Ich habe seit längerem auf meinem PC keine Admin-Rechte mehr.

Na, ich helfe dir auch zu diesem Thema gerne weiter. Das eingebaute, aber zunächst inaktive Konto Administrator unterliegt standardmäßig nicht den UAC-Restriktionen. Dieses Konto sollte man aktivieren, um eine saubere Trennung zwischen Benutzer- und Adminkonto zu haben, OHNE die UAC-Schwachstellen. Also Adminarbeiten in diesem Konto und fürs normale Arbeiten ein Userkonto OHNE UAC. Vorhandene User-Adminkonten auf "Benutzer" zurückstufen oder löschen.

Es gibt keine Benutzerkonten "ohne UAC" mehr.

Das Problem ist normalerweise auch nicht die UAC, sondern der Benutzer. Die meisten tatsächlichen Angriffe finden nicht gegen Sicherheitsfunktionen statt, sondern wollen den Benutzer dazu überzeugen, dass er etwas ausführen will.

Eine scharfe Trennung zwischen Administrator- und Benutzer-Konten, wie du sie forderst, macht das normale, alltägliche Arbeiten zwar je nach Aufgaben deutlich umständlicher. Sie hilft aber gegen die entsprechenden Angriffe gar nicht. Denn ist der Benutzer erst einmal überzeugt, etwas ausführen zu wollen, dann wird er das auch tun. Egal ob er dazu die UAC mit OK bestätigen oder im UAC-Fenster das Passwort eines Administrator-Kontos eingeben muss. Oder halt sich komplett mit einem anderen Konto anmelden muss.

Das Konzept klappt nur, wenn Benutzer und Administrator nicht die selbe Person sind.

Das Thema dürft ihr aber gerne mal in einer eigenständigen Diskussion hier weiter diskutieren. Ich denke nicht, dass es dem Fragesteller bei seinem Problem wirklich weiterhilft.

Keine gute Idee. Das interne Administratorkonto auf keinem Fall dauerhaft aktivieren und nutzen!

Das ist ebenfalls falsch. Es wäre die bessere und sicherere Methode, weil dieses Systemkonto eben seine Rechte nicht einfach verlieren kann, wie es User-Adminkonten gelegentlich tun. Weiterhin ist es in Verbindung mit Userkonten ohne UAC ebenfalls sicherer. Somit ist es ratsam, so zu verfahren.

Du wirst deine Ansicht, dass interne Administratorkonto dauerhaft zu aktivieren und zu nutzen,

wohl in keinem MS Artikel oder fachlich irgendwo repräsentativem Blog Artikel/ Totorial zu Windows bestätigt finden

Na, ich helfe dir auch zu diesem Thema gerne weiter. Das eingebaute, aber zunächst inaktive Konto Administrator unterliegt standardmäßig nicht den UAC-Restriktionen. Dieses Konto sollte man aktivieren, um eine saubere Trennung zwischen Benutzer- und Adminkonto zu haben, OHNE die UAC-Schwachstellen. Also Adminarbeiten in diesem Konto und fürs normale Arbeiten ein Userkonto OHNE UAC. Vorhandene User-Adminkonten auf "Benutzer" zurückstufen oder löschen. Lesestoff dazu:

https://seclists.org/fulldisclosure/2015/Mar/92

https://skanthak.homepage.t-online.de/SAFER.html https://schneegans.de/windows/safer/ usw.

Eine fachlich kompetentere Meinung als die von Stefan Kanthak wird man weltweit kaum finden und viele sicherheitsrelevanten Änderungen in Windows kommen von ihm. Er ist in ständigem Kontakt mit dem MSRC.

auch nicht in den von mir geposteten Links,

sondern wie es bspw. in einer möglichen Quintessenz von MVP Shwan Brink im geposten Link elevenforum formuliert wurde:

„It is recommended to only enable and use the built-in Administrator account as needed and disable it when finished.“

Ein sehr deutlicher Beweis dafür, dass der Herr von diesem Thema nicht wirklich eine Ahnung hat.

Was soll ohne UAC sicherer sein;

Das gesamte System ist ohne UAC und ohne UAC-Konten sicherer, denn....

UAC ist ein Baustein zur Sicherheit.

......falsch, UAC ist eine einfachst zu umgehende Narrenkappe. Einzig konsequente Kontentrennung ohne UAC ist ein Baustein zur Sicherheit.

Das die inzwischen auch durch Malware umgangen werden könnte, ändert daran nichts.

Konfiguriert man das System so wie von mir beschrieben, hat solche Malware keine Chance. Erst durch UAC bekommt sie diese.

