Nochmal Windows Update

[Rheuma_Kai]

Hallo !

Ich benutze Windows XP Home und habe den Rechner am 01.08.06 neu aufgesetzt. Ich surfe in einem eingeschränkten Benutzerkonto und habe nun festgestellt, dass die "Automatischen Updates" auf "Deaktiviert" standen.

Da seit dem 01-08-06 neue MS-Patches herausgekommen sind, ich aber möchte, dass die MS-Patches angezeigt, aber nicht automatisch runtergeladen und installiert werden sollen, stellte ich den Dienst erst einmal auf "Manuell".

Allerdings startet dann kein Automatisches Update. Nun habe ich den Dienst auf "Automatisch" gestellt, habe aber darauf geachtet, dass "nur benachrichtigen, aber nicht automatisch downloaden" angeklickt ist.

Siehe da, TCPVIEW zeigt den SVCHOST.exe an und er läd die MS-Patches.

Aber: Er zeigt nicht mit dem gelben Dreieick an, dass MS-Patches vorliegen, sondern läd diese einfach

Nun klicke ich auf "Rechner herunterfahren" und siehe da, dass geht nicht, bevor ich nicht die Patches installiere....

Liegt dass an dem "eingeschränkten Benutzerkonto" ? Ich möchte gern, dass Windows mir sagt, dass Patches vorliegen, möchte aber selbst entscheiden, welche ich installiere und welche nicht...

Gruß
Rheuma_Kai

[WEGU]

Hallo,Du mußt Dich als Administrator anmelden, um auf das System zugreifen zu können.
Klicke "Windows Update an" ( ist bei mir im Start-Menü). Dann wird Dein System automatisch durchsucht und Dir werden die verfügbaren Updates angezeigt. Nun kannst Du aussuchen.
Ich habe ein Administrator-Konto und zusätzlich das eingeschränkte Konto für das Surfen im Internet eingerichtet.
Gruß WEGU

[Rheuma_Kai]

Mir ist Surfen (in diesem Fall WU) im Administrator-Konto immer suspekt. Geht das nicht, das man im eingeschränkten Benutzerkonto die Meldung bekommt, dass Updates verfügbar sind, und dann selbst auswählt, welche man installieren möchte ?

Automatische Updates AN bedeutet ja auch, dass z.B. der WGA ohne Nachfrage installiert wird...

Ich mag den IE nicht (der würde beim Klicken auf WU ja geöffnet).

Wie machte Ihr das (Automatische Updates AN oder AUS und regelmäßig manuell schauen) ?

Gruß
Rheuma_Kai

[caju]

Bei mir sind die automatischen Updates eingeschaltet (gelbes Dreieck, wenns passiert).
Ich bin immer als Administrator angemeldet.

Firewall, Virenscanner, Wlan verschlüsselt und eingeschränkte Mac Adresse (für den Laptop) sind dafür aber für mich die Voraussetzung.

Gilt für Desktop PC und Schleppi.

Browser sind FF und / oder Opera. Wenns mal unbedingt sein muss der IE.

Bis jetzt läufts ...

[Stefan Heße]

[quote=""Rheuma_Kai""]Geht das nicht, das man im eingeschränkten Benutzerkonto die Meldung bekommt, dass Updates verfügbar sind, und dann selbst auswählt, welche man installieren möchte ?[/quote]

Ich weiss nicht, ob Dir die Bedeutung Admin richtig klar ist?
Wenn ein Nicht-Admin auf dem Client entscheiden darf, ob Updates installiert werden oder nicht, dann läuft Sicherheitstechnisch was falsch, oder?

Nimm den eingeschränkten User zum surfen und den Admin zum installieren.
Außerdem: Hast Du wirklich eine Wahl, ob Sicherheitsupdates installiert werden sollten oder nicht?
Ich installiere alle Sicherheitsupdates sofort nach Erscheinen und muss dies auch innerhalb kürzester Zeit machen, sonst wird mein Port auf dem Switch gesperrt hier in der Firma. Bisher habe ich noch nie Probleme gehabt.

