Kategorie: Microsoft

Windows Server Sicherung – schwerer Aufnahmefehler in „wbadmin.msc“

Problem

Die App/Dienst „Windows Server Sicherung“ konnte nicht mehr gestartet werden und es wurde ein schwerer Aufnahmefehler in „wbadmin.msc“ angezeigt.

Im Ereignisprotokoll standen mehrere Einträge mit Fehler in Quelle VSS und den Ereignis-ID’s 13, 12292 und 8228

Volumenschattenkopie-Dienst-Informationen: Der COM-Server mit CLSID {463948d2-035d-4d1d-9bfc-473fece07dab} und dem Namen "HWPRV" kann nicht gestartet werden. [0x8000401a, Der Serverprozess konnte nicht gestartet werden, da die konfigurierte Identität falsch ist. Überprüfen Sie Benutzernamen und Kennwort.

Mein Problem tratt nach einem Upgrade von Windows Server 2016 auf Windows Server 2019 auf.

Analyse

Bekannte DISM-Befehle haben nichts ungewöhliches gemeldet und auch nichts bewirkt/ repariert.

# Komponentenspeicher untersuchen mit DISM
dism.exe /online /Cleanup-Image /AnalyzeComponentStore

# Komponentenspeicher bereinigen
dism.exe /online /Cleanup-Image /StartComponentCleanup

# Analyse und Reparatur
dism /Online /Cleanup-Image /ScanHealth
dism /Online /Cleanup-Image /CheckHealth
dism /Online /Cleanup-Image /RestoreHealth
dism /Online /Cleanup-Image /RestoreHealth /Source:WIM:X:\Sources\Install.wim:1 /LimitAccess

Eine Lösung lag nicht auf der Hand und ich habe lange gerätselt.

Lösung

Nahe liegend war die Lösung nicht wirklich, aber es klappt mit dem zurücksetzen des Sicherheitskatalogs.

Öffnet CMD als Admin und gebt den nachfolgenden Befehl ein und bestätigt die Frage mit „Ja“. Es wird der aktuelle Sicherungskatalog gelöscht und ein neuer Sicherungssatz angelegt. Danach öffnet sich bei mir die App „Windows Server Sicherung“ (wbadmin.msc) wieder und ich konnte ein manuelles Backup erstellen.

 

Sichere E-Mail-Kommunikation mit S/MIME-Zertifikaten

Kostenlose Zertifikate

Nachdem mein Zertifikat bei Comodo nicht mehr neu beantragt werden kann, habe ich mir neue Anbieter kostenloser Zertifikate gesucht.

Hierbei bin ich zum einen auf Volksverschlüsselung gestoßen und eben auf Actalis. Bei Volksverschlüsselung hat man das Problem, dass die auszustellende CA nicht jedem bekannt ist und so die Mail-Zertifikate als ungültig bzw. nicht vertrauenswürdig angezeigt wird. Dieses Problem sollte man mit Actalis nicht haben. Jedoch glaube ich, dass man mit Volksverschlüsselung länger am Markt rechnen kann. Andere Anbieter werden oft aufgekauft oder bieten plötzlich keine kostenlosen Zertifikate an. Die Authentifizierung bei Volksverschlüsselung ist recht mühsam, wenn man seinen Perso nicht mit der Online-Funktion ausgestattet hat und kein passenden Reader bereit steht.

Bei Actalis bekommt man Stand Feb. 2020 ein kostenloses Zertifikat. Aber auch nach einem knappen Jahr später bietet Actalis kostenlose E-Mail-Zertifikate an und mann kann recht bequem das vorhandene Zertifikat verlängern.

Einfach Zertifikat anfordern, Bestätigungscode (welcher per Mail versendet wird) eingeben und Passwort für das Zertifikat ausdrucken! Das Zertifikat bekommt Ihr im Anschluss per Mail als *pfx zugesandt.

Am sinnvollsten ist es aber vor der Verwendung des Zertifikats die Stammdaten in diesem zu aktualisieren. Dies macht Ihr über das Portal von Actalis.

Nun muss das Zertifikat nur in den Zertifikatsmanager importiert werden und die meisten Mail-Clients erkennen dann das Mail-Zertifikat.

Das Zertifikat wird von der Sub-CA “Actalis Client Authentication CA G1” ausgestellt, diese CA wurde wiederum von der Actalis Authentication Root CA” signiert, welche sich im Speicher für vertrauenswürdige Stammzertifizierungsstellen von Windows befinden sollte.

Aber nun der Reihe nach …

Zertifikat erstellen

  1. https://extrassl.actalis.it/portal/uapub/freemail?lang=en

  2. Verifikation-Code von erhaltener Mail kopieren, in das Formular eintragen, Captcha-Code bestätigen und AGB’s und Werbezwecke akzeptieren bzw. deaktivieren

  3. Password was im Browser angezeigt wird unbedingt sicher abspeichern, Notieren oder ausdrucken

  4. per E-Mail erhaltenes Zertifikat (zip-Archiv) herunterladen und sicher abspeichern
    In der Mail sind auch die Zugangsdaten zum Portal mit angegeben. Über das Portal kann man das Zertifikat nochmal herunterladen oder auch Pausieren lassen oder eben auch löschen.
    https://extrassl.actalis.it/portal/

Zertifikat verlängern

ca. 30 Tage vor Ablauf der Zertifikatsgültigkeit habe ich eine E-Mail von „sslwebserver@actalis.it“ bekommen und wurde über das Auslaufen informiert. In der E-Mail war ein Link enthalten, der mich zur Webseite zum Verlängern meines Zertifikates führte.

https://extrassl.actalis.it/portal/uapub/freemail?lang=en

    1. Link besuchen und E-Mail-Adresse des Zertifikats eintragen und „SEND VERIFICATION EMAIL“-Button anklicken
    2. Den Verifizierungscode aus der danach erhaltenen E-Mail in das Formular eintragen, den Roboter bestätigen und die Punkte unter Step 2 entsprechend ausfüllen. Die letzten zwei Optionen habe ich auf „I do not consent“ gestellt, damit ich keine Werbung bekomme.
    3. Im Browser wird, wenn alles erfolgreich verlaufen ist, das Zertifikatspasswort angezeigt. Dies muss sicher notiert oder ausgedruckt werden. Nachträglich kommt man nicht mehr an das Passwort heran!

