Konfigurieren der Netzwerkschutztechnologien von Windows XP SP2 in einer Active Directory-Umgebung

Veröffentlicht: 10. Dezember 2004

Auf dieser Seite

	Einleitung
	Bevor Sie beginnen
	Hinzufügen von Hotfixes zu Verwaltungsarbeitsstationen und Windows Small Business Server 2003
	Aktualisieren vorhandener Gruppenrichtlinienobjekte
	Konfigurieren von Sicherheitscenter-Einstellungen
	Konfigurieren von Windows-Firewall-Einstellungen
	Konfigurieren der Sicherheitseinstellungen für Internet Explorer
	Konfigurieren von Einstellungen für die Internetkommunikationsverwaltung
	Konfigurieren der Einstellungen für DCOM-Zugriff
	Konfigurieren von RPC-Einstellungen
	Weitere Informationen

Einleitung

Gruppenrichtlinieneinstellungen werden entsprechend der Microsoft Active Directory-Implementierung Ihres Unternehmens zugewiesen. Durch standardisierte Konfigurationseinstellungen für Kategorien von Benutzern und Computern tragen sie zum Schutz Ihrer Computerumgebung bei. Die neuen Gruppenrichtlinien-Einstellungen für den Netzwerkschutz unter Microsoft Windows XP Service Pack 2 (SP2) umfassen folgende Einstellungskategorien:

•	Windows-Firewall. Konfigurieren Sie diese Richtlinieneinstellungen, um die Firewall zu aktivieren und zu deaktivieren, um Programm- und Portausnahmen zu verwalten sowie um Ausnahmen für bestimmte Szenarien zu definieren, beispielsweise um die Remoteadministration auf Zielcomputern zuzulassen.
•	Internet Explorer. Anhand dieser neuen Richtlinieneinstellungen können Sie Sicherheitseinstellungen für Microsoft Internet Explorer konfigurieren. Darüber hinaus können Sie über diese Einstellungen Sicherheitsfunktionen von Internet Explorer für verschiedene Prozesse aktivieren und deaktivieren.
•	Internetkommunikationsverwaltung. Durch Konfigurieren dieser Einstellungen können Sie steuern, wie die unterschiedlichen Komponenten in Windows XP SP2 für Aufgaben über das Internet kommunizieren, die den Austausch von Informationen zwischen Computern in einem Unternehmen oder mit dem Internet erfordern.
•	DCOM-Sicherheit. Mit diesen Einstellungen steuern Sie die Sicherheit für DCOM (Distributed Component Object Model). Die DCOM-Infrastruktur umfasst neue Einschränkungen für die Zugriffssteuerung, die zur Minimierung von Sicherheitsrisiken durch Netzwerkangriffe beitragen.
•	Sicherheitscenter. Sie konfigurieren diese Einstellungen, um das Windows-Sicherheitscenter zentral zu verwalten. Das Sicherheitscenter ist eine neue Funktion in Windows XP SP2, die die Überwachung von Computern in Ihrem Unternehmen ermöglicht. Sie können hiermit sicherstellen, dass die neuesten Sicherheitsupdates implementiert wurden und dass Benutzer Warnmeldungen erhalten, wenn ein Computer ein Sicherheitsrisiko darstellt.
•	Remoteprozeduraufruf (RPC). Sie können die RPC-Richtlinieneinstellungen konfigurieren, um anonymen Remotezugriff auf die RPC-Schnittstellen des Systems zu blockieren und anonymen Zugriff auf die RPC-Endpunktzuordnung-Schnittstelle zu verhindern.

In diesem Dokument wird beschrieben, wie Sie die Gruppenrichtlinieneinstellungen für den Netzwerkschutz einsetzen können, um die Sicherheit von Windows XP SP2-Clientcomputern zu erhöhen.

Eine vollständige Liste der empfohlenen Einstellungen finden Sie in folgendem Dokument:

•	Sicherheitshandbuch für Windows XP, Anhang A - Zusatzinformationen zu Windows XP Service Pack 2 auf der Microsoft TechNet-Website unter http://www.microsoft.com/germany/technet/datenbank/articles/900065_app1.mspx

Aufgaben für Gruppenrichtlinienobjekte (GPOs) werden in einer Active Directory-Domäne ausgeführt. Manche dieser Aufgaben können über einen Domänencontroller ausgeführt werden, aber in der Regel werden sie auf einem Windows XP SP2-Clientcomputer vorgenommen, der über Active Directory-Verwaltungswerkzeuge verfügt.

Hinweis: Weitere Informationen zur Bereitstellung von Gruppenrichtlinienobjekten finden Sie in folgendem Artikel:

•	Designing a Managed Environment: Staging Group Policy Deployments auf der Microsoft Windows Server System-Website unter http://go.microsoft.com/fwlink/?linkid=35498 (in englischer Sprache)

Um Netzwerkschutz in einer Active Directory-Umgebung zu konfigurieren, müssen Sie folgende Aufgaben durchführen:

•	Hinzufügen von Hotfixes zu Verwaltungsarbeitsstationen
•	Aktualisieren vorhandener Gruppenrichtlinienobjekte
•	Konfigurieren von Sicherheitscenter-Einstellungen
•	Konfigurieren von Windows-Firewall-Einstellungen
•	Konfigurieren von Internet Explorer-Einstellungen
•	Konfigurieren von Einstellungen für die Internetkommunikationsverwaltung
•	Konfigurieren von DCOM-Sicherheitseinstellungen
•	Konfigurieren von RPC-Einstellungen

WICHTIG: Die Anleitungen in diesem Dokument wurden auf Grundlage des Startmenüs entwickelt, das standardmäßig nach der Installation des Betriebssystems angezeigt wird. Wenn Sie das Startmenü geändert haben, können sich die Arbeitsschritte leicht unterscheiden.

Definitionen von Begriffen rund um die Sicherheit finden Sie hier:

•	Microsoft Sicherheitsglossar auf der Microsoft-Website unter http://go.microsoft.com/fwlink/?LinkId=35468 (in englischer Sprache)

Zum Seitenanfang

Bevor Sie beginnen

Windows XP SP2 kann bei Verwendung von Domänencontrollern, die eine der nachstehenden Betriebssystemversionen verwenden, als Windows-Domänenclient in einer Active Directory-Domäne eingesetzt werden:

•	Microsoft Windows Server 2003
•	Microsoft Windows Small Business Server 2003
•	Microsoft Windows 2000 Server SP3 oder höher

Bevor Sie Hotfixes installieren, sollten Sie unbedingt eine Datensicherung Ihres Computers durchführen und dabei eine Sicherungskopie der Registrierung anfertigen.

Weitere Informationen zur Erstellung einer Sicherungskopie der Registrierung finden Sie in folgendem Artikel:

•	Microsoft Knowledge Base-Artikel 322756 auf der Microsoft-Website „Hilfe und Support“ unter http://go.microsoft.com/fwlink/?linkid=36365

Zum Seitenanfang

Hinzufügen von Hotfixes zu Verwaltungsarbeitsstationen und Windows Small Business Server 2003

Wenn Sie Einstellungen für Gruppenrichtlinienobjekte auf Computern verwalten, die frühere Versionen von Betriebssystemen oder Service Packs ausführen (z. B. Windows XP mit SP1 oder Windows Server 2003), müssen Sie einen Hotfix (KB842933) installieren, damit Richtlinieneinstellungen im Gruppenrichtlinienobjekt-Editor korrekt angezeigt werden.

Bei Verwendung von Small Business Server 2003 (SBS 2003) muss ein weiterer Hotfix (KB872769) installiert werden, da SBS 2003 die Windows-Firewall standardmäßig deaktiviert. Dieses Problem wird durch das Hotfix behoben.

Hinweis: Die aufgelisteten Hotfixes sind kein Bestandteil von Windows Update und müssen separat installiert werden. Die Hotfixes müssen auf allen betroffenen Systemen einzeln installiert werden.

KB842933 gilt für folgende Versionen:

•	Microsoft Windows Server 2003, Web Edition
•	Microsoft Windows Server 2003, Standard Edition
•	Microsoft Windows Server 2003, Enterprise Edition
•	Microsoft Windows Server 2003, 64-Bit Enterprise Edition
•	Microsoft Windows XP Professional SP1
•	Microsoft Windows Small Business Server 2003, Premium Edition
•	Microsoft Windows Small Business Server 2003, Standard Edition
•	Microsoft Windows 2000 Advanced Server
•	Microsoft Windows 2000 Server
•	Microsoft Windows 2000 Professional

KB872769 gilt für folgende Versionen:

•

Microsoft Windows Small Business Server 2003, Standard Edition

•

Microsoft Windows Small Business Server 2003, Premium Edition

Hinweis: Wie Sie diese Hotfixes beziehen können und weitere Informationen finden Sie in folgendem Artikel:

•	Microsoft Knowledge Base-Artikel 842933 auf der Microsoft-Website „Hilfe und Support“ unter http://go.microsoft.com/fwlink/?linkid=35474
•	Microsoft Knowledge Base-Artikel 872769 auf der Microsoft-Website „Hilfe und Support“ unter http://go.microsoft.com/fwlink/?linkid=35477

Anforderungen zum Ausführen dieser Aufgabe

•	Anmeldeinformationen: Sie müssen auf dem Clientcomputer als Mitglied der Sicherheitsgruppe der Domänenadministratoren oder der lokalen Administratoren angemeldet sein.
•	Tools: Das entsprechende heruntergeladene Hotfix für Ihr Betriebssystem, gemäß der Beschreibung in den Knowledge Base-Artikeln 842933 und 872769.

Hinzufügen von Hotfix 842933 zu Windows Small Business Server 2003, Windows 2000 Server SP3 oder höher, Windows XP SP1 oder Windows Server 2003

So fügen Sie das Hotfix hinzu

1.	Klicken Sie auf dem Windows-Desktop auf Start und anschließend auf Ausführen. Geben Sie den Pfad und den Dateinamen des heruntergeladenen Hotfix ein, und klicken Sie dann auf OK.
2.	Klicken Sie auf der Seite Willkommen auf Weiter.
3.	Klicken Sie auf der Seite Lizenz auf Ich stimme zu und dann auf Weiter.
4.	Klicken Sie auf der Seite Fertigstellen des Assistenten auf Fertig stellen, um die Installation des Hotfix abzuschließen und den Computer neu zu starten.
5.	Wiederholen Sie diese Schritte für alle Systeme (Server und Verwaltungsarbeitsstationen), auf denen das Hotfix installiert werden muss.

Hinzufügen von Hotfix 872769 zu Windows Small Business Server 2003

So fügen Sie das Hotfix hinzu

1.	Klicken Sie auf dem Windows-Desktop auf Start und anschließend auf Ausführen. Geben Sie den Pfad und den Dateinamen des heruntergeladenen Hotfix 872769 ein, und klicken Sie dann auf OK.
2.	Klicken Sie auf der Seite Willkommen auf Weiter.
3.	Klicken Sie auf der Seite Lizenz auf Ich stimme zu und dann auf Weiter.
4.	Klicken Sie auf der Seite Fertigstellen des Assistenten auf Fertig stellen, um die Installation des Hotfix abzuschließen und den Computer neu zu starten.

Zum Seitenanfang

Aktualisieren vorhandener Gruppenrichtlinienobjekte

Windows XP SP2 fügt den administrativen Vorlagen zusätzliche Einstellungen hinzu. Um diese neuen Einstellungen zu konfigurieren, muss jedes Gruppenrichtlinienobjekt mit den neuen administrativen Vorlagen aus Windows XP SP2 aktualisiert werden. Auf die Windows-Firewall bezogene Einstellungen sind nur dann verfügbar, wenn die Gruppenrichtlinienobjekte aktualisiert wurden.

Sie können Gruppenrichtlinienobjekte über die Microsoft Management Console (MMC) auf einem Computer unter Windows XP SP2 aktualisieren, auf dem das Snap-In für den Gruppenrichtlinienobjekt-Editor installiert ist.

Im Anschluss an die Aktualisierung eines Gruppenrichtlinienobjekts können Sie die Einstellungen für den Netzwerkschutz festlegen, die für Ihre Windows XP SP2-Computer geeignet sind.

