Vista-Dienste aufräumen

Transkript

1 Vista-Dienste aufräumen Windows Vista beansprucht viele Ressourcen für Gimmicks und Dienste. Mit einer optimierten Konfiguration läuft Vista auch auf älteren PCs rund. Professionelle Anwender profitieren von mehr Sicherheit. Mit ein paar einfachen Batch-Dateien lässt sich die Dienstkonfiguration auch dynamisch anpassen. Von Mike Hartmann ( , Update: ) Um es auch dem unbedarftesten Benutzer leicht zu machen, installiert und startet Windows Vista eine Unzahl von Diensten, selbst wenn sie gar nicht benötigt werden. Zwar zeigt das System dabei eine gewisse "Grundintelligenz", indem es beispielsweise den Media Center-Empfängerdienst nur auf Geräten mit TV-Karte einrichtet, diese ist jedoch bei weitem nicht so ausgefeilt, wie man es sich wünschen würde. Fraglich ist zum Beispiel, warum der "Tablet PC-Eingabedienst" auf jedem Rechner installiert und gestartet wird, auch wenn dieser nicht über Tablet-PC-Funktionen verfügt. Gegenüber Windows XP hat sich bei Vista dennoch einiges zum Positiven verändert. So sind beispielsweise einige Dienste per Default deaktiviert, sie können also nur gestartet werden, indem sie explizit auf den Starttyp oder gesetzt werden. Steht ein Dienst dagegen auf, startet Windows ihn, sobald er benötigt wird beispielsweise weil ein abhängiger Dienst hochgefahren wird. Beim Starttyp aktiviert Vista den Dienst, sobald Windows hochfährt. Zudem bietet Vista den Starttyp Automatisch (Verzögerter Start). Diese Dienste werden zum Schluss geladen. Zahlreiche der gestarteten Dienste können ohne großes Risiko abgeschaltet werden. Um welche Dienste es sich dabei handelt und unter welchen Bedingungen man auf sie verzichten kann, lesen Sie auf den nächsten Seiten. Sind Sie im Zweifel, ob Sie auf einen Dienst mit Starttyp verzichten können, setzen Sie ihn zunächst auf und stoppen ihn. Wenn der Dienst nach einem gewissen Zeitraum normalen Arbeitens immer noch gestoppt ist, können Sie auf ihn verzichten.» Neu: Verfahren zur Dienstesteuerung Sie haben zwei Möglichkeiten, die auf Ihrem Computer laufenden Dienste zu steuern. Zum einen gibt es das Service Control Applet, auf das Sie am schnellsten über Start / Ausführen / services.msc zugreifen. In dieser Management Konsole haben Sie Zugriff auf die eingerichteten Dienste und ihren aktuellen Status. Dies ist auch der beste Weg für Experimente oder für Dienste, die Sie dauerhaft abschalten wollen. Wenn Sie jedoch zwischen verschiedenen Konfigurationen wechseln wollen, etwa um die letzten Reserven für eine leistungshungrige Anwendung herauszuholen, ist das doch sehr mühselig. Unter Windows XP gab es noch die Möglichkeit, verschiedene Hardware-Profile einzurichten und einen Dienst je nach Profil zu aktivieren oder deaktivieren. Beim Boot-Vorgang konnte man dann das zu startende HW-Profil auswählen etwa Minimal oder Alle Dienste. Zwar gibt es unter Vista im Dienstemanagement für einen Dienst noch die Option, ihn für ein Hardware-Profil zu steuern, aber außer den Profilen Docked Profile und Undocked Profile gibt es dort keine Auswahl. Auch das Erstellen neuer Profile ist nicht mehr möglich. Vista scheint das nun selbst steuern zu wollen.» Neu: Steuerung per Batch Dementsprechend bleibt Ihnen nur die Alternative, die für einen Einsatzzweck jeweils unerwünschten Dienste per Batch abzuschalten und danach wieder hochzufahren. So kann man sich beispielsweise eine Spiele-Konfiguration erstellen, in der Aero abgeschaltet wird, das ja auch dann ordentlich Ressourcen frisst, wenn es nur im Hintergrund agiert. VMware Workstation hat beispielsweise die unangenehme Eigenschaft, seine diversen Dienste immer zu starten, auch wenn VMware gar nicht benutzt wird. Sinnvoller wäre es, wenn die Dienste beim Start von VMware angestoßen und nach Beendigung wieder gestoppt werden. Auch hier bietet sich ein Batch an, der die Dienste startet, VMware startet und auf die Beendigung von VMware wartet, um die Dienste wieder zu stoppen. Der Batch sieht also im Prinzip wie folgt aus: TecChannel 1

