Microsoft-Sicherheitsempfehlung: Update zur Verbesserung des Schutzes und der Verwaltung von Anmeldeinformationen: 13. Mai 2014

EINFÜHRUNG

Microsoft hat eine Microsoft-Sicherheitsempfehlung zu diesem Problem für IT-Experten veröffentlicht. Die Sicherheitsempfehlung enthält zusätzliche sicherheitsbezogene Informationen. Die Sicherheitsempfehlung finden Sie auf der folgenden Microsoft-Website:

https://technet.microsoft.com/security/advisory/2871997 Wichtig Zusätzlich zum Update 2871997 wurden mehrere weitere Updates durchgeführt, die zur Verbesserung des Schutzes von Anmeldeinformationen beitragen. Lesen Sie diesen Artikel sorgfältig, um den gesamten Satz verfügbarer Updates zu verstehen.

Häufig gestellte Fragen zum Aktualisieren

Enthält dieses Update zusätzliche sicherheitsbezogene Änderungen an der Funktionalität?
Zusätzlich zu den Änderungen, die für die in diesem Bulletin beschriebenen Sicherheitsrisiken aufgeführt sind, enthält dieses Update ausführliche Updates zur Verteidigung, um den Schutz von Anmeldeinformationen und die Steuerung der Domänenauthentifizierung zu verbessern, um den Diebstahl von Anmeldeinformationen zu reduzieren. Weitere Informationen finden Sie unter Microsoft-Sicherheitsempfehlung 2871997.

Weitere Informationen

Dieses Update führt eine TokenLeakDetectDelaySecs-Registrierungseinstellung ein.

Wichtig: Dieser Abschnitt, diese Methode oder Aufgabe enthält Schritte, die Ihnen sagen, wie Sie die Registrierung ändern. Es können jedoch schwerwiegende Probleme auftreten, wenn Sie die Registrierung falsch ändern. Stellen Sie deshalb sicher, dass Sie diese Schritte sorgfältig ausführen. Als zusätzlichen Schutz erstellen Sie eine Sicherung der Registrierung, bevor Sie sie ändern. So ist gewährleistet, dass Sie die Registrierung wiederherstellen können, falls ein Problem auftritt. Weitere Informationen zum Erstellen und Wiederherstellen einer Sicherungskopie der Registrierung finden Sie im folgenden Artikel der Microsoft Knowledge Base:

322756 Sichern und Wiederherstellen der Registrierung in Windows
Nach der Installation dieses Sicherheitsupdates besteht die Standardeinstellung für nicht geschützte Benutzer unter Windows 7 und Windows 8 darin, das Löschen kompromittierter Anmeldeinformationen für Anmeldesitzungen nicht zu erzwingen. Um diese Standardeinstellung zu überschreiben, können Sie das folgende Registrierungsdword hinzufügen und auf einen empfohlenen Wert von 30 Sekunden festlegen.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\TokenLeakDetectDelaySecs

Dadurch wird das Löschen aller Anmeldeinformationen von abgemeldeten Benutzern nach 30 Sekunden ausgelöst, unabhängig davon, ob noch ein Verweis darauf vorhanden ist. Dies entspricht dem Standardverhalten für Windows 8.1 und Windows 10.

Standardverhalten nach dem Anwenden von Sicherheitsupdates 3126593 (MS16-014)

Nach der Installation des Sicherheitsupdates 3126593 wird standardmäßig das Löschen von Anmeldeinformationen für alle Benutzer erzwungen. Wenn Sie das vorherige Legacyverhalten rückgängig machen möchten, legen Sie den Eintrag TokenLeakDetectDelaySecs auf 0 fest. Dadurch wird das Löschen von Anmeldeinformationen von abgemeldeten nicht geschützten Benutzern deaktiviert, solange ein Verweis vorhanden ist.

Revisionen

Am 14. Oktober 2014 hat Microsoft die folgenden Updates veröffentlicht, um einen eingeschränkten Admin Modus für Remotedesktopverbindung und Remotedesktopprotokoll hinzuzufügen:

2984972 für unterstützte Editionen von Windows 7 und Windows Server 2008 R2

2984976 für unterstützte Editionen von Windows 7 und Windows Server 2008 R2, auf denen Update 2592687 (Remotedesktopprotokoll 8.0-Update) installiert ist. Kunden, die Update-2984976 installieren, müssen auch update 2984972 installieren.

2984981 für unterstützte Editionen von Windows 7 und Windows Server 2008 R2, auf denen Update 2830477 (Remotedesktopverbindung 8.1-Clientupdate) installiert ist. Kunden, die Update-2984981 installieren, müssen auch update 2984972 installieren.

