateien anzupassen. Daher hier ein anderer möglicher Weg zum Ziel …

Abbildung 4

Vorbereitungen

Man erstellt sich eine zentrale Freigabe im Netzwerk \\server\libraries und platziert dort die vier Dateien Documents.library-ms, Music.library-ms, Pictures.library-ms und Videos.library-ms von irgendeinem Benutzerprofil. Per Kontextmenü passt man sich diese Vorlagen nach den Wünschen an und speichert diese ab, z.B. ohne Öffentliche Dokumente (%public%\documents), Bilder, Musik und Videos. Dass entsprechende Leserechte für die Freigabe, den Ordner und die Dateien konfiguriert werden, setze ich jetzt voraus.

Die Umsetzung

Wir erstellen uns eine Gruppenrichtlinie, die die vier Standard-Dateien im Benutzerprofil mit den Vorlagen aus der zentralen Freigabe vom Server ersetzt. Die Einstellungen in der Gruppenrichtlinie finden wir über Benutzerkonfiguration, Einstellungen, Windows-Einstellungen, Dateien:

Abbildung 5

Hier erstellt man ein neues Dateiobjekt mit der Aktion Ersetzen. Für das Beispiel der Bibliothek Dokumente verwendet man als Quelle

\\server\libraries\documents.library-ms

Für Zieldatei verwendet man den Eintrag

%Userprofile%\AppData\Roaming\Microsoft\Windows\Libraries\documents.library-ms

Man beachte, dass man NICHT über die Durchsuchen-Schaltfläche an die Dateien *.library-ms gelangt. Hier ist Eintippen oder Kopieren/Einfügen angesagt. Unter Gemeinsame Optionen ist eingestellt: „Im Sicherheitskontext des angemeldeten Benutzers ausführen (Benutzerrichtlinienoption)“. Damit ist die Konfiguration abgeschlossen. Viel Erfolg!

Dynamische DNS-Updates seit Vista nicht mehr per DHCP-Client

Nils Kaczenski — Tue, 11 Oct 2011 04:26:00 +0000

Gerade machte Yusuf Dikmenoglu auf ein Detail aufmerksam, das ich noch nicht wusste: Seit Windows Vista bzw. Windows Server 2008 wird das dynamische Update der eigenen Namens-/IP-Adress-Kombination in Dynamic DNS (DDNS) nicht mehr vom DHCP-Client ausgeführt, sondern vom DNS-Client. Das ist natürlich auch sehr sinnvoll.

In den Windows-Vorgängerversionen war es tatsächlich der DHCP-Client, der die dynamische Namensregistrierung in DNS vornahm (normalerweise innerhalb einer AD-Domäne). Das führte besonders auf Servern zu der unangenehmen Situation, dass Admins, die den DHCP-Client abschalteten – in der Annahme, auf einem Computer mit statischer IP-Adresse benötige man diesen nicht –, damit gleichzeitig die dynamische Namensregistrierung deaktivierten. In der Folge waren dann oft Servernamen nicht per DNS auflösbar, was erst nach langem Troubleshooting auffiel.

Dummerweise allerdings hat Microsoft vergessen, die Beschreibung der Dienste innerhalb von Windows anzupassen. Noch in Windows 7 heißt es beim DHCP-Client:

Beim DNS-Client hingegen findet sich durchaus ein Hinweis auf die neue Funktion – wodurch aber nicht eben Klarheit entsteht:

Es ist erfahrungsgemäß leider nicht damit zu rechnen, dass die Beschreibung für die aktuellen Betriebssysteme noch korrigiert wird. Ob es in Windows 8 richtig stehen wird, bleibt abzuwarten.

“Alte” Programme an die Taskleiste heften

Matthias Zoss — Wed, 20 Jul 2011 04:27:00 +0000

Windows 7 erlaubt es, Programme oder Dokumente an der Taskleiste anzuheften. Leider ist dies nur möglich für Programme, welche das Anheften vorsehen, sprich nur für an Windows 7 angepasste Software. Zieht man eine ältere Software oder eine Batchdatei in die Taskleiste, wird der Vorgang abgebrochen.

Mit einem kleinen Trick es aber möglich, auch ältere Programme anzuheften. Dazu wird mittels einer Dummy-Verknüpfung eine „Anheftung“ erstellt und angepasst.

In einem ersten Schritt wird MS Paint an die Taskleiste geheftet, dies geht einfach über das Startmenü:

In einem zweiten Schritt wird die Verknüpfung mit der rechten Maustaste angeklickt, dann mit der rechten Maustaste über „Eigenschaften“ geöffnet:

Im letzten Schritt müssen die Pfade angepasst werden, damit sie auf die alte Software zeigen. Dabei muss auch das Symbol manuell neu definiert werden.

