Top-Themen

AppleEntwicklungHardwareInternetLinuxMicrosoftMultimediaNetzwerkeOff TopicSicherheitSonstige SystemeVirtualisierungWeiterbildungZusammenarbeit

Aktuelle Themen

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit

Sicherheit von Notebooks - teilweise oder vollständig USB-Ports und CD-Laufwerke unter Windows 7 sperren

Anleitung Microsoft Windows Userverwaltung

Mitglied: annnew

annnew (Level 1) - Jetzt verbinden

04.08.2010, aktualisiert 18.10.2012, 13819 Aufrufe, 11 Kommentare, 1 Danke

Ich habe mich als Neuling in dem Gebiet in den letzten Tagen ziemlich abgemüht, herauszufinden, wie bei Notebooks für externe Mitarbeiter diverse Dinge gesperrt werden können wie z.B. USB-Ports oder CD-Laufwerke. Im Internet gibt es größtenteils nur andeutungsweise Anleitungen und deshalb möchte ich die Ergebnisse meiner Recherchen hier kurz zusammenfassen.

Im Internet habe ich einige Tools gefunden, die aber entweder Geld kosten oder leider nicht funktionierten.
Also habe ich mich eingehender mit den Gruppenrichtlinien beschäftigt (sich aufrufen m. H. v. "Ausführen" und dem Befehl "gpedit.msc") und bin in folgenden Schritten vorgegangen:

1) Unter "Computer-Konfiguration" > "Administrative Vorlagen" > "System" > "Wechselmedienzugriff" lässt sich einstellen, wofür der User welche Zugriffsrechte haben soll: CD & DVD, Wechseldatenträgern und WPD-Geräten kann der Zugriff hier in verschiedenen Stufen verweigert werden.

2) Unter "Computer-Konfiguration" > "Administrative Vorlagen" > "System" > "Geräteinstallation" > "Einschränkungen bei der Geräteinstallation" lässt sich einstellen, dass Treiber für Wechselgeräte gar nicht erst installiert werden können.
Aber Achtung: Das gilt auch für Mäuse!
Aus diesem Grund sollte als erstes die Option " Installation von Geräten mit diesen Geräte-IDs zulassen" aktiviert und hier alle wichtigen IDs hinterlegt werden (zu finden unter Rechtsklick auf das Gerät im Explorer oder Geräte-Manager > "Eigenschaften" > "Details" > "Hardware-IDs").
Im Zweiten Schritt sollte dann die Option "Installation von Geräten verhindern, die nicht in anderen Richtlinien beschrieben sind" aktiviert werden.

Wenn UMTS-Sticks benutzt werden, sollte deren Installation VOR der Einrichtung der oben genannten Einschränkungen vorgenommen werden. Sie werden durch die Gruppenrichtlinien nicht in ihrer Funktion beeinträchtigt (zumindest die Sticks, die ich getestet habe: O2 + T-Mobile).

Was ich in den Gruppenrichtlinien bisher nicht gefunden habe, ist die Einstellung für das Sperren des CMD-Befehls, damit die User die Einschränkungen nicht umgehen können. Dafür gibt es aber unter folgendem Link eine Anleitung, die gut funktioniert:
http://www.windowspage.de/frame.php?http://www.windowspage.de/tipps/022 ...
Um es nur für den current_user einzurichten, der eingeschränkt werden soll, muss man auch als dieser angemeldet sein und kurzzeitig admin-Rechte besitzen.

Anregungen, Ergänzungen und Kritik zu dieser Anleitung sind sehr willkommen.
Mitglied: goscho
04.08.2010 um 16:01 Uhr
Hallo anne,
ich finde es gut, wenn hier Anleitungen eingestellt werden.

Für genau deinen Fall jedoch gibt es Spezialsoftware, die das BS-übergreifend lösen kann. So ist man nicht auf W7 als Notebook-BS eingeschränkt.

