Seit Windows 8 ist es nicht mehr möglich, über einfache Anpassung eines Registry-Keys das Standardprogramm für eine Dateiendung oder ein Protokoll zu ändern. Dies ist eine Sicherheitsmaßnahme, um zu verhindern, dass Viren unbemerkt die Zuordnung von Standardprogrammen ändern.

Wie kann man Standardprogramme per Script dennoch ändern?

Variante 1

Microsoft empfiehlt, bei Bedarf, per Gruppenrichtlinie die gewünschten Zuordnungen zu setzen. Dies hat drei Nachteile: 1. Es gilt für alle Benutzer eines PCs, 2. Es funktioniert nur, wenn der PC Mitglied einer Domäne ist, 3. Einzelne Nutzer können individuelle Änderungen nicht mehr vornehmen.

Wer dennoch diesen Weg gehen möchte, kann sich die aktuellen Einstellungen mit diesem Befehl in eine Datei “defaultapps.xml” schreiben lassen:

dism /online /Export-DefaultAppAssociations:defaultapps.xml

Die XML-Datei editiert man dann in der Form, dass nur die durch die Richtlinie festzulegenden Einstellungen erhalten bleiben.

In “gpedit.msc” wird anschließend der Pfad zur XML-Datei (meist auf einer Serverfreigabe) unter Computerkonfiguration -> Administrative Vorlagen -> Windows-Komponenten -> Datei-Explorer -> Konfigurationsdatei für Standardzuordnungen eingetragen.

Beispielhafte “defaultapps.xml“:

<?xml version="1.0" encoding="UTF-8"?>
<DefaultAssociations>
<Association Identifier=".pdf" ProgId="AcroExch.Document.DC" ApplicationName="Adobe Acrobat Reader DC" />
<Association Identifier="http" ProgId="FirefoxURL-308046B0AF4A39CB" ApplicationName="Firefox" />
<Association Identifier="https" ProgId="FirefoxURL-308046B0AF4A39CB" ApplicationName="Firefox" />
<Association Identifier="mailto" ProgId="Outlook.URL.mailto.15" ApplicationName="Outlook" />
</DefaultAssociations>

Variante 2

Das Tool SetUserFTA kann Standardprogramme für Dateiendungen und Protokolle für den aktuell angemeldeten Benutzer ändern: Download, Infos.

Zunächst kann man die aktuellen Einstellungen mit diesem Befehl in eine Datei “defaultapps.txt” schreiben lassen:

setuserfta get > defaultapps.txt

Die txt-Datei editiert man dann in der Form, dass nur die per Script festzulegenden Einstellungen erhalten bleiben. Ein Script (z. B. Anmeldescript nach diesem Modell) aktiviert dann die erstellte Konfiguration (die natürlich auch auf einer Netzwerkfreigabe liegen kann) wie folgt:

setuserfta defaultapps.txt

Beispielhafte “defaultapps.txt“:

.pdf, AcroExch.Document.DC
http, FirefoxURL-308046B0AF4A39CB
https, FirefoxURL-308046B0AF4A39CB
mailto, Outlook.URL.mailto.15

… wenn noch öfter solche Meldungen kommen, eher nicht.

Ob die folgenden Einstellungen dies unterdrücken? Ich bin noch nicht sicher.

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\CloudContent]
"DisableWindowsConsumerFeatures"=dword:00000001
"DisableSoftLanding"=dword:00000001
"DisableWindowsSpotlightWindowsWelcomeExperience"=dword:00000001
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Policies\Microsoft\Windows\CloudContent]
"DisableWindowsConsumerFeatures"=dword:00000001
"DisableSoftLanding"=dword:00000001
"DisableWindowsSpotlightWindowsWelcomeExperience"=dword:00000001
 
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\ContentDeliveryManager]
"SoftLandingEnabled"=dword:00000000
"SubscribedContent-338389Enabled"=dword:00000000
"SubscribedContent-310093Enabled"=dword:00000000
"SystemPaneSuggestionsEnabled"=dword:00000000
"SilentInstalledAppsEnabled"=dword:00000000

Manchmal möchte man in einem Script (z. B. Anmeldescript nach diesem Modell) Befehle ausführen, die erhöhte Rechte erfordern, ohne den Benutzer mit einer UAC-Abfrage zu belästigen oder irritieren.

Dies ist problemlos – und ohne UAC komplett abzuschalten – möglich mit diesem Tool: RunAsRob

Das Tool installiert einen Dienst, dessen Funktionen über Registry-Einträge konfiguriert werden, z. B. Ausführung bestimmter Befehle unter dem Konto “system” und somit mit vollen Rechten ohne UAC-Abfrage.

