Lesezugriff auf Verzeichnis für Programme verbieten

[fkarger]

Wie kann man unter Windows Programmen verbieten die Inhalte eines Verzeichnisses (und der Unterverzeichnisse) zu lesen?

Vorteilhaft wäre dabei folgender Ablauf:

1. Allen Programmen das Lesen verbieten
2. Falls ein Programm lesen will, wird der Benutzer um Erlaubnis gefragt.
3. Bei erteilter Erlaubnis wird das Programm einer Whitelist hinzugefügt und darf in Zukunft das Verzeichnis lesen.

Dieser Ablauf wäre schön, aber nicht zwingend erforderlich.

 

[rg88]

Programm mit einem anderen User ausführen und diesem die Rechte nicht geben für die betreffenden Ordner.
Aber was willst du eigentlich erreichen?

 

[fkarger]

Programm mit einem anderen User ausführen und diesem die Rechte nicht geben für die betreffenden Ordner.
Aber was willst du eigentlich erreichen?

Ich möchte verhindern, dass Programme, außer denen, denen ich explizit die Erlaubnis erteilt habe, Inhalte eines Ordners lesen können um so zB Datenklau zu vermeiden.
Könnte ich das mit Deiner Idee schaffen? Ich vermute Deine Lösung wäre für den Fall geeigneter, bei dem ich nur bestimmte Programme ausschließen will. Ich möchte aber "alle, bis auf..." ausschließen.

 

[tidus1979]

Probier's mal mit dem überwachten Ordnerzugriff vom Windows Defender:

https://docs.microsoft.com/de-de/mi...tomize-controlled-folders?view=o365-worldwide
https://www.tecchannel.de/a/ueberwachter-ordnerzugriff-unter-windows-gegen-ransomware,3277928

 

[1lluminate23]

Also wenn ich dein Vorhaben richtig verstanden habe, soll z.B. der Editor.exe auf Ordner X aber nicht Zugriff auf Ordner Y haben. Dass ginge in dem Fall nur mit 2 Profilen, dem Pfrofil, dass den Ordner anlegt und diesen für gewisse Leute frei gibt.

Oder willst ddu es auch bei Netzwerkfreigaben so handhaben? Dann wirds echt umständlich

 

[fkarger]

Probier's mal mit dem überwachten Ordnerzugriff vom Windows Defender:

https://docs.microsoft.com/de-de/mi...tomize-controlled-folders?view=o365-worldwide

Danke. Das bezieht sich aber leider nur auf den Schreibzugriff, wenn ich das richtig sehe. Ein Problem ist auch, dass Windows dann vielen Programmen automatisch die Erlaubnis erteilt.

Ergänzung (23. Januar 2022)

Also wenn ich dein Vorhaben richtig verstanden habe, soll z.B. der Editor.exe auf Ordner X aber nicht Zugriff auf Ordner Y haben. Dass ginge in dem Fall nur mit 2 Profilen, dem Pfrofil, dass den Ordner anlegt und diesen für gewisse Leute frei gibt.

Oder willst ddu es auch bei Netzwerkfreigaben so handhaben? Dann wirds echt umständlich

Netzwerkfreigaben sind für mich nicht relevant. Ich möchte, dass ein Ordner x zB fdurch notepad.exe und commander.exe geöffnet werden darf, aber von keinem anderen Programm. Also programmbezogen, nicht benutzerbezogen.

 

[1lluminate23]

Okay ich denke ich verstehe dein Vorhaben. Ich muss aber gleich dazu sagen, dass mir nicht bekannt ist, dass Windows so eine Funktion vorsieht / besitzt. Auf einen Ordner kann erstmal alles zugreifen, was unter deinem Benutzerkonto läuft. Es müsste ja um deinen Wunsch zu verwirklichen eine Option geben, dass man dem Ordner XYZ die Maßgabe gibt, nur Edit.exe darf zugreifen, alles andere nicht.

 

[derlorenz]

Funktioniert so nicht mit Boardmitteln und mir ist da auch keine 3rd-Party-App bekannt.

 

[Abe81]

Viele Programme würden aber einfach Macken haben ohne rückzumelden, dass es mit den Rechten beim Verzeichniszugriff zu tun hat, weil sie einfach davon ausgehen, auf Verzeichnisse zugreifen zu können.

Oder geht es nur um die reinen „Endprodukte“? Also z.B. Dokumente bei Word?

Warum ist das denn so relevant für dich, dich vor „Datenklau“ zu schützen? Wenn man das wüsste, könnte man dir besser helfen.

