User Account Control (UAC) ist seit Windows Vista ein Kernbaustein der Windows-Sicherheit: Es sorgt dafür, dass Standardbenutzer und auch Administratoren nicht ungefragt mit vollen Rechten arbeiten. Stattdessen läuft jede privilegierte Aktion über eine Bestätigungs- oder Anmeldeabfrage. In Domänen mit vielen Arbeitsplätzen und Servern lässt sich UAC per Gruppenrichtlinie zentral steuern und an den gewünschten Sicherheitsstandard anpassen.
Wo die UAC-Einstellungen liegen
Die UAC-Policy-Einstellungen findet man unter Computerkonfiguration > Windows-Einstellungen > Sicherheitseinstellungen > Lokale Richtlinien > Sicherheitsoptionen. Die wichtigsten Punkte beginnen mit „Benutzerkontensteuerung“. Alternativ lässt sich UAC über Intune-Settings-Catalog oder die Registry unter HKLM/SOFTWARE/Microsoft/Windows/CurrentVersion/Policies/System konfigurieren.
Die wichtigsten UAC-Richtlinien
Die zentrale Schaltstelle ist Benutzerkontensteuerung: Alle Administratoren im Administratorgenehmigungsmodus ausführen. Diese Einstellung muss Aktiviert sein, damit die übrigen UAC-Policys überhaupt wirken. Ist sie deaktiviert, ist der gesamte UAC-Schutz ausgehebelt und auch die restlichen UAC-Optionen greifen nicht.
Benutzerkontensteuerung: Verhalten der Eingabeaufforderung für Administratoren im Administratorgenehmigungsmodus steuert, wie die Erhöhung einer Admin-Sitzung abläuft. Empfohlen ist Aufforderung zur Zustimmung auf dem sicheren Desktop – die Eingabe wird auf einer eigenen, geschützten Desktop-Oberfläche angezeigt. Die Option „Ohne Aufforderung erhöhen“ sollte nur in stark kontrollierten Umgebungen verwendet werden.
Benutzerkontensteuerung: Wechsel zum sicheren Desktop bei Aufforderung zur Erhöhung (standardmäßig aktiviert) stellt sicher, dass Erhöhungsabfragen nicht auf dem normalen Desktop erscheinen, wo Schadsoftware sie auslesen oder manipulieren könnte. Diese Einstellung sollte in gehärteten Umgebungen aktiviert bleiben.
Ergänzend schärft Nur signierte und validierte ausführbare Dateien erhöhen die Sicherheit: Nur Anwendungen mit gültiger Zertifikatskette dürfen eine Erhöhung auslösen. Trusted-Publisher-Zertifikate lassen sich dafür zentral verteilen. Standardmäßig ist diese Option deaktiviert.
Registry und PowerShell als Alternative
Wer die Konfiguration skriptbasiert statt über GPO vornehmen möchte, setzt die entsprechenden Werte direkt unter HKLM/SOFTWARE/Microsoft/Windows/CurrentVersion/Policies/System. Für den zentralen Modus ist dort etwa EnableLUA=1 für „Alle Administratoren im Administratorgenehmigungsmodus ausführen“ verantwortlich. Ein Reboot ist nach der Änderung in der Regel nötig.
Mit PowerShell lassen sich die Werte per Set-ItemProperty schreiben; für die Steuerung über die Domäne ist aber die GPO der sauberste Weg, da sie zentral verwaltet und dokumentiert werden kann.
Härtungsempfehlungen
Für eine gehärtete Basis gilt: Admin Approval Mode für alle Administratoren aktivieren, sicheren Desktop beibehalten, die Eingabeaufforderung für Standardbenutzer auf „Aufforderung zur Eingabe von Anmeldeinformationen“ stellen und UIAccess-Einstellungen vorsichtig handhaben. Ein deaktivierter UAC oder die „Elevate without prompting“-Option hebt den Schutz für Pass-the-Hash- und Rechteerweiterungsangriffe weitgehend auf.
Vor dem Rollout in der Domäne empfiehlt sich ein Pilottest in einer Test-GPO, da veraltete Branchensoftware ohne Manifests unter strengem UAC häufiger Erhöhungsabfragen auslöst. Nach der Anwendung per gpupdate /force die tatsächliche UAC-Stufe auf einem Testsystem prüfen.
Quellen
Microsoft Learn – User Account Control settings and configuration: learn.microsoft.com/en-us/windows/security/application-security/application-control/user-account-control/settings-and-configuration (abgerufen 11.11.2026)
Hinweis: Dieser Beitrag wurde mit Unterstützung künstlicher Intelligenz (KI) erstellt.
No responses yet