Windows Standardbenutzer Account "sicher" ? (gegen trojaner und anderen krempel)

[Deufel]

Windows Standardbenutzer Account "sicher" ? (gegen trojaner und anderen krempel)

nabend,


ich darf mal wieder, ist so das 3. oder 4. mal das ich in den letzten 3 monaten windows 10 auf dem t400 meiner schwiegermutter neu installieren darf, da sie ständig alles anklickt.
jetzt geht mal wieder garnichts mehr weil sie den emailanhang einer "inkasso"mail geöffnet hat (o-ton) "inkasso wäre ja wichtig, sowas kann man doch nicht ignorieren."
auch installiert sie ständig diesen mcaffee dreck mit flash.

ja, ich hab ihr schon tausendmal gesagt der haken muss rausgemacht werden und diese spammails soll sie ignorieren, alles wichtig würde per post kommen.
aber hilft alles nichts.


da ich nun win10, das will sie unbedingt haben, neu installieren muss, will ich ihrem benutzerkonto kein adminrecht mehr geben, das heisst ich will das sie nichts mehr installieren darf und sich auch kein anhang einer email installieren kann wenn man diesen ausführt.
geht das so, oder denk ich da gerade in die falsche richtung.

ich will sie ja eigentlich nicht bevormunden, aber selbst ein desktophintergrundbild mit wichtigen does and donts hilft auch nicht. also müssen härtere massnahmen her.

mit linux kenne ich mich leider überhaupt nicht aus, daher scheidet das auch aus, zumal sie unbedingt win10 haben will.


mfg

 

[Mornsgrans]

"Vergebliche Liebesmüh'" sage ich da nur. Kenne das aus eigener Erfahrung.
Gegen "Ich will aber" hilft nur, ein "Mach' was Du willst, mein Support ist hiermit beendet"

Gegen vorsätzliche "Dummheit" hilft nur, den Saft abdrehen.

Ich hatte mich auch eine längere Zeit mit meiner Schwiegermutter wegen genau der gleichen Sache mehrfach in die Wolle bekommen und nach der vierten Neuinstallation, mehren Inkassobriefen und Abofallen nichts mehr an ihrem Rechner gemacht, bis er nach einer erneuten "Malware-Sammelaktion" gar nicht mehr ins Internet ging. Trotz mehrfachen Drängelns meiner Ex und ihrer Mutter habe ich nichts mehr an dem Rechner gemacht.

Manchmal hilft nur Härte und rigoroses Durchgreifen zu IHREM Schutz.

 

[tobi_strothotte]

Ich könnte mich irren, aber wenn ein Gastzugang eingerichtet werden kann hat sie keine Installations Rechte für Programme.

 

[Mornsgrans]

Ich könnte mich irren, aber wenn ein Gastzugang eingerichtet werden kann hat sie keine Installations Rechte für Programme.

Auch der reicht, um Blödsinn zu veranstalten - und wenn es nur eine Abofalle ist.

 

[mcb]

Keine Adminrechte ist schon mal ein guter Anfang :thumbup:

 

[tobi_strothotte]

Stimmt da hilft nur eins Offline schicken bis zur Erkentniss.

Gegen Abbofallen hilft auch kein Linux.

 

[Gamepower]

gegen sowas helfen 2 1a wege: holzhammer methode, oder absolute ignoranz. 2. weg ist vorzuziehen, aber 1. weg habe ich auch schonmal gemacht...

 

[Terbium]

Meiner Erfahrung nach helfen am Ende nur konsequente Updates für die brain.exe.

Solche Verantwortlichkeiten wird man nicht so sauber los wie einen x-beliebigen Kunden, da muss man mit "Support gibt's keinen mehr" vorsichtig sein.
Meistens ist die Aufmerksamkeitsspanne für "Computerkram" dem eigenen Empfinden nach zusätzlich unfassbar kurz. Da muss man konsequent und regelmäßig behutsam kleine Updates einspielen.
Habe da mittlerweile zwei Beispiele, die nach langem Einwirken, trotz hohem Alter (75+), nun tatsächlich in der Lage sind sich einigermaßen sicher durchs Internet zu bewegen.

Extrem viel halte ich von der Software nicht, aber in solchen Fällen setze ich gerne Secunia PSI im Automodus ein und "verbiete" jegliche Installation von irgendwelchen Programmen ohne Rücksprache. Im Zweifelsfall mache ich das per Remote (mittlerweile wie gesagt nicht mehr notwendig). Lieber zwischendurch immer wieder ein paar Minuten geopfert als hinterher das System neu aufzusetzen. Das verbessert auch die Stimmung gewaltig. So richtig viel Freude strahlt man ja selten aus, wenn man mal wieder das total zerstörte System neu einspielen darf, besonders wenn der User der festen Überzeugung ist, keinerlei Mitschuld zu tragen.

 

[gestern]

.....kein anhang einer email installieren kann wenn man diesen ausführt. geht das so, oder denk ich da gerade in die falsche richtung.

auf einem PC, ohne domäne, wird nur immer die sicherheit sein, mit der aufmerksamkeit, die ein juser in dem augenblick hat, gepaart mit der kenntniss,
was er denn wirklich will. solange der juser mit aller aufmerksamkeit inkasso mails öffnet anstelle sich zu fragen ob er das will ,......
nutzen auch juser rechte nicht um sicher zu sein.
entweder packt mann alles was er will in einen sandkasten,
sandkasten im autostart und alles was er anklickt wird im sandkasten ausgeführt, auch die .exe. oder man nimmt den kioskmodus damit lässt sich nur ein programm starten seit win 8 aber in einem browser mit mailclient und plugins / erweiterungen für "office", audio, film, skype usw. reicht ein programm ja für alles aus.
(Kioskmodus) Einrichten eines Geräts zur Verwendung durch alle Personen

edit kioskmodus wiki
edit 2

....... besonders wenn der User der festen Überzeugung ist, keinerlei Mitschuld zu tragen.

hmmm, ......... woher haben wir alle den selben bekanntenkreis ?*nachdenklich am kin kratz*

 

[Arminius]

... und dann sehe noch ich noch den 3.Weg: zeige und erkläre ihr, wie sie selbst Win10 auf die Platte bringt.