Ich habe solche Konfigurationen mit der Device- and Application Control von SEP eingerichtet. Hier können Devices viel besser unterschieden werden.
Das alles richtet man sehr schön in einer Admin-Console ein. Der Clou war, ich konnte über Netzwerkerkennungsregeln sogar festlegen, dass das Schreibverbot auf USB-Stick nur gilt, wenn die NBs nicht im internen LAN sind.
Bitte warten ..
Mitglied: bankaifan
04.08.2010 um 16:03 Uhr
Sehr schöne Bechreibung und das ohne zusätzliche Programme. Hab jetzt keine Möglichkeit es zu testen, und auch keine Bedarf. Aber ich werde es mir auf jedenfall merken.

Grüße
Bitte warten ..
Mitglied: GPOdin
04.08.2010, aktualisiert 18.10.2012
Oder schaut auch mal hier: http://www.administrator.de/forum/usb-speichermedien-im-unternehmen-zer ...

Allerdings mit Vorsicht anzupacken: man kann sich schnell damit die Tür vor der Nase zuschlagen und gerade bei Aussendienst-PC's böse (weil nicht physisch schnell greifbar)

Generell doktore ich grad an einer eigenen ADM-File (also ein GPO-Template) herum welche ich dann verwenden will. Wenn fertig poste ich die hier. Wird aber aus Zeitmangel denk ich erst Ende September.
Bitte warten ..
Mitglied: maretz
06.08.2010 um 09:59 Uhr
Moin,

also ich finde auch es ist eine schöne Anleitung. Allerdings EINE Einschränkung: Man muss sich immer überlegen wie man die Sperre denn auch mal "schnell" wieder rausbekommt. Wenn z.B. der Vertriebsmensch nämlich beim Kunden sitzt und die 50-MB-Präsentation da bleiben soll dann muss er ja eine Möglichkeit haben die an den Kunden zu geben... Sicherheit ist dann gut und schön - aber wenn dafür Aufträge verloren gehen dann bringt das wenig (was bringt das sicherste Netzwerk wenn die Firma kurz später mangels Aufträge in den Konkurs geht?).

Von daher würde ich den Punkt immer mit bedenken...
Bitte warten ..
Mitglied: annnew
06.08.2010 um 11:34 Uhr
Vielen Dank für die positiven Rückmeldungen.

USB Secure wollte ich testen, kann ich aber nicht herunterladen, weil meine Firewall sagt, sie kann nicht ausschließen, dass ein Virus enthalten ist.

Mehr Glück hatte ich mit dem USB Wächter von Trinit-Soft. Der erste Versuch schlug fehl, doch auf Anfrage habe ich heute eine überarbeitete Beta-Version zur Verfügung gestellt bekommen, die auch unter Windows 7 funktioniert. Ein simples, sehr einfaches und gut zu verstehendes Programm. Damit fällt die lästige manuelle ID-Eintragung weg.

Des Problems der spontanen Aufhebung der Einschränkungen bin ich mir durchaus bewusst. Es ist für einen Außendienstmitarbeiter auf keinen Fall eine ideale Arbeitsumgebung. Aber man muss eben abwägen und bei uns steht im Moment mehr die Sicherheit im Vordergrund und auch der Kostenfaktor. Wie sich das Konzept dann bewährt, muss langfristig beobachtet werden.

Grüße
-annne-
Bitte warten ..
Mitglied: bankaifan
06.08.2010 um 12:44 Uhr
DriveLock ist auch eine gute Software.
Bitte warten ..
Mitglied: 60730
09.08.2010 um 00:46 Uhr
Salü,

zuerst mal vielen Dank für die Anleitung

Und dann (leider) das Achtung...Ergänzung - keine Kritik

Dein Tipp mit der cmd hat einen ganz gravierenden und bereits in anderem Zusammenhang genannten Nachteil Man kann sich da (kurzfristig) ganz schnell die Türe zu hauen.

0 ist klar - ist ja std.
1 ist klar - das viele Loginscripte in CMD geschrieben werden und das auch die dann nicht mehr laufen.
2 ist klar - das man damit nur Poweruser & Daus abhält was zu machen, was die nicht machen sollen - Kiddys in der Schule lächeln milde drüber.

