[Windows 8] Beste Absicherung bei einer Vielzahl an Usern

[PaRaDoX]

Ich habe für die Arbeit einen neuen Laptop besorgt und bin gerade am Einrichten. Die benötigten Programme zum Arbeiten sind bereits drauf doch nun stehe ich vor der großen Frage, wie kann ich das Ganze bestmöglich absichern, damit meine Kolleginnen das Ding nicht gleich wieder abschießen. Ich muss dazu sagen, dass u.U. wirklich unbedarfte Personen damit arbeiten müssen und ich habe ehrlich gesagt auch keine Lust wöchentlich irgendwelche Fehler auszubügeln oder irgendwas zu reparieren, letztlich ist das ja auch nicht mein Job.

Also, was habe ich bisher getan:

• System auf den neuesten Stand gebracht und auch alle Treiber und Programme aktualisiert
• G Data Internet Security installiert
• eingeschränkte Benutzerkonten angelegt
• Systemwiederherstellung eingerichtet
• Firefox mit NoScript und µBlock versehen

Das waren die ersten Dinge die mir einfielen, bestimmt habe ich aber irgendwas vergessen. Den Leitfaden für Rechnersicherheit hab ich auch gelesen und hoffentlich nichts übersehen, oder?

Also wie gesagt, ich für meinen Teil weiß was ich tue, ich kann aber leider nicht die Kreativität meiner Kolleginnen abschätzen inwiefern sie doch irgendeinen Mist verzapfen. Genau dagegen möchte ich mich absichern.

Wären Spybot etc. noch nützlich und inwiefern würde sich das Update auf Windows 10 lohnen? Fragen über Fragen, aber ich denke hier werd ich schon kompetente Hilfe finden.

Danke für Eure Hilfe!

 

[Shinigami]

Unbedarfte User in Verbindung mit NoScript? Ob das gut gehen wird, die sind bestimmt überfordert, wenn die Webseite mal nicht wie gewünscht funktioniert.

 

[thom53281]

Mach ein Backup davon. Sobald Du einen DAU an ein System lässt, musst Du damit rechnen, dass er es irgendwann kaputt macht, egal was Du noch unternimmst (oder wenn Du es wirklich total einschränkst, dass er Dich nervt, weil X und Y nicht funktioniert). In Anbetracht der Komplexität moderner Betriebssysteme, kann man nie alle Punkte zu 100% abdecken, da ein DAU immer eine Möglichkeit findet, ein System möglicherweise trotzdem kaputtzumachen. Habe da schon genug Dinge gesehen, die *eigentlich* gar nicht möglich waren. Also solltest Du für das Worst-Case-Szenario gerüstet sein.

Ansonsten noch zum Firefox: Nadem viele der bekannten Videoseiten mittlerweile auch HTML5 können, würde ich persönlich den Flashplayer deinstallieren, sofern Du den installiert hast. Vor allem, weil die aktuellste Version afaik schon wieder Schwachstellen haben soll.

 

[Rakorium-M]

Falls noch nicht zu spät:

Du kannst noch versuchen, die eigentlichen Daten der Nutzer auf einer eigenen Partition zu lagern. Dann erstellst du ein Image der System-Partition, das du bei Bedarf immer wieder zurückspielen kannst, ohne dass deine User ihre Daten verlieren. Noch besser: Sorg dafür, dass deine User auf der Systempartition gar keinen Schreibzugriff mehr haben - dann kann auch nicht so viel kaputtgehen (und eine Wiederherstellung zerstört keine Userdaten, die dummerweise im falschen Ordner lagen). Dazu musst du allerdings ihre kompletten Profile auf die Daten-Partition schieben.

Daneben könntest du Sicherungen der einzelnen Profilordner (ohne User-Daten) anlegen. Darin wären z.B. die User-Registry und die Anwendungseinstellungen ("AppData") enthalten. Dann kannst du bei Bedarf einzelne Profile zurücksetzen, falls ein Nutzer sich dieses zerschossen haben sollte.

Außerdem wäre eine automatische Backup-Lösung (für die Userdaten) noch anzuraten - am Besten auf ein NAS oder ähnliches (soweit ich weiß, sichert die Systemwiederherstellung nur das System selber). Daneben kannst du auf der Datenpartition noch Volume Shadow Copy einrichten, um versehentlich gelöschte oder beschädigte Dateien schnell wiederherstellen zu können.

Wie wäre es mit einer Fernwartungssoftware (z.b. Teamviewer), mit der du Probleme schnell beheben kannst, auch wenn das Gerät gerade unterwegs ist?

Falls das Gerät verloren gehen sollte, könntest du noch eine Diebstahl-Sicherungssoftware installieren (bspw. Prey). Vergiss nicht, ein BIOS/UEFI-Passwort zu setzen.