Die für diesen Fall geeignete Reparaturmethode verstehst du leider nicht, ich gebe es auf. Ich gehe davon aus, dass der OP es verstanden hat.

Es ist bekannt, dass du dich auf die Option abgesicherten Modus eingeschworen hast, trotz

dass es bei dieser bereits beim gewöhnlichen Weg Probleme gab.

Der OP braucht dafür nur einen Bootdatenträger, den er aber für deinen umständlichen und sinnlosen Reg-Hack ebenfalls braucht. Wenn man diesen nun hat, wählt man idealerweise die einfache Option durch die offene Tür, statt sich eine verschlossene Tür mühsam aufzubrechen - zumindest in einer vernunftbasierten Welt. ;-)

Keine gute Idee. Das interne Administratorkonto auf keinem Fall dauerhaft aktivieren und nutzen!

Das ist ebenfalls falsch. Es wäre die bessere und sicherere Methode, weil dieses Systemkonto eben seine Rechte nicht einfach verlieren kann, wie es User-Adminkonten gelegentlich tun. Weiterhin ist es in Verbindung mit Userkonten ohne UAC ebenfalls sicherer. Somit ist es ratsam, so zu verfahren.

Du wirst deine Ansicht, dass interne Administratorkonto dauerhaft zu aktivieren und zu nutzen,

wohl in keinem MS Artikel oder fachlich irgendwo repräsentativem Blog Artikel/ Totorial zu Windows bestätigt finden, auch nicht in den von mir geposteten Links,

sondern wie es bspw. in einer möglichen Quintessenz von MVP Shwan Brink im geposten Link elevenforum formuliert wurde:

„It is recommended to only enable and use the built-in Administrator account as needed and disable it when finished.“

Was soll ohne UAC sicherer sein; UAC ist ein Baustein zur Sicherheit.

Das die inzwischen auch durch Malware umgangen werden könnte, ändert daran nichts.

Die für diesen Fall geeignete Reparaturmethode verstehst du leider nicht, ich gebe es auf. Ich gehe davon aus, dass der OP es verstanden hat.

Es ist bekannt, dass du dich auf die Option abgesicherten Modus eingeschworen hast, trotz

dass es bei dieser bereits beim gewöhnlichen Weg Probleme gab. Es liegt mir fern, dir das ausreden zu wollen.

Selbst würde ich bei den Vorzeichen die Option nicht zuerst ins Auge fassen.

Darunter mittels Installationsdatenträger alternativ die Option Registry lässt sich aus den von mir dazu zwei geposteten Links im Detail entnehmen (wenn´ s auch wohl nicht jedem sein Ding sein wird).

Das Roulette von Optionen muss letztlich jeder für sich entscheiden.

Womöglich wird´s eh in vielen Fällen bei der Option gem. dem ersten geposteten Link (@ Richi) bleiben.

Glaub zwar kaum, dass das im Konkreten überhaupt noch irgendeine Relevanz haben wird;

wenn du dennoch dem Fragesteller detaillierte Infos für die Option abgesicherter Modus unter Zuhilfenahme Installationsdatenträger zukommen lassen möchtest, und zwar wie im Detail dabei zu verfahren wäre, steht es dir doch frei.

Bitte deine etwaigen Antworten dazu direkt an den Fragesteller richten, nicht an mich!

Keine gute Idee. Das interne Administratorkonto auf keinem Fall dauerhaft aktivieren und nutzen!

Das ist ebenfalls falsch. Es wäre die bessere und sicherere Methode, weil dieses Systemkonto eben seine Rechte nicht einfach verlieren kann, wie es User-Adminkonten gelegentlich tun. Weiterhin ist es in Verbindung mit Userkonten ohne UAC ebenfalls sicherer. Somit ist es ratsam, so zu verfahren.

Die für diesen Fall geeignete Reparaturmethode verstehst du leider nicht, ich gebe es auf. Ich gehe davon aus, dass der OP es verstanden hat.

Wenn man per Boot-Datenträger bootet, kann man aber diesen Startbildschirm umgehen, z.B. mit Shift-F10 ein Terminal aufrufen und dort via BCD-Injection den Bootvorgang im BCD auf "Abgesichert" festlegen. Ein Neustart würde dann automatisch in den abgesicherten Modus booten.

Das geht. Hab an der Stelle allerdings noch nie versucht über cmd neu zu starten. Bin da immer über Setup gegangen.

Und wenn es funktioniert, wäre es je nach Situation egal, ob dort das interne oder eigene Admin Konto gegeben ist.

Wäre in der aktuellen Situation nicht egal, denn im abgesicherten Modus hat das eigene Adminkonto momentan keine Adminrechte mehr. Das von Windows automatisch freigeschaltete Konto Administrator hingegen schon.

