Adminrechte deaktiviert

[Wilhelm14]

Punkte 2 und 3 braucht es eigentlich nicht, oder? Es sollte reichen, das Konto "Administrator" zu aktivieren und mit diesem Konto dann das Standardkonto zu bearbeiten. Anschließend wie das Konto "Adminsitrator" wieder deaktivieren.

 

[Fr4g3r]

Um das Adminkonto aktivieren zu können, brauchst du aber erst mal selbst einen Benutzer mit Adminrechten.
Ein normaler Benutzer kann diesen Account nicht aktivieren und nur weil man in den abgesicherten Modus bootet hat man dort noch keine Adminrechte.
Daher kommst du so normal nicht da dran.

Bei meiner Methode besteht der Trick daran, dass normalerweise mit Windows-Taste + U am Anmeldebildschirm die Eingabehilfe angezeigt wird.
Das ist das Programm Utilman.exe. Dieses Programm wird unter dem Systemkonto ausgeführt, welches von Haus aus vollen Zugriff auf das System hat.
Ersetzt man nun einfach diese Datei durch die cmd.exe, dann wird statt der Eingabehilfe eben die cmd unter dem Systemkonto gestartet.

 

[Capthowdy]

Dann bitte kläre uns auf TurboTsunami.

Lass dir gesagt sein: wenn du physischen Zugriff auf ein System hast, kannst du es zu 100% auch knacken. Einzige Ausnahme: es ist mit einem starken Key und Algorithmus verschlüsselt. Windows ist da genausowenig eine Ausnahme wie Linux.

Wenn jeder X belibiger Mitarbeiter sich Adminrechte erschleichen kann nenne ich das eine Sicherheitslücke ja.

Die "Sicherheitslücke" ist also der erlaubte Zugriff. Deswegen wird auf Mitarbeiter-PCs auch nichts wichtiges gespeichert, sondern auf Servern die (hoffentlich!) in einem verschlossenen Serverraum stehen.

Aber zurück zum Thema: Boote den PC vom Installationsdatenträger, wähle Reparaturoptionen und öffne dort die Eingabeaufforderung. Nach folgendem Einzeiler ist das Thema durch:

net localgroup "Administratoren" "Den Namen deines Benutzers" /add

 

[Wilhelm14]

Ein normaler Benutzer kann diesen Account nicht aktivieren und nur weil man in den abgesicherten Modus bootet hat man dort noch keine Adminrechte.

Ich habe das eben ausprobiert und ich kann das und kenne das auch nicht anders.

 

[Fr4g3r]

Ernsthaft? Boote ich in den abgesicherten Modus, dann erhalte ich ganz normal die Anmeldemaske.
Melde ich mich dort nicht mit einem Admin an, dann habe ich auch im abgesicherten Modus keine Adminrechte.

 

[Capthowdy]

Das ist korrekt, mit einer Ausnahme: dem Administrator. Sollte man diesen vorher aktiviert und ihm dann die Adminrechte entzogen haben, so erhält er diese im abgesicherten Modus automatisch zurück.

 

[unisolblade]

Da stimme ich dir zu Turbo mit physikalischem Zugriff lässt sich alles hacken. Ist mir selber einfach noch nie passiert das ich mir Adminrechte entziehe zumindest nicht ohne ein 2. Admin Konto. Naja alles hilfreiche Tipps für den Fall.

 

[Fr4g3r]

Ich vermute mal aber stark das der TE nicht dem Administrator die Rechte entzogen hat sondern "seinem" Benutzer.
Ist der Administratoraccount vorher nicht aktiviert worden, so kommt man über den normalen abgesicherten Modus nicht an Adminrechte.

Ich raten sowieso stark davon ab im Alltagsbetrieb immer mit einem Adminaccount angemeldet zu sein.
Gerade seit der Einführung der UAC gibt es für mich keinen Grund mehr nicht unter normalen Rechten angemeldet zu sein.
Werden für eine Aktion Administratorberechtigungen benötigt, so erscheint der UAC-Prompt und man gibt den Admin an.
Ist deutlich sicherer als unter dem Adminaccount zu arbeiten.