Eine letzte Idee: Evtl. kann man Windows so einrichten, dass nur bestimmte Dateien ausgeführt werden können - bspw. die, die du als Administrator auf der Systempartition abgelegt hast. Damit verhinderst du, dass deine User zweifelhafte Programme runterladen, Dateien vom USB-Stick starten, die typische .pdf.exe aus einer Spammail ausführen, oder sonst irgendwie unbekannte Software starten. Das Virenproblem lässt sich damit auch großteils beheben (nur irgendwelche Office-Makro-Viren usw. funktionieren noch).

 

[PaRaDoX]

Danke, ist noch nicht zu spät.

Partitionen sind eingerichtet und ein Image der System-Partition hab ich auch. Teamviewer ist wirklich noch eine gute Idee, werd ich am Wochenende angehen.

Nicht dass Ihr denkt ich mache mir zu viele Sorgen, ich musste heute ein Tutorial mit Screenshots verfassen, wo erklärt wird wie man mit Thunderbird eine E-Mail versendet. Der erste Punkt war, "wir bewegen uns mit dem Laptop soweit Richtung Büro bis die Balken unten rechts weiß sind und eine Verbindung zum Router besteht"!

 

[Fluffy_Unicorn]

@PaRaDoX: Was ist ein Router?

 

[Abul]

Das ist diese magische Box, über die man mit dem Neuland kommunizieren kann.

 

[PaRaDoX]

Auch das ist im Tutorial kurz erläutert. Sind stattliche 9 Seiten für die Erklärung wie man ne Mail schickt! U.a. ist darin auch kurz erwähnt, dass einmal Stecker ziehen u.U. große Wunder bewirken kann.

Aber lieber jetzt bissl Aufwand und die Leute verstehen es, als wenn ich dann nur Ärger habe. Nächste Woche üben wir auch nochmal, jeder muss mir eine Mail senden und ich hab ne Checkliste, wo ich abhake wer es gepackt hat.

Bringt mir im Kontext des Threads denn das Upgrade auf Windows 10 noch etwas?

 

[drfuture]

Also Just my 2 Cent

*G Date weg...
Ein Virenscanner der beim Schreiben auf die HDD prüft denkt alles notwendige ab was ein normalanwender machen kann. Alles weitere bringt tolle verwirrende Meldungen, braucht Rechnerleistung und sorgt eher dafür das man genervt immer mal auf *ja ja schon gut* klickt oder irgendwas blockiert wird. Ein Virenscanner an sich hilft so oder so nur gegen weit verbreitete Angriffe auf die Masse. Ein flotter und recht guter Virensacanner ist da immer noch Avast Free - wobei er Benutzerdefiniert installiert wird und nur der on Access aktiviert wird.

* Mit einem Javascript kann man Anwender eventuell mal verwirren oder Daten abfischen - da aber mit Noscript dann Gott und die Welt nicht funktioniert führt die Nutzung einer solchen Erweiterung nur dazu das man den Anweder schult auf jeder Seite *Für Noscript freigeben* zu klicken. Ein AdBlocker ist da viel wichtiger - da dieser z.B. auch Malware über Werbebannernetzwerke abhält was ich für eine wesentlich größere Gefahr halte. Ganz nebenbei ist Chrome besser in die Systemeigenen Sicherheitsmechanismen von Windows eingebunden als Firefox und ist als sicherer zu betrachten (Natürlich Chromium nehmen um die Zwangsanbindung an Google zu umgehen).

* Eingeschränkte Benutzerkonten sind natürlich zwingend notwendig.
* Je nach Einsatzszenario - also was die Kollegen eigentlich mit der Kiste machen sollen solltest du dir das Windows Feature *Family Safety* anschauen - das würde eigentlich all deine Probleme so ziemlich lösen können

@Windows 10
Da z.B. die Updateversorgung in Windows 10 meiner Meinung nach besser geregelt ist und du ja vielleicht nicht immer auf die Windows updates achten willst - wäre es z.B. einfacher das Notebook auf den Slow ring zu stellen und um updates kümmert sich das Notebook dann sicher von selber.

Auch gibt es einen Rücksetzbutton der zumindest eine Datenübernahme anbietet - je nach Software muss dann *nur* das ein oder andere Programm neu installiert werden und der pc ist komplett neu aufgesetzt - somit wäre eine *neuinstllation* mit einem Arbeitsaufwand von 15-30min zu erledigen (Zeit die er PC alleine Arbeitet mal außen vor)

 

[virtus]

Windows als Basis ist nicht die beste Wahl. In Annahme, dass das allerdings alternativlos ist, hier meine Ideen:

- G Data Internet Security
Runterwerfen! Die meisten Sicherheitssuites sind 90% snake oil und das gilt auch für D Data.
Windows hat einen ausreichenden Virenschutz. Onlinesicherheit sollte durch Schulung der Anwender und kann nicht, insbesondere nicht ausschließlich durch eine Software realisiert werden. Da würde ich eher empfehlen einen verpflichtenden Crashkurs für Computersicherheit für die Nutzer zu veranstalten.
Wichtige Punkte dabei sind:

• klassische Phishing-Angriffe über Websites und Email
• was ist SSL/TLS
• Bedeutung der Symbolik in der Adressleiste (grün, gelb, rot; verschlüsselt vs vertrauenswürdig)
• Umgang mit Passwörtern/ Zugangsdaten im Allgemeinen
• Generierung sicherer Passwörter
• Umgang mit vertraulichen Dokumenten (sharing über Cloud, Email, OCH)

Falls du detailliert auf G Data Internet Security eingehen möchtest:

Spoiler

• Bester Schutz vor Viren und anderen Gefahren im Netz
  Der Windows Virenschutz ist vollkommen ausreichend. Gezielte Angriffe kann keiner der beiden verhindern und die 90% Alltagsgefahren meistern beide.
• Sichere E-Mails durch zuverlässigen Sofortschutz
  AntiSpam gegen Werbe- und Phishing-Mails
  Warum zwei mal der Punkt in der Featureliste ist, verstehe, wer will. Spam- und Phishing sollte bereits durch durch den Emailprovider effektiv verhindert werden, falls keine eigene Infrastruktur vorhanden ist, sollte bei einem professionellen Hoster angefragt werden. Falls vorhanden, sollte der Systemadministrator seine 2ct dazu beitragen.
• Schutz vor Sicherheitslücken in Ihren Programmen
  Verhaltensprüfung von Dateien
  Auch hier doppelte Aufführung in der Liste der Features. Den Code für diese Features würde ich gerne mal sehen. Die grobe Unmöglichkeit dieser Aufgabe lässt sich leider mathematisch beweisen. Alles, was in diesem Bereich möglich ist, ist vergleichbar mit Lotto spielen. Ein Unternehmen, das seine Produkte mit dieser Fähigkeit bewirbt, erscheint mir höchst unseriös.
• Sicheres Online-Banking und -Shopping
  Wenn ich recht informiert bin, wird dazu ein gefälschtes Rootzertifikat installiert, so dass auch SSL-geschützte Inhalte über den Proxy von G Data gejagt und analysiert werden können, ohne dass der Anwender darüber in Kenntnis gesetzt werden muss. Das ist in erster Linie ein perfekter man-in-the-middle Angriff durch die Software selbst und zerstört leider vollständig die Sicherheitskonzepte, die mit SSL/TLS eingeführt werden. Gleichzeitig wurde zum Teil bereits festgestellt, dass der über den Proxy geleitete Traffic gleichzeitig zwischen Client und Proxy zusätzlich schwächer verschlüsselt war. Außerdem ist unklar, wer Zugriff auf die Analysedaten erhält. Von einem Feature welches Sicherheit bringt kann hier nicht die Rede sein, denn das genaue Gegenteil ist der Fall.
• Schutz vor Hacker-Angriffen durch sichere Firewall
  Im Unternehmen dürftet ihr hinter einer Hardwarefirewall sitzen. Warum das ausreichend und wesentlich sicherer ist, erzählt dir dein Systemadministrator.
• Schutz Ihrer Kinder für altersgerechtes Surfen
  Kindersicherung bringt Windows als Boardmittel mit. Wieso das im Unternehmensumfeld eine Rolle spielt, weiß ich nun nicht, aber das Hausmittel ist bereits vorhanden.

- NoScript
Overkill, der zu vielen Fragen und Problemen führen wird. Stattdessen sollte uBlock neben den Werbefiltern auch die Filter für Socialmedia, Malwaresites etc importieren.

- Systemwiederherstellung eingerichtet
Hat sich schon mehr als einmal als unzureichend herausgestellt. Fertige lieber ein 1:1 Image an, welches du auf einem externen Datenträger verwahrst.

 

[drfuture]

Windows als Basis ist nicht die beste Wahl. In Annahme, dass das allerdings alternativlos ist, hier meine Ideen:

Sinnfreie *Welches OS ist Besser* Diskusionen will ich nun nicht schon wieder vom Zaun brechen - aber da dein Beitrag sonst recht gut ist, wie kommst du zu dem Standpunkt? Von *etwas kaputt machen* ist Linux MINDESTENS genauso anfällig... out of the box, klar kann man dem User eine changeroot umgebung zur verfügung stellen in der genau 3 Programme sind - die nur ausgeführt und gelesen aber nicht gelöscht weden dürfen usw... Aber mit ähnlichem Bastelaufwand ist das unter Windows genauso zu bewerkstelligen. Ohne extra Umbau kann der normaluser durchaus auch Dateien ändern / löschen die zu sagen wir "komischen" ergebnissen für den Benutzer führen. - Von einem erhöhten Schulungsaufwand für die Anwender mal ganz zu schweigen - die meisten haben ja schon ein Problem wenn das Icon von Outlook nicht mehr Gelb sondern Blau ist und *ihr* Programm somit nicht mehr vorhanden ist.