Gruppenrichtlinien-SucheGruppenrichtlinien
Deutsch

Eingabeaufforderung für Windows-Benutzer einschränken

Auf einem gemeinsam genutzten Windows-PC kann es nötig sein, die Ausführung von Befehlen in der Eingabeaufforderung für bestimmte Benutzer einzuschränken. Beispielsweise kann eine Schule den Zugriff für Schüler einschränken und zugleich benötigte Batchskripts zulassen. Zugriff auf Eingabeaufforderung verhindern steuert den interaktiven Zugriff auf Cmd.exe und bietet eine separate Wahl für Batchdateien.

Probleme, die diese Richtlinie lösen kann

Die Richtlinie kann dabei helfen zu verhindern, dass etwa Schüler an einem verwalteten PC unerwünschte Befehle in der interaktiven Eingabeaufforderung ausführen. Sie garantiert weder das Blockieren aller schädlichen Aktivitäten noch anderer Shells. Nach der Aktivierung erscheint beim Öffnen eine Meldung über die Deaktivierung durch den Administrator; sie ist eine Folge der Einstellung und kein vorheriger Fehler.

Schritte

  1. Öffnen Sie den Gruppenrichtlinien-Editor für die vorgesehenen Benutzer und wechseln Sie zu Benutzerkonfiguration › Administrative Vorlagen › System. Verknüpfen Sie in einer Domäne das Gruppenrichtlinienobjekt mit der Organisationseinheit dieser Benutzer.
  2. Öffnen Sie die Richtlinie und wählen Sie Aktiviert. Wählen Sie, ob die Verarbeitung von Batchdateien deaktiviert werden soll, und übernehmen Sie die Einstellung.
  3. Aktualisieren Sie die Richtlinie und testen Sie mit einem betroffenen Benutzerkonto. Zum Zurücksetzen wählen Sie Deaktiviert oder Nicht konfiguriert.

Blockieren Sie die Batchverarbeitung nicht, wenn Benutzer Batchskripts bei Anmeldung, Abmeldung, Start oder Herunterfahren benötigen oder Remotedesktopdienste verwenden. Das Blockieren von Cmd.exe kann auch die Kommunikation der Power-Automate-Browsererweiterung beeinträchtigen.

Registrierungseinstellungen

Melden Sie sich mit dem vorgesehenen Benutzerkonto an und öffnen Sie den Registrierungs-Editor mit regedit. Exportieren Sie vor der Änderung den folgenden Schlüssel und notieren Sie, ob der Wert vorhanden ist und welche Daten er enthält. Erstellen oder bearbeiten Sie darin den folgenden DWORD-Wert:

HKCU\Software\Policies\Microsoft\Windows\System
DisableCMD (REG_DWORD)

Setzen Sie den Wert auf 2, um interaktives Cmd.exe zu blockieren und Batchverarbeitung zu erlauben, oder auf 1, um beides zu blockieren. Übernehmen Sie die Änderung und testen Sie mit dem vorgesehenen Benutzer. Stellen Sie zur Wiederherstellung den notierten Wert wieder her oder löschen Sie nur diesen Wert, falls er zuvor fehlte. Eine verwaltete Richtlinie kann ihn bei der Aktualisierung erneut setzen.

Grundlage: Richtlinienvorlagen für Windows 11 Version 26H2.

Offizielle Quellen