 

[Capthowdy]

Und was denkst du, warum ich "Das ist korrekt" als Antwort auf deinen fragenden Beitrag geschrieben habe? Sinn war es, dir die womöglich entstandene Unsicherheit zu nehmen und dir zu bestätigen, dass Wilhelm falsch liegt.

Wenn die UAC aktiviert ist, kannst du auch mit einem Administratorkonto angemeldet sein. Das macht aus Sicht der Rechte keinen Unterschied.

 

[Fr4g3r]

War mir nicht sicher ob das "Das ist korrekt" auf meine oder die Antwort über mir gedacht war.
Auf jeden Fall sollte der TE sein Problem mit den Antworten aus diesem Thread lösen können.
Und vielleicht überdenkt er auch mal die Sache mit dem täglichen Arbeiten unter einem Administratorenaccount.

 

[Capthowdy]

Hätte ich nicht dich gemeint, hätte ich zitiert

Edit: Denn wie wir alle wissen, steht folgendes in den Regeln:

Nicht erwünscht sind unter anderem:

• Zitieren aus unmittelbar vorangestellten Beiträgen sowie allgemein vollständiges Zitieren umfangreicher Beiträge.

 

[Wilhelm14]

...dir zu bestätigen, dass Wilhelm falsch liegt.

Womit liege ich falsch oder reden wir aneinander vorbei. Du sagst selbst,

Das ist korrekt, mit einer Ausnahme: dem Administrator. Sollte man diesen vorher aktiviert und ihm dann die Adminrechte entzogen haben, so erhält er diese im abgesicherten Modus automatisch zurück.

Ich hänge ein Bild an, was ich probiert habe um das Problem nachzustellen. Im Hintergrund ist ein Konto zu sehen, welches nicht auf "Administrator" steht, sondern auf "Standardbenutzer". Gehe ich auf "Kontotyp ändern", geht es nicht weiter, da das nur der Administrator kann. Versuche ich die Deaktivierung des Administrators aufzuheben (das Konto also zu aktivieren), kommt wieder eine Fehlermeldung, siehe Bild.

Meine Aussage: mit dem abgesicherten Modus kann man das wieder richten. Und ihr, TurboTsunami und Fr4g3r seht das anders? Ich starte demnächst neu und probiere es aus. Mal gucken.

PS: Ihr könnt ja noch mal sagen, wo wir aneinander vorbei reden oder wo mein Denkfehler liegt.

 

[Fr4g3r]

Wenn du den abgesicherten Modus startest, dann kommt bei dir die normale Anmeldemaske, oder?
Dort meldest du dich dann mit einem Benutzer an der NICHT Mitglied der Gruppe Administratoren ist.
Und mit diesem Standardbenutzer kannst du jetzt entweder den Administrator aktivieren oder einen Benutzer zum Administrator machen?
Das bezweifle ich, lasse mich aber gerne eines Besseren belehren. ;-)

 

[Wilhelm14]

Wenn ich im oben dokumentierten Zustand in den abgesicherten Modus boote, bin ich nicht ausgesperrt. Das laut Screenshot deaktivierte Konto "Administrator" ist wieder aktiv. Damit kann ich mein eigentliches Konto wieder von Standard auf Admin umstellen und "Administrator" wieder inaktiv schalten. Klappt das bei dir nicht? Irgendwo müssen wir ja aneinander vorbei reden, wenn es bei dir nicht klappt.

 

[phil_223]

Also erstmal vielen Dank für die große Resonanz. Ich hab jetzt mal u.a. mithilfe eurer Tipps ein bisschen am PC rumgespielt und eine Lösung gefunden. Ich bin einfach in den abgesicherten Modus gegangen, da ich dort die Adminrechte habe konnte ich hier ins Programm CMD den bekannten Befehl "net user administrator /active:yes" eingegeben. Danach hatte ich meine Administratorrecht zurück. Es ist jedoch UNBEDINGT von Nöten seine Daten, zumindest die wichtigsten zu sichern, da es zu Datenverlust kommen kann. Kann von Glück sagen dass ich das wichtigste immer auf der Festplatte hab.