Anforderungen zum Ausführen dieser Aufgabe

•	Anmeldeinformationen: Sie müssen sich bei einem Windows XP SP2-Computer, der Client einer Active Directory-Domäne ist, als Mitglied der Sicherheitsgruppen „Domänen-Admins“ oder „Richtlinien-Ersteller-Besitzer“ anmelden.
•	Tools: Microsoft Management Console (MMC) mit installiertem Snap-In für den Gruppenrichtlinienobjekt-Editor.

Aktualisieren von Gruppenrichtlinienobjekten

So aktualisieren Sie Gruppenrichtlinienobjekte

Klicken Sie auf dem Windows XP SP2-Desktop auf Start und anschließend auf Ausführen. Geben Sie mmc ein, und klicken Sie dann auf OK.

Klicken Sie im Menü Datei auf Snap-In hinzufügen/entfernen.

Klicken Sie auf der Registerkarte Eigenständig auf Hinzufügen.

Klicken Sie in der Liste Verfügbare eigenständige Snap-Ins auf Gruppenrichtlinienobjekt-Editor und dann auf Hinzufügen.

Klicken Sie im Dialogfeld Gruppenrichtlinienobjekt auswählen auf Durchsuchen.

Abbildung 1 Gruppenrichtlinienobjekt suchen

Wählen Sie im Dialogfeld Gruppenrichtlinienobjekt suchen das Gruppenrichtlinienobjekt aus, das mit den neuen Windows-Firewall-Einstellungen aktualisiert werden soll.

Klicken Sie auf OK und dann auf Fertig stellen, um den Assistenten für Gruppenrichtlinien zu schließen.

Dadurch wird die neue administrative Vorlage dem ausgewählten Gruppenrichtlinienobjekt zugewiesen.

Klicken Sie im Dialogfeld Eigenständiges Snap-In hinzufügen auf Schließen.

Klicken Sie im Dialogfeld Snap-In hinzufügen/entfernen auf OK.

10.

Schließen Sie die MMC. Klicken Sie auf Datei, und beenden Sie, ohne die Änderungen an den Konsoleneinstellungen zu speichern.

Hinweis: Obwohl Sie die Konsolenänderungen nicht speichern, werden die neuen administrativen Vorlagen von Windows XP SP2 durch dieses Verfahren in das Gruppenrichtlinienobjekt importiert. Die Vorlagen müssen in jedes definierte Gruppenrichtlinienobjekt importiert werden.

11.

Wiederholen Sie diese Schritte für alle Gruppenrichtlinienobjekte, die verwendet werden, um Computern, auf denen Windows XP SP2 installiert ist, Gruppenrichtlinien zuzuweisen.

Hinweis: Zur Aktualisierung von Gruppenrichtlinienobjekten, die Active Directory und Windows XP SP1 verwenden, wird die Verwendung der Gruppenrichtlinien-Verwaltungskonsole (GPMC, Group Policy Management Console) empfohlen, die Sie kostenlos herunterladen können. Weitere Informationen finden Sie hier:

•	Enterprise Management with the Group Policy Management Console auf der Microsoft Windows Server System-Website unter http://go.microsoft.com/fwlink/?linkID=35479 (in englischer Sprache)

Zum Seitenanfang

Konfigurieren von Sicherheitscenter-Einstellungen

Das Sicherheitscenter ist ein neuer Dienst in Windows XP SP2. Hierbei handelt es sich um einen zentralen Ort, von dem aus Sie Sicherheitseinstellungen ändern, weitere Informationen zur Sicherheit erhalten sowie sicherstellen können, dass die Computer der Benutzer mit wichtigen, von Microsoft empfohlenen Sicherheitseinstellungen aktualisiert wurden.

In einer Windows-Domänenumgebung können Sie das Sicherheitscenter mit Hilfe von Gruppenrichtlinien zur Überwachung der Benutzercomputer aktivieren, um die Installation der neuesten Sicherheitsupdates zu gewährleisten und Benutzer zu benachrichtigen, wenn ihre Computer eventuell gefährdet sind.

Der Sicherheitscenter-Dienst wird als Hintergrundprozess ausgeführt. Er überprüft den Status der folgenden Komponenten auf dem Computer eines Benutzers:

•	Firewall. Das Sicherheitscenter prüft, ob die Windows-Firewall ein- oder ausgeschaltet ist und ob ggf. andere Firewalls vorhanden sind. Zur Überprüfung auf andere Firewalls führt das Sicherheitscenter eine Abfrage nach bestimmten WMI-Anbietern (Windows-Verwaltungsinstrumentation) durch, die von teilnehmenden Herstellern bereitgestellt wurden.
•	Virenschutz. Das Sicherheitscenter prüft, ob Antivirussoftware vorhanden ist. Zu diesem Zweck führt das Sicherheitscenter eine Abfrage nach bestimmten WMI-Anbietern durch, die von teilnehmenden Herstellern bereitgestellt werden. Wenn die Informationen verfügbar sind, ermittelt der Sicherheitscenter-Dienst zudem, ob die Software auf aktuellem Stand ist und ob eine Echtzeitprüfung aktiviert ist.
•	Automatische Updates. Das Sicherheitscenter überprüft, ob die Funktion „Automatische Updates“ auf die empfohlene Einstellung gesetzt ist, bei der kritische Updates automatisch heruntergeladen und auf dem Computer des Benutzers installiert werden. Wenn „Automatische Updates“ deaktiviert ist bzw. nicht die empfohlenen Einstellungen aufweist, zeigt das Sicherheitscenter entsprechende Empfehlungen an.

Falls festgestellt wird, dass eine Komponente fehlt bzw. Ihre Sicherheitsrichtlinien nicht erfüllt, warnt das Sicherheitscenter Sie durch ein rotes Symbol im Infobereich der Taskleiste und blendet bei der Anmeldung eine Warnmeldung ein. Diese Meldung enthält Verknüpfungen zum Öffnen der Sicherheitscenter-Benutzeroberfläche. Dort erhalten Sie Informationen zu dem Problem sowie Empfehlungen zu seiner Behebung.

Sollten Sie Firewall- oder Antivirussoftware ausführen, die vom Sicherheitscenter nicht erkannt wird, können Sie das Sicherheitscenter zur Umgehung von Warnungen für die entsprechende Komponente einstellen.

Sie können eine Gruppenrichtlinieneinstellung verwenden, um die Sicherheitscenter-Funktion für Computer in einer Windows-Umgebung zentral zu verwalten.

Wenn Sie die Richtlinieneinstellung „Sicherheitscenter aktivieren (nur Domänencomputer)“ aktivieren, überwacht das Sicherheitscenter die wesentlichen Sicherheitseinstellungen (Firewall, Virenschutz und automatische Updates) und benachrichtigt Benutzer, wenn ihre Computer gefährdet sind. Die Einstellung „ Sicherheitscenter aktivieren (nur Domänencomputer)“ ist standardmäßig nicht aktiviert, d. h, das Sicherheitscenter ist ausgeschaltet. Bei ausgeschaltetem Sicherheitscenter werden weder die Benachrichtigungen noch der Sicherheitscenter-Statusbereich angezeigt.

Anforderungen zum Ausführen dieser Aufgabe

•	Anmeldeinformationen: Sie müssen sich bei einem Windows XP SP2-Computer, der Client einer Active Directory-Domäne ist, als Mitglied der Sicherheitsgruppe „Domänen-Admins“ anmelden und ein Gruppenrichtlinienobjekt öffnen.
•	Tools: Microsoft Management Console (MMC) mit installiertem Snap-In für den Gruppenrichtlinienobjekt-Editor.

Konfigurieren der Sicherheitscenter-Einstellungen

Über diese Einstellung können Sie zulassen, dass Benutzer von Computern unter Windows XP SP2 das Sicherheitscenter für Warnungen zu Firewalls, Antivirussoftware und automatischen Updates verwenden.

So konfigurieren Sie Sicherheitscenter-Einstellungen

1.	Klicken Sie auf dem Windows XP SP2-Desktop auf Start und anschließend auf Ausführen. Geben Sie mmc ein, und klicken Sie dann auf OK.
2.	Klicken Sie im Menü Datei auf Snap-In hinzufügen/entfernen.
3.	Klicken Sie auf der Registerkarte Eigenständig auf Hinzufügen.
4.	Suchen Sie in der Liste Verfügbare eigenständige Snap-Ins nach Gruppenrichtlinienobjekt-Editor, und klicken Sie anschließend auf Hinzufügen.
5.	Klicken Sie im Dialogfeld Gruppenrichtlinienobjekt auswählen auf Durchsuchen.
6.	Wählen Sie das zu konfigurierende Gruppenrichtlinienobjekt aus der Liste aus. Klicken Sie auf OK und dann auf Fertig stellen, um den Assistenten für Gruppenrichtlinien zu schließen.
7.	Klicken Sie auf Schließen, um das Dialogfeld Eigenständiges Snap-In hinzufügen zu schließen. Klicken Sie dann auf OK, um das Dialogfeld Snap-In hinzufügen/entfernen zu schließen und zur Verwaltungskonsole zurückzukehren.
8.	Öffnen Sie in der Konsolenstruktur Computerkonfiguration, Administrative Vorlagen, Windows-Komponenten und dann Sicherheitscenter. Abbildung 2 Sicherheitscenter-Einstellungen In Vollbildgröße anzeigen
9.	Doppelklicken Sie auf Sicherheitscenter aktivieren (nur Domänencomputer), klicken Sie auf Aktiviert und anschließend auf OK.

Zuweisen der Konfiguration mit GPUpdate

Das Dienstprogramm zum Aktualisieren von Sicherheitsrichtlinien „GPUpdate“ aktualisiert Active Directory-basierte Gruppenrichtlinieneinstellungen, einschließlich von Sicherheitseinstellungen. Nachdem Sie Gruppenrichtlinien konfiguriert haben, können Sie abwarten, bis die Einstellungen durch die normalen Aktualisierungszyklen den Clientcomputern zugewiesen werden. Standardmäßig finden diese Aktualisierungszyklen alle 90 Minuten statt, mit einem Schwankungsbereich von +/–30 Minuten.

Wenn Sie die Gruppenrichtlinien außerhalb dieser normalen Zyklen aktualisieren möchten, verwenden Sie das GPUpdate-Dienstprogramm.

Ausführen von GPUpdate

So führen Sie GPUpdate aus

Klicken Sie auf dem Windows XP-Desktop auf Start und anschließend auf Ausführen.

Geben Sie im Feld Öffnen den Befehl cmd ein, und klicken Sie dann auf OK.

Hinweis: Eine vollständige Beschreibung aller verfügbaren Optionen für GPUpdate finden Sie in folgendem Artikel:

•	Microsoft Knowledge Base-Artikel 298444 auf der Microsoft-Website „Hilfe und Support“ unter http://go.microsoft.com/fwlink/?linkid=35504

Geben Sie an der Eingabeaufforderung GPUpdate ein, und drücken Sie dann die EINGABETASTE.

Abbildung 3 GPUpdate auf einer Befehlszeile
In Vollbildgröße anzeigen

Um die Befehlszeile zu schließen, geben Sie Exit ein, und drücken Sie die EINGABETASTE.

Überprüfen, ob die Sicherheitscenter-Einstellungen übernommen wurden

So überprüfen Sie, ob die Sicherheitscenter-Einstellungen übernommen wurden

Klicken Sie auf dem Windows XP-Desktop auf Start und dann auf Systemsteuerung.

Klicken Sie unter Wählen Sie eine Kategorie auf Sicherheitscenter.

Vergewissern Sie sich, dass das Sicherheitscenter gestartet wird.