Der Intel HD Graphics Treiber bietet manchmal keine Auflösung größer als 1920×1080 Pixel an. Wenn sichergestellt ist, dass der Monitor und das verwendete Kabel WQHD (2560×1440) können, kann manchmal durch Hinzufügen einer benutzerspezifischen Auflösung das gewünschte Ziel erreicht werden.

Hierbei werden eingestellt:

Breite: 2560
Höhe: 1440
Bildwiederholfrequenz: 50
Timing-Standard: CVT-RB

Meiner Erfahrung nach passiert beim anschließenden Übernehmen der Einstellungen erst mal gar nichts, aber nach einem Neustart des Systems kann die neue Auflösung dann erfolgreich ausgewählt werden.

Das BDSG forderte dies schon vorher, nun ist auch aus Art. 32 der DSGVO abzuleiten, dass personenbezogene Daten beim E-Mail-Versand dem aktuellen Stand der Technik entsprechend verschlüsselt sein müssen. Hierbei ist nicht die Verschlüsselung auf dem Transportweg ausreichend, die weitgehend bereits zwischen den Providern erfolgt, da die E-Mails hierbei weiterhin im Klartext auf den beteiligten Mailservern liegen. Viel mehr ist eine Inhaltsverschlüsselung der E-Mails, die vom E-Mail-Client des Absenders bis zum E-Mail-Client des Empfängers erhalten bleibt, erforderlich.

Das hier vorgestellte Verfahren ist S/MIME. Es handelt sich nicht um ein symmetrisches Verschlüsselungsverfahren, bei dem ein Kennwort auf einem zweiten Weg (z.B. telefonisch) übermittelt werden muss, sondern um ein asymmetrisches (Public Key) Verfahren. S/MIME wird von allen gängigen E-Mail-Clients unterstützt.

Die Aktivierung in Outlook 2016 am Beispiel eines kostenlosen Zertifikates von Comodo:

1. Ein Zertifikat beantragen unter https://secure.comodo.com/products/frontpage?area=SecureEmailCertificate&currency=EUR&region=Europe&country=DE

2. In der erhaltenen E-Mail “Click & Install Comodo Email Certificate” anklicken (muss sich in Firefox öffnen!).

3. In Firefox die Adresse “about:preferences#privacy” aufrufen.

4. “Zertifikate anzeigen”, dort “Ihre Zertifikate” wählen.

5. “Alle sichern” wählen und das Zertifikat an einem sicheren Ort speichern. Die Zertifikatsdatei auch nach Abschluss der Einrichtung nicht löschen. Diese wird benötigt, z.B. bei Wechsel des PCs. Auch abgelaufene Zertifikate können nach Jahren noch benötigt werden, um im Güligkeitszeitraum empfangene, verschlüsselte E-Mails zu lesen, denn die E-Mails bleiben verschlüsselt gespeichert und werden bei jedem Lesen neu entschlüsselt!

6. Ein Kennwort zur Sicherung des Zertifikats gegen unbefugte Nutzung wählen. Auch dieses Kennwort wird ggf. nach Jahren erneut benötigt (z.B. bei Wechsel des PCs)!

7. Die angelegte Zertifikatsdatei doppelt anklicken.

8. “Aktueller Benutzer” und dann die Zertifikatsdatei auswählen, die nach Eingabe des Kennworts eingelesen wird.

9. Outlook neu starten.

10. In Outlook Datei -> Optionen -> Trust Center -> Einstellungen für das Trust Center -> E-Mail-Sicherheit wählen. Dort “In GAL veröffentlichen” anklicken (nur bei Verwendung eines Exchange-Servers). Outlook reagiert danach evtl. ein paar Sekunden nicht mehr. Hier auch prüfen, ob bei Standardeinstellung “Meine S/MIME-Einstellungen” gewählt ist. -> “Ok”.

11. Damit ist die Einrichtung abgeschlossen.

Nun stehen in Outlook zwei Funktionen zur Verfügung:

1. E-Mails digital signieren: Dies ist eine Sicherung gegen unerlaubte Modifikationen einer E-Mail auf dem Transportweg und beeinhaltet keine Verschlüsselung. Digital signierte E-Mails können an beliebige Empfänger verschickt werden, ohne dass beim Empfänger Vorbereitungen notwendig wären, wenn “Signatur und Klartext senden” gewählt wird. Dazu während des Schreibens der E-Mail unter “Optionen” die Schaltflächen nutzen oder, falls diese nicht sichtbar sind, unter Datei -> Eigenschaften -> Sicherheitseinstellungen die entsprechenden Haken setzen. Die durchaus sinnvolle Voreinstellung, alle E-Mails digital zu signieren, ist unter Datei -> Optionen -> Trust Center -> Einstellungen für das Trust Center -> E-Mail-Sicherheit möglich, dort die Option “Signierte Nachrichten als Klartext senden” zusätzlich zur Aktivierung des Signierens wählen.

