Anwendungen blockieren per Registry oder GPO
Unter Windows ist es möglich Anwendungen blockieren zu lassen. Damit die Programme nicht gestartet werden können, kann man spezielle Einstellungen in der Windows Registry setzen, oder die Einstellungen per GPO (Gruppenrichtlinie) verteilen.
Starten von Anwendungen blockieren unter Windows
Damit von Windows Benutzern spezielle Anwendungen nicht gestartet werden können, so haben Administratoren die Möglichkeit diese Programme blockieren zu lassen. Das ist in der Windows Registry möglich, als auch das Verteilen der Einstellungen per GPO.
Um Anwendungen blockieren zu lassen, müssen die Programme als .exe eingetragen werden. Möchte man beispielsweise den Windows Editor blockieren, so darf nicht “Editor” eingetragen werden, sondern die “notepad.exe”. Das funktioniert in der Registry und per GPO gleich.
Somit können eine Reihe von Programmen deaktiviert, beziehungsweise zur Ausführung blockiert werden. Einfache Windows-Tools werden eher selten deaktiviert, allerdings können unerwünschte Browser oder andere Software verhindert werden:
- Editor (notepad.exe)
- Rechner (calc.exe)
- Wordpad (wordpad.exe)
- Google Chrome (chrome.exe)
- Eingabeaufforderung (cmd.exe)
- Datemträgerbereinigung (cleanmgr.exe)
- Ereignisanzeige (eventvwr.exe)
- …
Der Windows App Store ist übrigens eine App und wird somit anders deaktiviert.
Registry
Das Blockieren von Programmen kann ganz einfach in der Windows Registry umgesetzt werden. Jedoch werden die Anwendungen pro Benutzer konfiguriert. Das bedeutet, dass die Blacklist unter HKCU (Current User) erstellt werden muss.
Um das Ausführen von Programmen verhindern zu können, müssen folgende Schritte in der Registry durchgeführt werden:
- Windows Registry starten (regedit)
- Zu folgendem Pfad unter HKCU navigieren:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies - Hier muss ein neuer Unterordner (Neu -> Schlüssel) mit dem Namen Explorer erstellt werden, falls dieser noch nicht vorhanden ist.
- Im Schlüssel Explorer, den wir gerade angelegt haben, muss ein DWORD (32-bit) mit dem Namen DisallowRun erstellt werden. Danach bearbeiten wir den Wert und setzten diesen auf 1. Dieser Wert gibt an, dass es Anwendungen zum Blockieren gibt.
- Danach benötigen wir im Unter-Schlüssel Explorer einen weiteren Schlüssel (Ordner) mit dem Namen DisallowRun, welcher dann die eigentlichen Einstellungen zum Blockieren der Programme beinhaltet. Ihr solltet dann folgende Struktur besitzen:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\DisallowRun - Unter diesem Pfad erstellt man dann pro Programm, welches blockiert werden soll, einen neuen String (Zeichenfolge) mit einer fortlaufenden Nummerierung(1,2,3,..). Als Wert wird der Datei-Name (.exe) hinterlegt. Danach sollte eine Art Liste der zu sperrenden Anwendungen entstehen.
Sind diese Schritte in der Windows Registry durchgeführt, so lassen sich die hinterlegten Programme nicht mehr starten und sind somit für die Ausführung blockiert.
GPO (Gruppenrichtlinie)
Per GPO (Gruppenrichtlinie) ist es wesentlich einfacher bestimmte Anwendungen blockieren zu lassen. Auch hier sind die Einstellungen so genannte Benutzer-Richtlinien. Auch in diesen Einstellungen werden die .exe Datei-Namen benötigt um die Programme auf Windows zu sperren.
Um Anwendungen mit einer GPO zu blockieren, benötigt man folgende Schritte:
- Neue GPO erstellen (gpedit)
- Zu folgendem Verzeichnis navigieren:
Benutzerkonfiguration\Administrative Vorlagen\System(DE)User Configuration\Administrative Templates\System(EN) - Hier gibt es den Eintrag Angegebene Windows-Anwendungen nicht ausführen (Don´t run specified Windows Applications), in dem die Programme hinzugefügt werden müssen.
Sobald die Option Angegebene Windows-Anwendungen nicht ausführen aktiviert ist und die zu Sperrenden Programme hinterlegt sind, so lassen sich diese nicht mehr starten und sind somit blockiert. Vor allem für Administratoren ist diese Option für größere Netzwerke wesentlich einfacher zu verwalten.