Hinweis: Wenn Ihre Konfigurationseinstellungen nicht übernommen wurden, müssen Sie die Gruppenrichtlinien-Anwendung auf Fehler überprüfen und diese beheben. Informationen zur Fehlerbeseitigung in der Gruppenrichtlinien-Anwendung finden Sie in folgendem Dokument:

•	Troubleshooting Group Policy in Windows Server 2003 im Microsoft Download Center unter http://go.microsoft.com/fwlink/?linkid=35481 (in englischer Sprache)

Zum Seitenanfang

Konfigurieren von Windows-Firewall-Einstellungen

Es gibt drei zu konfigurierende Gruppen von Windows-Firewall-Einstellungen:

•	Authentifizierte IPSec durchlassen. Diese Einstellung wird verwendet, wenn ein Unternehmen IPSec (Internet Protocol Security) zum Schutz von Datenverkehr einsetzt und die Windows-Firewall aktiviert.
•	Domänenprofil. Diese Einstellungen werden von Computern verwendet, wenn sie an ein Netzwerk angeschlossen sind, das Domänencontroller für die Domäne umfasst, bei der die Computer Mitglied sind.
•	Standardprofil. Diese Einstellungen werden von Computern verwendet, wenn sie nicht an Ihr Netzwerk angeschlossen sind, beispielweise wenn Sie mit einem Laptop unterwegs sind.

Wenn Sie keine Standardprofil-Einstellungen konfigurieren, bleiben die Standardwerte unverändert. Es wird empfohlen, sowohl Einstellungen für das Domänenprofil als auch für das Standardprofil zu konfigurieren und die Windows-Firewall für beide Profile zu aktivieren. Die einzige Ausnahme besteht in der Verwendung eines Hostfirewall-Produkts eines anderen Herstellers.

Wenn Sie bereits ein Hostfirewall-Produkt eines anderen Herstellers verwenden, wird empfohlen, die Windows-Firewall zu deaktivieren.

Wenn Ihr Unternehmensnetzwerk eine Kombination aus Computern unter Windows XP SP2, Windows XP SP1, und Windows XP ohne installierte Service Packs enthält und Sie beschließen, die Windows-Firewall für das gesamte Unternehmensnetzwerk zu deaktivieren, sollten Sie die folgenden Einstellungen für Gruppenrichtlinien konfigurieren:

•

Verwendung des Internetverbindungsfirewalls im eigenen DNS-Domänennetzwerk nicht zulassen eingestellt auf Aktiviert

•

Domänenprofil – Windows-Firewall: Alle Netzwerkverbindungen schützen eingestellt auf Deaktiviert

•

Standardprofil – Windows-Firewall: Alle Netzwerkverbindungen schützen eingestellt auf Deaktiviert

Hinweis: Diese Standardprofil-Einstellung gewährleistet, dass die Windows-Firewall nicht eingesetzt wird, unabhängig davon, ob die Computer an das Unternehmensnetzwerk angeschlossen sind oder nicht. Um sicherzustellen, dass die Windows-Firewall in Ihrem Unternehmensnetzwerk nicht eingesetzt wird, jedoch verwendet wird, wenn die Computer nicht mit dem Netzwerk verbunden sind, setzen Sie diese Einstellung auf Aktiviert.

In der Regel sind die Einstellungen für das Standardprofil restriktiver als diejenigen für das Domänenprofil, da sie keine Anwendungen und Dienste umfassen, die ausschließlich in einer verwalteten Domänenumgebung eingesetzt werden.

In einem Gruppenrichtlinienobjekt enthalten das Domänenprofil und das Standardprofil dieselbe Gruppe von Windows-Firewall-Einstellungen. Windows XP SP2 verlässt sich darauf, dass durch Netzwerkbestimmung das richtige Profil zugewiesen wird.

Hinweis: Weitere Informationen zur Netzwerkbestimmung finden Sie in folgendem Artikel:

•	Network Determination Behavior for Network-Related Group Policy Settings auf der Microsoft TechNet-Website unter http://go.microsoft.com/fwlink/?linkid=35480 (in englischer Sprache)

Dieser Abschnitt beschreibt die in einem Gruppenrichtlinienobjekt möglichen Windows-Firewall-Einstellungen sowie die empfohlenen Einstellungen für eine Unternehmensumgebung. Weiterhin wird gezeigt, wie vier Typen von Einstellungen aktiviert werden.

Anforderungen zum Ausführen dieser Aufgabe

•

Anmeldeinformationen: Sie müssen sich bei einem Windows XP SP2-Computer, der Client einer Active Directory-Domäne ist, als Mitglied der Sicherheitsgruppe „Domänen-Admins“ anmelden und ein Gruppenrichtlinienobjekt öffnen, das Sie in der vorherigen Aufgabe geändert haben.

•

Tools: Microsoft Management Console (MMC) mit installiertem Snap-In für den Gruppenrichtlinienobjekt-Editor.

Hinweis: Öffnen Sie das Gruppenrichtlinienobjekt entweder mit einer MMC mit installiertem Snap-In für den Gruppenrichtlinienobjekt-Editor oder mit der Konsole „Active Directory-Benutzer und -Computer“. Um die Konsole „Active Directory-Benutzer und -Computer“ auf einem Windows XP-Clientcomputer einzusetzen, müssen Sie „adminpak.msi“ von der Windows Server 2003-CD ausführen.

Konfigurieren von Windows-Firewall-Einstellungen mit Hilfe von Gruppenrichtlinien

Sie verwenden das Gruppenrichtlinienobjekt-Editor-Snap-In oder „Active Directory-Benutzer und -Computer“, um die Einstellungen der Windows-Firewall in den entsprechenden Gruppenrichtlinienobjekten zu ändern.

Nachdem Sie die Einstellungen für die Windows-Firewall konfiguriert haben, werden die neuen Windows-Firewall-Einstellungen bei der nächsten Aktualisierung der Gruppenrichtlinie „Computerkonfiguration“ heruntergeladen und auf Computern installiert, die Windows XP SP2 ausführen.

So konfigurieren Sie Windows-Firewall-Einstellungen

Klicken Sie auf dem Windows XP SP2-Desktop auf Start und anschließend auf Ausführen. Geben Sie mmc ein, und klicken Sie dann auf OK.

Klicken Sie im Menü Datei auf Snap-In hinzufügen/entfernen.

Klicken Sie auf der Registerkarte Eigenständig auf Hinzufügen.

Suchen Sie in der Liste Verfügbare eigenständige Snap-Ins nach Gruppenrichtlinienobjekt-Editor, und klicken Sie anschließend auf Hinzufügen.

Klicken Sie im Dialogfeld Gruppenrichtlinienobjekt auswählen auf Durchsuchen.

Markieren Sie das zu konfigurierende Gruppenrichtlinienobjekt. Klicken Sie auf OK und dann auf Fertig stellen, umden Assistenten für Gruppenrichtlinien zu beenden.

Klicken Sie auf Schließen, um das Dialogfeld „Eigenständiges Snap-In hinzufügen“ zu schließen. Klicken Sie dann auf OK, um das Dialogfeld „Snap-In hinzufügen/entfernen“ zu schließen und zur Verwaltungskonsole zurückzukehren.

Öffnen Sie in der Konsolenstruktur Computerkonfiguration, Administrative Vorlagen, Netzwerk, Netzwerkverbindungen und anschließend Windows-Firewall.

Abbildung 4 Windows-Firewall-Optionen in einer Gruppenrichtlinie
In Vollbildgröße anzeigen

Doppelklicken Sie auf Windows-Firewall: Authentifizierte IPSec durchlassen.

Abbildung 5 Authentifizierte IPSec durchlassen

Tabelle 1 bietet eine Übersicht über die Optionen für „Authentifizierte IPSec durchlassen“.

Tabelle 1 Einstellungen für „Authentifizierte IPSec durchlassen“ für ein Unternehmen

Einstellung	Beschreibung	Hinweise
Nicht konfiguriert	Dieses Gruppenrichtlinienobjekt ändert die aktuelle Konfiguration der Windows-Firewall nicht.
Aktiviert	Die Windows-Firewall verarbeitet keinen durch IPSec gesicherten Datenverkehr, ausgenommen von Datenverkehr, der von in der Richtlinie aufgeführten Benutzern oder Gruppen stammt.	Für die Syntax zur Auflistung von Benutzern und Gruppen gilt der SDDL-Standard. Weitere Informationen finden Sie hier: Security Descriptor Definition Language auf der MSDN-Website unter http://go.microsoft.com/fwlink/?linkid=35503 (in englischer Sprache)
Deaktiviert	Durch IPSec gesicherter Datenverkehr wird von der Windows-Firewall verarbeitet.

10.

Wählen Sie anhand der Informationen in Tabelle 1 entweder Aktiviert oder Deaktiviert.

Hinweis: Wenn Sie auf „Aktiviert“ klicken, können Sie eine Liste mit Benutzern oder Gruppen erstellen, denen es erlaubt ist, durch IPSec gesicherten Datenverkehr an Ihren Computer zu senden.

11.

Klicken Sie auf OK.

12.

Wählen Sie entweder Domänenprofil oder Standardprofil.

Abbildung 6 Windows-Firewall-Einstellungen in einer Gruppenrichtlinie
In Vollbildgröße anzeigen

Tabelle 2 enthält eine Übersicht über die für Standard- und Domänenprofile empfohlenen Einstellungen für die Windows-Firewall-Gruppenrichtlinie.

Tabelle 2 Empfohlene Windows-Firewall-Einstellungen für ein Unternehmen

Einstellung	Beschreibung	Domänenprofil	Standardprofil
Alle Netzwerkverbindungen schützen	Legt fest, dass die Windows-Firewall für alle Netzwerkverbindungen aktiviert ist.	Aktiviert	Aktiviert
Keine Ausnahmen zulassen	Legt fest, dass jeglicher unerwünschter Datenverkehr verworfen wird, einschließlich der definierten Ausnahmen.	Nicht konfiguriert	Aktiviert, es sei denn, Sie müssen Programmausnahmen konfigurieren
Programmausnahmen festlegen	Definiert Datenverkehrsausnahmen anhand der jeweiligen Programmdateinamen.	Aktiviert und mit den Programmen (Anwendungen und Diensten) konfiguriert, die von Computern unter Windows XP mit SP2 in Ihrem Netzwerk verwendet werden	Aktiviert und mit den Programmen (Anwendungen und Diensten) konfiguriert, die von Computern unter Windows XP mit SP2 in Ihrem Netzwerk verwendet werden
Ausnahmen für lokale Programm zulassen	Lässt die lokale Konfiguration von Programmausnahmen zu.	Deaktiviert, es sei denn, lokale Administratoren sollen Programmausnahmen lokal konfigurieren	Deaktiviert
Remoteverwaltungsausnahme zulassen	Lässt Remotekonfiguration unter Verwendung von Tools zu.	Deaktiviert, es sei denn, Sie möchten zur Remoteverwaltung Ihrer Computer über MMC-Snap-Ins in der Lage sein	Deaktiviert
Ausnahme für Datei- und Druckerfreigabe zulassen	Legt fest, ob Datenverkehr von Datei- und Druckerfreigaben zulässig ist.	Deaktiviert, es sei denn, die Computer unter Windows XP SP2 nutzen lokale Ressourcenfreigaben	Deaktiviert
ICMP-Ausnahmen zulassen	Legt fest, welche Typen von ICMP-Nachrichten zulässig sind.	Deaktiviert, es sei denn, Sie möchten zur Fehlerbehebung den Ping-Befehl verwenden	Deaktiviert
Remotedesktopausnahme zulassen	Legt fest, ob ein Computer eine Verbindungsanforderung von einem Remotedesktop akzeptieren kann.	Aktiviert	Aktiviert
UPnP-Framework-Ausnahme zulassen	Legt fest, ob der Computer unerwünschte UPnP-Nachrichten empfangen kann.	Deaktiviert	Deaktiviert
Benachrichtigungen nicht zulassen	Deaktiviert Benachrichtigungen.	Deaktiviert	Deaktiviert
Protokollierung zulassen	Ermöglicht das Protokollieren von Datenverkehr und das Konfigurieren von Einstellungen für die Protokolldatei.	Nicht konfiguriert	Nicht konfiguriert
Unicastantwort auf Multicast- oder Broadcastanforderungen nicht zulassen	Verwirft Unicast-Pakete, die in Antwort auf eine Multicast- oder Broadcast-Anforderungsnachricht empfangen wurden.	Aktiviert	Aktiviert
Portausnahmen festlegen	Legt Ausnahmen für den Datenverkehr über TCP und UDP fest.	Deaktiviert	Deaktiviert
Ausnahmen für lokale Ports zulassen	Lässt die lokale Konfiguration von Portausnahmen zu.	Deaktiviert	Deaktiviert

Aktivieren von Ausnahmen für Ports

So aktivieren Sie Ausnahmen für Ports

Doppelklicken Sie im Einstellungsbereich von Domänenprofil bzw. Standardprofil auf Windows-Firewall: Portausnahmen festlegen.