Gruß,
Stefan

[WEGU]

Wenn Du etwas von MS willst (seine Updates), wirst Du wohl bei der Nachfrage, ob und welche bereitstehen, nicht um die Anwendung seines IE herumkommen. Mein PC ist auch - wie caju schrieb - gesichert mit Firewall, Virenscanner, Webfilter und Spybot & Search und ich hatte noch keine Probleme (ich klopfe jetzt auf Holz).
WEGU

[Homer]

[quote=""WEGU""]Wenn Du etwas von MS willst (seine Updates), wirst Du wohl bei der Nachfrage, ob und welche bereitstehen, nicht um die Anwendung seines IE herumkommen. [...][/quote]Das sehe ich anders (Win XP Prof). Bei den Systemeigenschaften, automatische Updates, habe ich auch "benachrichtigen, aber nicht herunterladen" eingestellt. An den Diensten habe ich nichts umgestellt. Wenn die Benachrichtigung über Updates in der Notification Area erscheint, klicke ich auf das Icon und wähle die manuelle Vorgehensweise. Dann deselektiere ich, was ich nicht möchte, z. B. das WGA-Update, und lasse den Rest herunterladen. Dabei wähle ich, dass ich nicht mehr auf die deselektierten Einträge hingewiesen werden möchte. Danach lasse ich alles installieren. Den IE benötige ich dafür nicht. Den würde ich allerdings für den Besuch der Windows Update-Seite benötigen. Diese Seite kann ich aber nicht mehr benutzen, weil sie mir zuerst das WGA-Update installieren will.

Viele Grüße
Homer

[Rheuma_Kai]

[quote=""Homer""]Das sehe ich anders (Win XP Prof). Bei den Systemeigenschaften, automatische Updates, habe ich auch "benachrichtigen, aber nicht herunterladen" eingestellt. An den Diensten habe ich nichts umgestellt. Wenn die Benachrichtigung über Updates in der Notification Area erscheint, klicke ich auf das Icon und wähle die manuelle Vorgehensweise. Dann deselektiere ich, was ich nicht möchte, z. B. das WGA-Update, und lasse den Rest herunterladen. Dabei wähle ich, dass ich nicht mehr auf die deselektierten Einträge hingewiesen werden möchte. Danach lasse ich alles installieren. Den IE benötige ich dafür nicht. Den würde ich allerdings für den Besuch der Windows Update-Seite benötigen. Diese Seite kann ich aber nicht mehr benutzen, weil sie mir zuerst das WGA-Update installieren will.

Viele Grüße
Homer[/quote]

Schon richtig, nur wenn Du das gelbe Dreieck in der Notification Area hast, dann bist Du doch als Admin angemeldet, oder ?

Wenn ich im eingeschränkten Benutzerkonto "automatische Updates - AUTOMATISCH" und -wie bei Dir- "Benachrichtigen, aber nicht installieren" eingestellt habe, werde ich NICHT mit dem gelben Dreieck darauf hingewiesen. Ich merke das erst, wenn ich den Rechner herunterfahren möchte und dann steht dort, dass vor dem Herunterfahren die Updates installiert werden.

Aber dann ist doch schon alles zu spät - die Updates werden dann installiert. Die einzige Alternative zum Selektieren ist JETZT in das Admin-Konto zu wechseln und dort erscheint dann auch das gelbe Dreieick, aber das ist schon irgendwie blöd...

[quote=""Stefan Heße""]Ich weiss nicht, ob Dir die Bedeutung Admin richtig klar ist?
Wenn ein Nicht-Admin auf dem Client entscheiden darf, ob Updates installiert werden oder nicht, dann läuft Sicherheitstechnisch was falsch, oder ?[/quote]

Schon klar...

Die Frage ist ja nur, WIE man nun mitbekommt, dass es wieder neue Updates gibt...

Entweder, man entscheidet sich für die Automatischen Updates und dann macht MS was sie wollen.