    4. Daraufhin kommt eine letzte Mail mit dem neuen Zertifikat. Dies muss nun heruntergeladen und sicher abgespeichert werden.
      In der Mail ist auch ein Link zum Portal von Actalis enthalten. Die Zugangsdaten hierfür wurden bei erstmaliger Erstellung/ Registrierung des Zertifikats übersendet und wird bei einer Verlängerung nicht noch einmal angegeben. Über das Portal kann man das Zertifikat nochmal herunterladen oder Pausieren lassen oder eben auch löschen.

Sollte beim Schritt 3 das Passwort nicht angezeigt werden, weil plötzlich der „Ich bin kein Roboter“ muniert wird obwohl dieser richtig war, dann kann es daran liegen, dass man sich zwischen den einzelnen Schritten zu viel Zeit gelassen hat. In meinem Fall wurde ein Zertifikat ausgestellt, aber keine Mail mit diesem Zugesandt und ich bekam im Browser auch das Passwort für das Zertifikat nicht zusehen.

Über das Portal-Login kann man zuviel erstellte Zertifikate löschen lassen und sich ein neues (nach dieser Anleitung) erstellen.

Zertifikat unter Windows installieren

Wenn Ihr bereits vorhergehende Zertifikate besessen habt, so solltet Ihr diese Zertifikate im Gerätespeicher behalten. Denn nur mit dem alten Zertifikat können alte damit verschlüsselte Mails gelesen werden.

Habt Ihr ein neues Zertifikat auch bei Verlängerung, so kann man mit dem neuen Zertifikat nicht die alten Mails lesen. Das neue Zertifikat gilt nur für die Mails die mit diesem Zertifikat verschlüsselt werden.

Nun müsst Ihr das Zip-Archiv entpacken und *.pfx-Datei per Doppelklick und Passworteingabe (aus Schritt 3 – Zertifikat erstellen) öffnen bzw. Importieren.

Beim Importieren würde ich persönlich darauf verzichten, dass man die „Hohe Sicherheit …“ aktiviert. Diese Einstellung ist beim Arbeiten ehr hinderlich, auch wenn es sicherer wäre.

Aber dafür würde ich den Punkt „Schlüssel als exportierbar …“ deaktiviert lassen. So ist kein anderer in der Lage sich das Zertifikat ungefragt mit eigenem Passwort abzuspeichern.

Mittels dem Befehl „certmgr.msc“ kann man auch schauen ob das Zertifikat nun da ist.

 

Mail-Konto unter Outlook 2016/2016/365 einrichten

Voraussetzung hierfür ist natürlich ein eingerichtet E-Mail-Postfach des Users der nun über ein Zertifikat verfügt.

Da ich gerne selber bestimmen möchte wo Outlook die Postfach-Datei ablegt, gehe ich den Einrichtungsschritt immer über „Systemsteuerung\Benutzerkonten\Mail“. Hier hat man unter „weitere Einstellungen“ noch ein paar Einstellmöglichkeiten die beim direkten öffnen eines frischen Outlooks nicht änderbar sind.

Einfach ein neues Profil anlegen und darin dann das neue Mailkonto. Mit etwas Glück findet Outlook alle Einstellungen zum Provider wie pop3-Server etc. alleine. Andernfalls muss man die in Erfahrung bringen und entsprechend eintragen. Diese Einstellungen sind von Provider zu Provider unterschiedlich.

Erste Testnachricht an Dritten ist angekommen. Natürlich noch ohne Signatur und nicht verschlüsselt.

Zertifikat unter Microsoft Outlook 2016/2019/365 einrichten

Unter Datei\Optionen öffnet sich Fenster wo man diverse Einstellungen vornehmen kann. Dort unter „Tust Center\Einstellungen für das Trust Center ..“ im darauf folgenden Fenster unter E-Mail-Sicherheit das importierte Zertifikat auswählen.

Wer nun ständig signierte Mails versenden möchte aktiviert das Kontrollkästchen „Ausgehende Nachrichten digitale Signatur hinzufügen“.

Wer auch „Inhalt und Anlagen für ausgehende Nachrichten verschlüsseln“ aktiviert, da versendet wenn möglich nun seine Mails immer verschlüsselt. Kann aber die Mail wegen fehlenden öffentlichen Schlüssel des Empfängers nicht verschlüsselt werden, dann erscheint bei jedem Versenden eine Message-Box. Das ist eventuell störend, so dass man hier darauf verzichtet. In diesem Fall muss man die Verschlüsselung vor dem Versand einzeln aktivieren.

Erste Testmail mit enthaltener Signatur. Die Signatur bestätigt die Echtheit meiner Mail bzw. meiner Person. Keine andere Person kann mit dieser Signatur Mails versenden. Es sei denn, man lässt sich sein privates Zertifikat und den Privaten Schlüssel klauen!

Zertifikat auf Apple iPhone/ Apple iPad installieren und einrichten

Theoretisch kann man sich selbst eine Mail mit seinem Zertifikat senden und das Zertifikat dann so auf dem iPhone/ iPad öffnen bzw. installieren. Aber …

In diesem Fall sendet man eine unverschlüsselte Mail die wiederum abgriffen werden kann. Wer nun noch an das Zertifikatspasswort kommt, kann Mails mit diesem Zertifikat versenden, lesen und manipulieren.

Aus diesem Grund gehe ich einen anderen Weg und benutze hierzu meine eigene Cloud die auf einem meiner Server läuft. Da man jetzt ein solches Zertifikat nicht aus jeder Cloud heraus öffnen kann, gehe ich den Umweg über eine mobileconfig-Datei die speziell für Apple-Geräte gedacht ist.