Abbildung 7 Eigenschaften von Windows-Firewall: Portausnahmen festlegen

Klicken Sie auf Aktiviert und dann auf Anzeigen.

Abbildung 8 Inhalt anzeigen
In Vollbildgröße anzeigen

Klicken Sie auf Hinzufügen.

Abbildung 9 Element hinzufügen

Geben Sie die Informationen für den zu blockierenden oder zu aktivierenden Port mit der folgenden Syntax ein:

Port:Transport:Bereich:Status:Name

Dabei gilt: Port ist die Portnummer, Transport ist TCP oder UDP, Bereich ist entweder * (für alle Systeme) oder eine Liste von Computern, denen der Zugriff auf diesen Port erlaubt ist, Status ist entweder „enabled“ oder „disabled“, und der Name ist eine Textzeichenfolge, die als Bezeichnung für diesen Eintrag dient.

Bei der Angabe eines Bereichs werden keine Hostnamen, DNS-Namen (Domain Name System) oder DNS-Suffixe unterstützt. Für IPv4-Adressbereiche können Sie den Bereich mit einer punktierten Dezimal-Subnetzmaske oder mit einer Präfixlänge angeben. Bei Verwendung einer punktierten Dezimal-Subnetzmaske können Sie den Bereich als IPv4-Netzwerk-ID (wie beispielsweise 10.47.81.0/255.255.255.0) oder über eine IPv4-Adresse innerhalb des Bereichs (zum Beispiel10.47.81.231/255.255.255.0) angeben. Bei Verwendung einer Netzwerk-Präfixlänge können Sie den Bereich als eine IPv4-Netzwerk-ID (zum Beispiel 10.47.81.0/24) oder über eine IPv4-Adresse innerhalb des Bereichs (zum Beispiel 10.47.81.231/24) angeben.

Weitere Informationen zu TCP/IP-Adressierung und der Erstellung von Subnetzen finden Sie in folgendem Artikel:

•	Microsoft Knowledge Base-Artikel 164015 auf der Microsoft-Website „Hilfe und Support“ http://go.microsoft.com/fwlink/?linkid=36370

Hinweis: Falls Sie zwischen den Einträgen in der Liste der Quellen Leerzeichen oder andere ungültige Zeichen eingefügt haben, wird der Bereich ignoriert, und die Einstellung verhält sich, als wäre sie deaktiviert. Überprüfen Sie daher die Bereichssyntax genau, bevor Sie Änderungen speichern.

Im folgenden Beispiel wird eine Portausnahme namens „WebTest“ verwendet und TCP-Port 80 für alle Verbindungen aktiviert.

Klicken Sie auf OK, um Element hinzufügen zu schließen.

Abbildung 10 Inhalt anzeigen
In Vollbildgröße anzeigen

Klicken Sie auf OK, um Inhalt anzeigen zu schließen.

Klicken Sie auf Schließen, um Eigenschaften von Windows-Firewall: Portausnahmen definieren zu schließen.

Hinweis: Wenn Keine Ausnahmen zulassen aktiviert ist, werden alle Portausnahmen ignoriert.

Aktivieren von Ausnahmen für Programme

So aktivieren Sie Ausnahmen für Programme

Doppelklicken Sie im Einstellungsbereich von Domänenprofil bzw. Standarddprofil auf Windows-Firewall: Programmausnahmen festlegen.

Abbildung 11 Eigenschaften von Windows-Firewall: Programmausnahmen festlegen

Klicken Sie auf Aktiviert und dann auf Anzeigen.

Abbildung 12 Inhalt anzeigen
In Vollbildgröße anzeigen

Klicken Sie auf Hinzufügen.

Abbildung 13 Element hinzufügen

Geben Sie die Informationen für das zu blockierende oder zu aktivierende Programm mit der folgenden Syntax ein:

Pfad:Bereich:Status:Name

Dabei gilt: Pfad ist der Programmpfad, Bereich ist entweder * (für alle Systeme) oder eine Liste von Computern, denen der Zugriff auf dieses Programm erlaubt ist, Status ist entweder „enabled“ oder „disabled“, und der Name ist eine Textzeichenfolge, die als Bezeichnung für diesen Eintrag dient.

In diesem Beispiel wird Windows Messenger für alle Verbindungen aktiviert.

Weitere Informationen zu TCP/IP-Adressierung und der Erstellung von Subnetzen finden Sie in folgendem Artikel:

•	Microsoft Knowledge Base-Artikel 164015 auf der Microsoft-Website „Hilfe und Support“ http://go.microsoft.com/fwlink/?linkid=36370

Klicken Sie auf OK, um Element hinzufügen zu schließen.

Abbildung 14 Inhalt anzeigen
In Vollbildgröße anzeigen

Klicken Sie auf OK, um Inhalt anzeigen zu schließen.

Klicken Sie auf Schließen, um Eigenschaften von Windows-Firewall: Programmausnahmen festlegen zu schließen.

Konfigurieren grundlegender ICMP-Optionen

Weitere Informationen zu ICMP finden Sie hier:

•	Internet Control Message Protocol (ICMP)“auf der Microsoft Windows XP-Website unter http://go.microsoft.com/fwlink/?linkid=35499 (in englischer Sprache)

So konfigurieren Sie grundlegende ICMP-Optionen

1.	Doppelklicken Sie im Einstellungsbereich von Domänenprofil bzw. Standardprofil auf Windows-Firewall: ICMP-Ausnahmen zulassen.
2.	Klicken Sie auf Aktiviert. Abbildung 15 Eigenschaften von Windows-Firewall: ICMP-Ausnahmen zulassen
3.	Wählen Sie die zu aktivierende(n) ICMP-Ausnahme(n) aus. In diesem Beispiel wird „Eingehende Echoanforderung zulassen“ aktiviert.
4.	Klicken Sie auf OK, um Eigenschaften von Windows-Firewall: ICMP-Ausnahmen zulassen zu schließen.

Protokollieren verworfener Pakete und erfolgreicher Verbindungen

So protokollieren Sie verworfene Pakete und erfolgreiche Verbindungen

1.	Doppelklicken Sie im Einstellungsbereich von Domänenprofil bzw. Standardprofil auf Windows-Firewall: Protokollierung zulassen. Abbildung 16 Eigenschaften von Windows-Firewall: Protokollierung zulassen
2.	Klicken Sie auf Aktiviert, und aktivieren Sie Verworfene Pakete protokollieren und Erfolgreiche Verbindungen protokollieren. Geben Sie einen Pfad und einen Namen für die Protokolldatei ein, und klicken Sie auf OK. Hinweis: Wählen Sie einen sicheren Speicherort für die Protokolldatei aus, um ein versehentliches Löschen oder die Manipulation der Datei zu verhindern.
3.	Schließen Sie den Gruppenrichtlinien-Editor.
4.	Wenn Sie zum Speichern der Konsoleneinstellungen aufgefordert werden, klicken Sie auf Nein.

Zuweisen der Konfiguration mit GPUpdate

Das Dienstprogramm zum Aktualisieren von Sicherheitsrichtlinien „ GPUpdate“ aktualisiert Active Directory-basierte Gruppenrichtlinieneinstellungen, einschließlich von Sicherheitseinstellungen. Nachdem Sie Gruppenrichtlinien konfiguriert haben, können Sie abwarten, bis die Einstellungen durch die normalen Aktualisierungszyklen den Clientcomputern zugewiesen werden. Standardmäßig finden diese Aktualisierungszyklen alle 90 Minuten statt, mit einem Schwankungsbereich von +/–30 Minuten.

Wenn Sie die Gruppenrichtlinien außerhalb dieser normalen Zyklen aktualisieren möchten, verwenden Sie das GPUpdate-Dienstprogramm.

Ausführen von GPUpdate

So führen Sie GPUpdate aus

Klicken Sie auf dem Windows XP-Desktop auf Start und anschließend auf Ausführen.

Geben Sie im Feld Öffnen den Befehl cmd ein, und klicken Sie dann auf OK.

Hinweis: Eine vollständige Beschreibung aller verfügbaren Optionen für GPUpdate finden Sie in folgendem Artikel:

•	Microsoft Knowledge Base-Artikel 298444 auf der Microsoft-Website „Hilfe und Support“ unter http://go.microsoft.com/fwlink/?linkid=35504

Geben Sie an der Eingabeaufforderung GPUpdate ein, und drücken Sie dann die EINGABETASTE.

Abbildung 17 GPUpdate auf einer Befehlszeile
In Vollbildgröße anzeigen

Um die Befehlszeile zu schließen, geben Sie Exit ein, und drücken Sie die EINGABETASTE.

Überprüfen, ob die Windows-Firewall-Einstellungen übernommen wurden

Hinweis: Wenn Sie Gruppenrichtlinien verwenden, um die Windows-Firewall zu konfigurieren, lassen die Einstellungen möglicherweise nicht zu, dass lokale Administratoren bestimmte Konfigurationselemente ändern können. Einige Registerkarten und Optionen im Dialogfeld „Windows-Firewall“ sind auf den lokalen Computern der Benutzer nicht verfügbar.

So überprüfen Sie, ob die Windows Firewall-Einstellungen übernommen wurden

Klicken Sie im Sicherheitscenter unter Sicherheitseinstellungen verwalten für auf Windows-Firewall.

Klicken Sie auf die Registerkarten Allgemein, Ausnahmen und Erweitert, und vergewissern Sie sich, dass die gewünschte Konfiguration für die Windows-Firewall auf dem Computer zugewiesen wurde. Klicken Sie dann auf OK, um das Dialogfeld „Windows-Firewall“ zu schließen.

•	Troubleshooting Group Policy in Windows Server 2003 im Microsoft Download Center unter http://go.microsoft.com/fwlink/?linkid=35481 (in englischer Sprache)

Zum Seitenanfang

Konfigurieren der Sicherheitseinstellungen für Internet Explorer

Für Windows XP SP2 können alle Internet Explorer-Sicherheitseinstellungen für sowohl Computer- als auch Benutzerkonfigurationen über die neuen Gruppenrichtlinieneinstellungen verwaltet werden.

Windows XP SP2 verwendet zwei Hauptkategorien von Richtlinieneinstellungen:

•	Sicherheitsfunktionen
•	URL-Aktionen

Über die Richtlinieneinstellungen für Sicherheitsfunktionen können Sie bestimmte Szenarien verwalten, die die Sicherheit von Internet Explorer beeinträchtigen könnten. In den meisten Fällen sollen spezifische Verhaltensweisen verhindert werden; daher müssen Sie sicherstellen, dass die Sicherheitsfunktion aktiviert ist. So ist es beispielsweise möglich, dass bösartiger Code, der in der lokalen Zone anstatt in der Internetzone ausgeführt wird, versuchen kann, seine eigenen Berechtigungen zu erhöhen. Um sich vor derartigen Angriffen zu schützen, können Sie die Richtlinieneinstellung „Schutz vor Zonenanhebung“ verwenden.

Für alle Richtlinieneinstellungen von „Sicherheitsfunktionen“ können Sie Richtlinieneinstellungen, die das Verhalten der Sicherheitsfunktionen steuern, jeweils für folgende Prozesse festlegen:

•	Internet Explorer-Prozesse
•	Eine Liste definierter Prozesse
•	Alle Prozesse, unabhängig davon, wo sie gestartet wurden

Eine URL-Aktion (Uniform Resource Locator) bezieht sich auf eine Aktion, die ein Browser durchführen kann und die eventuell ein Sicherheitsrisiko für den lokalen Computer darstellt, beispielsweise der Versuch, ein Java-Applet oder ein ActiveX-Steuerelement auszuführen. URL-Aktionen entsprechen Sicherheitseinstellungen in der Registrierung, die identifizieren, welche Aktion für diese Funktion in der Sicherheitszone, in der sich die URL befindet, durchgeführt werden soll. Zu den Einstellungen für URL-Aktionen gehören „Aktivieren“, „Deaktivieren“, „Fragen“ und ggf. andere Einstellungen.