2 » REM Benötigte Dienste starten/ungewollte stoppen» REM Gewünschtes Programm ausführen» REM Ungewollte Dienste wieder stoppen/benötigte wieder starten Dabei machen wir uns zunutze, dass der Batch solange nicht weiter läuft (und damit die Dienste wieder auf normalen Status setzt), wie das gewünschte Programm nicht beendet ist. Um einen Dienst zu beeinflussen, haben Sie auf der Kommandozeile zwei Möglichkeiten: der altbekannte» net «-Befehl und der speziell auf die Steuerung von Diensten ausgelegte Befehl» sc «. Bei beiden sind die relevanten Operationen» start «und» stop «mit dem n als Parameter. Dabei können Sie entweder den n angeben, also etwa p2pimsvc, oder den langen Namen in Anführungszeichen, wie beispielsweise Peernetzwerkidentitäts-Manager. Bei der letzten Variante bereiten Umlaute allerdings mitunter Probleme, so dass es besser ist, auf den n auszuweichen.» Rechte-Probleme Zum Starten eines Dienstes benötigt man keine besonderen Rechte, da ansonsten das Prozedere mit Diensten die auf den Starttyp Manuell gesetzt sind, nicht funktionieren würde. Das Stoppen von Diensten ist dagegen nur mit erweiterten Rechten möglich. Nun könnte man also den gesamten Batch per Als Administrator ausführen starten. Das ist aber unerwünscht, da dadurch auch das Programm mit erweiterten Rechten ausgeführt würde. Hier helfen die Script-Elevation-Power-Toys ( von Microsoft TechNet. Diese bieten eine Art» sudo «für die Vista-Kommandozeile. Hier heißt der Befehl allerdings» elevate «. Also beispielsweise» elevate net stop p2pimsvc «. Dennoch kommt hier der bekannte Dialog, der zur Bestätigung der Aktion auffordert. Würden wir also jeden Dienst einzeln per» elevate «stoppen, hätte das einen Haufen solcher Dialoge zur Folge. Darum fassen wir die beiden Punkte Benötigte Dienste starten/ungewollte stoppen und Ungewollte Dienste wieder stoppen/benötigte wieder starten in jeweils eigenen Batch-Dateien zusammen:» elevate svcprep.cmd» REM Gewünschtes Programm starten» elevate svcclean.cmd Dadurch kommt der Dialog nur zweimal auf. Das Verfahren hat noch einen weiteren Vorteil: svcprep.cmd und svcclean.cmd lassen sich mehrfach verwenden. Die Dateien bestehen lediglich aus einer Reihe von net start und net stop Anweisungen.» Wichtig: Die richtige Reihenfolge Beim Stoppen von Diensten sollten Sie unbedingt auf die Reihenfolge achten. Wenn Sie einen Dienst stoppen, von dem andere abhängig sind, erhalten Sie für jeden Dienst eine Abfrage, ob er auch gestoppt werden soll. Sie machen sich das Leben leichter, wenn Sie erst die abhängigen Dienste stoppen und dann die grundlegenden. Also beispielsweise» net stop "Peernetzwerk-Gruppenzuordnung"» net stop "Peer Name Resolution-Protokoll"» net stop "Peernetzwerkidentitäts-Manager" Das macht zunächst ein wenig Mühe, sich die richtige Reihenfolge zusammenzusuchen. Wenn Sie sich aber grundlegend eine sortierte Liste der Diensteabhängigkeiten erzeugen, können Sie aus dieser Liste schnell die benötigten Batches generieren.» Beispiel-Batch für VMware Wie schon erwähnt, startet VMware eine handvoll Dienste, die nur benötigt werden, wenn VMware auch läuft: VMware Authorization Service - VMAuthdService VMware DHCP Service - VMnetDHCP VMware NAT Service VMware NAT Service VMware Virtual Mount Manager Extended - vmount2 TecChannel 2

