23.06.2015

2794

Windows 7: 2 User auf der gleichen Partition strikt voneinander trennen

Guten Morgen,

ich muss mich gerade mit einem "Sicherheitsproblem" der besonderen Art auseinandersetzen und bitte an dieser Stelle um euren fachmännischen Rat.
Bei einer Freundin hängt der Haussegen mehr als schief und so langsam aber sicher wird mit härten Bandagen gekämpft.

Auf ihrem Recher den sie vor allem beruflich nutzen muss ist leider auch ihr "Mitbewohner" als User angelegt. Er als normaler Benutzer, sie als Admin.
Ich habe ihr nun zunächst geraten ihr eigens PW durch ein stärkeres zu ersetzen.
Gleichwohl sollte sie auch den standardmässigen Admin ein ordentliches PW verpassen.
Bedauerlicherweise hatte sich herausgestellt, daß der "Mitbewohner" nicht nur ihr PW kannte sondern auch ihre Mails gelesen hat.

Es ist zu befürchten, daß er auch noch andere Dinge tut, bis hin zur Sabotage von geschäftlichen Daten.
Abgesehen davon ihm den Zugang zu dem bisher gemeinsamen PC zu verweigern, was kann man sonst noch tun um wenigsten halbwegs auf der sicheren Seite zu sein?
Taugen Tools, die die Anmeldung auf eine Stick bringen was?

Parallel würde ich auch raten alle wichtigen Daten ausschließlich nur noch auf eine Stick oder einer kleinen HD abzulegen.
Kann man das auch mit der Outlook PST (2 Konten sind als IMAP eingerichtet, ohne PW Speicherung) machen?
Wichtig wäre, daß er zwar den Rechner nutzen kann, aber in keiner Weise an Daten o.ä. des Hauptnutzers kommt.

Da sie selbst ziemlicher Laie ist und ich fast nur via Teamviewer helfen kann, wird die Sache schon etwas engeschränkt und die Zeit um den Rechner neu aufzusetzen mit 2 Usern auf zwei unterschiedlichen Partitionen ist leider nicht gegeben.
Hab das bei mir selbst so gemacht mit dem Ergebnis, daß ich beim Booten gefragt werde welche "Maschine" ich starten möchte.
Damit sind gemeinsame Ordnerstrukturen, in die man dann vielleicht doch reinschauen könnte erstmal nicht so offensichtlich ...
Ich weiß Möglichkeiten gibt es immer ...

Ich freue mich über alles was hilft hier Worst-Case-Szenarien so gut wie möglich zu vermeiden.

LG
Juwee

Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben

Content-ID: 275382

Url: https://administrator.de/contentid/275382

Ausgedruckt am: 25.11.2024 um 11:11 Uhr

35 Kommentare

Neuester Kommentar

HI,

den Account sperren vom Mitbewohner und dieser soll sich lieber selber einen PC oder Notebook kaufen!

Externe HD ist nur dann sinnvoll, wenn sie verschlüsselt ist - das trifft auch für den USB-Stick zu!

Gruss

Holger

Virtualbox https://www.virtualbox.org ist hier wie immer dein bester Freund. Eine bessere Trennung gibt es nicht !

Da sie selbst ziemlicher Laie ist und ich fast nur via Teamviewer helfen kann

Das sind die allerschlechtesten Voraussetzungen sowas mit Erfolg umzusetzen...weisst du aber vermutlich selber, oder ?

Hi.

Ich will es mal kurz und knapp halten:
Wenn ihr wirklich weiterhin mit diesem Heini einen Rechner teilen wollt, wovon ich schon nach der Vorgeschichte abraten würde, dann müsstet Ihr eine gesicherte Ausgangsposition haben, also einen Stand, bei dem Ihr wisst, dass der Typ keinen Adminzugang mehr erlangen kann. Könnt Ihr das? Nein.
Also neu Aufsetzen mit einem schwachen Nutzer für ihn und Verschlüsselung des Gerätes, damit er das Kennwort nicht mit Bootdisks umgehen kann.

Oder aber ihn aus dem jetzigen Gerät aussperren, falls ihr dem Gerät noch trauen mögt - würde ich nicht tun.

Moin,

wozu der Aufriss?

Jeder kauft sich nen eigenen PC und gut is...

VG

Hallo

Wenn der Mitbewohner ein bisschen Ahnung hat, dann jucken ihn doch Admin-Passwörter nicht

Die sind in 2 Minuten rausgelöscht und er kann sich ohne Passwort anmelden

Also ich würde alles auf einen verschlüsselten Stick legen & den Mitbewohner aus der WG schmeißen

Gruß joehuaba

P.S: Das mit den 2 Partitionen ist doch quatsch ?!

