Zu Besuch bei Windows

Oft kommt es vor, dass Freunde und Bekannte zu Besuch sind und mal schnell ihre E-Mails lesen oder etwas auf einer Webseite nachsehen möchten. Doch nur ungern lässt man den Besuch das eigene Benutzerkonto nutzen: Nicht alle Dokumente, Bilder oder Firefox-Lesezeichen gehen jeden etwas an.

Abhilfe schafft ein Besucherkonto für Gäste. Dieses lässt sich so absichern, dass der Besuch nur bestimmte Anwendungen starten darf und nicht alle Dateien zu Gesicht bekommt.

Der Artikel zeigt, wie Sie in Windows 7 ein solches Besucherkonto anlegen und mit Benutzerberechtigungen und Registry-Einstellungen absichern.

Übrigens: Einen ähnlichen Artikel finden Sie unter „Besucherkonto für Windows 7“. Darin lesen Sie, wie Sie ein Besucherkonto mit Hilfe des Gruppenrichtlinien-Editors absichern. Das geht aber nur in Windows 7 Professional und Ultimate. Außerdem kann der Gruppenrichtlinien-Editor nicht den Zugriff auf Dateien und Ordner verhindern.

Erstellen Sie zunächst ein neues Benutzerkonto für Ihre Besucher. Dazu müssen Sie mit einem Benutzerkonto mit Administratorrechten angemeldet sein. Nennen Sie das Konto zum Beispiel Besucher.

Legen Sie als Kontotyp „Standardbenutzer“ fest. Dabei handelt es sich um ein eingeschränktes Benutzerkonto, bei dem bereits viele Einstellungen in Windows eingeschränkt sind. So ist damit etwa die Installation von Software nicht möglich.

Es gibt zwei Wege, wie Sie den Zugriff auf Dateien verhindern: Sie können den kompletten Zugriff auf Verzeichnisse sperren oder Sie verhindern die Dateiansicht in einem Verzeichnis.

Dazu verwenden Sie in beiden Fällen die Benutzerberechtigungen in Windows 7. Berechtigungen sind Regeln für Dateien und Ordner, mit denen Sie festlegen, welcher Benutzer Zugriff auf diese Objekte hat. Die Berechtigungen bestimmen, ob zum Beispiel ein Benutzer ein Dokument nur ansehen oder daran auch Änderungen vornehmen darf.

Viele Anwender nutzen auf dem Rechner Verzeichnisse für wichtige Dokumente, auf die jeder Benutzer Zugriff hat, zum Beispiel „D:\Steuerdaten“. Mit Berechtigungen schränken Sie für das Besucherkonto den Zugriff auf diese Ordner ein.

Die Berechtigungen für einen Ordner lassen sich bearbeiten, wenn Sie mit Administratorrechten in Windows angemeldet sind oder wenn Sie so genannter Besitzer eines Ordners sind. Der Besitzer sind Sie dann, wenn Sie die Datei oder den Ordner selbst erstellt haben.

Die Berechtigungen legen Sie versteckt in den Eigenschaften von Ordnern fest. Klicken Sie mit der rechten Maustaste auf einen Ordner und wählen Sie „Eigenschaften“. Wechseln Sie auf die Registerkarte „Sicherheit“.

Die Registerkarte zeigt alle Benutzerkonten und Gruppen, deren Rechte an dem Ordner schon festgelegt wurden. In der Regel haben bereits mehrere Benutzer und Gruppen Zugriff auf den Ordner: Bei der Gruppe „SYSTEM“ handelt es sich um das Windows-Sys-tem selbst. Die Gruppe „Administratoren ((…)\(Administratoren)“ enthält alle Benutzer mit Administratorrechten. Sie haben Zugriff auf alle Dateien.

Wenn ein Ordner in einem für alle Benutzer zugänglichen Verzeichnis angelegt wurde, etwa „C:\“, dann hat auch die Gruppe „Benutzer ((…)\Benutzer)“ darauf Zugriff. Dieser Gruppe gehören alle Benutzer an. Falls Sie hingegen einen Ordner in Ihrem Benutzerverzeichnis unter „C:\Benutzer“ anlegen, dann hat nur Ihr Benutzerkonto darauf Zugriff.

So entziehen Sie dem Besucherkonto den Zugriff auf den Ordner „D:\Steuerdaten”: Klicken Sie auf die Schaltfläche „Bearbeiten…“ und wählen Sie „Hinzufügen…“. Geben Sie im neuen Fenster unter „Geben Sie (…) den Objektnamen ein“ den Benutzernamen Besucher ein. Bestätigen Sie mit „Namen überprüfen“ und „OK“.

Markieren Sie unter „Gruppen- oder Benutzernamen“ den Eintrag „Besucher ((…)\Besucher)“ und legen Sie im unteren Fensterbereich die Berechtigungen fest. Unterbinden Sie den gesamten Zugriff auf diesen Ordner, indem Sie unter „Vollzugriff“ ein Häkchen bei „Verweigern“ setzen. Wenn Ihr Besucher später im Windows-Explorer doppelt auf den Ordner klickt, erscheint eine Fehlermeldung.

Wenn Sie möchten, dass Besucher auf den Ordner zwar zugreifen, aber keine Daten verändern dürfen, dann setzen Sie bei der Berechtigung „Schreiben“ ein Häkchen bei „Verweigern“. Damit darf das Besucherkonto zwar die Dateien noch öffnen, aber in dem Ordner keinerlei Änderungen vornehmen wie neue Dateien erstellen oder vorhandene Dateien bearbeiten.

Beim Festlegen von Berechtigungen haben Sie die Wahl zwischen „Zulassen“ und „Verweigern“. Dabei handelt es sich um zwei gegensätzliche Berechtigungen, die für Konflikte sorgen können: So kann zum Beispiel ein Benutzerkonto mehreren Gruppen angehören. Dabei kann es passieren, dass das Konto durch eine Gruppe Zugriff auf eine Datei hat, für die zweite Gruppe aber der Zugriff auf die Datei verweigert wird. In diesem Fall hat die Berechtigung „Verweigern“ mehr Gewicht und das Konto hat keinen Zugriff auf die Datei. Um den Zugriff auf Dateien und Ordner zuverlässig zu unterbinden, setzen Sie daher bei den Berechtigungen für Dateien und Ordner ein Häkchen bei „Verweigern“.

Die  Tabelle zeigt, welche Berechtigungen welche Aktionen unterbinden. „Vollzugriff” erlaubt alle Änderungen an einem Ordner.

Ihre Besucher sollten keinen Zugriff auf das Laufwerk „C:\“ haben. Mit Hilfe der Dateiberechtigungen ist es zwar möglich, den kompletten Zugriff auf das Laufwerk zu sperren — doch diese Lösung ist fehleranfällig: Denn Sie müssten dann genau festlegen, auf welche Dateien der Benutzer trotzdem zugreifen darf, etwa um bestimmte Anwendungen zu starten.

Viel einfacher ist es, wenn Sie die Dateiansicht für das Laufwerk „C:\“ sperren. Damit hat das Besucherkonto zwar weiterhin Zugriff darauf, sieht aber den Inhalt nicht. Öffnen Sie hierfür die Dateiberechtigungen für das Laufwerk „C:\“. Klicken Sie mit der rechten Maustaste darauf, wählen Sie „Eigenschaften“ und wechseln Sie nach „Sicherheit“. Klicken Sie auf „Bearbeiten…, Hinzufügen…“. Geben Sie Besucher ein und bestätigen Sie mit „Namen überprüfen, OK“. Markieren Sie den Benutzernamen „Besucher ((…)\Besucher)“ und dann unter „Ordnerinhalt anzeigen“ den Eintrag „Verweigern“.

Bestätigen Sie mit „OK, Ja, OK“. Daraufhin erscheinen fünf Fehlermeldungen, dass die Berechtigungen nicht für alle Verzeichnisse festgelegt werden können. Dabei handelt es sich um geschützte Systemverzeichnisse wie „C:\Windows”. Trotz dieser Meldungen ist der Zugriff auf das Laufwerk „C:\” für das Besucherkonto gesperrt.

Beim Kopieren von Dateien über den Windows-Explorer gehen die Dateiberechtigungen in der Kopie verloren. Abhilfe schafft die Kommandozeile.

Wenn Sie zum Beispiel von einem Bild mit eingeschränkten Dateiberechtigungen eine Kopie anlegen, etwa um es zu bearbeiten, sollten Sie das Bild nur über die Kommandozeile kopieren. Der Windows-Explorer vergisst nämlich beim Kopieren die von Ihnen festgelegten Dateiberechtigungen.

Öffnen Sie die Kommandozeile mit [Windows R] und cmd. Kopieren Sie eine Datei mit folgendem Befehl:

1
2

xcopy "Quelle" "Ziel" /o

Ersetzen Sie Quelle durch den Pfad und Dateinamen einer Datei und Ziel durch den Ort, an den die Datei kopiert wird. Der Parameter /o sorgt dafür, dass alle Berechtigungen übernommen werden.

Im folgenden Abschnitt sperren Sie für Besucher den Zugriff auf die Systemsteuerung. Zudem unterbinden Sie das Ausführen des Task-Managers und das Ändern des Passworts .

Bearbeiten Sie die Registry des Besucherkontos, indem Sie sie vorübergehend in die Registry Ihres Kontos integrieren. Öffnen Sie den Registrierungs-Editor mit [Windows R] und regedit. Bestätigen Sie die Nachfrage der Benutzerkontensteuerung mit „Ja“.

Markieren Sie in der Registry den Schlüssel „HKEY_USERS“ und wählen Sie „Datei, Struktur laden…“. Wechseln Sie in das Verzeichnis „C:\Benutzer\Besucher“ und markieren Sie die Datei „NTUSER.DAT“. Bestätigen Sie mit „Öffnen”. Geben Sie als Schlüsselnamen Besucher ein. Es erscheint unter dem Schlüssel „HKEY_USERS\Besucher“ der Inhalt des Registry-Zweigs „HKEY_CURRENT_USER“ des Benutzerkontos „Besucher“.

Wenn Sie die unten beschriebenen Registry-Hacks vorgenommen haben, dann entfernen Sie die Registry des Besucherkontos wieder: Markieren Sie „HKEY_USERS\Besucher“ und wählen Sie „Datei, Struktur entfernen…“. Bestätigen Sie mit „Ja“.

Der folgende Hack verhindert den Zugriff auf den Task-Manager. Wechseln Sie im Registrierungs-Editor zum Schlüssel „HKEY_USERS\Besucher\Software\Microsoft\Windows\CurrentVersion\Policies“ Legen Sie mit „Bearbeiten, Neu, Schlüssel“ den Unterschlüssel System an. Legen Sie darin auf dieselbe Weise den Unterschlüssel Explorer an.

Markieren Sie den Schlüssel „System“ und legen Sie mit „Bearbeiten, Neu, DWORD-Wert (32-Bit)“ den Parameter DisableTaskMgr an. Weisen Sie dem neu angelegten Parameter den Wert 1 zu.

So unterbinden Sie, dass Besucher das Passwort für das Benutzerkonto ändern. Markieren Sie im Registrierungs-Editor den Schlüssel „HKEY_USERS\Besucher\Software\Microsoft\Windows\CurrentVersion\Policies“ Falls noch nicht vorhanden, legen Sie mit „Bearbeiten, Neu, Schlüssel“ den Unterschlüssel System an. Legen Sie darin auf dieselbe Weise den Unterschlüssel Explorer an. Markieren Sie den Schlüssel „System“ und legen Sie mit „Bearbeiten, Neu, DWORD-Wert (32-Bit)“ den Parameter DisableChangePassword an. Klicken Sie doppelt darauf und legen Sie als Wert 1 fest.

Dieser Trick blendet sämtliche Einstellungen in der Systemsteuerung des Besucherkontos aus. Navigieren Sie zum Schlüssel „HKEY_USERS\Besucher\Software\Microsoft\Windows\CurrentVersion\Policies“. Legen Sie mit „Bearbeiten, Neu, Schlüssel“ den Unterschlüssel Explorer an. Erstellen Sie mit „Bearbeiten, Neu, DWORD-Wert (32-Bit)“ den Parameter RestrictCPL und weisen Sie ihm den Wert 1 zu.

Damit Besucher nicht alle möglichen Anwendungen ausführen, legen Sie über die in Windows 7 integrierte Funktion Jugendschutz einen Filter an. Der legt fest, welche Anwendungen vom Besucher gestartet werden dürfen.

Wählen Sie in der Systemsteuerung „Jugendschutz für beliebige Benutzer einrichten“ und klicken Sie unter „Benutzer“ auf das Konto „Besucher“. Aktivieren Sie den Jugendschutz mit „Ein — Einstellungen erzwingen“.

Den Filter für Programme aktivieren Sie mit einem Klick auf „Bestimmte Programme zulassen und blockieren“. Wählen Sie „Besucher darf nur die zugelassenen Programme verwenden“.

Es erscheint im unteren Fensterbereich eine Liste aller installierten Anwendungen. Markieren Sie die Programme, die gestartet werden dürfen, mit einem Häkchen, zum Beispiel „firefox.exe“ für den Browser Firefox . Bestätigen Sie mit „OK“.

Fortan unterbindet der Jugendschutz für Besucher das Starten von Programmen, die Sie nicht erlaubt haben. Einziger Nachteil der Funktion: Die Besucher erhalten keine Fehlermeldung.