3 Um das Verhalten abzuändern, setzen wir zunächst den Starttyp dieser Dienste von Automatisch auf Manuell. Da diese keine Abhängigkeiten aufweisen, können wir ganz einfach drei Batches erstellen:» net start VMAuthdService» net start VMnetDHCP» net start VMware NAT Service» net start vmount2» net stop VMAuthdService» net stop VMnetDHCP» net stop VMware NAT Service» net stop vmount2» elevate startvmsvc.cmd» cd "C:\Programme\VMware\VMware Workstation"» vmware.exe» elevate stopvmsvc.cmd Nun können Sie mittels einer Verknüpfung auf startvmware.cmd VMware so starten, dass die benötigten Dienste zunächst hochgefahren und dann wieder gestoppt werden.» Beispiel-Batch Netzwerk komplett aus Die gesammelten Netzwerkdienste von Vista belegen eine Menge Ressourcen, insbesondere Speicher. Wenn Sie mal jedes Quäntchen brauchen, oder wirklich komplett offline sein wollen, nehmen Sie den folgenden Batch:» net stop Netlogon» net stop SessionEnv» net stop Browser» net stop LanmanWorkstation» net stop dot3svc» net stop Wlansvc» net stop EapHost» net stop SharedAccess» net stop IKEEXT» net stop PolicyAgent» net stop RemoteAccess» net stop MpsSvc» net stop BFE» net stop WinHttpAutoProxySvc» net stop Dhcp» net stop Dnscache» net stop IPBusEnum» net stop fdphost» net stop ALG» net stop BITS» net stop iphlpsvc» net stop napagent» net stop NetTcpPortSharing» net stop SLUINotify» net stop netprofm» net stop Netman» net stop NlaSvc» net stop nsi» net stop CscService» net stop p2psvc» net stop PNRPAutoReg» net stop PNRPsvc» net stop p2pimsvc» net stop RasAuto» net stop RemoteAccess» net stop RasMan» net stop RemoteRegistry» net stop LanmanServer» net stop SNMPTRAP» net stop WMPNetworkSvc» net stop upnphost» net stop SSDPSRV» net stop lmhosts» net stop Fax TecChannel 3

4 » net stop TapiSrv» net stop UmRdpService» net stop TermService» net stop TrkWks» net stop lltdsvc» net stop WebClient» net stop wuauserv» net stop WinDefend» net stop wcncsvc» net stop W32Time Es macht keinen Sinn, ein entsprechendes Gegenskript zu erstellen, das die ganzen Dienste wieder startet. Booten Sie den Rechner einfach neu.» Unverzichtbare Dienste Der Dienste-Manager von Vista gibt zwar grundlegend Auskunft über den Dienst und darüber, was er tut. Er bietet jedoch kaum Hilfestellung bei der Frage, ob dieser Dienst notwendig ist oder nicht. Oft verwirrt er sogar durch den lapidaren nichts sagenden Hinweis: "Falls dieser Dienst deaktiviert wird, können die Dienste, die von diesem Dienst ausschließlich abhängig sind, nicht mehr gestartet werden." Insbesondere ist das dann verwirrend, wenn der Dienste-Manager gar keine abhängigen Dienste ausweist. Wenig hilfreich: Die Beschreibung eines Dienstes hilft nicht gerade bei der Entscheidung, ob ein Dienst notwendig ist oder nicht. So sehr man das Angebot zusammenstreichen kann, eine Handvoll der Windows-Dienste sind tatsächlich unverzichtbar für einen reibungslosen Betrieb. Dazu gehört beispielsweise der RPC-Dienst, von dem so ziemlich alle weiteren Systemkomponenten abhängen, wie etwa auch COM. Neu bei Vista ist die Tatsache, dass der RPC-Dienst selbst von einem Dienst abhängt: DCOM-Server-Prozessstart, der natürlich auch nicht beendet oder deaktiviert werden darf.» Weitere unverzichtbare Dienste Wer auf Sound nicht verzichten kann, sollte "Windows Audio" nicht abschalten und darf infolgedessen auch folgende direkt oder indirekt dazugehörenden Dienste nicht deaktivieren: Multimediaklassenplaner, RPC, Windows-Audio-Endpunkterstellung und Plug & Play. Um zu drucken, ist die Druckerwarteschlange unabdingbar, und in Windows-Netzwerken kommt man nicht ohne den Arbeitsstationsdienst aus. Dieser sorgt unter anderem dafür, dass die Verbindungen zu den anderen Rechnern hergestellt werden. TecChannel 4

5 Das Windows-Ereignisprotokoll und die "Windows Verwaltungsinstrumentation" sollten Sie ebenfalls unangetastet lassen. Letztere ist unter anderem dafür zuständig, dass der Dienste-Manager einwandfrei funktioniert. Auch beim Sicherheitskonto-Manager haben Sie keine Chance, Ressourcen zu sparen. Sie ist integraler Bestandteil des Sicherheitsmodells von Windows Vista, inklusive der Rechteverwaltung. Ohne den Benutzerprofildienst ist ein Anmelden nicht mehr möglich, also auch hier keine Möglichkeit zu sparen. Die Kryptografiedienste verwalten Zertifikate und Stammstellen und sorgen dafür, dass Signaturen von Windows-Dateien bestätigt werden können. Ohne diesen Dienst funktioniert unter anderem auch Windowsupdate nicht mehr.» Anwendungsinformationen Hinter diesem unscheinbaren Namen verbirgt sich ein Bestandteil des Sicherheitskonzeptes von Vista: Auch wenn ein Benutzer mit Administratoren-Rechten angemeldet ist, wird nicht jedes Programm blindlings mit diesen Rechten gestartet. Sobald ein Programm versucht, administrative Aktionen auszuführen, erscheint ein Dialog, in dem der Anwender seine Zustimmung geben muss. Nicht blindlings: Vista führt Applikationen nicht mehr mit Administrator-Rechten aus, nur weil der Benutzer as Administrator angemeldet ist. Dieser Dienst erleichtert das Ausführen von interaktiven Anwendungen mit zusätzlichen Administratorprivilegien. Wird dieser Dienst angehalten, können die Benutzer keine Anwendungen mit zusätzlichen Administratorprivilegien starten, die zum Ausführen gewünschter Benutzer-Tasks erforderlich sind. Anwendungsinformationen Appinfo TecChannel 5

6 Benutzerprofildienst, RPC» Anwendungsverwaltung Verarbeitet Installations-, Deinstallations- und Auflistungsanforderungen für Software, die über Gruppenrichtlinien bereitgestellt wird. Benutzer können Software, die über Gruppenrichtlinien bereitgestellt wird, nicht installieren, deinstallieren oder auflisten, wenn der Dienst deaktiviert ist. Dieser Dienst wird nur gestartet, wenn eine Systemkomponente Zugriff auf die in Windows eingebauten Installationsfunktionen benötigt, etwa um eine Software einzurichten. Anwendungsverwaltung AppMgmt -» Arbeitsstationsdienst Erstellt und wartet Clientnetzwerkverbindungen mit Remoteservern unter Verwendung des SMB-Protkolls. Diese Verbindungen sind nicht mehr verfügbar, falls dieser Dienst beendet wird. In einer Netzwerkumgebung sollte man ihn nicht beenden, da ansonsten keine Verbindungen mehr zu Rechnern oder Shares aufgebaut werden können. Arbeitsstationsdienst LanmanWorkstation Browser Computerbrowser, Netlogon, Terminaldienstekonfiguration» Backup und Co Wenn Sie die eingebauten Backup-Funktionen für Computer von Windows Vista (Business, Enterprise und TecChannel 6

7 Ultimate) verwenden wollen, benötigen Sie folgende Dienste. Block Level Backup Engine Service Das ist das Modul zur Durchführung der Datensicherung und -wiederherstellung auf Blockebene. Damit ermöglicht es die Verwendung von optischen Medien (via UDFS), oder Festplatten-Partitionen als Backupmedium. Volumeschattenkopie Da das CompletePC-Backup bei späteren Backups nur noch Deltas speichert, benötigt es den Volumeschattenkopie-Dienst, der diese Funktionen bereitstellt. Verwaltet und implementiert Volumeschattenkopien, die zu Sicherungs- und anderen Zwecken verwendet werden. Wenn dieser Dienst beendet wird, werden keine Schattenkopien für Sicherungen verfügbar sein und die Sicherung kann eventuell fehlschlagen. Als interessante Randnotiz lässt sich feststellen, dass CompletePC-Backup als Dateiformat VHD verwendet, das auch bei Virtual PC zum Einsatz kommt. Block Level Backup Engine Service wbengine - Volumeschattenkopie VSS RPC» Benachrichtigungsdienst für Systemereignisse Dieser Dienst verfolgt Systemereignisse wie Windows-Anmeldungen sowie Netzwerk- und Stromversorgungsereignisse. Er informiert außerdem Ereignissystembezieher von COM+ über diese Ereignisse. Für Notebook-Besitzer ist dieser Dienst beinahe zwingend erforderlich, da er unter anderem dafür sorgt, dass bei niedrigem Batteriestand die konfigurierten Aktionen ausgeführt werden. In einer TecChannel 7

8 Desktop-Umgebung ist uns derzeit kein Umfeld bekannt, in dem die Systemereignisbenachrichtigung unbedingt benötigt wird. Benachrichtigungsdienst für Systemereignisse SENS oder COM+-Ereignissystem COM+-Systemanwendung» COM+-Ereignissystem Unterstützt den Systemereignis-Benachrichtigungsdienst (SENS, System Event Notification Service), der die e Verteilung von Ereignissen an abonnierende COM-Komponenten zur Verfügung stellt. Wenn der Dienst beendet ist, wird SENS beendet und ist nicht in der Lage, Anmelde- und Abmeldebenachrichtigungen zur Verfügung zu stellen. Hierbei können Systemkomponenten sich benachrichtigen lassen, wenn ein bestimmtes Systemereignis auftritt. In Windows XP wurde es primär von SENS genutzt, inzwischen sind noch einige weitere Dienste davon abhängig. Das ist beispielsweise die DFS-Replikation oder der Intelligente Hintergrundübertragunsdienst, der von Windows Update benötigt wird. COM+-Ereignissystem Event-System RPC Benachrichtigungsdienst für Systemereignisse, COM+-Systemanwendung, DFS-Replikation, Intelligenter Hintergrundübertragungsdienst» Computerbrowser Dieser Dienst führt eine aktuelle Liste aller Computer im Windows-Netzwerk und gibt sie an als Browser fungierende Computer weiter. Die Liste wird nicht aktualisiert oder gewartet, falls Sie den Dienst beenden. Er ist nur in einem Netzwerk sinnvoll, lässt sich aber auch da auf Arbeitsrechnern deaktivieren, solange ein Server im Netz diesen Dienst anbietet. Um den Server-Dienst abzuschalten, müssen Sie auch diesen Dienst deaktivieren. TecChannel 8

9 Computerbrowser Browser / deaktiviert Arbeitsstationsdienst, Server» Designs Dieser Dienst ist für die Oberfläche zuständig. Er wird allerdings nicht abgeschaltet, auch wenn Sie auf die klassische Windows-Oberfläche umschalten. Um Speicher und Ressourcen zu sparen, können Sie ihn gefahrlos deaktivieren. Designs Themes nur nötig für die Sonder-GUIs -» DFÜ-Netzwerk und Konsorten Eine Reihe von Diensten ist erforderlich, wenn per Wählverbindung eine Internet-Verbindung aufgebaut wird. Das ist nicht nur bei Modem oder ISDN der Fall, sondern auch bei direkter DSL-Anwahl per PPPoE. Hier werden dann die Dienste "RAS-Verbindungsverwaltung", "Telefonie", "Verwaltung für e RAS-Verbindung" sowie gegebenenfalls "Gemeinsame Nutzung der Internetverbindung" und "Gatewaydienst auf Anwendungsebene" benötigt. Bauen Sie dagegen die Internet-Verbindung über ein LAN und einen Router auf, können Sie getrost auf diese Dienste verzichten und sie komplett abschalten. Nicht allerdings, wenn Sie beispielsweise VPN-Verbindungen aufbauen wollen. RAS-Verbindungsverwaltung RasMan TecChannel 9

10 Telefonie Gemeinsame Nutzung der Internetverbindung, Routing und RAS, Verwaltung für e RAS-Verbindung Gemeinsame Nutzung der Internetverbindung SharedAccess deaktiviert Basisfiltermodul, Netzwerkverbindungen, RAS-Verbindungsverwaltung, Windows-Verwaltungsinstrumentation Routing und RAS RemoteAccess deaktiviert deaktiviert / Basisfiltermodul, RAS-Verbindungsverwaltung, RPC Telefonie TapiSrv Plug & Play, RPC TecChannel 10

11 Fax, RAS-Verbindungsverwaltung, Verwaltung für e RAS-Verbindung Verwaltung für e RAS-Verbindung RasAuto RAS-Verbindungsverwaltung, Telefonie Gatewaydienst auf Anwendungsebene ALG -/- /-» IPSEC-Dienste Über die Internet Protocol Security Suite sichert und kontrolliert Windows Vista die Übertragung von IP-Paketen. IPSEC ist zuständig für die Überprüfung, die Authentifizierung und gegebenenfalls die Verschlüsselung der Daten. Allerdings braucht nicht jeder die IPSEC-Dienste, dennoch werden sie von Windows gestartet. Dass sie auf Client-Rechnern nicht unbedingt von Microsoft vorgesehen sind, zeigt die Tatsache, dass die Konfiguration gut versteckt ist. Im normalen Verwaltungsmenü tauchen sie gar nicht erst auf. Sie müssen sie erst aufrufen, indem Sie die Managementkonsole (mmc.exe) starten und dann das IPSEC-Snapin hinzufügen. Dazu gehören auch die IKE- und AuthIP IPsec-Schlüsselerstellungsmodule. Diese Schlüsselerstellungsmodule werden zur Authentifizierung und zum Schlüsselaustausch in IP Security (IPsec) verwendet, also nur benötigt, wenn Sie auch auf IPSec zurückgreifen. IPSEC-Dienste PolicyAgent TecChannel 11

12 Basisfiltermodul IKE- und AuthIP IPsec-Schlüsselerstellungsmodule IKEEXT Basisfiltermodul» Media Center Microsoft hat die Media Center Edition als eigenständige Windows-Version abgelöst und die Funktionalität in bestimmte Vista-Versionen integriert. Mit Media Center kann der Vista-Rechner beispielsweise als Server für eine XBox 360 dienen oder als Client auf Media-Server zugreifen. Für die Funktionalität sind vier Dienste zuständig. Der Media Center Extender-Dienst ermöglicht es so genannten Media Center Extender-Geräten, den Computer zu finden und eine Verbindung herzustellen. Der Media Center-Dienststart startet den Media Center-Planerdienst und den Media Center-Empfängerdienst beim Rechnerstart, wenn TV-Funktionen im Media Center aktiviert sind. Wenn Sie nicht planen, das Media Center im Netzwerk freizugeben, sollten Sie die Dienste deaktivieren. Windows Media Center Extender-Dienst Mcx2Svc deaktiviert deaktiviert / PnP-X-IP-Busauflistung, SSDP-Suche, Terminaldienste TecChannel 12

13 Media Center-Dienststart ehstart deaktiviert / RPC Media Center-Empfängerdienst ehrecvr / deaktiviert RPC Media Center-Planerdienst ehsched / deaktiviert RPC» Netzwerk-Konfiguration Vista bietet zwei Dienste zur en Konfiguration von Netzwerken. Einen für drahtgebundene und einen für drahtlose. Letzterer hieß unter XP noch Konfigurationsfreie drahtlose Verbindung und wurde gestartet, auch wenn keine WLAN-Karte im Rechner vorhanden war. Ersterer ist neu und dient der Authentifizierung nach IEEE 802.1x. Beide Dienste sind in Vista mit dem Starttyp versehen und können auch so belassen werden. Vista startet die Dienste bei Bedarf nach. Als Hilfsdienst dient der Host für das Extensible Authentication-Protokoll (EAPHost). Der EAPHost stellt eine austauschbare Infrastruktur für verschiedene TecChannel 13

14 Authentifizierungsmethoden bereit. Wenn Sie für bestimmte Zwecke Dienst für e Konfiguration verkabelter Netzwerke dot3svc EapHost, RPC Dienst für e WLAN-Konfiguration Wlansvc EapHost, RPC EapHost EapHost RPC Dienst für e Konfiguration verkabelter Netzwerke, Dienst für e WLAN-Konfiguration» Netzwerk-Dienste Eine Reihe von Diensten sind für den ordnungsgemäßen Ablauf der diversen Netzwerk-Funktionen TecChannel 14

15 notwendig. Je nach Netzwerkumgebung kann man aber den einen oder anderen Dienst abschalten. Der DHCP-Client ist beispielsweise nur notwendig, wenn Sie einen DHCP-Server ( in Ihrem Netzwerk einsetzen. Ansonsten müssen Sie die TCP/IP-Einstellungen für die Netzwerkkarte ohnehin fest einstellen. Dennoch installiert und aktiviert Windows Vista diesen Dienst. Auch hier können Sie den Dienst gefahrlos und ohne Nachteile abschalten. Der DNS-Client speichert Anfragen an einen DNS-Server ( zwischen, so dass die IP-Adresse ( bei späteren Anfragen schneller gefunden wird. In schnellen Netzwerken oder bei DSL-Verbindungen ist das nicht unbedingt erforderlich, mitunter sogar nachteilig: Da nicht einstellbar ist, wie lange ein Domain-Name im Cache verbleibt, gibt der DNS-Client eventuell eine falsche IP-Adresse zurück, wenn ein Server plötzlich eine andere Adresse hat. Für langsame Internet-Anbindungen, wie etwa per Modem, kann dieser Dienst sich jedoch als hilfreich erweisen. Der Netzwerklistendienst identifiziert die Netzwerke, mit denen der Computer eine Verbindung hergestellt hatte, sammelt und speichert Eigenschaften für diese Netzwerke, und benachrichtigt Anwendungen, wenn sich diese Eigenschaften ändern. Er wird gestartet und wenn Sie ihn abschalten, funktionieren weder das Tray-Icon für Netzwerke noch das Netzwerkcenter. Eine Verbindung zum Netzwerk besteht allerdings weiterhin. Für diesen Dienst benötigen Sie auch den NLA (Network Location Awareness). Dieser sammelt Informationen über die verbundenen Netzwerke und stellt sie anhängigen Diensten zur Verfügung. Der Dienst Netzwerkverbindungen verwaltet das Netzwerkcenter, in dem alle LAN- und Remote-Verbindungen angezeigt werden. Der IP-Hilfsdienst bietet IPv6-Verbindungen über ein IPv4-Netzwerk. Wenn Sie derzeit kein IPv6 benötigen, können Sie den Dienst getrost abschalten. DHCP-Client Dhcp Je nach Netzwerktyp Network Store Interface Service WinHTTP-Web Proxy Auto-Discovery-Dienst DNS Client Dnscache Je nach Internet-Verbindung -/- /- TecChannel 15

16 Netzwerklistendienst netprofm NLA (Network Location Awareness), RPC SL-Benutzerschnittstellen-Benachrichtigungsdienst NLA (Network Location Awareness) NlaSvc Network Store Interface Service, RPC Netzwerklistendienst Netzwerkspeicher Schnittstellendienst nsi - Arbeitsstationsdienst, DHCP-Client, IP-Hilfsdienst, Netzwerkverbindungen, NLA Netzwerkverbindungen Netman TecChannel 16

17 Network Store Interface Service, RPC Gemeinsame Nutzung der Internetverbindung IP-Hilfsdienst iphlpsvc deaktiviert Network Store Interface Service, RPC, Windows-Verwaltungsinstrumentation» Remote Desktop Windows Vista bietet wie schon Windows XP den Fernzugriff auf Desktops an. Dabei greifen die Remoteunterstützung und der Remotedesktop beide auf die Terminaldienste zurück. Unter XP gab es noch verschiedene Verfahren. Waren die Terminaldienste unter XP noch zwingende Voraussetzung für die schnelle Umschaltung zwischen Benutzerkonten, so ist das unter Vista nicht mehr der Fall. Sie können den Dienst gefahrlos abschalten. Soll der Rechner allerdings beispielsweise für eine XBox 360 als Media-Host fungieren, muss der Media Center Extender-Dienst eingeschaltet werden, der die Terminaldienste zwingend voraussetzt. Terminaldienste TermService deaktiviert oder RPC Anschlussumleitung für Terminaldienst im Benutzermodus, Media Center Extender-Dienst» Remote-Dienste TecChannel 17

18 Mit der Remote Registrierung ermöglichen Sie den Fernzugriff auf die in der Registry enthaltenen Einstellungen. Eine Änderung des Starttyps von "" auf "deaktiviert" scheint daher nicht nur bei paranoiden Administratoren angeraten. Einen weiteren potenziellen Angriffspunkt stellt die Windows Remoteverwaltung dar. Remote Registrierung RemoteRegistry deaktiviert RPC Windows-Remoteverwaltung (WS-Verwaltung) WinRM deaktiviert RPC» Server Der Serverdienst ist für Datei- und Druckerfreigaben zuständig. Auch wenn Sie auf Ihrem Rechner keine Freigaben eingerichtet haben, startet Windows Vista diesen Dienst. Um ihn abschalten zu können, müssen Sie zudem den Dienst Computerbrowser beenden und deaktivieren. Server LanmanServer oder deaktiviert Sicherheitskonto-Manager TecChannel 18

19 Computerbrowser» Sicherheit Mit Vista führt Microsoft neben der aufgebohrten Firewall auch den Windows Defender ein. Verwaltet wird das Ganze wie schon bei XP über das Sicherheitscenter. Während man die Windows-Firewall und den Defender ohne Probleme deaktivieren kann, wenn man beispielsweise über eigene Schutz-Software verfügt, zeigt Vista bei deaktiviertem Sicherheitscenter ständig ein störendes Icon im Tray. Wenn Sie die Dienste Windows-Firewall und Routing und RAS sowie IPsec und IKE- und AuthIP IPsec-Schlüsselerstellungsmodule deaktiviert haben, können Sie auch das Basisfiltermodul abschalten. Sicherheitscenter wscsvc deaktiviert RPC, Windows-Verwaltungsinstrumentation Windows Defender WinDefend deaktiviert, wenn anderer Schutz vorhanden RPC Windows-Firewall MpsSvc deaktiviert, wenn anderer Schutz vorhanden TecChannel 19

20 Basisfiltermodul» UPnP-Dienste Mit Universal Plug and Play hat Microsoft eine Funktion eingeführt, die im Netz ungefähr das leisten soll, was PnP auf dem lokalen Rechner bietet: Die e Erkennung neuer Dienste und Geräte (Drucker, Freigaben etc.). Zusätzlich kann Windows Vista diese Dienste ins Internet bereitstellen, auch wenn der anbietende Rechner durch NAT für das Internet unsichtbar ist. Da UPnP bereits durch eine schwerwiegende Sicherheitslücke ( glänzte und es generell fraglich ist, ob man diesen Dienst wirklich braucht, empfiehlt sich die Deaktivierung. Zwei Dienste sind für UPnP zuständig. Der UPnP-Gerätehost lässt den Rechner als Host für entsprechende Geräte im Netzwerk fungieren. Der SSDP-Suchdienst ist für das Aufspüren dieser Geräte zuständig. Mit dem Abschalten von UPnP und SSDP entfällt allerdings die Möglichkeit, Media Player-Bibliotheken für andere Abspiel- und Mediengeräte im Netzwerk freizugeben. Sie können also beispielsweise nicht mit einer XBox 360 Medien und TV vom Vista-Rechner abspielen. UPnP-Gerätehost upnphost deaktiviert SSDP-Suche Windows Media Player-Netzwerkfreigabedienst SSDP-Suche SSDPSRV deaktiviert - Media Center Extender-Dienst, UPnP-Gerätehost» WebClient Der WebClient ermöglicht es Programmen, Internet-basierte Dateien zu erstellen, darauf zuzugreifen und sie TecChannel 20