Das bringt 0,0 !
Da geht man im "Computer" auf die 2. Partition und schwupps, man hat die gleiche Ordnerstruktur wie auf deinem laufenden System :D

Hi,
wenn der Rechner physisch nicht sicher ist, also entwendet oder zerstört werden kann, dann als aller erstes eine Sicherung aller Daten anlegen und diese außer Haus bringen!. Das betrifft auch alle bereits existierenden externen Festplatten und Speicher-Sticks (USB-Sticks, SD-Karten usw.)

E.

Nun das Optimun währe den User den PC zu "Verbieten".
Kein Account ect.
Da er jedoch das Admin PWD kennt bzw hatte, konnte er viel machen in der Zeit.
Verstecke Tools Installieren, Hintertüren Aufmachen ect.
Selbst Kopien der Daten machen oder diese Verändern was bei Geschäftsdaten schonmal erhebliche Probleme geben kann vorallen wenn jemand diese ggfs veröffentlicht....
Dazu reicht selbst der Zugang zum PC um diesen zu Öffnen und ggfs Daten zu Kopieren/Ändern mittels Live-CD zb.
Dazu weißt du so auch nicht was wurde am System ggfs durch ihn Verändert wodurch eine Neuinstallation schon gut währe.
Vom System kannst du mit den Berechtigungen einstellen das User x gar kein Zugriff auf Ordner x hat wodurch du ihn einschränken kannst.
Aber er kann sich ggfs auch Adminrechte verschaffen da er ja den PC vor sich hat.
Es währe jedenfalls gut die Daten in ein Verschlüsselten Container zu legen und diesen Täglich zu Sichern bzw mehere Sicherungen zu haben.
ggfs 1 Backup-Stick davon immer mitnehmen falls er den PC Schrottet.
Jedenfalls sollten alle PWDs geändert werden, angefangen beim PC bis zur Webseitenanmeldung, Mailkonto Bankdaten ect.
Zumal er ja Zugang in der Wohnung hat, kann er ggfs Breife suchen und daraus Daten herholen und so auch verwenden bei Telefonhotline für Änderungen ect. sogar auch Briefe Abfangen wenn neue Zugangsdaten geordert wurden oder gar ein 2t Account für den Freund eingerichtet wurde.
Und Schriftlich geht sowas ja auch und irgendwo sindsicherlich Schreiben wo die Unterschrift gescannt/kopiert werden kann.
Ein Abschließbarer Schrank wo alle Wichtigen Unterlagen liegen sollten währe Ratsam.

Es kann Probleme geben wenn er sich auskennt bzw gut Suchen kann.
Es kann aber auch nur Panik sein und es passiert nix.
Aber Leichtsinnig sollte man nicht sein...

Aber eine Lösung währe ja wenn du in dem PC ein Wechselrahmen einbaust.
Jeder User hat seine eigende Platte wo das ganze System drauf ist sowie seine Daten.
So muss jeder nur seine Platte gut Aufbewahren und für Backups sorgen ;)
Währe auf jedenfall die Beste Lösung auch wegen Datenschutz/Sicherheit und jeder kann sein System so machen wie er will.
Jedoch nicht mal ebend User Ummelden und schnell Mails Checken dies geht denn nicht mehr...

Jedenfalls solltet ihr nicht voreillig sein um zb Anzeige machen was ihr nicht 100% Belegen könnt.
Aber in den Privaten Räumen bzw eigendes Zimmer darf ja eine Verstecke Kamera sein um Diebstahl aufzuzeichnen... aber nicht gleich Fahrlässig was Wichtigs auf dem Tisch liegen lassen und warten das dies einer mitnimmt nur um ihn dabei zu Filmen ;)

Ein Guter Rat ist das ihr zum Anwalt geht und die Sache schildert.
Sowie auch Überlegen was passiert mit den Wichtigen Daten für Arbeit, welchen Schaden kann er machen da er ja vollen Zugang hat bzw hatte. Was macht eine Veröffentlichung der Daten an Schaden...
Da kann der Anwalt schon gut helfen sowie das ihr auch keine Straftat macht....

Moin,

das einzig sinnvolle ist, zwei getrennte Kisten. Auch zwei getrennte Partitionen sind in diesem Fall keien Lösung. Denn sobald physikalischer Zgriff da ist hat man da volel Zugriff auf alles andere.

lks

PS. Ich bin schon öfter von "Streithähnen" nach Methoden grafragt worden, die ins strafrechtlich relevante gegangen wären. Da hilft nur mit einer Säge nachzuhelfen.