Ergänzung (23. Januar 2022)

Mit Linux wärst du da besser aufgestellt…

 

[fkarger]

Okay ich denke ich verstehe dein Vorhaben. Ich muss aber gleich dazu sagen, dass mir nicht bekannt ist, dass Windows so eine Funktion vorsieht / besitzt. Auf einen Ordner kann erstmal alles zugreifen, was unter deinem Benutzerkonto läuft. Es müsste ja um deinen Wunsch zu verwirklichen eine Option geben, dass man dem Ordner XYZ die Maßgabe gibt, nur Edit.exe darf zugreifen, alles andere nicht.

Funktioniert so nicht mit Boardmitteln und mir ist da auch keine 3rd-Party-App bekannt.

Ja, könnte schwer werden, ich habe aber inzwischen gesehen, dass Comodo eine Funktion "Protection Settings" hat, bei der man spezifizieren kann, was mit einem Verzeichnis getan werden darf. Nur leider finde ich nicht genau die Option, die ich suche.

Trend Micro hat einen "Folder Shield". Das scheint mir am ehesten zu passen, muss ich aber noch ergründen.

Ergänzung (23. Januar 2022)

Viele Programme würden aber einfach Macken haben ohne rückzumelden, dass es mit den Rechten beim Verzeichniszugriff zu tun hat, weil sie einfach davon ausgehen, auf Verzeichnisse zugreifen zu können.

Oder geht es nur um die reinen „Endprodukte“? Also z.B. Dokumente bei Word?

Warum ist das denn so relevant für dich, dich vor „Datenklau“ zu schützen? Wenn man das wüsste, könnte man dir besser helfen.

Ergänzung (23. Januar 2022)

Mit Linux wärst du da besser aufgestellt…

Es geht in meinem Fall um Texte und einen sehr kleinen Kreis von Programmen (einer handvoll), dem ich den Zugriff erlauben möchte. Der Klau der Texte wäre geistiger Diebstahl, den ich verhindern will.
Linux wäre einfacher, das stimmt, würde aber leider zu anderen Problemen führen.

 

[tidus1979]

Der einfachste Weg wäre wohl, nur vertrauenswürdige Apps zu installieren und den Rest in einer VM …
Wichtigste Dokumente in verschlüsselten Containern lagern.

Das in Kombination mit überwachten Ordnern sollte dann vor Verschlüsselungstrojanern und Dateklau auch ausreichend schützen, es sei denn, du bist ein priorisiertes Ziel. Dann solltest du dir professionellen Support holen.

 

[fkarger]

Der einfachste Weg wäre wohl, nur vertrauenswürdige Apps zu installieren und den Rest in einer VM …
Wichtigste Dokumente in verschlüsselten Containern lagern.

Das in Kombination mit überwachten Ordnern sollte dann vor Verschlüsselungstrojanern und Dateklau auch ausreichend schützen, es sei denn, du bist ein priorisiertes Ziel. Dann solltest du dir professionellen Support holen.

Ok, danke, dann wäre der einfachste Weg nicht so einfach

Mir kam die Option nur sehr wenigen vertrauenswürdigen Programmen den Zugriff zu erlauben, angenehm einfach vor, aber offenbar einfacher gesagt, als getan. Whitelisting gilt ja auch als besonders wirksam gegen solche Trojaner.

 

[Abe81]

Also geht es dir nur um die „Endprodukte“?

Es wäre wirklich am einfachsten, einen Benutzer „Programme“ anzulegen und diesem nur sehr restriktive Rechte zu geben.

Oder einfach ein Offline-System, das vom Rest getrennt ist.

Oder - wie bereits geschrieben - in/mit einem Container/Safe etc. arbeiten. Davon gibt es viele Lösungen. Axcrypt nutzt mein Schwager, bei dem es um die Erstellung von Abiturklausuren geht.

 

[rg88]

Der Klau der Texte wäre geistiger Diebstahl, den ich verhindern will.

Warum installierst du Programme, denen du nicht traust und die offensichtlich Trojaner und Spähsoftware sind, so wie du es beschreibst?

Ergänzung (23. Januar 2022)

Mir kam die Option nur sehr wenigen vertrauenswürdigen Programmen den Zugriff zu erlauben,

Nochmal: Was sind das für Programme? Wieso installierst du nicht vertrauenswürdige Programme?

 

[fkarger]

Also geht es dir nur um die „Endprodukte“?

Es wäre wirklich am einfachsten, einen Benutzer „Programme“ anzulegen und diesem nur sehr restriktive Rechte zu geben.