Für die Sicherheitsverwaltung von URL-Aktionen in Internet Explorer verwenden Sie die neuen Einstellungen der Gruppenrichtlinie „Sicherheitsseite“ unter Internetsystemsteuerung. Durch die Verwendung von Gruppenrichtlinien zur Steuerung der Sicherheit von URL-Aktionen können Sie Internet Explorer-Konfigurationen für alle Benutzer und Computer in Ihrem Unternehmen erstellen.

Mit den Richtlinieneinstellungen der Sicherheitszonenvorlage können Sie Richtlinien für alle URL-Zonen aktivieren, um diese zu sichern. Für jede Richtlinieneinstellung der URL-Aktionsvorlage können Sie eine der folgenden Sicherheitsstufen festlegen:

•	Sehr niedrig. Diese Einstellung wird in der Regel für URL-Sicherheitszonen verwendet, die Websites umfassen, denen der Benutzer völlig vertraut. Dies ist die Standardsicherheitsstufe für die Zone „ Vertrauenswürdige Sites“.
•	Niedrig. Diese Einstellung könnte für URL-Sicherheitszonen verwendet werden, die Websites umfassen, bei denen eine Beschädigung von Computer oder Daten sehr unwahrscheinlich ist. Dies ist die Standardsicherheitsstufe für die Intranetzone.
•	Mittel. Diese Einstellung könnte für URL-Zonen festgelegt werden, die Websites umfassen, denen weder vertraut noch misstraut wird. Dies ist die Standardsicherheitsstufe für die Internetzone.
•	Hoch. Diese Einstellung wird für URL-Sicherheitszonen verwendet, die Websites umfassen, die den Computern oder Daten des Benutzers potenziell Schaden zufügen könnten. Dies ist die Standardsicherheitsstufe für die Zone „ Eingeschränkte Sites“.

Weitere Informationen zu den Steuerelementen von „Sicherheitsfunktionen“ finden Sie in folgendem Dokument:

•	Änderungen an der Funktionalität durch Microsoft Windows XP Service Pack 2, Teil 2: Technologien für den Netzwerkschutz auf der Microsoft TechNet-Website unter http://www.microsoft.com/germany/technet/datenbank/articles/600337_1.mspx

Anforderungen zum Ausführen dieser Aufgabe

•	Anmeldeinformationen: Sie müssen sich bei einem Windows XP SP2-Computer, der Client einer Active Directory-Domäne ist, als Mitglied der Sicherheitsgruppe „Domänen-Admins“ anmelden und ein Gruppenrichtlinienobjekt öffnen.
•	Tools: Microsoft Management Console (MMC) mit installiertem Gruppenrichtlinienobjekt-Editor-Snap-In.

Konfigurieren der Sicherheitseinstellungen für Internet Explorer

So konfigurieren Sie Internet Explorer-Einstellungen

Klicken Sie auf dem Windows XP SP2-Desktop auf Start und anschließend auf Ausführen. Geben Sie mmc ein, und klicken Sie dann auf OK.

Klicken Sie im Menü Datei auf Snap-In hinzufügen/entfernen.

Klicken Sie auf der Registerkarte Eigenständig auf Hinzufügen.

Suchen Sie in der Liste Verfügbare eigenständige Snap-Ins nach Gruppenrichtlinienobjekt-Editor, und klicken Sie anschließend auf Hinzufügen.

Klicken Sie im Dialogfeld Gruppenrichtlinienobjekt auswählen auf Durchsuchen.

Markieren Sie das zu konfigurierende Gruppenrichtlinienobjekt. Klicken Sie auf OK und dann auf Fertig stellen, umden Assistenten für Gruppenrichtlinien zu beenden.

Öffnen Sie in der Konsolenstruktur Computerkonfiguration, Administrative Vorlagen, Windows-Komponenten, Internet Explorer und dann Sicherheitsfunktionen.

Abbildung 18 Sicherheitseinstellungen für die Internet Explorer-Gruppenrichtlinie
In Vollbildgröße anzeigen

Konfigurieren Sie die Sicherheitseinstellungen für Internet Explorer anhand der Informationen in Tabelle 3.

Tabelle 3 Einstellungen für „Internet Explorer – Sicherheitsfunktionen“

Einstellung	Beschreibung	Standardkonfiguration	Empfohlene Konfiguration für eine Unternehmensumgebung
Sicherheitseinschränkung für Binärverhalten	Steuert, ob die Einstellung „Sicherheitseinschränkung für Binärverhalten“ verhindert oder zugelassen wird.	Nicht konfiguriert	Fügen Sie jegliche zulässigen Verhaltensweisen für Ihr Unternehmen der Liste für vom Administrator zugelassenes Verhalten in der Notation „#Paket#Verhalten“ hinzu.
Sicherheitseinschränkung für MK-Protokoll	Reduziert die Angriffsfläche durch Blockieren des MK-Protokolls.	Nicht konfiguriert	Für alle Prozesse aktiviert
Sperrung der Zone des lokalen Computers	Trägt zur Abschwächung von Angriffen bei, bei denen bösartiger HTML-Code über die lokale Zone geladen wird.	Nicht konfiguriert	Für alle Prozesse aktiviert
Konsistente MIME-Verarbeitung	Bestimmt, ob von Webservern bereitgestellte Dateitypinformationen für Internet Explorer konsistent sein müssen.	Nicht konfiguriert	Für alle Prozesse aktiviert
Sicherheitsfunktion für MIME-Sniffing	Bestimmt, ob Internet Explorer-MIME-Sniffing die Umwandlung eines Typs von Datei in einen gefährlicheren Dateityp verhindert.	Nicht konfiguriert	Für alle Prozesse aktiviert
Objektzwischenspeicherungsschutz	Definiert, ob ein Verweis auf ein Objekt zum Zugriff verfügbar ist, wenn der Benutzer innerhalb derselben Domäne oder zu einer neuen Domäne navigiert.	Nicht konfiguriert	Für alle Prozesse aktiviert
Sicherheitseinschränkungen für Skriptfenster	Schränkt Popup-Fenster ein und verhindert, dass Skripts Fenster anzeigen, deren Titel- und Statusleisten für den Benutzer nicht sichtbar sind bzw. andere Titel- und Statusleisten verdecken.	Nicht konfiguriert	Für alle Prozesse aktiviert
Schutz vor Zonenanhebung	Trägt zum Schutz der Sicherheitszone des lokalen Computers bei.	Nicht konfiguriert	Für alle Prozesse aktiviert
Informationsleiste	Steuert, ob die Informationsleiste für Internet Explorer-Prozesse angezeigt wird, wenn die Installation von Dateien oder Code eingeschränkt ist.	Nicht konfiguriert	Für alle Prozesse aktiviert
ActiveX-Installation einschränken	Ermöglicht die Blockierung von Installationsaufforderungen für ActiveX®-Steuerelemente für Internet Explorer-Prozesse.	Nicht konfiguriert	Für alle Prozesse aktiviert
Dateidownload einschränken	Ermöglicht die Blockierung von Aufforderungen für Dateidownloads, die nicht vom Benutzer initiiert wurden.	Nicht konfiguriert	Für alle Prozesse aktiviert
Add-On-Verwaltung	Hiermit können Sie sicherstellen, dass alle Internet Explorer-Add-Ons, die nicht in der Richtlinieneinstellung „Add-On-Liste“ aufgeführt sind, abgewiesen werden.	Nicht konfiguriert	Für alle Add-Ons aktiviert, mit Ausnahme solcher, die in der Add-On-Liste ausdrücklich zugelassen wurden
Netzwerkprotokollsperrung	Legt eine eingeschränkte Protokollliste für die Sicherheitszonen für Internet, Intranet, vertrauenswürdige Sites, eingeschränkte Sites und den lokalen Computer fest.	Nicht konfiguriert	Aktivieren Sie bestimmte Protokolle für die jeweilige Sicherheitszone.

10.

Erweitern Sie Internetsystemsteuerung.

Abbildung 19 Einstellungen für „Internetsystemsteuerung“
In Vollbildgröße anzeigen

11.

Aktivieren Sie alle Einstellungen, um zu verhindern, dass Benutzer auf die aufgelisteten Internet Explorer-Konfigurationsseiten zugreifen können. Doppelklicken Sie dazu jeweils auf die Einstellung, und klicken Sie auf Aktiviert und anschließend auf OK.

12.

Erweitern Sie Sicherheitsseite.

Abbildung 20 Einstellungen für „Internetsystemsteuerung – Sicherheitsseite“
In Vollbildgröße anzeigen

13.

Es gibt zwei Methoden zur Konfiguration von Sicherheitszonen: Sie können Vorlagen verwenden oder die jeweiligen Einstellungen pro Zone wählen.
Entweder:

•

Verwenden Sie die Informationen in Tabelle 4, um die jeweiligen Sicherheitszonen mit Hilfe von Zonenvorlagen zu konfigurieren. Doppelklicken Sie auf jede Vorlagenoption, und klicken Sie dann auf Aktiviert.

Oder

•

Konfigurieren Sie jede Sicherheitszone anhand der Informationen in Tabelle 5 separat.

Tabelle 4 Einstellungen der Internetsystemsteuerung pro Sicherheitszone

Einstellung	Empfohlene Konfiguration	Empfohlene Stufe
Vorlage für Internetzone	Aktiviert	Mittel
Vorlage für Intranetzone	Aktiviert	Niedrig
Vorlage für Zone vertrauenswürdiger Sites	Aktiviert	Sehr niedrig
Vorlage für Zone eingeschränkter Sites	Aktiviert	Hoch
Vorlage für Zone des lokalen Computers	Aktiviert	Sehr niedrig
Vorlage für Sperrung der Zone des lokalen Computers	Aktiviert	Hoch

Tabelle 5 Einstellungen der Internetsystemsteuerung pro Sicherheitszone

Einstellung	Beschreibung	Standardkonfiguration
Download von signierten ActiveX-Steuerelementen	Steuert das Download signierter ActiveX-Steuerelemente aus der URL-Zone der HTML-Seite, die das Steuerelement enthält.	Nicht konfiguriert
Download von unsignierten ActiveX-Steuerelementen	Steuert das Download unsignierter ActiveX-Steuerelemente aus der URL-Zone der HTML-Seite, die das Steuerelement enthält.	Nicht konfiguriert
ActiveX-Steuerelemente initialisieren und ausführen, die nicht sicher sind	Steuert die Ausführung von ActiveX-Steuerelementen und Plugins von HTML-Seiten in der Zone aus.	Nicht konfiguriert
ActiveX-Steuerelemente und Plugins ausführen	Bestimmt, ob die Objektsicherheit des ActiveX-Steuerelements für Seiten in der URL-Sicherheitszone außer Kraft oder durchgesetzt wird. Objektsicherheit sollte nur dann außer Kraft gesetzt werden, wenn sich darauf verlassen werden kann, dass alle ActiveX-Steuerelemente und Skripts, die mit Objekten auf Seiten in der Zone kommunizieren, nicht die Sicherheit verletzen. Dies ist eine Zusammenführung von URLACTION_ACTIVEX_OVERRIDE_DATA_SAFETY und URLACTION_ACTIVEX_OVERRIDE_SCRIPT_SAFETY.	Nicht konfiguriert
Active Scripting zulassen	Bestimmt, ob Skriptcode auf den Seiten in der URL-Sicherheitszone ausgeführt wird oder nicht.	Nicht konfiguriert
Scripting von Java-Applets	Bestimmt, ob Skriptcode auf HTML-Seiten in der URL-Sicherheitszone Java-Applets verwenden darf, wenn für die Eigenschaften, Methoden und Ereignisse des Applets Skripts angezeigt werden.	Nicht konfiguriert
ActiveX-Steuerelemente ausführen, die für Scripting sicher sind	Bestimmt, ob Skripts für sichere ActiveX-Steuerelemente verwendet werden dürfen.	Nicht konfiguriert
Auf Datenquellen über Domänengrenzen hinweg zugreifen	Bestimmt, ob die Ressource über Domänen hinweg auf Datenquellen zugreifen kann.	Nicht konfiguriert
Einfügeoperationen über ein Skript zulassen	Bestimmt, ob Skripts Einfügeoperationen durchführen können.	Nicht konfiguriert
Unverschlüsselte Formulardaten übermitteln	Bestimmt, ob HTML-Formulare auf Seiten in der URL-Sicherheitszone zulässig sind bzw. ob sie an Server in der Zone gesendet werden dürfen. Zusammenführung der Flags URLACTION_HTML_SUBMIT_FORMS_FROM und URLACTION_HTML_SUBMIT_FORMS_TO.	Nicht konfiguriert
Schriftartdownloads zulassen	Bestimmt, ob HTML-Schriftartdownloads zulässig sind.	Nicht konfiguriert
Dauerhaftigkeit der Benutzerdaten	Bestimmt, ob Dauerhaftigkeit der Benutzerdaten aktiviert ist.	Nicht konfiguriert
Subframes zwischen verschiedenen Domänen bewegen	Bestimmt, ob Subframes zwischen verschiedenen Domänen navigieren dürfen.	Nicht konfiguriert

