Manchmal möchten Sie aus bestimmten Gründen verhindern, dass ein bestimmter Benutzer das Eingabeaufforderungsfenster (cmd.exe) öffnet. In diesem Artikel wird erläutert, wie Sie verhindern können, dass bestimmte Benutzer die Eingabeaufforderung öffnen oder Windows Batch-Dateien ausführen.

So blockieren Sie den Zugriff auf Eingabeaufforderungen für bestimmte Benutzer

Das Sperren der Eingabeaufforderung kann mithilfe von NTFS-Berechtigungen erfolgen, indem ein Eintrag "Berechtigung verweigern" (zu cmd.exe) für einen bestimmten Benutzer oder eine bestimmte Gruppe hinzugefügt wird. Dies kann mit dem integrierten Konsolentool ICacls.exe oder dem Dialogfeld Erweiterte Sicherheitseinstellungen erfolgen.

Methode 1: Verwenden des Befehlszeilenprogramms ICacls.exe

Führen Sie in einem Eingabeaufforderungs- oder Administrator-Eingabeaufforderungsfenster die folgenden Befehle aus:

 takeown / f cmd.exe icacls cmd.exe / ramesh verweigern: RX 

$config[ads_text6] not found

.. wobei "ramesh" der Benutzername ist, den Sie daran hindern möchten, auf cmd.exe zuzugreifen. Weitere Informationen zu den Befehlen takeown.exe und icacls.exe finden Sie im Artikel Übernehmen der Eigentümerschaft einer Datei oder eines Ordners über die Befehlszeile in Windows .

---

Methode 2: Verwenden des Dialogfelds "Erweiterte Berechtigungen"

Öffnen Sie den Ordner C:\Windows\System32 .

Klicken Sie mit der rechten Maustaste auf cmd.exe und klicken Sie auf Eigenschaften. Alternativ können Sie in der Multifunktionsleiste auf die Schaltfläche Eigenschaften klicken.

Wählen Sie im Dialogfeld "Dateieigenschaften" die Registerkarte "Sicherheit" und klicken Sie auf die Schaltfläche "Erweitert". Dies öffnet das Dialogfeld Erweiterte Sicherheitseinstellungen.

Standardmäßig besitzt TrustedInstaller cmd.exe. Klicken Sie auf "Ändern", um den Besitz der Datei zu ändern.

Geben Sie "Administratoren" ein und drücken Sie die EINGABETASTE.

Sie sehen die folgende Meldung. Schließen Sie einfach das Dialogfeld "Erweiterte Berechtigungen" und öffnen Sie es erneut.

Wenn Sie gerade das Eigentum an diesem Objekt übernommen haben, müssen Sie die Eigenschaften dieses Objekts schließen und erneut öffnen, bevor Sie Berechtigungen anzeigen oder ändern können.

Die Administratorgruppe ist jetzt der Eigentümer der Datei. Sie können jetzt nach Bedarf Berechtigungseinträge hinzufügen.

Klicken Sie auf Berechtigungen ändern, um nun zu Hinzufügen zu wechseln.

Klicken Sie auf Hinzufügen

Klicken Sie auf Prinzipal auswählen

Geben Sie den Benutzernamen (z. B. ramesh ) ein und klicken Sie auf OK.

Wählen Sie im Dialogfeld Typ die Option Verweigern aus

Aktivieren Sie die Kontrollkästchen für Lesen, Lesen und Ausführen und klicken Sie auf OK.

So würde das Dialogfeld "Erweiterte Sicherheitseinstellungen" jetzt aussehen:

Klicken Sie im Dialogfeld Erweiterte Sicherheitseinstellungen auf OK. Sie sehen die folgenden Meldungen. Klicken Sie auf Ja, um fortzufahren.

Sie legen einen Eintrag für Verweigerungsberechtigungen fest. Verweigern von Einträgen hat Vorrang vor Zulassen von Einträgen. Dies bedeutet, dass dem Benutzer diese Berechtigung verweigert wird, wenn ein Benutzer Mitglied von zwei Gruppen ist, von denen einer eine Berechtigung und einer anderen die gleiche Berechtigung verweigert wird.

Wollen Sie fortfahren?

Sie sind dabei, die Berechtigungseinstellungen für Systemordner zu ändern. Dies kann die Sicherheit Ihres Computers beeinträchtigen und dazu führen, dass Benutzer Probleme beim Zugriff auf Dateien haben. Wollen Sie fortfahren?

Um zu testen, ob der Block funktioniert, verwenden Sie Ausführen als (oder runas.exe), um cmd.exe als diesen bestimmten Benutzer zu starten.

 runas / user: ramesh c: \ windows \ system32 \ cmd.exe 

Das würde den folgenden Fehler auslösen:

Kann nicht ausgeführt werden - cmd.exe => 5: Zugriff verweigert

Oder melden Sie sich einfach bei diesem Benutzerkonto an und versuchen Sie, cmd.exe zu starten. Der Benutzer "ramesh" kann die Datei nicht lesen oder ausführen.

Das ist alles. Sie haben jetzt den Zugriff auf die Eingabeaufforderung (cmd.exe) für diesen bestimmten Benutzer deaktiviert.