Wer iCloud nutzt kann gerne auch sein Zertifikat dort hochladen und dann mit Safari vom iPhone/ iPad öffnen und installieren. Bitte vergesst nicht das spätere Löschen der Dateien/ Zertifikate aus der Cloud!!

Ladet Euch die Vorlage herunter öffnet diese mit einem Editor. Da man den Editor Notepad++ später noch brauch empfehle ich dieses herunterzuladen und zu installieren.

Editiert die *.mobileconfig und ändert folgende Strings:

[Name] = Euer Name
[E-Mail-Adresse] = Eure Adresse
[PrivateKey] = langer generierter String

Speichert diese Änderung und ladet Euch die Datei in Eure Cloud/ Webserver und öffnet dann diese Datei mit Safari auf dem iPad/ iPhone.

Je nach iOS Version könnt Ihr gleich das Profil installieren oder bekommt einen Hinweis, dass ein Profil geladen wurde und über „Einstellungen“ installiert werden kann.

vorlage_actalis

String generieren

mit Notepad++ generieren

Öffnet Euer Zertifikat (*.pfx) mit Notepad++ und markiert mit STRG+A den gesamten Text. Danach geht Ihr im Menü auf „Erweiterungen -> MIME Tools -> Base64 Encode“ und kopiert Euch den nun angezeigten langen String (STRG+C). Diesen String setzt Ihr in die Vorlage anstelle [PrivateKey].

Mit PowerShell generieren

certutil -encode Mein-Zertifikat.pfx neueZertDatei.enc
$content = gc neueZertDatei.enc
$newcontent=$content[(1..($content.length – 2))] add-content key.mobileconfig -value $newcontent -encoding UTF8

Im ersten Schritt werden Daten aus dem Zertifikat in eine neue Datei (neueZertDatei.enc) geschrieben. Im zweiten weist man den Inhalt aus der Datei einer Variable zu und filtert im dritten Schritt noch mal den Inhalt und gibt dieses Wert einer weiteren neuen Variable. Im letzten Schritt wird der Inhalt der letzten Variable in eine neue Datei namens „key.mobileconfig“ gespeichert.

Diesen String setzt man dann in die Vorlage anstelle [PrivateKey].

Zu finden sind die neuen Dateien alle unter „C:\User\[Benutzername]“.

Wichtig: Zum erneuten durchführen der PowerShell-Befehle oben, müssen vorhandene Dateien unter „C:\User\[Benutzername]“ vorher gelöscht werden. Die Befehle überschreiben keine vorhandenen Dateien!

E-Mail-App von Apple einrichten

Einstellungen -> Passwörter & Accounts -> Euer Mail-Account -> Account -> Erweitert -> Signieren -> neues Zertifikat von Actalis auswählen

Über „Erweitert“ zurück gehen und „Standardmäßig verschlüsseln“ auswählen und auch hier das neue Zertifikat auswählen.

Über „<“ und „< Account“ sowie „Fertig“ alles speichern.

Ab jetzt werden die Mails auch von den mobilen Apple Geräten verschlüsselt versendet, sofern man ein öffentliches Zertifikat des Empfängers besitzt.

Aber man kann nun auch an sich gerichtete verschlüsselte Nachrichten auf den mobilen Geräten lesen.

Anmerkung

Wichtig zu Wissen ist folgendes:

Nutzt Ihr Apple und sendet  Mails aus anderen Apps wie „Foto-App“, dann werden diese Mails NICHT verschlüsselt oder signiert. Nur Mails die direkt durch manuelles Öffnen der „Mail-App“ versendet werden, werden signiert und bei Bedarf verschlüsselt.

 

 

BSI Informationspool – Sichere Konfiguration von Microsoft Office 2013/2016/2019/365

Vorwort

Hin und wieder erstellt die BSI sinn bringende Dokumentationen für ein sicheres Arbeiten mit den digitalen Medien.

Link -> https://www.allianz-fuer-cybersicherheit.de/ACS/DE/Informationspool/_function/Informationspool_Formular.html

In diesem Fall schlägt die BSI Konfigurationen für eine domainweite Anwendung von GPO und dem sicheren Arbeiten mit Microsoft Office vor.

Je nach Bedarf kann man diese Einstellungen so 1:1 übernehmen, sollte sich aber im klaren sein, dass unter Umständen bestimmte Funktionen nicht mehr wie erwartet funktionieren können. Unter den einzelnen Empfehlungen gebe ich hier meine Erfahrungen preis und sage warum ich einige Einstellungen so nicht übernehmen würde.

BSI-CS 135 -> Office allgemein

Computerrichtlinie\Sicherheitseinstellungen
Benutzerrichtlinien\Sicherheitseinstellungen
Punkt 7.+83.  VBA für Office-Anwendungen deaktivieren

Wer wirklich überhaupt nicht mit Makros arbeitet kann hier den Punkt aktivieren. Diese Einstellung greift dann auf alle Office-Anwendungen und man ist hier gegenüber bestimmter Attacken sicher.

Wer aber Makros benötigt, sollte diesen Punkt nicht konfigurieren und bei jeder Anwendung im Einzelnen die Option „VBA zulassen“ bewerten. Wer VBA benötigt, sollte sichere Arbeitsverzeichnisse festlegen aus denen das Ausführen von Makros erlaubt ist.

Diese Einstellungen findet man unter:

Benutzerrichtlinie\Sicherheitseinstellungen\Trust Center\Vertrauenswürdiger Speicherort #1 bis #20

Benutzerrichtlinie\Verschiedenes
Punkt 43. Anmeldungen bei Office blockieren

Wer mit Office 365 und Exchange Online arbeitet, der muss sich z.B. zum Abholen von Mails anmelden können. Somit ist das Einstellen auf „keine zulässig“ nicht richtig. Ich empfehle hier auf „nur Org-Id“ einzustellen. So kann man sich bei Office-Anwendungen nicht mit einem privaten Microsoft Account anmelden.

Ist diese Rule auf „keine zulässig“ oder nur eines der Beiden, dann bekommt der der nicht darf folgendes Fenster angezeigt, wo normalerweise das Anmeldeformular zu Microsoft zu sehen ist:

Der entsprechende Regkey ist hier zu finden:

Computer\HKEY_CURRENT_USER\Software\Policies\Microsoft\office\16.0\common\signinßsigninoptions
Computer\HKEY_CURRENT_USER\Software\Microsoft\office\16.0\common\signinßsigninoptions

signinoptions als REG_DWORD mit Werten 0-2 (0=beide, 1=nur Microsoft-Konto, 2=nur Org-Id)

Benutzerrichtlinie\Globale Optionen\Benutzerdefiniert
Punkt 45. Alle Benutzeranpassungen deaktivieren

Wer firmeneigene Menü-Icons in Office verwendet, der sollte hier die Regel für die entsprechende Anwendung nicht aktivieren, da sonst die eigenen Menü-Icons verschwinden. Zudem ist das eigene Einstellen der Schnellstartleiste und Menüleiste nicht mehr möglich. Wer aber ohnehin ohne Makros arbeitet, sollte hier der Empfehlung von BSI folgen, da man so auch nicht den vorher ausgeblendeten Menüpunkt „Entwicklermodus“ aktivieren kann.

Ich habe es trotz eigener Menü-Icons so eingerichtet, dass via GPO z.B. Excel nicht aktiviert wurde, habe aber beim Import benutzerdefinierter RegKeys  den Wert auf nicht erlauben gesetzt. So blieben mir die firmeneigenen Menü-Icons erhalten, konnte aber dennoch die Schnellstartleiste/ Menüleiste zur eigenen Editierung sperren.

[HKEY_CURRENT_USER\Software\Microsoft\office\16.0\common\toolbars\excel]
"nousercustomization"=dword:00000001

Benutzerrichtlinie\Datenschutz\Trust Center
Punkt 56. Die Verwendung verbundener Erfahrungen in Office zulassen

Auch hier ist das Deaktivieren problematisch, wenn man mit Office 365 arbeitet und z.B. OneNote Notizbücher mit der Cloud synchronisieren muss.

In den Anwendungen unter „Datei\Konto“ steht bei verbundenen Diensten „OFFLINE Office ist zurzeit offline“

In diesem Zustand kann sich z.B. kein OneNote Notizbuch mit der Cloud synchronisieren.

Daher setze ich diesen Schalter auf „aktiviert“. Der RegKey außerhalb der GPO ist dieser hier:

[HKEY_CURRENT_USER\Software\Microsoft\office\16.0\common\privacy]
"disconnectedstate"=dword:00000001

Benutzerrichtlinie\Sicherheitseinstellungen\Digitale Signaturen
Punkt 105. Zertifikatausstellerfilter angeben
Punkt 106. Namen des Zeitstempelserver angeben

Da ich diese Angaben nicht kenne, konnte ich diese Rule nicht wie von BSI empfohlen aktivieren und habe diese auf „nicht konfiguriert“ stehen lassen.

BSI-CS 138 -> Word
BSI-CS 136 -> Excel
BSI-CS  045 -> PowerPoint
BSI-CS 140 -> Access
BSI-CS 141 -> Visio
BSI-CS 139 -> Outlook

Downloads

Hier biete ich entsprechende RegKeys zum Download an, ich denke für den privaten Sektor eine guten Ausgangsposition um Office sicherer einzustellen. Diese sind nur Empfehlungen und stellen keinen 100%-Schutz dar!

Wer diese RegKeys nutzen will, sollte sich im Aufgabenplaner/ Taskmanager eine Batch-Datei anlegen und diese bei jeder Useranmeldung starten lassen. So wird sichergestellt, dass versehentliches Umstellen in den Office-Anwendungen wieder rückgängig gemacht werden. Dies betrift natürlich nur Einstellungen, welche durch diese RegKeys erfasst wurden.

Allerdings kann man auch manuell durch Doppelklick auf die RegKeys oder der Batch-Datei diese Einstellungen importieren.

Erstellt eine  Datei und bennent diese z.B. „Office-Secure.bat“. Achtet darauf, dass der Explorer (Optionen\Ansicht) unter dem Punkt „Erweiterungen bei bekannten Dateitypen ausblenden“ nicht aktiv ist.

In die Batch-Datei schreibt Ihr nun folgendes:

@echo off
echo Reg_Import Office-Security
reg import %Userprofile%\Downloads\regkeys\global_HKLM_2020_02_06.reg
reg import %Userprofile%\Downloads\regkeys\global_HKLU_2020_02_06.reg
if %ERRORLEVEL% NEQ 0 (
echo Fehler bei RegImport Office-Security
)

Speichert die RegKeys ins Downloadverzeichnis in einen noch anzulegenden Ordner namens „regkeys“.

RegKey Office 2013/2016/2019/365 allgemein

 

Die Vertrauensstellung zwischen dieser Arbeitsstation und der primären Domäne konnte nicht hergestellt werden.

Problem

Die Anmeldung am Client schlägt mit folgender Meldung fehl:

Die Vertrauensstellung zwischen dieser Arbeitsstation und der primären Domäne konnte nicht hergestellt werden.

Ursache

Hin und wieder passiert es einfach. Die Ursachen können unterschiedlich sein. In meinem Fall lag es daran, dass ein PC der einmal der Domäne angehörte sehr lange nicht mehr eingeschaltet wurde. Oder und das passiert öfters, wenn man ein Backup auf einem PC oder virtuellen Computer einspielt. Hier passen halt die Informationen/ Datenbanken zwischen Client und Domäne nicht mehr.