Zuweisen der Konfiguration mit GPUpdate

Das Dienstprogramm zum Aktualisieren von Sicherheitsrichtlinien „ GPUpdate“ aktualisiert Active Directory-basierte Gruppenrichtlinieneinstellungen, einschließlich von Sicherheitseinstellungen. Nachdem Sie Gruppenrichtlinien konfiguriert haben, können Sie abwarten, bis die Einstellungen durch die normalen Aktualisierungszyklen den Clientcomputern zugewiesen werden. Standardmäßig finden diese Aktualisierungszyklen alle 90 Minuten statt, mit einem Schwankungsbereich von +/–30 Minuten.

Wenn Sie die Gruppenrichtlinien außerhalb dieser normalen Zyklen aktualisieren möchten, verwenden Sie das GPUpdate-Dienstprogramm.

Ausführen von GPUpdate

So führen Sie GPUpdate aus

Klicken Sie auf dem Windows XP-Desktop auf Start und anschließend auf Ausführen.

Geben Sie im Feld Öffnen den Befehl cmd ein, und klicken Sie dann auf OK.

Hinweis: Eine vollständige Beschreibung aller verfügbaren Optionen für GPUpdate finden Sie in folgendem Artikel:

•	Microsoft Knowledge Base-Artikel 298444 auf der Microsoft-Website „Hilfe und Support“ unter http://go.microsoft.com/fwlink/?linkid=35504

Geben Sie an der Eingabeaufforderung GPUpdate ein, und drücken Sie dann die EINGABETASTE.

Abbildung 21 GPUpdate auf einer Befehlszeile
In Vollbildgröße anzeigen

Um die Befehlszeile zu schließen, geben Sie Exit ein, und drücken Sie die EINGABETASTE.

Überprüfen, ob die Internet Explorer-Sicherheitseinstellungen übernommen wurden

Hinweis: Wenn Sie Gruppenrichtlinien verwenden, um Internet Explorer zu konfigurieren, lassen die Einstellungen möglicherweise nicht zu, dass lokale Administratoren bestimmte Konfigurationselemente ändern können. Einige Registerkarten und Optionen in den Dialogfeldern sind auf den lokalen Computern der Benutzer nicht verfügbar.

Überprüfen, ob die Internet Explorer-Sicherheitseinstellungen übernommen wurden

So überprüfen Sie, ob die Internet Explorer-Sicherheitseinstellungen übernommen wurden

Klicken Sie im Sicherheitscenter unter Sicherheitseinstellungen verwalten für auf Internetoptionen.

Klicken Sie auf die Registerkarten Sicherheit, Datenschutz und Erweitert, und vergewissern Sie sich, dass die gewünschte Konfiguration für Internet Explorer auf dem Computer zugewiesen wurde. Klicken Sie dann auf OK, um das Dialogfeld „Interneteigenschaften“ zu schließen.

•	Troubleshooting Group Policy in Windows Server 2003 im Microsoft Download Center unter http://go.microsoft.com/fwlink/?linkid=35481 (in englischer Sprache)

Zum Seitenanfang

Konfigurieren von Einstellungen für die Internetkommunikationsverwaltung

Windows XP SP2 verfügt über neue Gruppenrichtlinieneinstellungen, die in erster Linie steuern sollen, wie Komponenten in Windows XP SP2 mit dem Internet kommunizieren. Anhand der Gruppenrichtlinieneinstellungen können Sie folgende Funktionen verwalten:

•	Bestellen von Fotoabzügen online
•	Nutzung von Online-Speicherplatz
•	Veröffentlichen im Web

In Windows XP SP2 haben Benutzer die Möglichkeit, in Windows Explorer auf Aufgaben zu klicken, um online Abzüge zu bestellen (Assistent für die Onlinebestellung von Abzügen), sich bei einem Dienst einzuschreiben, der Online-Speicherplatz bereitstellt (Assistent zum Hinzufügen von Netzwerkressourcen, oder Dateien zu veröffentlichen, die in einem Browser angezeigt werden können (Webpublishing-Assistent). Darüber hinaus sind weitere Aufgaben verfügbar. Die Aufgabe bzw. der Assistent ruft die Namen und URLs dieser Dienstanbieter aus zwei Quellen ab: einer lokal (in der Registrierung) gespeicherten Liste und einer Liste auf der Microsoft-Website. Standardmäßig zeigt Windows neben den in der Registrierung aufgeführten Anbietern weitere Anbieter aus einer Liste auf der Microsoft-Website an.

Mit den folgenden Gruppenrichtlinieneinstellungen können Sie steuern, wie diese Assistenten und Aufgaben arbeiten und wie diese Komponenten mit dem Internet kommunizieren:

•	Aufgabe „Im Web veröffentlichen“ für Dateien und Ordner deaktivieren. Diese Richtlinieneinstellung legt fest, ob die zur Veröffentlichung von Objekten im Internet erforderlichen Aufgaben in Windows-Ordnern über „Datei- und Ordneraufgaben“ verfügbar sind. Dazu gehören die Aufgaben „Datei im Web veröffentlichen“, „Ordner im Web veröffentlichen“ und „Ausgewählte Elemente im Web veröffentlichen“.
•	Internet-Download für die Assistenten „Webpublishing“ und „Onlinebestellung von Abzügen“ deaktivieren. Diese Richtlinieneinstellung gibt an, ob Windows für den Webpublishing-Assistenten, den Assistenten zum Hinzufügen von Netzwerkressourcen und den Assistenten für die Onlinebestellung von Abzügen eine Liste mit Anbietern herunterladen soll. Standardmäßig zeigt Windows neben den in der Registrierung aufgeführten Anbietern aus einer Windows-Website heruntergeladene Anbieter an.
•	Aufgabe „Abzüge online bestellen“ für Bilder deaktivieren. Diese Richtlinieneinstellung legt fest, ob die Aufgabe „Abzüge online bestellen“ in den Bildaufgaben in Windows-Ordnern verfügbar ist. Mit dieser Einstellung wird der Assistent für die Onlinebestellung von Abzügen deaktiviert.

Diese Richtlinieneinstellungen sind sowohl für die Benutzer- als auch die Computerkonfiguration verfügbar.

Weitere Informationen zur Steuerung der Verwendung des Assistenten zum Hinzufügen von Netzwerkressourcen und des Webpublishing-Assistenten finden Sie in folgendem Dokument:

•	Using Windows XP Professional with Service Pack 2 in a Managed Environment: Controlling Communication with the Internet auf der Microsoft TechNet-Website unter http://go.microsoft.com/fwlink/?LinkId=35489 (in englischer Sprache)

Anforderungen zum Ausführen dieser Aufgabe

•	Anmeldeinformationen: Sie müssen sich bei einem Windows XP SP2-Computer, der Client einer Active Directory-Domäne ist, als Mitglied der Sicherheitsgruppe „Domänen-Admins“ anmelden und ein Gruppenrichtlinienobjekt öffnen.
•	Tools: Microsoft Management Console (MMC) mit installiertem Snap-In für den Gruppenrichtlinienobjekt-Editor.

Konfigurieren von Einstellungen für die Internetkommunikationsverwaltung

So konfigurieren Sie Einstellungen für die Internetkommunikationsverwaltung

Klicken Sie auf dem Windows XP SP2-Desktop auf Start und anschließend auf Ausführen. Geben Sie mmc ein, und klicken Sie dann auf OK.

Klicken Sie im Menü Datei auf Snap-In hinzufügen/entfernen.

Klicken Sie auf der Registerkarte Eigenständig auf Hinzufügen.

Suchen Sie in der Liste Verfügbare eigenständige Snap-Ins nach Gruppenrichtlinienobjekt-Editor, und klicken Sie anschließend auf Hinzufügen.

Klicken Sie im Dialogfeld Gruppenrichtlinienobjekt auswählen auf Durchsuchen.

Markieren Sie das zu konfigurierende Gruppenrichtlinienobjekt. Klicken Sie auf OK und dann auf Fertig stellen, umden Assistenten für Gruppenrichtlinien zu beenden.

Öffnen Sie in der Konsolenstruktur Computerkonfiguration, Administrative Vorlagen, System und anschließend Internetkommunikationsverwaltung.

Abbildung 22 Einstellungen für „Internetkommunikationsverwaltung“
In Vollbildgröße anzeigen

Setzen Sie die Einstellung Internetkommunikation einschränken auf Deaktiviert, um alle Einstellungen unter „Internetkommunikationseinstellungen“ zu deaktivieren, oder auf Aktiviert, um alle Einstellungen unter „Internetkommunikationseinstellungen“ zu aktivieren.

10.

Wenn Sie die Einstellungen einzeln konfigurieren möchten, erweitern Sie Internetkommunikationseinstellungen, und konfigurieren Sie die Einstellungen anhand von Tabelle 6.

Tabelle 6 Empfohlene Internetkommunikationseinstellungen

Einstellung	Beschreibung	Empfohlene Einstellung
Aufgabe „Im Web veröffentlichen“ für Dateien und Ordner deaktivieren.	Legt fest, ob die Aufgaben „Datei im Web veröffentlichen“, „Ordner im Web veröffentlichen“ und „Ausgewählte Elemente im Web veröffentlichen“ in Windows-Ordnern über „Datei- und Ordneraufgaben“ verfügbar sind.	Aktiviert
Internet-Download für die Assistenten „Webpublishing“ und „Onlinebestellung von Abzügen“ deaktivieren.	Steuert, ob Windows eine Liste von Anbietern für den Webpublishing-Assistenten und den Assistenten für die Onlinebestellung von Abzügen herunterlädt.	Aktiviert
Programm zur Verbesserung der Benutzerfreundlichkeit deaktivieren	Legt fest, ob Windows Messenger anonyme Informationen zur Verwendungsweise der Windows Messenger-Software und des Windows Messenger-Dienstes erfasst.	Aktiviert
Inhaltdateiupdates des Such-Assistenten deaktivieren	Legt fest, ob der Such-Assistent während lokaler und Internetsuchen automatisch Updates für Inhalte herunterladen soll.	Aktiviert
Drucken über HTTP deaktivieren	Hiermit können Sie das Drucken über HTTP von diesem Client aus deaktivieren.	Aktiviert
Download von Druckertreibern über HTTP deaktivieren	Steuert, ob der Computer Druckertreiberpakete über HTTP herunterladen kann.	Aktiviert
Eingabeaufforderung zur Suche nach Gerätetreibern auf Windows Update deaktivieren	Legt fest, ob Windows in Windows Update nach Gerätetreibern sucht, wenn für ein Gerät lokal keine Treiber vorhanden sind.	Deaktiviert

Hinweis: Tabelle 6 enthält alle empfohlenen Einstellungen für Internetkommunikation.

Zuweisen der Konfiguration mit GPUpdate

Wenn Sie die Gruppenrichtlinien außerhalb dieser normalen Zyklen aktualisieren möchten, verwenden Sie das GPUpdate-Dienstprogramm.