2973501 für unterstützte Editionen von Windows 8, Windows Server 2012 und Windows RT.
Hinweis Unterstützte Editionen von Windows 8.1, Windows Server 2012 R2 und Windows RT 8.1 enthalten dieses Feature bereits und erfordern dieses Update nicht.

Am 9. September 2014 hat Microsoft Folgendes veröffentlicht:

2982378 Microsoft-Sicherheitsempfehlung: Update zur Verbesserung des Schutzes und der Verwaltung von Anmeldeinformationen für Windows 7 und Windows Server 2008 R2: 9. September 2014 Am 8. Juli 2014 hat Microsoft Folgendes veröffentlicht:

2973351 Microsoft-Sicherheitsempfehlung: Registrierungsupdate zur Verbesserung des Schutzes und der Verwaltung von Anmeldeinformationen für Windows-basierte Systeme, auf denen das 2919355 Update installiert ist: 8. Juli 2014

2975625 Microsoft-Sicherheitsempfehlung: Registrierungsupdate zur Verbesserung des Schutzes und der Verwaltung von Anmeldeinformationen für Windows-Systeme, auf denen das 2919355 Update nicht installiert ist: 8. Juli 2014 Dieses Update bietet konfigurierbare Registrierungseinstellungen für die Verwaltung des eingeschränkten Admin-Modus für Den Anmeldeinformationssicherheits-Supportanbieter (CredSSP).

Hinweis Das Update ändert die Standardfunktionalität des eingeschränkten Admin-Modus in Windows 8.1, Windows Server 2012 R2 und Windows RT 8.1. Weitere Informationen finden Sie im Abschnitt häufig gestellte Fragen der Empfehlung. Die folgenden Dateien stehen im Microsoft Download Center zum Download zur Verfügung.

Hinweis Verwenden Sie die folgende Tabelle, um zu bestimmen, welche Updates für Ihr System geeignet sind.

WDigest-Einstellungen

Nach der Installation dieses Sicherheitsupdates können Sie mithilfe einer Registrierungseinstellung steuern, wie installierte WDigest-Anmeldeinformationen gespeichert werden können. Um zu verhindern, dass WDigest-Anmeldeinformationen im Arbeitsspeicher gespeichert werden, kann eine Gruppenrichtlinie Einstellung auf den Registrierungseintrag UseLogonCredential unter dem folgenden Unterschlüssel angewendet werden:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\WDigest

• Wenn der Wert UseLogonCredential auf 0 festgelegt ist, speichert WDigest keine Anmeldeinformationen im Arbeitsspeicher.
• Wenn der Wert UseLogonCredential auf 1 festgelegt ist, speichert WDigest Anmeldeinformationen im Arbeitsspeicher.

Nach der Installation dieses Sicherheitsupdates lautet die Standardeinstellung für diesen Wert in Windows 7, Windows Server 2008 R2, Windows 8 und Windows Server 2012. Sie können die Lösung "Einfache Korrektur" in diesem Artikel verwenden, um diese Einstellung in 0 zu ändern. Dadurch wird verhindert, dass WDigest-Kennwörter im Arbeitsspeicher gespeichert werden.

Hinweis In Windows 8.1 und Windows Server 2012 R2 und höheren Versionen ist das Zwischenspeichern von Anmeldeinformationen im Arbeitsspeicher für WDigest standardmäßig deaktiviert (der Wert UseLogonCredential ist standardmäßig auf 0 festgelegt, wenn der Registrierungseintrag nicht vorhanden ist).

Die beobachtete Verhaltensänderung, wenn der UseLogonCredential-Wert auf 0 festgelegt ist, ist, dass Sie möglicherweise feststellen, dass Anmeldeinformationen häufiger erforderlich sind, wenn Sie WDigest verwenden.

Hier ist eine einfache Lösung

Diese einfache Lösung ändert den Registrierungsschlüssel UseLogonCredential , um die Speicherung von WDigest-Kennwörtern im Arbeitsspeicher zu deaktivieren. Nachdem Sie das Sicherheitsupdate 2871997 installiert haben und diese lösungsfreundliche Lösung auf Systeme anwenden, auf denen Windows 7, Windows Server 2008 R2, Windows 8 oder Windows Server 2012 ausgeführt wird, sollten Sie keine Basic-Anmeldeinformationen (Klartext) mehr im Arbeitsspeicher gespeichert haben.

Hinweis Sie müssen ein Sicherheitsupdate 2871997 installiert haben, bevor Sie diese einfache Lösung verwenden können.