Also an alle die sich in dem Thread beteiligt haben und mir geholfen haben

Vielen Dank

MFG Phil

 

[Capthowdy]

Womit liege ich falsch oder reden wir aneinander vorbei.

Um die Sache nochmal abschließend aufzuklären:

du hast ihm empfohlen, den Befehl net user Administrator /active:yes im abgesicherten Modus mit seinem Benutzerkonto auszuführen. Dieser Befehl benötigt administrative Rechte, die ein Benutzer nicht hat. Völlig unabhängig davon ob jemand (angeblich) mal Administrator war, bekommt er diese Rechte keinesfalls einfach so zurück, nur weil er im Abgesicherten Modus startet. Folglich kann er auch niemals mit besagtem Konto den o.g. Befehl ausführen. Seine Aussage dies bewerkstelligt zu haben, ist absurd und zeugt von seiner Unwissenheit.

Wenn Windows 7 installiert wird, muss ein Benutzer angelegt werden, welcher in jedem Fall ein Administrator ist.
Warum? Aus dem einfachen Grund, dass es einen Administrator geben muss und der Standard-Administrator deaktiviert wurde. Warum? Weil jeder den Namen Administrator kennt und versuchen würde, diesen zu benutzen. Existiert er aber schon, muss ein anderer Name gewählt werden. Soweit bis hier hin.

Versucht man nun über die für Otto-Normal-User angedachten Mittel diesem neu angelegten Benutzer die Rechte zu entziehen, sieht das so aus:

Was schließen wir daraus? Es ist eigentlich nicht vorgesehen. "Unsupported shit". Möglich ist das nur über die Befehlszeile (alle Versionen von Windows 7) oder die lokale Benutzerverwaltung (Professional, Ultimate, Enterprise). Hat man dies also trotz aller Warnung dennoch fertiggebracht, so erhält der Benutzer seine Rechte auch im abgesicherten Modus nicht zurück.

Wann kann also der abgesicherte Modus helfen? In einer bestimmten Konstellation, nämlich wenn kein anderer Administrator mehr auf dem PC existiert, außer dem deaktivierten Standard-Administrator, aktiviert sich dieser im abgesicherten Modus von allein und steht dementsprechend auch zur Auswahl. Diese Aktivierung ist nur auf den abgesicherten Modus beschränkt und findet auch nur aus oben genanntem Grund statt.

Hat dieser Administrator kein Kennwort, kann man sich einfach einloggen und dem Benutzer wieder seine Rechte zuweisen. Anschließend steht der Standard-Administrator nicht mehr zur Auswahl, da es wieder einen anderen Administrator gibt. Der hier oft genannte Befehl net user Administrator /active:yes ist vollkommen überflüssig.

Ich bin einfach in den abgesicherten Modus gegangen, da ich dort die Adminrechte habe konnte ich hier ins Programm CMD den bekannten Befehl "net user administrator /active:yes" eingegeben. Danach hatte ich meine Administratorrecht zurück.

Gerade solche Aussagen verleiten andere dazu, diesen Blödsinn zu glauben. Wenn du tatsächlich administrative Rechte hattest, hast du dich dort mit dem Standard-Administrator angemeldet, nicht mit deinem Benutzerkonto.

Warum du dann noch den "bekannten Befehl" ausgeführt hast, entbehrt ebenfalls jeder Logik.
Warum du durch diesen Befehl "danach" auf ein mal deine Administratorrechte unter einem völlig anderen Benutzerkonto zurück hast, kannst du bei Gelegenheit auch mal erklären, denn der Befehl aktiviert nur das Standard-Administratorkonto, mit dem du dich im Abgesicherten Modus bereits angemeldet hattest.
Die Rechte musst du dir noch immer selbst zurückgeben. In all deiner Unwissenheit dann noch von möglichem Datenverlust zu sprechen, was andere vielleicht noch in Angst versetzt, finde ich dann schon mehr als grenzwertig! Ein Datenverlust ist ausgeschlossen! Sich seine Adminrechte zurückzuholen ist keine große Sache und selbst wenn man dazu nicht fähig ist, kann man sich professionelle Hilfe suchen. Daten gehen bei den hier beschriebenen Aktionen auf keinen Fall verloren!