Oder einfach ein Offline-System, das vom Rest getrennt ist.

Ich bin mir nicht sicher, ob ich Deine Frage richtig verstehe.
Mir geht es darum meine erstellten Texte gegenüber Datenklau (Kopieren) zu schützen.
Dabei machen mir weniger User als Programme sorgen. Wenn zB Daten per Trojaner o.ä. geklaut werden würden, wäre das unangenehm. Daher möchte ich nur einem möglichst kleinen Kreis von Programmen den Zugriff auf meine Texte ermöglichen.

Ja, offline wäre eine harte sichere Lösung, nur leider nicht praktikabel, fürchte ich.

Ergänzung (23. Januar 2022)

Warum installierst du Programme, denen du nicht traust und die offensichtlich Trojaner und Spähsoftware sind, so wie du es beschreibst?

Ergänzung (23. Januar 2022)

Nochmal: Was sind das für Programme? Wieso installierst du nicht vertrauenswürdige Programme?

Keine Sorge, ich bin da sehr vorsichtig und passe beim Installieren auf.

Es geht mir nur darum den Kreis an Programmen, denen ich den Zugriff auf besonders wertvolle Daten erlaube, kleinstmöglich zu halten um das Risiko zu minimieren.
Zudem muss man davon ausgehen, dass Vorsicht nicht immer ausreichen wird. Und dann ist Whitelisting besser.

 

[rg88]

Machs doch einfach ganz anders:
Mach eine verschlüsselte Partition mit VeraCrypt und binde sie nur ein, wenn du die Texte brauchst. Wenn du sie wieder aushängst, sind alle Daten wieder verschlüsselt und nicht mehr zugänglich.

Und gleichzeitig solltest du dein Sicherheitskonzept überarbeiten, wenn die Daten ach so sensibel sind, du aber offensichtlich unsichere und nicht vertrauenswürdige Software einsetzt.
Solche kann übrigens auch einfach den Bildschirm abfotografieren, ganz ohne Zugriff auf deine Daten... Also geht dein aktueller Ansatz so quasi nach hinten los und bringt nichts außer viel Aufwand

 

[fkarger]

Machs doch einfach ganz anders:
Mach eine verschlüsselte Partition mit VeraCrypt und binde sie nur ein, wenn du die Texte brauchst. Wenn du sie wieder aushängst, sind alle Daten wieder verschlüsselt und nicht mehr zugänglich.

Und gleichzeitig solltest du dein Sicherheitskonzept überarbeiten, wenn die Daten ach so sensibel sind, du aber offensichtlich unsichere und nicht vertrauenswürdige Software einsetzt.
Solche kann übrigens auch einfach den Bildschirm abfotografieren, ganz ohne Zugriff auf deine Daten... Also geht dein aktueller Ansatz so quasi nach hinten los und bringt nichts außer viel Aufwand

Danke für Deinen Vorschlag.
Mit der verschlüsselten Partition würde man so das Zeitfenster für eine Attacke minimieren.
Ich befürchte, das wird mir nicht genügen, wäre aber eine Verbesserung, ja.

Wie gesagt, ich möchte die Angriffsfläche minimieren. In einer Firma hat man ja zB grundsätzlich auch vertrauenswürdige Mitarbeiter. Dennoch würde man den Kreis derer mit Zugang zu den sensibelsten Daten vermutlich auch so klein wie möglich halten.

 

[Abe81]

Partition oder Dateien verschlüsseln und vor der Entschlüsselung offline gehen. Das ist sehr unkompliziert und sehr sicher.

Dein Anliegen und die Unzufriedenheit mit den unterbreiteten Vorschlägen mutet etwas seltsam an.

 

[fkarger]

Partition oder Dateien verschlüsseln und vor der Entschlüsselung offline gehen. Das ist sehr unkompliziert und sehr sicher.

Dein Anliegen und die Unzufriedenheit mit den unterbreiteten Vorschlägen mutet etwas seltsam an.

Danke für die vielen Vorschläge.
Ich bin nicht unzufrieden, aber wäge ab und werde den Ansatz mit Containern evtl weiter ausarbeiten.

 

[tidus1979]

Ich kann das Anliegen schon nachvollziehen. Es wäre durchaus praktisch, Freigaben so frei je nach Anwendung konfigurieren zu können. Es gibt dem User das Gefühl, selbst die Kontrolle zu haben.

Bei macOS gibt es das ja rudimentär, zumindest für Apps, die nicht aus dem App-Store kommen. Da würde ich mir auch wünschen, dass man das bei Bedarf noch feiner steuern kann.