2. E-Mails verschlüsseln: Dies ist eine Verschlüsselung vom eigenen E-Mail-Client bis zum E-Mail-Client des Empfängers. Voraussetzung ist, dass der Public Key des Empfängers Outlook bekannt ist. Dies ist bei internen Empfängern, die ihr Zertifikat gemäß Punkt 10 der obenstehenden Anleitung im globalen Adressbuch (GAL) veröffentlicht haben, automatisch der Fall. Um den Public Key eines externen Kontakts zu erhalten, muss dieser einmalig eine digital signierte E-Mail zusenden. Aus dieser kann dann der Public Key (zusammen mit den Kontaktdaten) im eigenen Adressbuch gespeichert werden. Aktivieren der Verschlüsselung: Während des Schreibens der E-Mail unter “Optionen” die Schaltflächen nutzen oder, falls diese nicht sichtbar sind, unter Datei -> Eigenschaften -> Sicherheitseinstellungen die entsprechenden Haken setzen.

Natürlich ist die gleichzeitige Verwendung beider Optionen möglich und empfehlenswert.

Nach der Installation von MySQL befindet sich der Datenbankserver in einem unsicheren Zustand. Viele Lücken können mit einem einzigen Befehl geschlossen werden:

mysql_secure_installation

Sichern einer Datenbank in einem SQL-dump:

mysqldump -u root -p datenbank > datenbank.sql

Anlegen einer Datenbank:

mysql -u root -p
create database datenbank;

Benutzer mit Rechten auf der Datenbank anlegen:

mysql -u root -p
grant all privileges on datenbank.* to 'datenbank_user'@'localhost' identified by 'passwort' with grant option;

Datenbank dump einlesen:

mysql -u root -p datenbank < datenbank.sql

Benutzerpasswort ändern:

mysql -u root -p
use mysql;
update user set authentication_string=password('passwort') where user='datenbank_user';
flush privileges;

Diese Kommandos reichen auch aus, um z.B. eine Datenbank auf einen neuen Server umzuziehen.

Die c’t meint, dies wäre mittlerweile empfehlenswert, und beruft sich dabei auf unabhängige Tests, bei denen der mitgelieferte Windows Defender nicht schlechter abgeschnitten hat, als gute, zu bezahlende Virenscanner von Drittanbietern.

Es ist hierbei empfehlenswert, zusätzliche Sicherheitsfunktionen zu aktivieren und Routinemeldungen zu deaktivieren:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender Security Center\Virus and threat protection]
"SummaryNotificationDisabled"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender]
"PUAProtection"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\MpEngine]
"MpEnablePus"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Windows Defender Exploit Guard\Network Protection]
"EnableNetworkProtection"=dword:00000001

Diese weiteren Einstellungen sind Geschmacksache:

Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender Security Center\Notifications]
"DisableEnhancedNotifications"=dword:00000000

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows Defender Security Center\Virus and threat protection]
"NoActionNotificationDisabled"=dword:00000000

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows Defender Security Center\Virus and threat protection]
"FilesBlockedNotificationDisabled"=dword:00000000

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender]
"DisableAntiSpyware"=dword:00000000

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\SmartScreen]
"ConfigureAppInstallControl"="Anywhere"

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender Security Center\App and Browser protection]
"DisallowExploitProtectionOverride"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender Security Center\Account protection]
"UILockdown"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender Security Center\Family options]
"UILockdown"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\MicrosoftEdge\PhishingFilter]
"EnabledV9"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer]
"SmartScreenEnabled"="Warn"

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\System]
"EnableSmartScreen"=dword:00000001
"ShellSmartScreenLevel"="Warn"

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Windows Defender Exploit Guard\Controlled Folder Access]
"EnableControlledFolderAccess"=dword:00000000

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection]
"DisableIOAVProtection"=dword:00000000
"DisableRealtimeMonitoring"=dword:00000000

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SecurityHealthService]
"Start"=dword:00000002

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc]
"Start"=dword:00000002

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Spynet]
"DisableBlockAtFirstSeen"=dword:00000000
"SpynetReporting"=dword:00000002
"SubmitSamplesConsent"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\AppHost]
"EnableWebContentEvaluation"=dword:00000001
"PreventOverride"=dword:00000000

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\AppHost]
"EnableWebContentEvaluation"=dword:00000001
"PreventOverride"=dword:00000000

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\HypervisorEnforcedCodeIntegrity]
"Enabled"=dword:00000000

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile]
"DisableNotifications"=dword:00000000
"EnableFirewall"=dword:00000001

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\PublicProfile]
"DisableNotifications"=dword:00000000
"EnableFirewall"=dword:00000001

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile]
"DisableNotifications"=dword:00000000
"EnableFirewall"=dword:00000001

Für Unternehmen, die ein zentrales Management benötigen, gibt es von Microsoft den Windows Defender ATP. Dieser soll jedoch mit ca. 60-80€ pro Arbeitsplatz und Jahr zu Buche schlagen.