Lösung

In meinem Fall war es ausreichend, wenn man dem PC oder der virtuellen Maschine kurz das Netzwerkkabel entfernt. So kann man sich am Client wieder anmelden und mit Adminberechtigungen den Client aus der Domäne austreten lassen. Während des Neustarts verbindet man das Netzwerkkabel wieder, loggt sich als lokalen Administrator an und tritt mit dem Client wieder der Domäne bei.

ACHTUNG!!

Beim Austritt aus der Domäne und VOR dem Neustart unbedingt in der Benutzerverwaltung schauen, ob es einen lokalen Administrator gibt und ob dieser auch aktiviert ist. Ich vergebe hier zudem immer gleich ein neues Kennwort, so kann ich sicher sein, dass alles passt.

Lösung 2

      1. Ohne Netzwerk am betroffenen Computer oder Server mit einem lokalen Administratorkonto oder Domain-Admin, welches während der Vertrauensstellung aktiv war anmelden
      2. Netzwerk wieder herstellen
      3. PowerShell mit administrativen Rechten öffnen
      4. Reset-ComputerMachinePassword -Server <<Domaincontroller>> -Credential domain\administrator

        Alternativ gibt man diesen Befehl ein und erhält dabei ein „True“ oder „False“ als Bestätigung ob die Vertrauenstellung nun wieder passt
        Test-ComputerSecureChannel -Repair -Server <<Domaincontroller>> -Credential domain\administrator
      5. Abmelden und als Domain-User wieder normal anmelden

 

Das Konto „Hyper-V-Verwaltungsdienst für virtuelle Computer“ verfügt nicht über ausreichende Berechtigungen …

Vorwort

Im Normalfall passiert so was nicht. Also wenn dieser Fehler auftritt, sollte man überlegen was man gemacht hat.

Problem

Ursache

In meinem Fall habe ich aus einem vorherigen Export die VHDX einfach an den original Speicherort kopiert und so das Original ersetzt. Ich wollte quasi ein Backup einspielen ohne Mühsam einen kompletten virtuellen Computer-Import durchzuführen.

Lösung

In meinem Fall hat es gereicht, die virtuelle Festplatte in der Konfiguration des virtuellen Computers zu entfernen und wieder anzulegen.

 

NuGet-Paket-Manager

Seit Visual Studio 2017 ist der NuGet-Paket-Manager bereits inkludiert. „Extras -> NuGet-Paket-Manager“

Mit diesem lassen sich schnell und unkompliziert frei nutzbare Module/Pakte installieren. Als Beispiel nehmen wir mal SNMP und CommandoLine.

Öffnet die „Paket-Manager-Console“ und gebt den folgenden Befehl ein:

PM> Install-Package CommandLineParser -Version 2.6.0

Danach installiert sich das Paket im aktuell geöffneten Projekt unter „packages“ und es wird im Root des Projekt-Ordners eine „packages.config“ erstellt.

Nachdem dies ohne Fehler durchgeführt wurde, kann man im Projekt das installierte Paket mittels „Imports CommandLine“ einbinden und nach dessen Vorgaben verwenden.

Wer es als GUI bevorzugt, klick im Projektmappen-Explorer auf sein Projekt rechts mit der rechten Maustaste und startet dort die Option „NuGet-Pakete verwalten …“

Menüoption „NuGet-Pakete verwalten“

Office 2016, Office 2019, Office365 – MailSecurity, OneDrive, SharePoint

Domainweite Sicherheitseinstellungen

Sicherheitspolice für Office (ADM, Registryeinträge für User hart setzen)
Hierbei verlasse ich mich nicht nur auf ADM (Domainweite Police, sondern importiere bei jeder Useranmeldung zusätzlich ein paar relevanter Regeinträge für Office)
z.B. Makroausführung, Autostart, ausblenden Entwicklertools-Menü, Mails als TXT, keine Vorschau von Anlagen innerhalb Outlook etc.

Wer eine Domain betreibt kann mit Hilfe von Gruppenrichtlinien Office in einigen Einstellungen steuern und verhindern, dass Benutzer diese Einstellungen übergehen.

Hierfür lädt man sich die aktuellste Fassung der Office-ADMX von Microsoft (Stand zum Zeitpunkt des Blog Schreibens war 4966.1000 vom 22.01.2020) In der neusten Version ist ein Template von Teams mit dabei.

Link -> https://www.microsoft.com/en-us/download/details.aspx?id=49030

Entpackt die Dateien des Archives und kopiert die Dateien aus dem Ordner ADMX (*.admx + de-de + en-us) nach C:\Windows\PolicyDefinitions.
Danach kann man in den GPO’s die Einstellungen für die importierten Office-Versionen vornehmen.

Als Grundlage für eine sichere Einstellung kann man sich die Empfehlungen des BSI’s anschauen. Ich fand diese recht gut und habe die Einstellung an meine Bedürfnisse angepasst.

Link -> https://www.allianz-fuer-cybersicherheit.de/ACS/DE/_/downloads/BSI-CS/BSI-CS_135.pdf?__blob=publicationFile&v=8

BSI-CS 135 -> Office allgemein
BSI-CS 138 -> Word
BSI-CS 136 -> Excel
BSI-CS  045 -> PowerPoint
BSI-CS 140 -> Access
BSI-CS 141 -> Visio
BSI-CS 139 -> Outlook

Lokale Sicherheitseinstellung

Nachdem ich domainweit alles eingestellt hatte und der erste Test-PC sich die GPO-Policy zog, habe ich die Einstellungen aus der Registry exportiert und für die spätere Anwendung unter „Local Users“ leicht umgeschrieben.

Dies ist erforderlich, da ich mal gelesen haben will, dass Office-GPO’s nur unter Windows Enterprise durchgereicht werden. Tatsache ist in jedem Fall, dass nicht jede eingestellte GPO-Regel auch tatsächlich am Client zu sehen ist.