Hier eine Übersicht über die in Windows 7 enthaltenen Symbole: http://www.deskmodder.de/wiki/index.php/Vista:_In_welcher_dll_finde_ich_welches_Icon_/_Grafik

Das Symbol wird meist erst nach einem Neustarts (z.T. nach mehreren) übernommen und richtig dargestellt.

Windows 7/Server 2008 R2 Service Pack 1: Troubleshooting

Nils Kaczenski — Mon, 11 Jul 2011 04:32:00 +0000

Leider gibt es mit dem Service Pack 1 für Windows 7 und Windows Server 2008 R2 immer wieder Installationsprobleme. Während über Schwierigkeiten mit dem Betrieb des SP1 kaum berichtet wird (mir selbst sind auch keine bekannt), ist es insbesondere der Prozess der Einrichtung, der immer wieder Probleme bereitet. Das ist um so ärgerlicher, als auch der normale Installationsprozess durchaus eine Stunde dauern kann.

Hier ein paar Quellen, die beim Troubleshooting helfen können.

Günter Born hat auf seinem Blog eine ganze Sammlung von Ansätzen zur Fehlerbehebung:

[SP1-Installation hängt, Error C0000034/C000009A « Borns IT- und Windows-Blog]
http://www.borncity.com/blog/2011/02/26/sp1-installation-hngt-error-c0000034c000009a/

Bent Schrader beschreibt sein Vorgehen hier:

[Fehler 0x800F0818 bei der Installation des Service Pack 1 für Windows Server 2008 R2 » Bent's Blog]
http://bent-blog.de/windows/fehler-0x800f0818-bei-der-installation-des-service-pack-1-fur-windows-server-2008-r2/

Mir hat neulich – nach sechs fehlgeschlagenen Versuchen – endlich dies hier geholfen:

[Cannot Install SP1 0x80004005 - E_FAIL]
http://social.technet.microsoft.com/Forums/de-CH/w7itproSP/thread/971838ad-39c0-4e16-9ea2-1dcb8a885ca1

Hier noch weitere Hilfsmaßnahmen:

[Fehler 0x800f0a12 beim Setup von SP1 für Windows 7 und Server 2008 R2 | WindowsPro]
http://www.windowspro.de/tipp/fehler-0x800f0a12-beim-installieren-des-sp1-fuer-windows-7-und-server-2008-r2

Wer weitere gute Lösungsbeschreibungen kennt, kann sie mir gern melden. Ich ergänze dann diese Liste.

Kompatibilitätsliste für Windows-7-Applikationen

Nils Kaczenski — Mon, 16 May 2011 04:52:00 +0000

Microsoft stellt ein umfangreiches Dokument bereit, das Aufschluss über die Kompatibilität von Applikationen mit Windows 7 gibt. Die Excel-Liste enthält fast 25.000 Programme und ihre entsprechenden Versionen mit einer Aussage, ob sie mit Windows 7 in der 32- oder 64-Bit-Fassung laufen. Die Angaben beruhen dabei zum größten Teil auf Herstellerinformationen; nur für den Status “Compatible – Windows 7 Logo” liegen positive Testergebnisse bei Microsoft selbst vor.

Für die Planung von Migrationen auf Windows 7 bietet die Liste eine wertvolle Unterstützung.

[Download details: Windows 7 Application Compatibility List for IT Professionals]
http://www.microsoft.com/downloads/en/details.aspx?FamilyID=890e522e-e39e-4278-aebc-186f81e29173

NetworkTrayTool von Gruppenrichtlinien.de

Nils Kaczenski — Thu, 28 Apr 2011 04:42:00 +0000

Mark Heitbrink und Roland Enderlein haben vor einigen Tagen ein kleines Tool veröffentlicht, das unter Windows 7 die Arbeit mit wechselnden Netzwerkverbindungen deutlich vereinfachen kann. Das “NetworkTrayTool” nistet sich unter Windows 7 in den “Tray” der Taskleiste ein und ermöglicht auf Knopfdruck, die Netzwerkkonfiguration zu ändern, zu überprüfen oder auch zu drucken. Dabei kann man z.B. schnell von einer statischen IP-Adresse auf DHCP oder zurück umstellen, eine Karte abschalten oder sich Details zu einer Verbindung anzuzeigen. Natürlich fügt sich die Software in das Windows-Sicherheitssystem ein und kommt daher auch mit der Benutzerkontensteuerung klar. Aktuell gibt es das Werkzeug auf deutsch und auf englisch; weitere Übersetzungen werden die Autoren veröffentlichen, wenn sie aus der Community kommen.

Und: Natürlich ist die Software kostenlos.