Ausführen von GPUpdate

So führen Sie GPUpdate aus

Klicken Sie auf dem Windows XP-Desktop auf Start und anschließend auf Ausführen.

Geben Sie im Feld Öffnen den Befehl cmd ein, und klicken Sie dann auf OK.

Hinweis: Eine vollständige Beschreibung aller verfügbaren Optionen für GPUpdate finden Sie in folgendem Artikel:

•	Microsoft Knowledge Base-Artikel 298444 auf der Microsoft-Website „Hilfe und Support“ unter http://go.microsoft.com/fwlink/?linkid=35504

Geben Sie an der Eingabeaufforderung GPUpdate ein, und drücken Sie dann die EINGABETASTE.

Abbildung 23 GPUpdate auf einer Befehlszeile
In Vollbildgröße anzeigen

Um die Befehlszeile zu schließen, geben Sie Exit ein, und drücken Sie die EINGABETASTE.

Überprüfen, ob die Einstellungen für die Internetkommunikationsverwaltung übernommen wurden

So überprüfen Sie, ob die Einstellungen für die Internetkommunikationsverwaltung übernommen wurden

Klicken Sie auf Start, und anschließend auf Eigene Bilder.

Vergewissern Sie sich unter Bildaufgaben, dass Abzüge online bestellen nicht angezeigt wird.

Vergewissern Sie sich unter Datei- und Ordneraufgaben, dass Ordner im Web veröffentlichen nicht angezeigt wird.

Schließen Sie Eigene Bilder.

•	Troubleshooting Group Policy in Windows Server 2003 im Microsoft Download Center unter http://go.microsoft.com/fwlink/?linkid=35481 (in englischer Sprache)

Zum Seitenanfang

Konfigurieren der Einstellungen für DCOM-Zugriff

Das Microsoft Component Object Model (COM) ist ein System zur Erstellung von Softwareanwendungen, die miteinander kommunizieren können. Mit Hilfe von DCOM können diese Anwendungen über verschiedene Standorte verteilt werden. Das drahtgebundene DCOM-Protokoll bietet transparente Unterstützung für die Kommunikation zwischen COM-Komponenten.

Hinweis: Weitere Informationen zu DCOM-Sicherheit finden Sie in folgendem Dokument:

•	Best Practices for Mitigating RPC and DCOM Vulnerabilities auf der Microsoft TechNet-Webseite unter http://go.microsoft.com/fwlink/?linkid=36371 (in englischer Sprache)

Viele COM-Anwendungen beinhalten sicherheitsspezifischen Code, verwenden jedoch schwache Einstellungen und lassen so oftmals einen nicht autorisierten Zugriff auf Komponenten zu. In Windows XP SP2 wurde in COM eine Änderung vorgenommen, um computerweite Zugriffssteuerungen bereitzustellen, die den Zugriff auf alle Aufruf-, Aktivierungs- und Startanforderungen auf dem Computer regeln. Windows XP SP2 verfügt über einen Mindestautorisierungsstandard, der erfüllt werden muss, um auf einen COM-Server auf dem Computer zuzugreifen.

Hinweis: Weitere Informationen zu COM-Fixes in Windows XP SP2 finden Sie in folgendem Artikel:

•	„Com+ fixes in Windows XP Service Pack 2 unter http://support.microsoft.com/default.aspx?scid=kb;en-us;838211 (in englischer Sprache)

Für jede DCOM-Anforderung werden computerweite Zugriffssteuerungslisten (ACL, Access Control Lists) überprüft. Wenn die Prüfung fehlschlägt, wird die Anforderung abgewiesen. Es gibt eine computerweite ACL für:

•

Start- und Aktivierungsberechtigungen. Diese Berechtigungen steuern die Autorisierung zum Starten eines COM-Servers bei COM-Aktivierung, wenn der Server nicht bereits ausgeführt wird, und verfügen über vier Zugriffsrechte:

•	Lokaler Start
•	Remotestart
•	Lokale Aktivierung
•	Remoteaktivierung

•

Zugriffsberechtigungen. Diese Berechtigungen steuern die Autorisierung zum Aufruf eines COM-Servers und verfügen über zwei Zugriffsrechte:

•

Lokale Aufrufe

•

Remoteaufrufe

Hinweis: Eine lokale COM-Nachricht geht über den lokalen Aufruf ein, während eine Remote-COM-Nachricht über einen Remoteaufruf eingeht.

Die Berechtigungen können über die MMC (Microsoft Management Console) für Komponentendienste konfiguriert werden und stellen einen Mindestsicherheitsstandard bereit, der eingehalten werden muss, unabhängig von den Einstellungen der jeweiligen COM-Serveranwendung.

Hinweis: Standardmäßig wird dieses MMC-Snap-In auf einem Computer unter Windows XP SP2 von der Windows-Firewall blockiert. Wenn Sie diesbezüglich eine Sicherheitswarnung erhalten, müssen Sie auf Zulassen klicken.

Die standardmäßigen Einschränkungseinstellungen für Windows XP SP2-Computer werden in Tabelle 7 aufgeführt.

Tabelle 7 Standard-DCOM-Zugriffssteuerungsbeschränkungen

Berechtigung

Administrator

Jeder

Anonym

Start und Aktivierung

Lokaler Start

Lokale Aktivierung

Remotestart

Remoteaktivierung

Lokaler Start

Lokale Aktivierung

Keine Berechtigungen festgelegt

Zugriff

Keine Berechtigungen festgelegt

Lokaler Aufruf

Remoteaufruf

Lokaler Aufruf

Die Standardeinstellungen aktivieren alle Szenarien so, dass sie ohne Änderungen an der Software oder dem Betriebssystem funktionieren. Darüber hinaus aktivieren die Standardeinstellungen die meisten COM-Clientszenarien und deaktivieren Remoteaktivierungen von installierten COM-Servern durch Benutzer ohne Administratorrechte.

Wenn Sie einen COM-Server implementieren und eine Unterstützung von Remoteaktivierung durch einen nicht-administrativen COM-Client oder nicht authentifizierte Remoteaufrufe wünschen, müssen Sie die Standardkonfiguration für diese Funktion ändern.

Hinweis: Auch wenn in diesem Dokument beschrieben wird, wie Sie die Standardeinstellungen ändern können, sollten Sie beachten, dass Sie dadurch Ihren Computer anfälliger für Angriffe machen.

Anforderungen zum Ausführen dieser Aufgabe

•	Anmeldeinformationen: Sie müssen sich bei einem Windows XP SP2-Computer, der Client einer Active Directory-Domäne ist, als Mitglied der Sicherheitsgruppe „Domänen-Admins“ anmelden und ein Gruppenrichtlinienobjekt öffnen.
•	Tools: Microsoft Management Console (MMC) mit installiertem Snap-In für den Gruppenrichtlinienobjekt-Editor.

Konfigurieren von DCOM-Einstellungen

So konfigurieren Sie DCOM-Einstellungen

Klicken Sie auf dem Windows XP SP2-Desktop auf Start und anschließend auf Ausführen. Geben Sie mmc ein, und klicken Sie dann auf OK.

Klicken Sie im Menü Datei auf Snap-In hinzufügen/entfernen.

Klicken Sie auf der Registerkarte Eigenständig auf Hinzufügen.

Suchen Sie in der Liste Verfügbare eigenständige Snap-Ins nach Gruppenrichtlinienobjekt-Editor, und klicken Sie anschließend auf Hinzufügen.

Klicken Sie im Dialogfeld Gruppenrichtlinienobjekt auswählen auf Durchsuchen.

Markieren Sie das zu konfigurierende Gruppenrichtlinienobjekt. Klicken Sie auf OK und dann auf Fertig stellen, umden Assistenten für Gruppenrichtlinien zu beenden.

Öffnen Sie in der Konsolenstruktur Computerkonfiguration, Windows-Einstellungen, Sicherheitseinstellungen, Lokale Richtlinien und anschließend Sicherheitsoptionen.

Abbildung 24 Sicherheitsoptionen
In Vollbildgröße anzeigen

Doppelklicken Sie auf DCOM: Computerzugriffseinschränkungen in Security Descriptor Definition Language (SDDL)-Syntax.

Hinweis: Weitere Informationen zu SDDL finden Sie in folgendem Dokument:

•	Security Descriptor Definition Language auf der MSDN-Website unter http://go.microsoft.com/fwlink/?linkid=35503 (in englischer Sprache)

Abbildung 25 DCOM: Computerzugriffseinschränkungen

10.

Klicken Sie auf Sicherheit bearbeiten.

Abbildung 26 Zugriffsberechtigungen

11.

Um bestimmten Benutzern von DCOM-Anwendungen im Unternehmen Zugriff auf alle Computer zu gewähren, klicken Sie auf Hinzufügen.

Abbildung 27 Benutzer, Computer oder Gruppen auswählen

12.

Geben Sie den Namen des Benutzers ein, und klicken Sie auf OK.

13.

Klicken Sie auf OK, um das Dialogfeld Zugriffsberechtigungen zu schließen. Klicken Sie dann auf OK, um das Feld DCOM: Computerzugriffseinschränkungen in Security Descriptor Definition Language (SDDL)-Syntax zu schließen.

14.

Doppelklicken Sie auf DCOM: Computerstarteinschränkungen in Security Descriptor Definition Language (SDDL)-Syntax, und klicken Sie dann auf Sicherheit bearbeiten. Um bestimmten Benutzern von DCOM-Anwendungen im Unternehmen Start- oder Aktivierungsberechtigungen für alle Computer zu gewähren, klicken Sie auf Hinzufügen.

15.

Geben Sie den Namen des Benutzers ein, und klicken Sie auf OK.

16.

Klicken Sie auf OK, um das Dialogfeld Zugriffsberechtigungen zu schließen. Klicken Sie dann auf OK, um das Feld DCOM: Computerstarteinschränkungen in Security Descriptor Definition Language (SDDL)-Syntax zu schließen.

17.

Schließen Sie die Konsole.

Zuweisen der Konfiguration mit GPUpdate

Wenn Sie die Gruppenrichtlinien außerhalb dieser normalen Zyklen aktualisieren möchten, verwenden Sie das GPUpdate-Dienstprogramm.

Ausführen von GPUpdate

So führen Sie GPUpdate aus

Klicken Sie auf dem Windows XP-Desktop auf Start und anschließend auf Ausführen.

Geben Sie im Feld Öffnen den Befehl cmd ein, und klicken Sie dann auf OK.

Hinweis: Eine vollständige Beschreibung aller verfügbaren Optionen für GPUpdate finden Sie in folgendem Artikel:

•	Microsoft Knowledge Base-Artikel 298444 auf der Microsoft-Website „Hilfe und Support“ unter http://go.microsoft.com/fwlink/?linkid=35504

Geben Sie an der Eingabeaufforderung GPUpdate ein, und drücken Sie dann die EINGABETASTE.

Abbildung 28 GPUpdate auf einer Befehlszeile
In Vollbildgröße anzeigen

Um die Befehlszeile zu schließen, geben Sie Exit ein, und drücken Sie die EINGABETASTE.

Überprüfen, ob die DCOM-Sicherheitseinstellungen übernommen wurden

So überprüfen Sie, ob die DCOM-Sicherheitseinstellungen übernommen wurden

Klicken Sie auf Start und anschließend auf Systemsteuerung.

Klicken Sie auf Leistung und Wartung.

Klicken Sie unter oder ein Systemsteuerungssymbol auf Verwaltung.

Klicken Sie in Verwaltung auf Komponentendienste.

Doppelklicken Sie in der Konsole Verwaltungsdienste auf Verwaltungsdienste, und doppelklicken Sie auf Computer. Klicken Sie mit der rechten Maustaste auf Arbeitsplatz, und klicken Sie anschließend auf Eigenschaften.

Klicken Sie auf COM-Sicherheit, klicken Sie auf beideSchaltflächen zur Bearbeitung von Standardwerten, und vergewissern Sie sich, dass die gewünschte Konfiguration für DCOM zugewiesen wurde. Klicken Sie anschließend auf OK, um das Dialogfeld „COM-Sicherheit“ zu schließen.

Schließen Sie „Komponentendienste“ und „Verwaltung“.