Damit es doch klappt lade ich die modifizierte Reg-Datei bei jedem Start/Anmelden eines Benutzers/ PC’s. So stelle ich sicher, dass bestimmte Useränderungen wie z.B. Makrosicherheitseinstellung auf den von mir gewünschten Stufe steht. Denn hin- und wieder habe ich gesehen, dass der User an diesen Einstellungen rumschauben darf obwohl ich dies gerne verboten hätte.

In der exportieren Reg-Datei ersetzte ich „Software\Policies\Microsoft\office“ durch „Software\Microsoft\office“ und so die Einstellungen auf Userebene ohne Domainangehörigkeit festgelegt.

Damit sorge ich zudem, dass auch nicht Domain-PC’s an sichere Office-Einstellungen kommen. Über Autoscripts werden diese Einstellungen letztlich bei jedem PC Start/ User-Anmeldung importiert und via OneDrive/ firmen SharePoint auch auf die mobilen Geräte nahezu in Echtzeit angewendet.

Office 365 – Admin Center

In meiner Office365-Umgebung habe ich die eine oder andere Sicherheitseinstellung vorgenommen, wo ich denke, dass dies ein effektiver Schutz mit gleichzeitiger Balance zum Arbeiten mit dem Produkt ist. Gerade bei der Mail-Filterung muss man abwägen, welche Mails werden mit Benachrichtigung abgewiesen und welche lieber nicht oder ist es besser bestimmte Mails erst in Quarantäne zu setzen, weil man hier noch an die Mail rankommt.

Admin Center

    • Benutzer -> erlaubte E-Mail-Apps definieren
    • Sicherheits- und Datenschutz -> Passwortänderung nach xx Tagen

Azure Active Directory

    • Zwei-Faktor-Authentifizierung
    • Self-Service-Kennwortzurücksetzung mit mindestens 3 Pflichtangaben

Security & Compliance

Richtlinien
      • ATP-sicher Anlagen (zubuchbarer AddOn)
      • ATP-sichere Links (zubuchbarer AddOn)
      • Antispam-Schutz
      • Antischadsoftware
      • DKIM
      • erweiterte Filterung

Exchange

Schutz -> DKIM
 Nachrichtenfluss-Rules
      • sperren alter Office-Files (z.B. xls, doc,ppt)
      • sperren möglicher schadhafter Files (z.B. docm, mdb, thmx, html, htm, vbs, exe, rar etc)
      • besondere Behandlung von Mails und Anlagen, welche nicht geprüft werden können
      • filtern von Mails und Anlagen wo bestimmte Inhalte in Anlagen gefunden werden (‚certutil‘ oder ‚UEsDBBQAAAA‘ oder ‚filesystem‘ oder ‚reg add‘)
        Manchmal tarnt sich eine Datei als z.B. txt, welche dann durch Umwege doch zu einer bösen Datei umgewandelt werden kann
      • sperren von Mails, welche bestimmte Wörter in der Mail aufweisen
Nachrichtenfluss-Connectoren
      • erlaubte Mailserver aus dem lokalen-Umfeld (z.B. Mail-Gateway für Meldungen aus Geräten wie Sonic, Router, Switche, Drucker etc.)
      • gilt auch für DNS-Einträge für „akzeptierte Domänen“

OneNote vs Evernote

OneNote und Evernote sind auf dem ersten Blick beides digitale Notizbücher. Beide Versionen gibt es als Free-Version mit unterschiedlichen Einschränkungen zur entsprechenden Zahl-Version. Wobei OneNote als Zahl-Version nicht einzeln erhältlich ist und mit zum Office-Paket gehört.

Ich persönlich sympathisiere für OneNote von Microsoft, aber ich versuche dennoch aus einem neutralen Blickwinkel beide zu vergleichen. In meinem Vergleich nutze ich Microsoft OneNote in einem Office 365 Business Premium Abo und Evernote Business.

Aufbau

OneNote

Ein Buch besteht in OneNote aus Abschnitten/Reiter und Seiten ähnlich wie in einem Aktenordner. Die Abschnitte sind Deckseiten/Register und die Seiten sind die Notizen. Es können unzählige Notizen/ Seiten erstellt werden. Diese Seiten kann man bis zu 3 Ebenen einrücken, so dass man innerhalb einer Notiz/Seite eine ordnerähnliche Struktur aufbauen kann.

Evernote

 

Teamarbeit

Ein Unterschied der beiden ist, dass in einer Notiz mit mehreren Bearbeitern kein Hinweis in Evernote enthalten ist, wer bestimmte Passagen in der Notiz geschrieben bzw. zu letzt geändert hat. Im OneNote hingegen sieht man die Initialen, Name und Datum einer Änderung. Aber in beiden erkennt man nicht genau was konkret geändert wurde.

 

Office 365 – Administration

Wer sich für Office 365 und deren vielen Funktionen entschieden hat, der hat sicher festgestellt, dass es bis vor einer bestimmten Zeit man zwischen drei verschiedenen Cloud-Speicher/ Cloud-Regeln entscheiden konnte (DE, EU, COM). Ich habe das Pech oder auch Glück ;-), dass man sich bei mir auf Arbeit für die DE-Cloud entschieden hat. Nebenher habe ich aber auch das Privileg als Developer eine COM-Cloud als Entwickler zu testen. Maßgeblich sollte nur der Speicherort der Cloud-Daten hier den unterschied machen, aber später kam dann doch noch mehr zum Tragen.

Es stellten sich nach und nach schnell mehr Nachteile als Vorteile aus meiner Sicht heraus. In der DE-Cloud greift auch die neue DSGVO und macht das Arbeiten und Verwalten mit Office 365 unnötig schwierig. Entweder bestimmte Apps wie Teams oder Outlook-Handy-App funktionieren einfach nicht und geben wilde Fehler aus oder aber bestimmte Sicherheitseinstellungen die man einstellt greifen schlicht weg nicht ohne das man einen Hinweis auf die Einschränkung durch DE-Cloud erhält.