[NetworkTrayTool - Quick access to your Network Connections]
http://www.gruppenrichtlinien.de/tools/Networktraytool.htm

SP1-Problem bei Windows 7 und 2008 R2: WSUS-Installation optimiert

Nils Kaczenski — Fri, 15 Apr 2011 04:16:00 +0000

Ein Eintrag im WSUS-Teamblog weist darauf hin, dass das Service Pack 1 für Windows 7 und für Windows Server 2008 R2 nun neu für WSUS veröffentlicht wurde. Die neue Fassung ist dahingehend geändert, dass sie sich immer einzeln installiert und nicht gemeinsam mit anderen Updates.

Durch diese Maßnahme hofft Microsoft Installationsfehler zu vermeiden, die es bislang oft bei der WSUS-basierten Installation des SP1 gegeben hatte. Daher scheint es jetzt sicherer zu sein, das SP1 im WSUS zur Installation freizugeben. Wie bei jedem Service Pack ist aber auch hier weiterhin Aufmerksamkeit nötig, denn ein SP ist nun mal kein normaler Patch – schon aufgrund seiner Größe und des temporären Speicherplatzes, den er braucht.

[Windows 7 / Windows Server 2008 R2 Service Pack 1 updates available on WSUS have been revised - WSUS Product Team Blog]
http://blogs.technet.com/b/wsus/archive/2011/04/12/windows-7-windows-server-2008-r2-service-pack-1-updates-available-on-wsus-have-been-revised.aspx

Remote-Admintools für Windows 7 SP1 sind da

Nils Kaczenski — Mon, 11 Apr 2011 04:34:00 +0000

Unter Windows 7 mit Service Pack 1 lassen sich die ursprünglichen Remote-Admintools (Remote Server Admin Tools, RSAT) nicht installieren. Diese Tools braucht man, um in einer Domäne verschiedene Dienste zu verwalten, die auf Windows-Servern laufen (z.B. Active Directory, DNS, DHCP usw.). Bei,m Versuch, die RSAT zu installieren, erhält man eine Fehlermeldung. Waren die RSAT hingegen bereits vor dem Update des Windows-7-Rechners auf SP1 vorhanden, so funktionierten sie weiter.

Dieser Umstand war bekannt, und Microsoft hatte angekündigt, innerhalb von 30 Tagen nach dem Release des SP1 die erneuerten RSAT nachzuliefern. Das ist nun geschehen – erfreulicherweise etwas früher als erwartet.

[Download Remoteserver-Verwaltungstools für Windows 7 mit Service Pack 1 (SP1)]
http://www.microsoft.com/downloads/de-de/details.aspx?FamilyID=7d2f6ad7-656b-4313-a005-4e344e43997d

WLAN nach Standby neu starten

Nils Kaczenski — Thu, 07 Apr 2011 04:36:00 +0000

Der WLAN-Treiber meines Notebooks unter Windows 7 mag nach dem Standby und dem Ruhezustand manchmal nicht wieder aufwachen. Dadurch funktioniert dann das WLAN nicht mehr. In solchen Situationen hilft leider auch der Hardware-Schalter für das drahtlose Netzwerk nicht.

Das folgende Skript hilft: Es deaktiviert die Netzwerkverbindung und schaltet sie wieder an. Das Skript muss man mit Administrator-Rechten ausführen. Wem es so geht wie mir, kann sich eine Verknüpfung zu dem Batch auf den Desktop legen und dort aktivieren, dass es als Administrator ausgeführt werden soll. Dann reicht ein Doppelklick und die UAC-Abfrage.

WLAN-ein-aus.bat

@echo off
netsh interface set interface "Drahtlosnetzwerkverbindung" disable
pause
netsh interface set interface "Drahtlosnetzwerkverbindung" enable

faq-o-matic.net » Windows 7

Konfigurationsempfehlungen vom BSI für Windows 7

Verwandte Beiträge:

Windows-Bibliotheken per GPO verwalten

Vorbereitungen

Die Umsetzung

Verwandte Beiträge:

Dynamische DNS-Updates seit Vista nicht mehr per DHCP-Client

Verwandte Beiträge:

“Alte” Programme an die Taskleiste heften

Verwandte Beiträge:

Windows 7/Server 2008 R2 Service Pack 1: Troubleshooting

Verwandte Beiträge:

Kompatibilitätsliste für Windows-7-Applikationen

Verwandte Beiträge:

NetworkTrayTool von Gruppenrichtlinien.de

Verwandte Beiträge:

SP1-Problem bei Windows 7 und 2008 R2: WSUS-Installation optimiert

Verwandte Beiträge:

Remote-Admintools für Windows 7 SP1 sind da

Verwandte Beiträge:

WLAN nach Standby neu starten

Verwandte Beiträge: