Einrichtung eines PC als gesichertes Präsentationsgerät

1. Einrichtung eines eingeschränkten Benutzerkontos
Um den Zugriff Unbefugter auf sensible Betriebssystembereiche grundsätzlich einzuschränken, muss ein lokaler, eingeschränkter Benutzer eingerichtet werden. Begeben Sie sich hierzu in die Computerverwaltung des PC und legen Sie eine Benutzer an.
Klicken Sie zum Abschluss auf [Erstellen] Beachten Sie, dass der Benutzer dass Kennwort nicht ändern dürfen sollte. Wählen Sie danach den neu erstellten Benutzer mit Doppelklick aus, wechseln Sie auf den Reiter „Mitgliedschaft“ und fügen Sie den neuen Benutzer der Gruppe „Gäste“ hinzu. Löschen Sie danach die Mitgliedschaft in der Gruppe Benutzer und klicken Sie auf [OK].

2. Einrichten des Arbeits-Verzeichnisses für die Script-Dateien
Erstellen Sie auf dem Zielgerät einen neuen Ordner in dem die Script-Dateien abgelegt werden können, bspw. C:\temp\Präsentation und kopieren Sie die Dateien pskill.exe, pslist.exe und sleep.exe in den Ordner. Die ersten beiden Dateien erhalten Sie unter http://technet.microsoft.com/de-de/sysinternals , die sleep.exe ist Bestandteil des Windows 2003 Server Ressource Kit.

3. Vorbereiten des Batch- und VB-Scripts
Erstellen Sie im selben Verzeichnis eine neue Datei mit dem Namen checkprocess.bat. Bearbeiten Sie die Datei indem Sie folgenden Quelltext einfügen:
Erläuterung: Der Abschnitt „check_process“ prüft in einer Schleife alle 5 Sekunden ob ein Prozess namens „slideshow“ gestartet ist. Wenn nein, springt er zum Abschnitt „restart“, wenn ja, wartet er 5 Sekunden und prüft dann erneut.

Da diese Prüfung für den Benutzer unsichtbar sein soll, muss sie via VB-Script unsichtbar gestartet werden. Erstellen Sie hierzu im selben Verzeichnis eine Datei „start.vbs“und bearbeiten Sie diese, indem Sie folgenden Quellcode einfügen:

Ihr Verzeichnis enthält nun diese 5 Dateien:
- pslist.exe
- pskill.exe
- sleep.exe
- checkprocess.bat
- start.vbs

4. Vorbereitung des zu schützenden PC
Damit der Benutzer am PC nicht über den Taskmanager neue Tasks starten oder laufende beenden kann, muss dieser Zugriff eingeschränkt werden. Geben Sie dem eingeschränkten User für diese Tätigkeiten zunächst temporär Administratorenrechte und melden Sie sich danach mit diesem Benutzer am PC an. Rufen Sie nun die lokale Gruppenrichtlinie über „gpedit.msc“ auf. Navigieren Sie zum Bereich „Benutzerkonfiguration --> Administrative Vorlagen --> System --> Strg+Alt+Entf-Optionen“. Aktivieren Sie hier nun alle vier Einstellungen, damit der Benutzer weder den Taskmanager aufrufen, den Computer sperren, das Kennwort ändern oder sich abmelden kann.
Als Ergebnis kann der Benutzer nach drücken von Strg+Alt+Entf nur noch den Computer herunterfahren.

Machen Sie als nächstes einen Screenshot des leeren Desktops und speichern Sie diesen als Background.bmp im Ordner „C:\temp\Präsentation“ ab. Wählen Sie nun dieses Bild als Bildschirmhintergrund aus. Hierdurch wird dem Benutzer später bei beendeter Windows-Shell vorgegaukelt, er könne nichts anklicken.

Legen Sie nun noch eine Verknüpfung zur Datei „start.vbs“ in den Ordner „Autostart“.

5. PC für automatischen Start konfigurieren
Dass ein Benutzer den PC herunterfährt, um nach Neustart an den Anmeldedialog zu kommen, sollte ebenfalls unterbunden werden. Hierzu wird einfach der anzumeldende Benutzer (in unserem Fall „Demo“) automatisch angemeldet.
Öffnen Sie hierzu die Windows-Registry indem Sie „regedit“ ausführen.


Navigieren Sie nun zum Abschnitt
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ WindowsNT\CurrentVersion\Winlogon

Passen Sie nun folgende Werte an:
DefaultUsername = Der Benutzername DEMO
DefaultPassword = Das Passwort des Benutzers (dieser Wert muss als Zeichenfolge neu angelegt werden)
AutoAdminLogon = 1

Melden Sie sich nun mit einem lokalen Administratorenkonto an und entfernen Sie den Benutzer „Demo“ wieder aus der Gruppe der Administratoren. Starten Sie danach den Rechner neu.


Und das war's auch schon!