[OT]
Bei vielen Aussendienstlern kann sich eine Firmenlizenz von z.B Teamviewer "bezahlt" machen - wenn man die Kosten eines VPN Tunnels nicht in der GL durchkriegt.
Heutzutage muß man Aussendienstler Väter und nicht stiefmütterlich behandeln. (Und falls der Gleichberechtigungsexperte mitliesst - oder andersherum - Jacke wie Hose)
[/OT]

Gruß
Bitte warten ..
Mitglied: annnew
09.08.2010 um 09:52 Uhr
Ich denke der Wert 2 ist als Preventivmaßnahme erstmal in Ordnung.

Ich bin mittlerweile auf ein ganz anderes Problem in diesem Zusammenhang gestoßen. Mit den oben genannten Einschränkungen lässt sich kein Drucker installieren. Ich habe zwar die Hardware-ID in den GPOs hinterlegt, aber die Gruppenrichtlinie verbietet mir trotzdem die Treiberinstallation. Ein Drucker lässt sich nur installieren, wenn ich die GPOs vorher komplett zurücksetze.
Wenn ich die Drucker der Außendienstmitarbeiter aber nicht vor Ort habe, lässt sich das über Fernwartung schlecht umsetzen, da man als User keinen Zugriff auf die GPOs erhält und in diesem Fall auch keine Admin-Passwortabfrage auftaucht.
Auch beim Einsatz vom USB Wächter von Trinit Soft benötige ich alle Drucker vor Ort...

Hat jemand einen Tipp für mich, wie ich die Admin-Passwortabfrage zum Öffnen der GPOs als User aktivieren kann? (Ich mache einen neuen Post daraus)

Gruß
-annne-
Bitte warten ..
Mitglied: 60730
09.08.2010 um 11:39 Uhr
Salü,

machen wirs doch so:

Stell deine Frage - als Frage nochmal neu - mit Verweis auf diese Anleitung - denn sonst kommt das, was ich an Anleitungen nicht mag - ein kreuz und quer.
Später editiere ich dann diesen Beitrag / und du deinen und wir schreiben stattdessen hier auf, wie das Problem gelöst wurde.

Einzelne Beiträge kann ja wieder nur ein Mod löschen....

Deal?

Gruß
Bitte warten ..
Mitglied: annnew
09.08.2010 um 15:42 Uhr
Die Lösung ist folgende:

Als Standard-User den Befehl "gpedit.msc" nicht in "Ausführen" eingeben, sondern in die Suchleiste im Startmenü.
Dann Rechtsklick auf das Ergebnis und "Als Administrator ausführen" anklicken. Dann öffnet sich die vermisste Adminpasswort-Abfrage und man erhält mit dem richtigen Passwort Zugriff auf die Gruppenrichtlinien.


Gruß
-annne-
Bitte warten ..
Mitglied: annnew
27.08.2010 um 08:14 Uhr
Nachtrag: Hier ist der Link zur aktuellen Version vom USB-Wächter: http://www.trinit-soft.de/usb-waechter/
Bitte warten ..
Neuester Wissensbeitrag
Internet

Unbemerkt - Telekom Netzumschaltung! - BNG - Broadband Network Gateway

(3)

Erfahrungsbericht von ashnod zum Thema Internet ...

Ähnliche Inhalte
Peripheriegeräte
Herzrate I Pollingrate I USB Ports I 256Hz und 1000Hz nutzen (2)

Frage von h0nti.der.neue zum Thema Peripheriegeräte ...

Windows 8
Alle USB Ports tot nach Ram Upgrade (11)

Frage von alix1q zum Thema Windows 8 ...

Viren und Trojaner
gelöst USB Sicherheit in Unternehmen (15)

Frage von LukasD zum Thema Viren und Trojaner ...

Heiß diskutierte Inhalte
Switche und Hubs
Trunk für 2xCisco Switch. Wo liegt der Fehler? (17)

Frage von JayyyH zum Thema Switche und Hubs ...

Windows Server
Outlook Verbindungsversuch mit Exchange (15)

Frage von xbast1x zum Thema Windows Server ...

DSL, VDSL
DSL-Signal bewerten (14)

Frage von SarekHL zum Thema DSL, VDSL ...