21 zu verändern. Wenn dieser Dienst beendet wird, werden diese Funktionen nicht mehr zur Verfügung stehen. Solange Sie keine WebDAV-Funktionen verwenden, etwa mit Frontpage, können Sie diesen Dienst ausschalten. WebClient WebClient deaktiviert -» Windows-Fehlerberichterstattung Über diesen Dienst will sich Microsoft bei Programmabstürzen informieren lassen, um das Problem einzugrenzen. Stürzt ein Programm mit einer Fehlermeldung ab, bietet Windows dem Anwender gleich an, ein Fehlerprotokoll an Microsoft zu schicken. Dieses enthält unter anderem einen Abzug des Hauptspeichersegments, in dem der Fehler aufgetreten ist. Für Microsoft und die Fehlerbehebung mag das hilfreich sein, aber der sicherheitsbewusste Anwender macht sich eventuell Sorgen um seine Privatsphäre. Deshalb sollten Sie diesen Dienst deaktivieren. Fehlerberichterstattungsdienst WerSvc deaktiviert -» Windows Update Dieser Dienst ist zuständig für das Erkennen, Herunterladen und Installatieren von Updates für Windows und anderen Programmen. Wenn der Dienst deaktiviert ist, können "Windows Update" beziehungsweise die Funktion "e Updates" nicht verwendet werden. Programme können dann ebenfalls die Windows Update Agent-Programmierschnittstelle (WUA API) nicht verwenden. Ist dieser Dienst deaktiviert, funktioniert auch windowsupdate.microsoft.com ( nicht, denn diese verweist sofort auf die Update-Funktion in der Systemsteuerung, die wiederum den Dienst ansteuert. Dann müssen Sie sich die Updates von der Update-Seite ( für Firmenkunden holen. Für die Beta-Version von Vista bietet die Seite allerdings keine Updates an, ob das in der Release-Version anders sein wird, ist noch offen. Zudem lässt sich diese Seite nur unter einer anderen Windows-Version als Vista besuchen. TecChannel 21

22 Windows Update wuauserv oder deaktiviert RPC» Windows-Zeitgeber Ein weiterer Dienst, dem in vielen Foren Spionage-Funktionen nachgesagt werden, ist der e Uhrenabgleich mit Internet-Servern. Der Windows-Zeitgeber verbindet sich mit einem entsprechenden Dienst auf einem Rechner, der mit einer Atomuhr - beispielsweise über eine Funkuhr - synchronisiert ist, und errechnet über verschiedene Algorithmen die Abweichung der lokalen Rechneruhr von der richtigen Zeit. Da es sich hierbei um ein standardisiertes Protokoll handelt, kann Windows so gut wie gar nicht spionieren. Wer sich dennoch sicher sein will, sollte den Dienst deaktivieren. Windows-Zeitgeber W32Time oder -» Fazit Microsoft hat einiges optimiert, aber noch nicht alles. Zudem kann mit verschiedenen Konfigurationen dafür sorgen, dass man immer ein optimales System für den jeweiligen Anwendungszweck starten kann. TecChannel 22

23 Optimierbar: Die Default-Einstellungen von Vista lassen sich noch verbessern. Erstes Ergebnis: Knapp 40 MByte weniger Speicher und man könnte noch weiter sparen - etwa durch abschalten der Aero-Oberfläche. IDG Business Media GmbH Alle Rechte vorbehalten. Jegliche Vervielfältigung oder Weiterverbreitung in jedem Medium in Teilen oder als Ganzes bedarf der schriftlichen Zustimmung der IDG Business Media GmbH. DPA-Texte und Bilder sind urheberrechtlich geschützt und dürfen weder reproduziert noch wiederverwendet oder für gewerbliche Zwecke verwendet werden. Für den Fall, dass in TecChannel unzutreffende Informationen veröffentlicht oder in Programmen oder Datenbanken Fehler enthalten sein sollten, kommt eine Haftung nur bei grober Fahrlässigkeit des Verlages oder seiner Mitarbeiter in Betracht. Die Redaktion übernimmt keine Haftung für unverlangt eingesandte Manuskripte, Fotos und Illustrationen. Für Inhalte externer Seiten, auf TecChannel 23

24 die von TecChannel aus gelinkt wird, übernimmt die IDG Business Media GmbH keine Verantwortung. TecChannel 24