PC und Web - Sicherheit: Tips für Windows 2000

Tips für Windows 2000

Windows 2000 bietet im Vergleich zu Windows 95, Windows 98 und Windows ME wesentlich bessere Möglichkeiten einer sicheren Konfiguration. Aber auch hier gilt: Nur ein richtig konfiguriertes und ständig aktualisiertes System bietet (relative) Sicherheit. Die Standard-Konfiguration ist alles andere als sicher.

Bald keine Updates für Windows 2000 mehr?

Am 31.06.2005 endet der Zeitraum, in dem Microsoft für Windows 2000 Professional "Mainstream-Support" leistet. Dann bleibt bald nur noch der Umstieg auf das teure und fragwürdige Windows XP oder der Umstieg auf Linux. Für mich ist letzteres die einzige Alternative. Seit Anfang 2004 bin ich begeisterter Linux-Nutzer und habe bisher fast ausschließlich Vorteile gegenüber Microsoft Windows entdeckt.

Windows 2000: Multi-User-System richtig nutzen

Windows 2000 (Spitzname w2k) ist ein echtes Multi-User-System. Das bedeutet, daß man verschiedene passwortgeschützte Benutzerkonten anlegen kann, deren Anwender nicht auf die Dateien anderer Benutzerkonten, die auf dem selben Computer eingerichtet sind, zugreifen können. Für jedes Benutzerkonto lassen sich die Rechte individuell festlegen. Nur der Administrator hat (bei richtiger Konfiguration) das Recht, Systemweite Einstellungen zu verändern.

Sie sollten gleich bei der Installation des Betriebssystems streng zwischen zwei Ebenen trennen: Der Benutzer-Ebene und der Administratoren-Ebene. Legen Sie das vom Installationsdialog verlangte Administrator-Konto an und vergeben Sie ein sicheres Passwort, das Sie natürlich an einem sicheren Ort notieren.

Nach der Installation legen Sie ein oder mehrere Benutzerkonten an. Diese dürfen nicht der Gruppe "Administratoren" zugewiesen sein, sondern müssen der Gruppe "Benutzer" zugewiesen werden. Wann immer Sie nun an Ihrem Computer arbeiten, surfen, mailen, etc. sollten Sie als Benutzer angemeldet sein - nie als Administrator.

Trennung zwischen Administrator und Benutzer

Das hat folgenden Hintergrund: Solange Sie als Benutzer und nicht als Administrator angemeldet sind, können keine systemrelevanten Einstellungen verändert werden. Das bewahrt Sie (oder einen unerfahrenen Mitbenutzer) davor, aus Versehen das System lahm zu legen. Weit wichtiger ist aber, daß der Benutzer nicht das Recht hat, Programme zu installieren oder DFÜ-Verbindungen zu erstellen. Damit schieben Sie Viren und Dialern einen großen Riegel vor. Denn wenn ein Programm unberechtigterweise versucht, das System zu manipulieren, wird es abgeblockt - es hat nicht die erforderlichen Rechte.

Das bedeutet natürlich, daß Sie sich, wenn Sie neue Programme installieren möchten, wieder kurzfristig als Administrator anmelden müssen.

Sicher durch Verzicht - Administratorrechte unter Windows
Informativer Artikel von Heise.de
[Diesen Link als ungültig melden]

Sinnvoller als jede Firewall: Überflüssige Dienste deaktivieren

Meistens laufen auf einem Rechner mehr Dienste im Hintergrund, als tatsächlich benötigt werden. Jeder Dienst ermöglicht bestimmte Operationen - auf die im schlimmsten Fall auch ein Angreifer von außen zugreifen kann. Ein Dienst, der nicht läuft, kann hingegen auch nicht mißbraucht werden. Anstatt die kritischen Ports mit einer sog. "Desktop-Firewall" wie ZoneAlarm pseudomäßig abzusichern (Stichwort Trügerische Rundumsicherheit), ist es sinnvoller, unbenötigte Dienste zu deaktivieren. Ein Port, auf dem kein Dienst angeboten wird, kann auch nicht angegriffen werden.

