So beschränken Sie den Zugriff auf die Registrierung von einem Remotecomputer aus

Der Registrierungseditor unterstützt den Remotezugriff auf die Windows-Registrierung; Sie haben jedoch die Möglichkeit, Einschränkungen für diesen Zugriff festzulegen.

In einem Windows NT 3.51-System kann standardmäßig jeder Benutzer auf die Registrierung eines Computers zugreifen, wenn er über das Netzwerk eine Verbindung zu diesem Computer herstellt. Bei einem System, das auf Windows NT 4.0 oder höher basiert, können standardmäßig nur Mitglieder der Gruppe "Administratoren" über das Netzwerk auf die Registrierung zugreifen.

Domänenbenutzer können mit Regedit.exe eine Remoteverbindung zur Registrierung eines Domänencontrollers herstellen. Sie können dann die Werte in den Einträgen HKEY_CLASSES_ROOT und HKEY_USERS sehen. Sie haben dabei jedoch nur Lesezugriff. Es handelt sich hierbei um ein beabsichtigtes Verhalten.

Hinweis: Einige Dienste müssen jedoch Zugriff auf die Registrierung haben, um korrekt funktionieren zu können. Wenn Sie diesen Schlüssel beispielsweise einem 3.51-System hinzufügen, auf dem der Verzeichnisreplikationsdienst ausgeführt wird, müssen Sie dem Replikationsdienstkonto gemäß der nachstehenden Beschreibung in diesem Artikel den Zugriff auf die Registrierung ermöglichen.

Einschränken des Zugriffs auf die Registrierung über das Netzwerk

Warnung: Die unkorrekte Verwendung des Registrierungseditors kann schwerwiegende Probleme verursachen, die das gesamte System betreffen und eine Neuinstallation des Betriebssystems erforderlich machen. Microsoft kann nicht garantieren, dass Probleme, die von einer falschen Verwendung des Registrierungseditors herrühren, behoben werden können. Benutzen Sie den Registrierungseditor auf eigene Verantwortung.
Hinweis: In Windows 2000 und höher können nur Administratoren und Sicherungsoperatoren standardmäßig über das Netzwerk auf die Registrierung zugreifen. In bestimmten Fällen sind die Informationen aus diesem Abschnitt also nicht anwendbar. Erstellen Sie gemäß der nachstehenden Beschreibung den folgenden Registrierungsschlüssel, um den Zugriff auf die Registrierung über das Netzwerk einzuschränken: Die für diesen Schlüssel festgelegten Sicherheitsberechtigungen definieren, welche Benutzer oder Gruppen Remotezugriff auf die Registrierung des Systems haben. Die standardmäßige Windows-Installation definiert diesen Schlüssel und legt die Zugriffssteuerungsliste so fest, dass für den Remotezugriff auf die Registrierung die folgenden Einschränkungen gelten: Bei einer Standardkonfiguration gestattet Windows nur Administratoren den Remotezugriff auf die Registrierung. Wenn Sie diesen Schlüssel ändern, um Benutzern den Remotezugriff auf die Registrierung zu ermöglichen, müssen Sie das System neu starten, damit die Änderungen wirksam werden.

Gehen Sie folgendermaßen vor, um den Registrierungsschlüssel zu erstellen, mit dem der Zugriff auf die Registrierung eingeschränkt wird:

1. Starten Sie den Registrierungseditor (Regedt32.exe), und gehen Sie zu folgendem Unterschlüssel:
   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control
2. Klicken Sie im Menü Bearbeiten auf Schlüssel hinzufügen.
3. Geben Sie die folgenden Werte ein:
   Schlüsselname: SecurePipeServers
   Klasse: REG_SZ
4. Navigieren Sie zu folgendem Unterschlüssel:
   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurePipeServers
5. Klicken Sie im Menü Bearbeiten auf Schlüssel hinzufügen.
6. Geben Sie die folgenden Werte ein:
   Schlüsselname: winreg
   Klasse: REG_SZ
7. Navigieren Sie zu folgendem Unterschlüssel:
   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurePipeServers\winreg
8. Klicken Sie im Menü Bearbeiten auf Wert hinzufügen.
9. Geben Sie die folgenden Werte ein:
   Name: Beschreibung
   Typ: REG_SZ
   Zeichenfolge: Registrierungsserver
10. Navigieren Sie zu folgendem Unterschlüssel:
    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurePipeServers\winreg
11. Markieren Sie "winreg". Klicken Sie auf Sicherheit und anschließend auf Berechtigungen. Fügen Sie die Benutzer oder Gruppen hinzu, denen Sie den Zugriff gestatten möchten.
12. Beenden Sie den Registrierungseditor. Starten Sie Windows danach neu.
13. Wenn Sie zu einem späteren Zeitpunkt die Liste der Benutzer ändern möchten, die Zugriff auf die Registrierung haben sollen, wiederholen Sie die Schritte 10-12.

Umgehen der Zugriffsbeschränkung

Einige Dienste müssen Remotezugriff auf die Registrierung haben, um korrekt funktionieren zu können. Dies gilt zum Beispiel für den Verzeichnisreplikationsdienst und den Spoolerdienst, die den Remotezugriff auf die Registrierung benötigen, wenn Sie über das Netzwerk eine Verbindung zu einem Drucker herstellen.

Sie können entweder den Namen des Kontos, unter dem der Dienst ausgeführt wird, der Zugriffsliste des Schlüssels "winreg" hinzufügen, oder Sie können Windows darauf konfigurieren, die Zugriffsbeschränkung für bestimmte Schlüssel zu umgehen, indem Sie diese in den Werten "Machine" (Computer) oder "Users" (Benutzer) unter dem Schlüssel "AllowedPaths" auflisten. In Windows 2000 und höher gab es einige kleinere Änderungen: Weitere Informationen dazu, wie Sie programmatisch auf die Windows-Registrierung zugreifen und Sicherheitseinstellungen auf einen Registrierungsschlüssel anwenden können, finden Sie im folgenden Artikel der Microsoft Knowledge Base:

Hinweis: Der Remotezugriff auf die Registrierung ist nach Durchführung der Schritte in diesem Artikel möglich, wenn der Registrierungswert "RestrictNullSessAccess" erstellt und auf 0 gesetzt wurde. Dieser Wert ermöglicht den Remotezugriff auf die Registrierung über eine Nullsitzung. Der Wert setzt andere explizit restriktive Einstellungen außer Kraft.