Ein aktueller Vergleich diverser Virenscanner:

https://www.av-test.org/de/antivirus/privat-windows/

Um die Kommentarfunktion von WordPress auf einfache Weise der EU-Datenschutz-Grundverordnung näher zu bringen, kann man unter Einstellungen -> Diskussion folgende Haken entfernen:

• “Benutzer müssen zum Kommentieren Name und E-Mail-Adresse hinterlassen”
• “Benutzer müssen zum Kommentieren registriert und angemeldet sein”

Wenn man die Felder zur Eingabe von URL, Mailadresse und Name beim Schreiben von Kommentaren nun noch mit folgendem Code über ein Plugin wie “Simple Custom CSS” oder z. B. bei Suffusion unter Suffusion Options -> Back-End -> Custom Includes ausblendet, werden m. E. keine personenbezogenen Daten mit den Kommentaren gespeichert (sofern man anderweitig bereits das Speichern der IP-Adresse unterbunden hat – was aber eher niemand kontrollieren kann):

input#author.textarea, input#email.textarea, input#url.textarea, #commentform label.suf-comment-label {
display: none;
}

#commentform label.textarea.suf-comment-label {
display: inline;
}

Der CSS-Code ist für Suffusion. Für andere Themes müssen die Bezeichner evtl. angepasst werden.

Outlook 2016 meldet beim Versuch, ein Exchange-Konto einzurichten: Es steht keine verschlüsselte Verbindung mit Ihrem E-Mail-Server zur Verfügung?

Grund hierfür kann sein, dass die autodiscover-Funktion für den betreffenden Domainnamen nicht funktioniert. (Zu prüfen mit Strg-Rechtsklick auf das Outlook-Icon im System Tray rechts in der Taskleiste, dort: E-Mail-AutoKonfiguration testen.)

Hier half bis Outlook 2013, das Konto manuell unter Angabe des Servers anzulegen (z. B. outlook.office365.com für Exchange Online). Dies ist mit Outlook 2016 nicht mehr möglich!

Teilweise wird empfohlen, statt dessen ein Exchange ActiveSync Konto anzulegen, da dort die Eingabe des Servernamens möglich ist, und bei der Fehlermeldung, der Server sei nicht erreichbar, Outlook über den Task-Manager abzuschießen. Danach ist es tatsächlich möglich, das Konto in Outlook zu nutzen. Allerdings ist dies nicht zu empfehlen, da das Exchange ActiveSync Protokoll nur für mobile Geräte und niedrige Bandbreiten gedacht ist. Welche Funktionseinschränkungen daraus resultieren, ist mir nicht bekannt.

Also zurück zur Überschrift: Outlook 2016 ohne autodiscover.xml mit einem Exchange Server zu verbinden geht m. W. gar nicht, es sei denn man weiß, wie man das Konto manuell in der Registry anlegt. Alternativ kann man aber z. B. eine lokale autodiscover.xml anlegen, die eine Umleitung auf die gewünschte autodiscover.xml des Mailhosters ist, wenn man für den eigenen Domainnamen nicht die erforderliche Konfiguration vornehmen kann. (… was ich mich in den DNS-Einstellungen bei 1&1 im Moment nicht mehr traue, da man dann bestätigen muss, dass alle Mailadressen und Umleitungen gelöscht werden, obwohl dies damit überhaupt nicht in Zusammenhang steht.)

Anlegen einer lokalen autodiscover.xml (in diesem Beispiel für Exchange Online)

Für das Beispiel habe ich diese autodiscover.xml in c:\temp abgelegt:

<?xml version="1.0" encoding="utf-8"?>
<Autodiscover xmlns="http://schemas.microsoft.com/exchange/autodiscover/responseschema/2006">
<Response xmlns="http://schemas.microsoft.com/exchange/autodiscover/outlook/responseschema/2006a">
<Account>
<AccountType>email</AccountType>
<Action>redirectUrl</Action>
<RedirectUrl>http://autodiscover.outlook.com/autodiscover/autodiscover.xml</RedirectUrl>
</Account>
</Response>
</Autodiscover>

Damit Outlook die Datei findet, sind diese Registry-Einträge notwendig (beispiel.domain durch die Domain des Exchange-Kontos ersetzen):

Windows Registry Editor Version 5.00

[HKEY_CURRENT_USER\Software\Microsoft\Office\16.0\Outlook\AutoDiscover]
"beispiel.domain"="c:\\temp\\autodiscover.xml"
"PreferLocalXML"=dword:00000001