Die Deaktivierung überflüssiger Dienste ist bei einem Einzelplatz-Rechner mit direkter Internet-Anbindung (Modem, ISDN) relativ einfach, da nahezu alle Netzwerk-Komponenten deaktiviert werden können. Bei einem Rechner, der in einem lokalen Netzwerk mit Datei- und Druckerfreigabe betrieben werden soll, ist es etwas schwieriger - aber dennoch machbar. Infos, eine gute Anleitung zum Deaktivieren überflüssiger Dienste und ein Script, das die Arbeit auch automatisch erledigen kann, findet man hier:

NT-Dienste sicher konfigurieren und abschalten (Windows 2000/XP)
Ausführliche Infos über das Absichern und Deaktivieren der Dienste auf Win32-Systemen. Mein Tip: Lesen und umsetzen! Hier kann auch das automatische Anpassungs-Script heruntergeladen werden.
[Diesen Link als ungültig melden]

Security-Check.ch
Hier kann man den Rechner automatisch nach von außen erreichbaren Diensten überprüfen lassen. Der Quick-Scan ist schnell und einfach bedienbar, für den Komplett-Scan ist eine kostenlose Registrierung notwendig. Deutschsprachig!
[Diesen Link als ungültig melden]

Wenn Windows 2000 nach Hause telefoniert: Service Pack 3

Die Entwicklung von Microsoft-Produkten der letzten Jahre zeigt, daß der Redmonder Monopolist zunehmend Interesse daran hat, Benutzerdaten zu sammeln. Mit der Einführung Windows XP begann die systematische Einschränkung von Privatsphäre und Bürgerrechten der User - aber keinen scheint es zu stören. Wer die aktuelle TCPA-Diskussion verfolgt, wird diese Entwicklung etwas skeptischer sehen. Wie auch immer - Windows 2000 läßt sich nachträglich so konfigurieren, daß es nicht "nach Hause telefoniert."

Das "Sorgenkind" ist v.a. das Service Pack 3 von W2K. Schon die Konfigurationsdialoge im XP-Design haben mich stutzig gemacht. Und tatsächlich: Wie so oft entpuppt sich das als sicherheitsrelevant deklarierte Update als Trojaner. Ruft der User nämlich Microsoft-Seiten auf, können laut Originaltext der Windows Update Datenschutzrichtlinie folgende Daten von Microsoft abgefragt werden:

Versionsnummer des Betriebssystems und Product ID

Versionsnummer von Internet Explorer

Versionsnummern anderer Software

Plug & Play-IDs von Hardwarekomponenten

Links zum Thema:

Alle Microsoft-Updates funken nach Redmond
Heise-Artikel vom 08.03.2007 über die "Auskunftsfreudigkeit" der Microsoft-Updates.
[Diesen Link als ungültig melden]

Windows Update privacy statement
Microsoft behält sich darin weitgehende Rechte vor, Daten zu sammeln und zu übermitteln.
[Diesen Link als ungültig melden]

Microsoft stellt offiziell SP3 für Windows 2000 bereit
Informativer Artikel von Golem.de
[Diesen Link als ungültig melden]

Abhilfe gegen das "Petzen":

unter START/ AUSFÜHREN/
"gpedit.msc" eingeben und OK klicken ...

Dann unter
"Richtlinien für lokale Computer/
Benutzerkonfiguration/
Administrative Vorlagen/
Windows-Komponenten/
Windows Update"

die entsprechende Richtlinie ("Zugriff auf Windows-Update-Funktion entfernen") auf "aktiviert" setzen. (Es muß tatsächlich auf "aktiviert" gesetzt sein - soll anscheinend nicht gleich jeder draufkommen.)
Damit wird nicht mehr auf http://windowsupdate.microsoft.com zugegriffen.

Verwandte Themen auf Hradetzkys.de