Ebenso schwierig ist das zusammen Spiel von Benutzern/ Unternehmen die unterschiedlichen Clouds angehören bzw. verwenden. Ein Unternehmen mit DE-Cloud kann nicht uneingeschränkt mit einem Unternehmen aus der COM-Cloud arbeiten. Auch hier sind Fehlermeldungen entweder nicht vorhanden oder führen einen in die Irre.

Es gibt eine Liste mit DE-Einschränkungen, aber ich meine, dass diese nicht voll umfänglich ist und man weiter nur experimentieren kann. https://docs.microsoft.com/de-de/office365/servicedescriptions/office-365-platform-service-description/office-365-germany

In diesem Beitrag möchte ich über persönlich festgestellte Einschränkungen und Feststellungen schreiben, so dass andere sich eventuelle Suchzeiten und Problemlösungen ersparen.

Admin Center

Exchange Admin

Nachrichtenfluss / Regeln

Generell sollte man Mails mit bestimmten Anhängen in irgend einer Form behandeln. Hier wäre das Blockieren bestimmt die Beste Lösung, aber das funktioniert bei einer DE-Cloud nicht, sicher weil es dem Admin nicht erlaubt sein sein über das Recht des eigentlichen Empfängers zu entscheiden. So kann man z.B. Mails mit bestimmten anhängen wie „hta, exe, vbs“ nicht blockieren, nicht umleiten, nicht auf Genehmigung durch anderen Mitarbeiter umstellen und auch nicht TLS anfordern. All diese Sachen funktionieren Problemlos in der COM-Cloud, aber in der DE-Cloud wird bei Verwendung einer durch DSGVO eingeschränkten Regel alles außer Karft gesetzt und die Mail geht ohne weitere Behandlung zum eigentlichen Empfänger. Selbst wenn in der Regel erlaubte Regeln mit enthalten sind, werden diese keine Anwendung mehr finden.

Was funktioniert und was ich wenigstens anwende ist, dass ich der Betreffzeile einen kleinen Achtung-Text voranstelle [Achtung, Anhang prüfen] oder zu der eigentlichen Mail eine separate Mail mit hinterher sende, in der man deutlich mehr Text für Anweisungen unterbringen kann.

Datei-Endungen mit Makros von Office, aber auch PDF’s sollte man wenigstens mit Hinweis wie [Makro-Datei im Anhang] versehen.
https://support.office.com/de-de/article/dateiformate-die-mit-visual-basic-funktionieren-69afddfd-4479-4466-9f37-3f4046b5e107

Exchange Admin PowerShell

Verbindung zum Exchange via PowerShell aufbauen, wobei hierzu die Installation des Modules „Microsoft Exchange Online PowerShell Module“ Voraussetzung ist.

$UserCredential = Get-Credential
$Session = New-PSSession -ConfigurationName Microsoft.Exchange -ConnectionUri https://outlook.office.de/powershell-liveid/ -Credential $UserCredential -Authentication Basic -AllowRedirection

(COM -> 
$Session = New-PSSession -ConfigurationName Microsoft.Exchange -ConnectionUri https://outlook.office365.com/powershell-liveid/ -Credential $UserCredential -Authentication Basic -AllowRedirection
)

Import-PSSession $Session -DisableNameChecking
… arbeiten und am Ende wird empfohlen die Session zu schleißen …
Remove-PSSession $Session

OME einrichten und nutzen

Einrichten neuer Office 365-Nachrichtenverschlüsselungsfunktionen

Der entsprechende Schutzdienst ist bereits aktiviert, wenn Ihr Abonnement Azure Rights Management oder Azure Information Protection einschließt und Ende Februar 2018 oder danach erworben wurde und AutomaticServiceUpdateEnabled auf true steht. Ist das nicht der Fall, so muss man den Schutzdienst manuell aktivieren!

Prüfen kann man dies mit PowerShell (siehe Verbinden mit Exchange per PowerShell). Mit Get holt man sich die Info und mit Set stellt man die entsprechende Funktion ein oder aus.

Get-IRMConfiguration
Set-IRMConfiguration -AutomaticServiceUpdateEnabled $true

 

Azure Active Directory

Users

In der DE-Cloud ist es nicht möglich Gäste ohne deren Einwilligung hinzuzufügen. Die Einladung hierzu geht auch nicht hier bei „Users“ und muss bzw. über SharePoint erfolgen! Hat man einen Gast (externen User) z.B. zu einer SharePoint-Gruppe / SharePoint-Webseite hinzugefügt bzw. eingeladen, so erhält dieser eine Einladung an dessen Mail-Adresse. Im besten Fall sollte der Eingeladenen auf dieser Mail-Adresse einen Microsoft-Account registriert haben und in der Mail die Einladung annehmen. Erst wenn dies erledigt ist, sieht ein Admin unter „Users“ den Gast und kann diesen auch weiteren neuen SharePoint-Webseiten zu ordnen. In der COM-Cloud kann man direkt unter „Users“ einen Gast hinzufügen und diesem eine Einladung zukommen lassen. In jedem Fall sieht aber ein Admin den Status zu seinen Gästen, ob diese noch als eingeladen zählen oder ob Sie die Einladung angenommen haben.

Das schöne daran, wenn ein eingeladener bereits über ein Microsoft-Account verfügt ist, dass man als Admin sich keine Gedanken um dessen Passwörter machen muss. Soll ein Gast keinen Zugriff mehr haben, dann entzieht man Ihm der SharePoint-Webseite oder löscht diesen komplett.

 

Microsoft Windows Server 2019

Upgrade/ Update auf Windows Server 2019

Bevor ein Windows Server auf Windows Server 2019 aktualisiert wird, sollte man sich vorher einige Fragen stellen:

Upgrade auf einem Domain Controller

Windows Server 2016 auf Windows Server 2019

Bevor hier einfach z.B. von Windows Server 2016 auf Windows Server 2019 aktualisiert werden kann, sollte man das Domain-Schema aktualisieren! Beim InPlace-Upgrade erhält man hierzu sogar einen Hinweis, wenn man nicht das aktuelle Schema für Windows Server 2019 vorbereitet hat.