 

[sarek]

Bei einem PC hätte ich ne Hardwareschutzkarte empfohlen - Da kann installiert werden was will, beim Neustart ist die Urversion wieder da - Hilft aber nix gegen Abospam..

Hab das ähnliche Problem, dass ich bei Mitmenschen (ua mein Nachbar der zudem seine ganzen Firmenunterlagen auf dem Rechner hat) teilweise gegen ne Wand rede. Hab ihm gesagt er soll mit dem Gastzugang arbeiten und nicht jeden Scheiß im Netz anklicken... aber nö das kommt ja gar nicht in Frage... Wenigstens zahlt er nen gescheiten Stundenlohn

Zum Problem: Eingeschränkter Zugang hilft in der Tat nur bedingt... *.exe Setups werden zwar geblockt aber den PC mit Malware und Trojanern und Co füttern geht schon noch... außer du setzt ein gutes Antivierenprogramm auf, stellst es auf die höchste Stufe und kloppst ein Passwort rein, damit es nicht beendet oder verändert werden kann...

Um die "weiteren" Installationen und Einstellungen nicht ein 4. bzw. 5. mal durchzuführen, knöpf ihr 70€ ab und klon das OS auf ne externe...

 

[Deufel]

is kaspersky 16 in verwendung, hab da ne 5er lizenz. das lollige, der ist so eingestellt das er keine veränderungen zulassen soll. aber der scheiss mcaffeerotz mit der flashinstall beendet kaspersky deshalb immer ......

 

[sarek]

is kaspersky 16 in verwendung, hab da ne 5er lizenz. das lollige, der ist so eingestellt das er keine veränderungen zulassen soll. aber der scheiss mcaffeerotz mit der flashinstall beendet kaspersky deshalb immer ......

Was mir letztens aufgefallen ist: Bei der Installation einer neuen Firefox-Version ist wohl auf der aktuelle Flashplayer ohne mcaffee dabei - zuminddest war der Flashplayer danach aktuell und die Software hat nicht von sich aus gefragt...


Was man machen könnte: Die flashplayer-Install.exe runterladen und danach die Webseite via Kaspersky sperren. Nachteil - Nach der Install verschwindet die Install.exe unsd man kann sie nicht immer wieder nutzen... Alternativ Seite sperren und die exe per Mail oder so zukommen lassen

 

[DTM]

Was ich machen würde:

• eingeschränktem Benutzeraccount verwenden, Paßwort für separaten Adminaccount nicht hergeben
• mir reicht eigentlich der Defender, aber wenn es ein anderer Virenscanner sein muß, dann bitte einer mit minimaler Benutzerinteraktion
• SRP einrichten (Software-Whitelisting, d.h. es darf nur ausgeführt werden, was in Verzeichnissen wie "C:\Program Files" liegt); Anleitung hier
• einen Adblocker einrichten, z.B. "uBlock Origin"
• Shumway statt Flash verwenden (das ist ein in Javascript implementierter Flash-Player)
• EMET installieren
• Makros in Office ohne Benachrichtigung deaktivieren
• wenn du einer Infektion über Privilege Escalation im Browser vorbeugen willst, kannst du den Browser mit "runas" in einem anderen Benutzerkontext ausführen, so daß er nur Lese-, aber keinen Schreibzugriff auf die Dokumente des Benutzers hat; das kann zwar ein wenig verwirrend sein, ist aber den Aufwand wert
• wenn du damit rechnest, daß der Benutzer es trotzdem irgendwie hinbekommen könnte, Schadsoftware im Benutzerkontext auszuführen (z.B. indem er die Office-Makros wieder aktiviert oder explizit einen Browser im Benutzerkontext öffnet), dann könntest du noch einen Task einrichten, der die Benutzerdaten regelmäßig in ein Verzeichnis dupliziert, in dem der Benutzer selbst keine Schreibrechte hat; dann ist nicht alles verloren, falls Locky durchdringt und die Daten verschlüsselt (Edit: "duplizieren" hilft natürlich nichts; eine neue Sicherung sollte nicht die die älteren überschreiben)

Wie man merkt, wird die Liste nach unten hin immer paranoider Mein Bekanntenkreis hat sich bisher zum Glück als lernfähig erwiesen.

 

[mccs]

Nicht vergessen: Blacklist in der Host. Ist zwar aufwändig, funktioniert aber. Google kennt fertige Listen.
Outlook z.B. hat eine Junk-Liste, die man auch pflegen kann.
Zuletzt: gute Router können auch böse Seiten abblocken (Blacklist).
Ab Windows 7 hilft auch:
Admin-Konto passwortgeschützt einrichten. Passwort bleibt geheim! So kommt man im Notfall wenigstens wieder in den PC.
Userkonto einrichten, davon sofort eine jungfräuliche Sicherung erstellen. Die kann bei Bedarf wiederhergestellt werden.

Allerdings stimme ich zu: bei Dauer-Renitenten endet der Support sofort und für immer. Es geht nicht anders.