Oder aber... Nein, wie schaffe ich es, dass ich nur benachrichtigt werde und dann entscheiden kann, was installiert wird ?

[quote=""Homer""] An den Diensten habe ich nichts umgestellt.[/quote]

Sind Deine AU auf "Automatisch" ?
Bei mir waren die AU deaktiviert, dann habe auf "Manuell" gesetzt, dann wurde aber nicht auf Updates gecheckt. Jetzt steht der Dienst auf "Automatisch"...

[Stefan Heße]

[quote=""Rheuma_Kai""]Oder aber... Nein, wie schaffe ich es, dass ich nur benachrichtigt werde und dann entscheiden kann, was installiert wird ?
Sind Deine AU auf "Automatisch" ?
Bei mir waren die AU deaktiviert, dann habe auf "Manuell" gesetzt, dann wurde aber nicht auf Updates gecheckt. Jetzt steht der Dienst auf "Automatisch"...[/quote]

Die Entscheidung ist einfach einem Admin vorbehalten. Das lässt sich nicht ändern und ist auch sinnvoll so. Eingeschränkte Benutzer sollen das nicht entscheiden dürfen.
Du darfst als eingeschränkter Benutzer nur entscheiden, dass die Updates später installiert werden sollen. Macht ja auch Sinn, wenn Du z.B. gerade eine Vorstandspräsentation hältst wäre es ungünstig, wenn Dein Rechner Updates installiert und dann gebootet werden will ;-)
Spätestens mit dem nächsten Herunterfahrfen oder Neustart werden diese aber installiert. Auch das macht Sinn, da der Rechner dann ja eh bootet oder ausgeschaltet wird.

Für das was Du willst gibt es folgende Lösung:
Stell die Automatic Update Funktion auf "Updates heunterladen, aber Installation manuell durchführen" und wechsel dann den Account auf Admin, wenn das Popup kommt. Du kannst natürlich auch die Updates schon herunterladen lassen, das hat den Vorteil, dass Du nicht warten musst, bis die Updates dann geladen sind, weil sie über BITS im Hintergrund geladen werden.
Oder aber Du vertraust darauf, dass die Updates von Microsoft gut getestet sind und installierst automatisch.
Das würde ich empfehlen. Die Funktion läuft bei mir einwandfrei.

Gruß,
Stefan

[holli]

[quote=""Rheuma_Kai""]
Die Frage ist ja nur, WIE man nun mitbekommt, dass es wieder neue Updates gibt...
...[/quote]

Einfach: An jedem zweiten Dienstag eines Monats werden diese von MS veröffentlicht. Wegen der Zeitverschiebung ist es dann für EUropa meistens Mittwoch. Also sollte es normalerweise reichen, einmal im Monat danach suchen zu lassen.

[Historie]
Bis vor ein paar Jahren hatte MS in unregelmäßigen Abständen Updates bzw. Patches veröffentlicht. Mal längere Zeit nichts, mal jeden Tag.

D.H.: Wer sein System halbwegs sicher haben wollte (soweit unter MS machbar) mußte JEDEN Tag die Update-Funktion anwerfen, denn es konnte ja was da sein. Falls er das dann verpennte oder dazu keine Lust hatte, wurde er möglicherweise Opfer von "bösen" Angreifern, denn nach einer Patch-Veröffentlichung war (und ist) eine Sicherheitslücke ja quasi JEDEM bekannt.

Und durch diese unberechenbaren Zeitabstände zog sich MS den Unmut vieler Anwender und auch vieler Admins zu.
[/Historie]

[Homer]

[quote=""Rheuma_Kai""]Schon richtig, nur wenn Du das gelbe Dreieck in der Notification Area hast, dann bist Du doch als Admin angemeldet, oder ?
[...]
Sind Deine AU auf "Automatisch" ? [...][/quote]Ja und ja.

Viele Grüße
Homer

[Homer]

[quote=""Rheuma_Kai""]Mir ist Surfen (in diesem Fall WU) im Administrator-Konto immer suspekt. Geht das nicht, das man im eingeschränkten Benutzerkonto die Meldung bekommt, dass Updates verfügbar sind, und dann selbst auswählt, welche man installieren möchte ?[/quote]Das geht.