Prüpft ob Euer Domain-Admin auch Mitglied von „Schema-Admin“ und Organisation-Admin“ ist, wenn nicht, dann fügt dem Admin diese Rollen hinzu und meldet Euch ab und wieder an. Nur So seid Ihr sicher, das der Admin mit den richtigen Rechten unterwegs ist.

Prüft Euer vorhandenes Schema mit PowerShell. Öffnet PowerShell explizit als „Administrator“ und gebt folgende Befehl ein:

für adprep /forestprep

Get-ADObject (Get-ADRootDSE).schemaNamingContext -Property objectVersion

AD version objectVersion
Windows Server 2000 13
Windows Server 2003 30
Windows Server 2003 R2 31
Windows Server 2008 44
Windows Server 2008 R2 47
Windows Server 2012 56
Windows Server 2012 R2 69
Windows Server 2016 87
Windows Server 2019 88
für adprep /domainprep

get-adobject -ldapfilter ‘(&(objectClass=Container)(cn=ActiveDirectoryUpdate))’ -Properties *| select Name, CanonicalName,revision

Windows Server 2008 3
Windows Server 2008R2 5
Windows Server 2012 9
Windows Server 2012R2 10
Windows Server 2016 15
Windows Server 2019 16
für Forest Functional Level

get-adobject (Get-ADRootDSE).defaultnamingcontext -Properties * | select msDS-Behavior-Version

Windows Server 2000 Native 0,0
Windows Server 2000 Mixed 0,1
Windows Server 2003 2,0
Windows Server 2008 3,0
Windows Server 2008R2 4,0
Windows Server 2012 5,0
Windows Server 2012R2 6,0
Windows Server 2016 7,0
Windows Server 2019 7

Kopiert von der Installations-CD (Windows Server 2019) den Ordner „Support“ nach „C:\Server2019“ und startet die Commandbox explizit als „Administrator“. Gebt die Befehle nacheinander ein und schaut das diese mit Erfolgsmeldungen zurück kommen.

cd c:\server2019\support\adprep

adprep /forestprep

adprep /domainprep

Microsoft Windows [Version 10.0.14393] (c) 2016 Microsoft Corporation. Alle Rechte vorbehalten.

C:\Windows\system32>cd c:\server2019\support\adprep

c:\Server2019\support\adprep>adprep /forestprep

ADPREP-WARNUNG:

Voraussetzung für die Ausführung von Adprep ist, dass auf allen Windows-basierten Active Directory-Domänencontrollern der Gesamtstruktur mindestens Windows Server 2003 verwendet wird.

Sie sind im Begriff, das Schema der Active Directory-Gesamtstruktur „fritz.box“ unter Verwendung des Active Directory-Domänencontrollers „hsdorn.fritz.box“ (Schemamaster) zu aktualisieren. Dieser Vorgang kann nicht mehr rückgängig gemacht werden.

[Benutzeraktion] Wenn auf allen Domänencontrollern der Gesamtstruktur mindestens Windows Server 2003 verwendet wird und Sie das Schema aktualisieren möchten, drücken Sie zur Bestätigung C und dann die EINGABETASTE. Drücken Sie andernfalls eine beliebige andere Taste und anschließend ebenfalls die EINGABETASTE.

c

Die aktuelle Schemaversion lautet „87“.

Schema wird auf Version „88“ aktualisiert…

Dateisignatur wird verifiziert Verbindung mit „hsdorn.fritz.box“ wird hergestellt. Anmelden als aktueller Benutzer unter Verwendung von SSPI Das Verzeichnis wird aus der Datei „c:\Server2019\support\adprep\sch88.ldf“ importiert. Die Einträge werden geladen……… 7 Einträge wurden erfolgreich geändert.

Der Befehl wurde einwandfrei durchgeführt. Verbindung mit „hsdorn.fritz.box“ wird hergestellt. Anmelden als aktueller Benutzer unter Verwendung von SSPI Das Verzeichnis wird aus der Datei „c:\Server2019\support\adprep\PAS.ldf“ importiert. Die Einträge werden geladen………………… 26 Einträge wurden erfolgreich geändert.

Der Befehl wurde einwandfrei durchgeführt. Die gesamtstrukturweiten Informationen wurden erfolgreich aktualisiert.

c:\Server2019\support\adprep> c:\Server2019\support\adprep>adprep /domainprep Die domänenweiten Informationen wurden erfolgreich aktualisiert.
Damit ist nur das Schema vorbereitet für 2019, aber noch nicht darauf umgestellt. Die Umstellung sollte erst geschehen, wenn man nur noch Windows Server 2019 im Einsatz hat.
Forest Functional Level anheben

$ADForest = Get-ADForest Set-ADForestMode -identity <your.forest> -Server $ADForest.SchemaMaster -ForestMode <Level>

Gültige Werte für Level sind:

Win2003Forest
Win2008Forest
Win2008R2Forest
Win2012Forest
Win2012R2Forest
Win2016Forest
…

Alternativ unter Systemsteuerung -> Active Directory-Verwaltungscenter kann mit Rechtsklick auf den Domainnamen das Schema angehoben werden.

Für Windows Server 2019 wurde keine eigene Funktionsebene eingeführt, dennoch muss man das Schema auf 88 vorbereiten/ Hinzufügen. Laut Microsoft gibt es keine neuen Funktionen aus Sicht von Active Directory. Daher ist auch ein Mischbetrieb von Windows Server 2016 und Windows Server 2019 möglich.

Ich persönlich würde aber davon abraten und es so handhaben wie bei jeder Vorversion auch. Alle Domain-Server auf ein Betriebssystem halten. Ich sehe auch zu, dass sich kein anderer „normaler“ Server aus der Vorversion im Domainnetzwerk befindet, bevor ich die Gesamtstruktur anhebe.