Um diese lösungsfreundliche Lösung zu aktivieren, klicken Sie auf die Schaltfläche Herunterladen . Klicken Sie im Dialogfeld Dateidownload auf Ausführen oder Öffnen, und führen Sie dann die Schritte in diesem Assistenten aus.

• Dieser Assistent ist möglicherweise nur in Englisch verfügbar. Die automatische Korrektur funktioniert aber auch für andere Sprachversionen von Windows.
• Wenn Sie sich nicht an dem Computer befinden, auf dem das Problem auftritt, speichern Sie die „Einfache Lösung‟ auf einem Speicherstick oder einer CD, und führen Sie sie anschließend auf dem vom Problem betroffenen Computer aus.

Deaktivieren der Speicherung von WDigest-Kennwörtern im Arbeitsspeicher

Microsoft Download Center

Sie können das eigenständige Updatepaket über das Microsoft Download Center beziehen. Folgen Sie den Installationsanweisungen auf der Downloadseite, um das Update zu installieren.

Klicken Sie in der folgenden Tabelle auf den Downloadlink, der der Windows-Version entspricht, die Sie ausführen. Ermitteln, ob auf Ihrem Computer die 32- oder 64-Bit-Version von Windows ausgeführt wird

Für alle unterstützten x86-basierten Versionen von Windows 7 Laden Sie das Paket jetzt herunter.

Für alle unterstützten x64-basierten Versionen von Windows 7 Laden Sie das Paket jetzt herunter.

Für alle unterstützten x86-basierten Versionen von Windows Embedded Standard 7 das Paket jetzt herunter.

Für alle unterstützten x64-basierten Versionen von Windows Embedded Standard 7 das Paket jetzt herunter.

Für alle unterstützten x64-basierten Versionen von Windows Server 2008 R2 das Paket jetzt herunter.

Für alle unterstützten IA-64-basierten Versionen von Windows Server 2008 R2 Jetzt herunterladen.

Für alle unterstützten x86-basierten Versionen von Windows 8 Jetzt herunterladen.

Für alle unterstützten x64-basierten Versionen von Windows 8 Jetzt herunterladen.

Für alle unterstützten x64-basierten Versionen von Windows Server 2012 Jetzt herunterladen.

Veröffentlichungsdatum: 9. September 2014

Weitere Informationen zum Herunterladen von Microsoft-Support-Dateien finden Sie im folgenden Artikel der Microsoft Knowledge Base:

119591 So erhalten Sie Microsoft-Supportdateien von Onlinedienste Microsoft hat diese Datei auf Viren gescannt. Dazu wurde die neueste Software zur Virenerkennung verwendet, die zum Zeitpunkt der Bereitstellung verfügbar war. Die Datei befindet sich auf Servern mit verstärkter Sicherheit, wodurch nicht autorisierte Änderungen an der Datei weitestgehend verhindert werden.

DATEIINFORMATIONEN

Die englische Version (USA) dieses Softwareupdates installiert Dateien mit den in der nachstehenden Tabelle aufgelisteten Attributen. Die Datums- und Uhrzeitangaben für diese Dateien sind in der koordinierten Weltzeit (UTC) angegeben. Die Datums- und Uhrzeitangaben für diese Dateien auf Ihrem lokalen Computer werden in Ihrer Ortszeit und mit ihrer aktuellen Sommerzeit (DST) angezeigt. Außerdem können sich die Datums- und Uhrzeitangaben ändern, wenn Sie bestimmte Operationen mit den Dateien ausführen.

Dateiinformationen für Windows 7 und Windows Server 2008 R2

• Welche Dateien für bestimmte Produkte, Meilensteine (RTM, SPn) und Servicebereiche (LDR, GDR) gelten, ist anhand der Dateiversionsnummern in der folgenden Tabelle zu erkennen:

  Version	Produkt	Meilenstein	Servicezweig
  6.1.760 1. 18 xxx	Windows 7 und Windows Server 2008 R2	SP1	GDR
  6.1.760 1. 22 xxx	Windows 7 und Windows Server 2008 R2	SP1	LDR

• GDR-Servicebereiche enthalten nur allgemein freigegebene Korrekturen für weit verbreitete, kritische Probleme. LDR-Servicebereiche enthalten zusätzlich zu den auf breiter Basis veröffentlichten Korrekturen Hotfixes.

Hinweis Die MANIFEST- und MUM-Dateien, die installiert werden, sind nicht aufgeführt.

Alle unterstützten x86-basierten Versionen von Windows 7

Alle unterstützten x64-basierten Versionen von Windows 7 und Windows Server 2008 R2

Alle unterstützten IA-64-basierten Versionen von Windows Server 2008 R2