Windows XP SP1 und Windows 2000 SP4 überprüfen beim Erstellen eines servergespeicherten Benutzerprofils, ob Ordner mit servergespeicherten Benutzerprofilen vorhanden sind

In der ursprünglich ausgelieferten Version von Windows XP (ohne Service Pack 1) und früheren Versionen von Windows 2000 bis einschließlich Service Pack 3 überprüft Windows nicht die Berechtigungen des Zielordners für ein servergespeichertes Profil, wenn dieser beim Erstellen eines servergespeicherten Benutzerprofils bereits existiert. Aufgrund dieses Verhaltens könnte ein Benutzer das servergespeicherte Profil eines anderen Benutzers im Voraus erstellen und die Berechtigungen so setzen, dass er als Ersteller des Ordners später immer noch Zugriff darauf hätte. Der Ersteller könnte dann möglicherweise das servergespeicherte Profil des anderen Benutzers ändern oder dem rechtmäßigen Benutzer den Zugriff auf das Profil verweigern.

Windows Server 2003, Windows XP SP1 und Windows 2000 SP4 suchen nach korrekten Berechtigungen und weisen die Verwendung eines servergespeicherten Profils ab, wenn die Berechtigungen nicht den Anforderungen von Windows entsprechen. Dieser Artikel beschreibt dieses neue Verhalten der am Anfang dieses Artikels aufgeführten Produkte.

Weitere Informationen zum neuesten Service Pack für Microsoft Windows XP finden Sie in folgendem Artikel der Microsoft Knowledge Base: Weitere Informationen zum neuesten Service Pack für Microsoft Windows 2000 finden Sie in folgendem Artikel der Microsoft Knowledge Base:

Windows XP SP1 und Windows 2000 SP4 führen die folgenden Prüfungen durch, um sicherzustellen, dass Ordner für servergespeicherte Benutzerprofile die richtigen Sicherheitseinstellungen haben:

• Falls der Ordner für das servergespeicherte Profil bereits vorhanden ist, überprüfen Windows XP SP1 und Windows 2000 SP4, ob entweder der Benutzer oder die lokale Administratorengruppe Besitzer des Ordners ist. Beachten Sie, dass die lokale Administratorengruppe selbst - nicht nur ein Mitglied dieser Gruppe - der Besitzer des Ordners sein muss. Anderenfalls ist das Ergebnis der Prüfung negativ.
• Wenn der Benutzer oder die Administratorengruppe Besitzer des Ordners ist und wenn die Richtlinie "Eigentümer von servergespeicherten Profilen nicht prüfen" nicht aktiviert ist, wird der Ordner von Windows XP SP1 und Windows 2000 SP4 als sicher eingestuft, und die Dateien werden beim Abmelden in den Ordner bzw. beim Anmelden vom Ordner auf den lokalen Computer kopiert.
• Falls der Ordner für das servergespeicherte Profil bereits vorhanden ist, und wenn weder der Benutzer noch die Administratorengruppe Besitzer des Ordners ist, kopieren Windows XP SP1 und Windows 2000 SP4 keine Dateien aus dem Ordner oder in den Ordner. Es wird eine Fehlermeldung angezeigt, und ein Ereignis wird im Systemprotokoll festgehalten. Das zwischengespeicherte Profil des Benutzers wird verwendet, oder, falls ein solches nicht vorhanden ist, ein temporäres Profil.
• Falls der Profilordner noch nicht vorhanden ist, erstellen Windows XP SP1 und Windows 2000 SP4 den Ordner auf die seit der Aktualisierung üblichen Weise.
• Wenn die Richtlinie "Eigentümer von servergespeicherten Profilen nicht prüfen" aktiviert ist, wird der Besitzer des Ordners nicht überprüft. Windows XP SP1 und Windows 2000 SP4 verhalten sich dann in jedem Fall so, als sei der Ordner sicher.

Die folgenden Updates (vor SP4) enthalten aktualisierte Dateien, die dieses Problem verursachen:

• (824141) MS03-045: Ein Pufferüberlauf in den Steuerelementen "ListBox" und "ComboBox" kann Codeausführung ermöglichen
• (824390) Kann Anmeldung nicht zu einer Windows NT 4.0-Ressource-Domäne von einem Windows 2000-Basierten Client ausgeführt werden
• (827953) Wenn Sie versuchen, Dokument zu drucken, treten Computerabstürze und ein Stopp-0 x 50-Fehler auf
• (835732) MS04-011: Security update for Microsoft Windows

Fehlermeldungen

Wenn Windows XP SP1 oder Windows 2000 SP4 ein Benutzerprofil aufgrund von falschen Sicherheitseinstellungen nicht speichern können, wird möglicherweise eine der folgenden Fehlermeldungen angezeigt: Diese Fehlermeldungen werden auch in der Ereignisanzeige protokolliert: Wenn die Anmeldung eines Benutzers nicht unter Verwendung eines zwischengespeicherten Profils durchgeführt werden kann, erscheint nach der Fehlermeldung die standardmäßige Meldung, die über die Verwendung eines temporären Profils informiert.

So deaktivieren Sie die erneute Überprüfung des servergespeicherten Benutzerprofils

Sie finden im Gruppenrichtlinieneditor unter "Administrative Vorlagen\System\Benutzerprofile" eine neue Computerrichtlinie mit der Bezeichnung "Eigentümer von servergespeicherten Profilen nicht prüfen". In Windows 2000 SP4 finden Sie die neue Computerrichtlinie im Gruppenrichtlinieneditor unter "Computerkonfiguration\Administrative Vorlagen\System\Anmeldung". Administratoren können mithilfe dieser Richtlinie die Sicherheitsüberprüfung vorhandener Ordner für servergespeicherte Benutzerprofile deaktivieren und so das ursprüngliche Verhalten von Windows XP wiederherstellen. Diese neue Richtlinie verhindert, dass Windows XP SP1 und Windows 2000 SP4 überprüfen, ob Ordner für servergespeicherte Benutzerprofile die richtigen Berechtigungen haben. In Windows XP ohne SP1 und früheren Versionen von Windows 2000 bis einschließlich SP3 werden bei vorhandenen Ordnern für servergespeicherte Profile keine Prüfungen durchgeführt.

Windows XP SP1 und Windows 2000 SP4 kopieren keine Dateien in das servergespeicherte Profil bzw. aus dem Profil, wenn alle der folgenden Bedingungen erfüllt sind:

• Diese Einstellung ist deaktiviert oder nicht konfiguriert.
• Der Ordner für das servergespeicherte Benutzerprofil ist bereits vorhanden.
• Weder der Benutzer noch die Administratorengruppe ist Besitzer des Ordners.

Wenn Sie diese Einstellung aktivieren, entspricht das Verhalten dem von Windows XP ohne SP1 bzw. dem früherer Versionen von Windows 2000 bis einschließlich SP3.