Hallo,
also meiner Meinung nach währe den Rechner neu zu installieren mit aktivem Bitlocker das einzig sinnvolle.

Und der andere muss sich dann eben selber was besorgen.

Also erstmal muss ich mich der vorherschenden Meinung anschließen das ihr dem Mitbewohner den Zugriff sofort entziehen solltet (physisch) und das ihr weder Zeit noch Kenntnisse habt um ein sicheres System zu bauen. Zwei Rechner kommen euch garantiert günstiger!

Des Weiteren würde ich alle Daten des PCs kopieren um auf einem neuen Gerät weiter zu arbeiten. Die alten Daten zwecks Beweissicherung / Nachvollziehbarkeit unverändert lassen. Man muss sich hier auch mal über juristische Konsequenzen klar werden den E-Mails lesen unter diesen Voraussetzungen würde ich gleichsetzen mit öffnen fremder Post. Ich bin kein Jurist aber wer weiß was noch kommt und was strafrechtlich relevant wird.

Hallo,
euch allen vielen lieben Dank für eure rege Beteiligung und Ratschläge.
Ich dachte mir schon, daß mit "einfachen" Mitteln nicht viel zu machen ist und es wäre auch im Grunde meine Strategie gewesen, daß er seine Sachen sichern kann, danach die eigenen Sachen sichern incl. Backup und die Möhre mit einem User neu aufsetzen.
Ist halt ne blöde Situation ... der Mitbewohner (von ihr) ist der derzeitige (Noch)Ehemann ... der erfahrungsgemäß alle verfügbaren Register zieht entweder um zu gewinnen oder zu schaden.

Lieben Dank, ich werd mal sehen was ich von den Ideen halbwegs umsetzen kann.

Grüße
Juwee

Hi,

wenn er so mies ist. Ich finde man sollte sich in Frieden trennen. Sonst verliert man noch mehr als man hat.

Gruß

Holli

Zitat von @holli.zimmi:

wenn er so mies ist. Ich finde man sollte sich in Frieden trennen. Sonst verliert man noch mehr als man hat.

Wenn der Rosenkrieg erstmal losgeht, ist er kaum noch aufzuhalten.

lks

Wenn der Rosenkrieg erstmal losgeht, ist er kaum noch aufzuhalten.

Ja. Was mir daran besonders gefallen hat, war das Ende mit dem Kronleuchter ...

Hmm, auch ne Lösung ... darf ich die jetzt markieren

Man könnte ja den Kronleuchter über den PC hängen ... 3x falsches Passwort mag er nicht

moin
eins verstehe ich nicht, wenn du den rechner beruflich nutzt, warum legst du nen konto für so einen p...er an. das sind doch dann selbst gemachte probleme?! aber trotzdem schließ das konto und ruhe is. deine daten zusätzlich verschlüsseln und fertig. soll der p...er sich doch nen eigenen rechner kaufen.
mehr fällt mir dazu nicht ein
gruß dirk

Hi Juwee,

kann mich nur den Vorrednern anschliessen, dass du jeden Zugriff auf den Rechner verhindern mußt.

Stell dir vor der bootet mit Deft (http://www.deftlinux.net/) und macht mit guymager eine Kopie d.h. ein dd Image der Originalplatte.
Dann geht er mit dem Image zu einem anderen Rechner und hat die Möglichkeit mit z.B. photorec, wie auf der Orginalplatte nach gelöschten Dateien zu suchen.

Die Rohdaten hat er natürlich auch.

Der kann in Ruhe mit Forensictools drüber gehen und ihre Daten vollkommen zerlegen.

Also höre auf die, die dir sagen sofort, bzw. Gestern den Zugriff auf den Rechner bzw. Festplatte verhindern,
Mit Deft muß er nicht mal Ahnung haben.
Das hat er sich im Internet in ein paar Minuten zusammengelesen.

Ich hoffe er liest hier nicht mit und ist nicht schneller wie du...............

Grüße
Epi

Hi,

das schnellste wäre, BIOS -Passwort ( nicht das gleiche wie Admin -sondern ein neues PW ) und ein Passwort für die Festplatte!
Da nützt auch das ausbauen und sonstiges nichts!

Gruss

Holli

BIOS Passwörter sind nur nervig und bringen nichts.

Hi,

BIOS Passwörter sind nur nervig und bringen nichts.

Wieso Passwort für Administrator setzen und User leer lassen!
Aber das Passwort für die HD muss trotzdem eingegeben werden!

Wenn Du es nicht setzt, na dann ....

Gruß

Holli

Der sich auskennt Ja
Andere die kein WIssen dazu haben können erstmal nix machen.
Zudem fällt eine Veränderung ja auf wodurch man schon Bescheid weis....

Hi,

Der sich auskennt Ja
Andere die kein WIssen dazu haben können erstmal nix machen.
Zudem fällt eine Veränderung ja auf wodurch man schon Bescheid weis....

Ja entweder ist man offen, wie ein Scheunentor (oder schliesst zu ohne abzuschliessen )!

Deswegen schliesse ich mein Auto auch ab!

Gruß

Holli

Zitat von @holli.zimmi:
Ja entweder ist man offen, wie ein Scheunentor (oder schliesst zu ohne abzuschliessen )!

Deswegen schliesse ich mein Auto auch ab!

Und trozdem verschwinden immer noch Autos obwohl Abgeschlossen wurde...

So ist das.

Wenn es zu sicher ist, treten andere Schwierigkeiten auf!
Hat halt alles Vor- und Nachteile!

Gruß

Holli

Hallo Juweee,

das geschilderte Problem ist nicht so einfach zu lösen. Deshalb ist die beste Lösung den Rechner neu aufzusetzen und entsprechend neue Passwörter (auch für den versteckten Adinistrator) zu vergeben. Auch müssen bei der Instalation die versteckten Administrativen freigaben gesperrt werden (Achtung bei Problemen kann dann niemand mehr helfen).
Das reicht aber nicht aus. Mit den entsprechenden administrativen CDs kommt man immer noch an den Rechner indem man einfach ein neues Passwort setzt. Hier hilft nur die Bootreihenfolge zu verändern (HD auf nummer eins und keine DVD Laufwerke zulassen) und ein sicheres Bios Passwort zu vergeben. Somit verhindert man dass er sich selber wieder Zugriff auf das CD/DVD Laufwerk verschafft und üner eine Admin-CD das Passwort oder die Freigaben ändert.
Nun bleibt noch der Ausbau der Festplatte und anstepseln an enen anderen PC. Um das zu verhindern muss man die FP verschlüsseln (das geht mit den Boardeigenen Mitteln von Windows).

Wenn man das alles macht kommt nur noch ein Hacker mit Spezialwissen eventuell an die Daten. Denn totale Sicherheit gibt es nicht. Auch kommt es immer auf die verwendeten Passwörter an.

Ich hatte so ein ähnliches Problem mal Beruflich. Immer wieder hat ein Scherzbolzen sich administrativen Zugriff auf zwei Rechner beschafft (und private Programme instaliert). Die oben geschilderten Massnahmen haben ihn erfolgreich ausgeschlossen. Es gab nie wieder einen nicht Autorisierten Zugriff.

lG
Jim

Zitat von @jw002:

Ich hatte so ein ähnliches Problem mal Beruflich. Immer wieder hat ein Scherzbolzen sich administrativen Zugriff auf zwei
Rechner beschafft (und private Programme instaliert). Die oben geschilderten Massnahmen haben ihn erfolgreich ausgeschlossen. Es
gab nie wieder einen nicht Autorisierten Zugriff.

Beruflich löst man das mit Cat9, Magnum 44 oder einer Abmahnung, je nachdem wie einsichtig der Delinquent ist.

lks

PS: Gruß von Dirty Harry

Ach Dirty Harry,
toll, was soll dieser Komentar?
Wenn das Unternehmen liquid ist und nicht auf Spendenbasis arbeitet bestimmt. Aber bei einer Hilfsorganisation die jede Ausgabe rechtfertigen muss und wo die Mitarbeiter ehrenamtlich tätig sind ist mein geschilderter Weg der Kostengünstigste, Oder?
Schlaue Sprüche kloppen kann jeder.

Zitat von @jw002:

Ach Dirty Harry,
toll, was soll dieser Komentar?
Wenn das Unternehmen liquid ist und nicht auf Spendenbasis arbeitet bestimmt. Aber bei einer Hilfsorganisation die jede Ausgabe
rechtfertigen muss und wo die Mitarbeiter ehrenamtlich tätig sind ist mein geschilderter Weg der Kostengünstigste, Oder?

Schlaue Sprüche kloppen kann jeder.

Auch wenn der Mitarbeiter ehrenamtolich tätig ist, rechtfertigt das noch lange nicht das Umgehen von Sicherheitsprozeduren. Da ist durchaus ein erntes Gespräch angebracht. Notfalls muß man halt auf so eine ehrenamtliche Tätigkeit verzichten, wenn man später keien rechtlichen Probleme bekommen will.