Ob das Ereignis Administrator oder das Ereignis eigener Administrator eintritt, ist quasi egal.

Die Aussage ist als für sich stehend zu verstehen.

Ob das erwartete Ereignis falsch oder wahr ist, ob das Gerät inzwischen eingeschmolzen ist etc. spielt dabei keine Rolle.

Es gibt verschiedene Szenarien für die gegebene Situation. Die passen nicht in Nadelöhr Tunnel Sicht.

Bspw./ u.a. dass das jetzige Konto mit sehr hoher Wahrscheinlichkeit zur Gruppe der Standardbenutzer gehört, wäre gegeben, wenn es schon immer dieser Gruppe angehört hat, ...

Ist alles völlig egal. Fakt ist: es gibt derzeit kein einziges Userkonto mit Adminrechten mehr. Deshalb hat Windows das Konto "Administrator" im abgesicherten Modus freigeschaltet und genau DORT ist das Problem sehr einfach zu beheben.

Das beruht nur alles auf deine Annahmen zur Situation. Die können falsch oder zutreffend sein.

Wenn ansonsten nichts läuft mit funktionalem Adminrechten, kann versucht werden, dass interne Admin - Konto im Normalmodus zur Verfügung/ zur Auswahl zu bringen.

Da müsste dann Magie zum Einsatz kommen. ;-)

Nö, das braucht es nicht.

Unter den Übrigen Voraussetzungen bietet u. a. potentiell die Option abgesicherter Modus die Möglichkeit (optional zur Nutzung) oder bspw. die Option Registry.

Nein. In den abgesicherten Modus kommt er mit Bordmitteln ja nicht und Bootdatenträger hat er derzeit noch keinen. Also entweder Magie oder Bootdatenträger erstellen. ;-) Und WENN er den einen Bootdatenträger erstellt hat und damit somit in den abgesicherten Modus kommt, kommt er sofort in das dort angebotene Konto Administrator. Es wäre somit irre, dieses Konto in der Registrierung freischalten zu wollen.

Ob damit in den abgesicherten Modus gekommen wird im Konkreten müsste sich erst erweisen.

Mit einem funktionsfähigen Bootdatenträger kommt man absolut sicher in den abgesicherten Modus. Windows ist derzeit noch normal bootbar, also auch abgesichert bootbar.

Mal von diesem ganzen „Hermann“ abgesehen, hab das mal aus Interesse mit der Änderung Binärwert selbst getestet (unter Win 10).

Änderung selbst war in weniger als 5 Sekunden erledigt, das eigentliche Prozedere insgesamt in ca. 5 Minuten mit Neustart:

Ich kenne die Prozedur auch: Laden der Registrierung in Win PE - fremde Struktur laden - Wert verbasteln - Struktur entladen - neu starten - in Konto Administrator anmelden usw. dürfte ca. 10 Minuten in Anspruch nehmen, vorausgesetzt, ein ONU, der das noch nie machte, schafft es überhaupt problemlos. Dann also lieber einfach im abgesicherten Modus in diesem Konto anmelden.

Dass im Konkreten es nicht erfolgreich umgesetzt wurde, mit Bordmitteln in den abgesicherten Modus zu kommen,

ist doch schon lange klar,

und ebenso dass deshalb u. a. die Option abgesicherter Modus oder die Option Regstry mit Installationsdatenträger versucht werden könnte.

Dass du der Option abgesicherten Modus den Vorrang geben würdest und ich der Option Registry ist ebenfalls bekannt.

Vorbeugen lässt sich etwa mit einem zweiten eigenem Admin

Wenig empfehlenswert. Besser das Systemkonto "Administrator" dauerhaft aktiv setzen, ÜBERHAUPT KEIN eigenes Adminkonto einrichten, denn das Konto "Administrator" verliert nie aus irgendwelchen Gründen die Adminrechte. Adminarbeiten also nur in diesem Konto ausführen und zusätzlich UAC für alle Userkonten deaktivieren, nach dem Motto "und führe mich nicht in Versuchung". ONU bekommt dann in Userkonten nie UAC zu sehen.

und mit geeigneten Datensicherungen

Findet man bei ONU leider eher selten. Es kann auch nicht schaden, die externe Backup-Platte bootfähig zu machen. Man hätte somit eine bootfähige Datensicherung.

Keine gute Idee. Das interne Administratorkonto auf keinem Fall dauerhaft aktivieren und nutzen!

Geeignete Datensicherungen (inkl. vollständige Systemabbilder) getrennt von der Installation lassen sich durch nichts ersetzen.