Start -> Run -> gpedit.msc
Group Policy -> Local Computer Policy -> Computer Configuration -> Administrative Templates -> Windows Components -> Windows Update ->
Allow non-administrators to receive update notifications
und
Configure Automatic Updates
-> Enabled

Viele Grüße
Homer

[huebi]

[quote=""Homer""]Das geht.

Start -> Run -> gpedit.msc
Group Policy -> Local Computer Policy -> Computer Configuration -> Administrative Templates -> Windows Components -> Windows Update ->
Allow non-administrators to receive update notifications
und
Configure Automatic Updates
-> Enabled

Viele Grüße
Homer[/quote]

Argl. Das würde ich nun wieder nicht machen. Besser ist das Script MachMichAdmin, das einem Prozess Adminrechte verpassen kann, ohne den Benutzterkontext zu wechseln. Die Rechte verschwinden dann wieder, wenn der Prozess beendet wird.

Das bedingt zwar, das man selbst ab und an nach Updates schauen muss. Aber es ist recht unkritisch, eine Zeitlang ohne diese Updates weiter zu arbeiten, weil sich die Malware ja eh nicht installieren darf als Benutzer. Um das zu tun, muss es ja diverse Aktivitaeten durchführen, die man als normaler Benutzer ja nicht darf.

Um auch den letzen Schlupfwinkel noch duchtzumachen, ruft man einmal KAFU.EXE auf (keine Autostarts für User), damit kann sich kein Schadling mehr dauerhaft im System einnisten. Zumindest nicht wenn man als Benutzer unterwegs ist. Die Sicherheitslöcher, die jetzt noch existieren, bedingen ein ziemlich komplexes Vorgehen, welches du mit einem Benutzerkonto extrem stark einschränkst.

[Homer]

[quote=""huebi""]Argl. Das würde ich nun wieder nicht machen.[/quote]Wieso? Was ist daran auszusetzen?

Viele Grüße
Homer

[huebi]

[quote=""Homer""]Wieso? Was ist daran auszusetzen?

Viele Grüße
Homer[/quote]

Ich vergebe nur Rechte, wenns unbedingt nötig ist und reisse möglichst wenig Löcher auf.

Wenn du eh schon nur als Benutzer unterwegs bist, has du schon das meiste zu der Sicherheit getasn. Sicherheitslöscher werden eh nur am Patchday geflickt, und der Termin ist bekannt. Ob du nun 2 oder 3 Tage mehr ohne die Patches surfst ist schnuppe. Für mich reichts es, ohne Notifications zu leben, und nach Updates zu schauen, wann ich es für richtig erachte. der IE nimmt Kontakt mit MS auf, wann ich will und wann ich es beobachten kann und nicht wenn der IE denkt, jetzt wäre ein guter Zeitpunkt.

Mittels MMA (externes ÜProgramm) verpasse ich dem IE kurzfristig Adminrechte, sehe nach ob es Updates gibt, installiere diese und beende die IW wieder. Damit sind die Rechte wieder flöten.

Leider habe ich beim letzten Patchday auch nicht aufgepasst und mir diesen WGA notify Schei... eingefangen. Zum Glück kann man das ja wieder aus dem System rauskriegen.

[Homer]

Was du machst ist etwas anderes als das, was Rheuma_Kai möchte. Außerdem ist das aktive Schauen nach Updates nicht das selbe wie die automatische Benachrichtigung.

Viele Grüße
Homer

[Sigittarius-E]

Dann halt eine Erinnerung jeden 2. Mittwoch des Monats im Outlook-Kalender einstellen

[Rheuma_Kai]

Obwohl ich damals den WGA zum Installieren abgelehnt habe, war er jetzt mal wieder auf meiner "Vorschlagliste"

War das bei Euch auch so ?

Gruß
Rheuma_Kai

[jk]

weil es eine neue version davon gibt die tage...