Schließen Sie die Systemsteuerung.

•	Troubleshooting Group Policy in Windows Server 2003 im Microsoft Download Center unter http://go.microsoft.com/fwlink/?linkid=35481 (in englischer Sprache)

Zum Seitenanfang

Konfigurieren von RPC-Einstellungen

Windows XP SP2 weist Änderungen am RPC-Dienst auf, die RPC-Schnittstellen schon in der Standardeinstellung sicher gestalten und die Angriffsfläche von Windows XP reduzieren sollen. Es wurden zwei neue Richtlinieneinstellungen hinzugefügt:

•	Einschränkungen für nicht authentifizierte RPC-Clients. Mit dieser Richtlinieneinstellung können Sie das Verhalten aller RPC-Schnittstellen im System ändern. Sie eliminiert standardmäßig den anonymen Remotezugriff auf RPC-Schnittstellen im System (mit einigen Ausnahmen).
•	RPC-Endpunktzuordnungs-Clientauthentifizierung. Mit dieser Einstellung können Sie RPC-Clients zur Authentifizierung leiten, die mit dem Endpunktzuordnungsdienst kommunizieren müssen, vorausgesetzt, dass der RPC-Aufruf, für den der Endpunkt aufgelöst werden muss, über Authentifizierungsinformationen verfügt.

Wenn Sie festlegen, dass RPC-Aufrufe eine Authentifizierung durchführen müssen, kann selbst eine Authentifizierung auf relativ niedriger Stufe zum Schutz einer Schnittstelle vor einem Angriff beitragen. Dies ist besonders im Einsatz gegen Würmer nützlich, die Pufferüberläufe ausnutzen müssen, die über anonyme Remoteverbindungen aufgerufen werden können.

Hinweis: Weitere Informationen zu RPC-Sicherheit finden Sie in folgendem Dokument:

•	„Best Practices for Mitigating RPC and DCOM Vulnerabilities auf der Microsoft TechNet-Webseite unter http://go.microsoft.com/fwlink/?linkid=36371 (in englischer Sprache)

Anforderungen zum Ausführen dieser Aufgabe

•	Anmeldeinformationen: Sie müssen sich bei einem Windows XP SP2-Computer, der Client einer Active Directory-Domäne ist, als Mitglied der Sicherheitsgruppe „Domänen-Admins“ anmelden und ein Gruppenrichtlinienobjekt öffnen.
•	Tools: Microsoft Management Console (MMC) mit installiertem Snap-In für den Gruppenrichtlinienobjekt-Editor.

Konfigurieren von RPC-Einstellungen

Wenn Sie die Richtlinieneinstellung „Einschränkungen für nicht authentifizierte RPC-Clients“ aktivieren, können Sie „Zu übernehmende Einschränkung für nicht authentifizierte Clients für RPC-Laufzeit“ mit einer der folgenden Optionen konfigurieren:

•	Authentifiziert (Standard). Diese Option lässt die Verbindung zu RPC-Servern, die auf dem Computer ausgeführt werden, auf dem die Richtlinieneinstellung zugewiesen wurde, ausschließlich für authentifizierte RPC-Clients zu. Schnittstellen, die den Ausschluss aus dieser Einschränkung angefordert haben, werden als Ausnahme gebilligt. Diese Option entspricht dem Wert RPC_RESTRICT_REMOTE_CLIENT_DEFAULT (1).
•	Authentifiziert ohne Ausnahmen. Diese Option lässt die Verbindung zu RPC-Servern, die auf dem Computer ausgeführt werden, auf dem die Richtlinieneinstellung zugewiesen wurde, ausschließlich für authentifizierte RPC-Clients zu; Ausnahmen sind nicht zulässig. Wenn Sie diese Option auswählen, kann ein System keine anonymen Remoteaufrufe über RPC empfangen; sie bietet die höchste Sicherheit. Diese Option entspricht dem Wert RPC_RESTRICT_REMOTE_CLIENT_HIGH (2).
•	Keine. Diese Option lässt die Verbindung zu RPC-Servern, die auf dem Computer ausgeführt werden, auf dem die Richtlinieneinstellung zugewiesen wurde, für alle RPC-Clients zu. Wenn Sie diese Option wählen, wird die neue Einschränkung für die RPC-Schnittstelle umgangen. Diese Option entspricht dem RPC-Verhalten in früheren Versionen von Windows. Diese Option entspricht dem Wert RPC_RESTRICT_REMOTE_CLIENT_NONE (0).

Wenn Sie die Richtlinieneinstellung „RPC-Endpunktzuordnungs-Clientauthentifizierung“ aktivieren, werden RPC-Clients, die zur Authentifizierung mit dem Endpunktzuordnungsdienst kommunizieren müssen, authentifiziert, vorausgesetzt, dass der RPC-Aufruf, für den der Endpunkt aufgelöst werden muss, über Authentifizierungsinformationen verfügt.

Wenn Sie die Richtlinieneinstellung „RPC-Endpunktzuordnungs-Clientauthentifizierung“ deaktivieren, werden RPC-Clients, die zur Authentifizierung mit dem Endpunktzuordnungsdienst kommunizieren müssen, nicht authentifiziert. Der Endpunktzuordnungsdienst auf Computern unter Microsoft Windows NT® 4.0-Betriebssystemen kann auf diese Weise bereitgestellte Authentifizierungsinformationen nicht verarbeiten. Wenn Sie also diese Einstellung auf einem Clientcomputer aktivieren und eine Endpunktauflösung erforderlich ist, kann dieser Client nicht mit einem Windows NT 4.0-Server kommunizieren, der RPC verwendet.

So konfigurieren Sie RPC-Einstellungen

1.	Klicken Sie auf dem Windows XP SP2-Desktop auf Start und anschließend auf Ausführen. Geben Sie mmc ein, und klicken Sie dann auf OK.
2.	Klicken Sie im Menü Datei auf Snap-In hinzufügen/entfernen.
3.	Klicken Sie auf der Registerkarte Eigenständig auf Hinzufügen.
4.	Suchen Sie in der Liste Verfügbare eigenständige Snap-Ins nach Gruppenrichtlinienobjekt-Editor, und klicken Sie anschließend auf Hinzufügen.
5.	Klicken Sie im Dialogfeld Gruppenrichtlinienobjekt auswählen auf Durchsuchen.
6.	Wählen Sie das zu konfigurierende Gruppenrichtlinienobjekt aus der Liste aus. Klicken Sie auf OK und dann auf Fertig stellen, um den Assistenten für Gruppenrichtlinien zu schließen.
7.	Klicken Sie auf Schließen, um das Dialogfeld Eigenständiges Snap-In hinzufügen zu schließen. Klicken Sie dann auf OK, um das Dialogfeld Snap-In hinzufügen/entfernen zu schließen und zur Verwaltungskonsole zurückzukehren.
8.	Öffnen Sie in der Konsolenstruktur Computerkonfiguration, Administrative Vorlagen, System und anschließend Remoteprozeduraufruf (RPC). Abbildung 29 RPC-Einstellungen In Vollbildgröße anzeige
9.	Verwenden Sie die oben aufgeführten Konfigurationsinformationen, und doppelklicken Sie auf Einschränkungen für nicht authentifizierte RPC-Clients. Klicken Sie auf Aktiviert, wählen Sie dann Authentifiziert ohne Ausnahmen, und klicken Sie auf OK.
10.	Verwenden Sie die oben aufgeführten Konfigurationsinformationen, und doppelklicken Sie auf RPC-Endpunktzuordnungs-Clientauthentifizierung. Klicken Sie auf Aktiviert und dann auf OK.
11.	Schließen Sie das Gruppenrichtlinienobjekt.

Zuweisen der Konfiguration mit GPUpdate

Wenn Sie die Gruppenrichtlinien außerhalb dieser normalen Zyklen aktualisieren möchten, verwenden Sie das GPUpdate-Dienstprogramm.

Ausführen von GPUpdate

So führen Sie GPUpdate aus

Klicken Sie auf dem Windows XP-Desktop auf Start und anschließend auf Ausführen.

Geben Sie im Feld Öffnen den Befehl cmd ein, und klicken Sie dann auf OK.

Hinweis: Eine vollständige Beschreibung aller verfügbaren Optionen für GPUpdate finden Sie in folgendem Artikel:

•	Microsoft Knowledge Base-Artikel 298444 auf der Microsoft-Website „Hilfe und Support“ unter http://go.microsoft.com/fwlink/?linkid=35504

Geben Sie an der Eingabeaufforderung GPUpdate ein, und drücken Sie dann die EINGABETASTE.

Abbildung 30 GPUpdate auf einer Befehlszeile
In Vollbildgröße anzeigen

Um die Befehlszeile zu schließen, geben Sie Exit ein, und drücken Sie die EINGABETASTE.

Überprüfen, ob die RPC-Einstellungen übernommen wurden

Dieses Verfahren enthält Anweisungen zur Bearbeitung der Registrierung. Bevor Sie die Registrierung bearbeiten, sollten Sie unbedingt eine Sicherungskopie davon anfertigen und sicherstellen, dass Sie wissen, wie die Registrierung im Falle eines Problems wiederhergestellt werden kann. Weitere Informationen zur Sicherung, Wiederherstellung und Bearbeitung der Registrierung finden Sie in folgendem Artikel:

•	Microsoft Knowledge Base-Artikel 256986 auf der Microsoft-Website „Hilfe und Support“ http://go.microsoft.com/fwlink/?linkid=35500

Überprüfen, ob die RPC-Einstellungen übernommen wurden

So überprüfen Sie, ob die RPC-Einstellungen übernommen wurden

Klicken Sie auf Start und anschließend auf Ausführen.

Geben Sie Regedit ein, und klicken Sie auf OK.

Klicken Sie im Registrierungs-Editor auf HKEY_LOCAL_MACHINE. Doppelklicken Sie anschließend auf SOFTWARE\Policies\Microsoft\Windows NT\Rpc.

Vergewissern Sie sich, dass die folgenden Einträge in der Registrierung vorhanden sind:

EnableAuthEPResolution REG_DWORD 0x000000001

RestrictRemoteClientsIn REG_DWORD 0x000000002

Schließen Sie den Registrierungs-Editor.

•	Troubleshooting Group Policy in Windows Server 2003 im Microsoft Download Center unter http://go.microsoft.com/fwlink/?linkid=35481 (in englischer Sprache)

Zum Seitenanfang

Weitere Informationen

Weitere Informationen zum Windows XP SP2-Netzwerkschutz finden Sie hier:

•	Änderungen an der Funktionalität durch Microsoft Windows XP Service Pack 2, Teil 2: Technologien für den Netzwerkschutz auf der Microsoft TechNet-Website unter http://www.microsoft.com/germany/technet/datenbank/articles/600337_1.mspx
•	Verwalten von Windows XP Service Pack 2-Features mithilfe von Gruppenrichtlinien auf der Microsoft TechNet-Website unter http://www.microsoft.com/germany/technet/datenbank/articles/600520.mspx
•	Empfehlungen für die Verwaltung administrativer Vorlagendateien (.adm) von Gruppenrichtlinien auf der Microsoft-Website „Hilfe und Support“ unter http://go.microsoft.com/fwlink/?linkid=35502

Weitere Informationen zu Windows XP SP2-Sicherheit finden Sie hier:

•	Sicherheitshandbuch für Windows XP (inklusive Anhang zu Windows XP Serive Pack 2) unter http://www.microsoft.com/germany/technet/datenbank/articles/900060.mspx
•	Anhang A - Zusatzinformationen zu Windows XP Service Pack 2 unter http://www.microsoft.com/germany/technet/datenbank/articles/900065_app1.mspx
•	Using Group Policy to Deploy Windows XP Service Pack 2 (SP2) auf der Microsoft TechNet-Website unter http://go.microsoft.com/fwlink/?linkid=35501 (in englischer Sprache)

Definitionen von Begriffen rund um die Sicherheit finden Sie hier:

•	Microsoft Sicherheitsglossar auf der Microsoft-Website unter http://go.microsoft.com/fwlink/?LinkId=35468 (in englischer Sprache)

Zum Seitenanfang