Ich hoffe das war nun genug Erklärung für dieses Thema und einige hier hören auf mit Halbwahrheiten um sich zu werfen und andere zu verwirren.

 

[Wilhelm14]

Irgendwie haben wir doch aneinander vorbei geredet. In Post #32 zitiere und unterstütze ich deine Aussage:

Das ist korrekt, mit einer Ausnahme: dem Administrator. Sollte man diesen vorher aktiviert und ihm dann die Adminrechte entzogen haben, so erhält er diese im abgesicherten Modus automatisch zurück.

Selbst habe ich es dokumentiert nachgestellt.

Wenn ich im oben dokumentierten Zustand in den abgesicherten Modus boote, bin ich nicht ausgesperrt. Das laut Screenshot deaktivierte Konto "Administrator" ist wieder aktiv.

...du hast ihm empfohlen, den Befehl net user Administrator /active:yes im abgesicherten Modus mit seinem Benutzerkonto auszuführen.

Das in seinem Benutzerkonto auszuführen habe ich nie gesagt. Obwohl du recht hast und der Befehl unnütz ist, da der Administrator von alleine aktiv ist, falls man sich (fast) ausgesperrt hat. Sagst du, zitiere ich von dir, sage ich selbst.

Und dass man dazu keine Hacktools und BootCDs braucht, keine Dateien gelöscht oder überschrieben werden müssen, kann man nochmal wiederholen. Das ist keine Sicherheitslücke. Wer seine Daten schützen will, muss sie "im Server wegschließen" oder verschlüsseln.

 

[Capthowdy]

Ich zitiere:

Es sollte reichen, das Konto "Administrator" zu aktivieren und mit diesem Konto dann das Standardkonto zu bearbeiten. Anschließend wie das Konto "Adminsitrator" wieder deaktivieren.

Dieses Konto kann nicht manuell aktiviert werden, ohne selbst administrative Rechte zu besitzen.
Weiterhin funktioniert die Methode der Selbstaktivierung nur dann, wenn kein anderer Administrator existiert, während du das als allgemeingültig dargestellt hast!

Und ich zitiere weiter:

Ein normaler Benutzer kann diesen Account nicht aktivieren und nur weil man in den abgesicherten Modus bootet hat man dort noch keine Adminrechte.

Ich habe das eben ausprobiert und ich kann das und kenne das auch nicht anders.

Hier sagst du ihm indirekt, dass du als normaler Benutzer das Administratorkonto aktiviert hast, was schlicht falsch ist!

Das in seinem Benutzerkonto auszuführen habe ich nie gesagt.

Hast du nicht? Dann habe ich mir das hier wohl eingebildet:

In die cmd net user Administrator /active:yes eingeben?

 

[Wilhelm14]

Im ausgesperrten Zustand ist der Adminstrator im abgesicherten Modus von alleine aktiv. Widerspreche dir nicht.
Ruft man dort eine CMD auf ist das eine mit Administratorrechten. Wählt man das ausgesperrte Konto, gibt es natürlich eine Fehlermeldung bei dem Befehl. Widerspreche dir nicht.

Hier sagst du ihm indirekt...

Da interpretierst du viel hinein damit du irgendwie mehr recht hast als ich. Ich wollte nie recht haben, sondern nur nochmal aufklären und habe daher nachgefragt.

Übrigens, wähle ich im ausgeperrten Zustand (Post #32) im abgesicherten Modus den Administrator, lädt ein schwarzer Desktop ohne Explorer. Ich kann dort nichts machen. Kannst du das erklären?

 

[Capthowdy]

Da interpretierst du viel hinein damit du irgendwie mehr recht hast als ich.

Falsch. Ich intepretiere dort nicht mehr rein als "Fr4g3r". Das hat nichts mit "mehr recht haben wollen" zu tun, sondern damit, dass du dich nicht klar und unmissverständlich ausdrückst.

Der schwarze Desktop ist nicht normal. Es sollte ein gewöhnliches, leeres Benutzerprofil laden.
Was passiert denn, wenn du den Explorer manuell startest? (WIN+R -> explorer)

Edit: Im Zweifel kannst du das Profil des Administrators auch mal löschen.