Und in Firmen sind Sanktionen unverzichtbar, wenn sich ein Mitarbeiter nciht an die regeln hält. Sonst kommt man als Arbeitgeber selbst ziemlich schnell in Teufels Küche.

lks

moin
ehrenamlich ist doch keine rechtfertigung für solch einen vertrauensbruch(missbrauch) ?? und wenn wirklich was passiert ist der besitzer des rechners auch dran ??
also vertrauen is gut, konrolle is besser, und wenn das nicht reicht, trennt man sich von solchen "ehrenamtlichen".
gruß dirk

Also bevor noch mehr solcher 'Sinnfreien' Komentare kommen möchte ich klar stellen dass ich jegliche Aktion mit den jeweiligen Verantwortlichen abgesprochen hatte. Und durch die Kotrolle ist das ja auch sofort aufgefallen, und mit den jeweiligen Mitarbeitern wurde auch intensiv darüber gesprochen. Nur kann eine kleine Hilfsorganisation es sich nicht leisten sich seine ehrenamtlichen Helfer zu vergraulen. Auch waren es keine Schadprogramme sondern lediglich rein privat genutzte wie z:B. apples iTunes usw. Aber da es sich um Dienstrechner handelt sind diese eben nicht erwünscht.
Aber wieso schreibt ihr hier über solch eine Nebensache die gar nicht Thema ist? Wollt ihr blos prollen oder doch lieber was sinvolles im Board hinterlassen?
Kopfschüttel

moin
du wolltest unsere meinung/rat, die kannst du anwenden oder kannst weiter den "dienstrechner" "ausspionieren" oder "zumüllen" lassen und nicht gleich eingeschnappt sein, nur weil die einige antworten dir nicht passen
kopfschütteln zurück
gruß dirk

Zitat von @jw002:

Aber wieso schreibt ihr hier über solch eine Nebensache die gar nicht Thema ist? Wollt ihr blos prollen oder doch lieber was
sinvolles im Board hinterlassen?

Wenn Du die Antworten liest, udn darüber nachdenkst, soltel es für Dich nachvollziehbar sein, das das eben nciht sinnlos ist. Durch meine Erfahrung kann ich Dir sagen, daß auch in Firmen viel Dinge passieren, die duch die "Sparsamkeit" der Geschäftleitung verursach tsind udn sich dann die Geschäftsleitung irgendwann wundert, wie denn das passieren konnte.

Eine weitere erfahrung ist, daß man Benutzer konsequent erziehen muß, Die Erwähnung der Mittel von Dirty Harry war eine sarkastische Überzeichnung, wie jedem klar sein soltle. Aber der Job eines Admins bringt es mit sich, daß man nicht imerm nett zu den Leuten sein darf.

Wie dem auch sei, es ist immer eine reine Kosten-/Nutzenfrage wiegt die ehrenamtliche Tätigkeit eines Mitarbeiters den Schaden auf, den der verusacht.

Um dazu mal ein weiteres Extrembeispiel zu bringen:

Ehrenamtliche Jugendtrainer, z.B. bei örtlichen Sportvereinen sind sehr rar udn werden händeringend gesucht. Würdest Du da wirklich jeden als Trainer für die Kinder nehmen, der das freiwillig macht?

lks

PS: ich bin auch in mehreren vereinen ehrenamtlich tätig und weiß darum, wie schwer es manchmal ist, Ehrenamtliche zu finden.

Zitat von @ddjango:

moin
du wolltest unsere meinung/rat, die kannst du anwenden oder kannst weiter den "dienstrechner" "ausspionieren"
oder "zumüllen" lassen und nicht gleich eingeschnappt sein, nur weil die einige antworten dir nicht passen
kopfschütteln zurück
gruß dirk

hallo? wer wollte denn hier einen Rat? Ich bestimmt nicht. Deine Antwort zeigt dass du dir nichts wirklich durchgelesen hast und somit nicht weisst um was es da geht. Mein Beispiel sollte nur implementieren dass ich das Problem verstehe und nicht gegenstand eines Schitstorm werden.
Hiermit beende ich diese Diskusion.

Ich hatte mich schon gefragt warum ich hier solange nichts geschrieben hatte, jetzt weiss ich es wieder.

moin
sorry hab mich beim namen verlesen, aber wenn du so empfindlich reagierst,anstatt mich mal drauf hinzuweisen, lag ich mit dem eingeschnappt ja garnicht so falsch. nochmal asche auf mein haupt und sorry
gruß dirk