Wenn Sie verhindern, dass Benutzer:innen ohne Administratorrechte die Konsole starten, schaffen oder festigen Sie damit auf effiziente Weise eine kontrollierte Umgebung. Wenn Sie über Administratorzugriff verfügen und die Eingabeaufforderung deaktivieren möchten, führt Sie diese Anleitung durch den Prozess und liefert zusätzliche Hinweise zur Durchsetzung von Sicherheitsrichtlinien.
Die Eingabeaufforderung ist ein leistungsstarkes Tool, mit dem sich verschiedene administrative Aufgaben und Fehlerbehebungen über textbasierte Befehle ausführen lassen.
Methoden, um die Eingabeaufforderung zu deaktivieren
Es gibt zwei Wege, um Endbenutzer:innen das Öffnen der Eingabeaufforderung zu verwehren:
✔️ über den Editor für lokale Gruppenrichtlinien
✔️ über den Registrierungs-Editor
Die Windows-Registrierung ist auf allen Windows-Geräten verfügbar. Werden ihre Werte jedoch unsachgemäß bearbeitet, kann das System Schaden nehmen. Wir empfehlen, vorab ein Backup und einen Wiederherstellungspunkt für die Windows-Registrierung zu erstellen.
Die lokale Gruppenrichtlinie (GPO) ist dagegen weniger riskant, steht aber nur in den Windows-Editionen Pro, Enterprise und Education zur Verfügung. Sehen Sie sich mit diesem Hinweis im Hinterkopf die folgenden Schritte an.
Option 1: Editor für lokale Gruppenrichtlinien (empfohlen)
- Drücken Sie Win + R, geben Sie „gpedit.msc“ in das Dialogfeld ein und klicken Sie auf OK.
- Navigieren Sie im Editor für lokale Gruppenrichtlinien zu Benutzerkonfiguration → Administrative Vorlagen → System.
- Suchen Sie die Richtlinie Zugriff auf Eingabeaufforderung verhindern, doppelklicken Sie darauf und setzen Sie sie auf Aktiviert.
🥷 Tipp: (Optional) Nach dem Aktivieren der Richtlinie finden Sie außerdem die Richtlinie Skriptverarbeitung für Eingabeaufforderung deaktivieren. Mit ihr verhindern Sie, dass Benutzer:innen Batchdateien ausführen, um die Sperre der Eingabeaufforderung zu umgehen.
Option 2: Registrierungs-Editor (für fortgeschrittene Benutzer:innen)
- Drücken Sie Win + R, geben Sie „regedit“ in das Dialogfeld ein und klicken Sie auf OK, um den Registrierungs-Editor zu öffnen.
- Navigieren Sie zu diesem Pfad oder fügen Sie ihn in die Adressleiste der Registrierung ein:
- HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows
- Falls der Schlüssel System unter Windows fehlt, klicken Sie mit der rechten Maustaste auf Windows, wählen Sie Neu → Schlüssel und nennen Sie ihn System. Andernfalls klicken Sie auf System, um fortzufahren.
- Wählen Sie in System die Option Neu → DWORD-Wert (32-Bit) und benennen Sie ihn DisableCMD.
- Doppelklicken Sie auf DisableCMD und setzen Sie den Wert auf:
- 1 → deaktiviert die Eingabeaufforderung sowie .bat- und .cmd-Skripte
- 2 → deaktiviert die Eingabeaufforderung
Ergänzende oder alternative Sicherheitsmaßnahmen
Die Eingabeaufforderung zu deaktivieren ist eine gute Grundlage, um den Zugriff für Benutzer:innen ohne Administratorrechte einzuschränken. Allein reicht das aber möglicherweise nicht aus, um die Ausführung nicht autorisierter Skripte in anderen Konsolen (z. B. PowerShell) zu unterbinden.
Hier sind einige zusätzliche Sicherheitsebenen, die Sie in Betracht ziehen sollten.
PowerShell-Zugriff über lokale Gruppenrichtlinien einschränken
Sie sollten auch den unbefugten Zugriff auf PowerShell blockieren, denn diese Konsole führt zahlreiche Befehlszeilen-Tools und noch mächtigere Dienstprogramme aus, die denen der Eingabeaufforderung ähneln. Hinzu kommt: Manche Benutzer:innen nutzen sie, um Einschränkungen der Eingabeaufforderung zu umgehen.
So deaktivieren Sie PowerShell über die lokale Gruppenrichtlinie:
- Drücken Sie Win + R, geben Sie „gpedit.msc“ in das Dialogfeld ein und klicken Sie auf OK.
- Gehen Sie zu Benutzerkonfiguration → Administrative Vorlagen → System.
- Suchen Sie die Richtlinie Angegebene Windows-Anwendungen nicht ausführen und doppelklicken Sie darauf.
- Navigieren Sie anschließend zu Optionen, klicken Sie auf Anzeigen und geben Sie unter Wert den Eintrag powershell.exe ein.
- Klicken Sie auf OK und dann auf Übernehmen, um die Änderungen zu bestätigen.
Sie können in der Wertespalte zusätzlich powershell_ise.exe (Oberfläche der PowerShell ISE) und pwsh.exe (PowerShell 7) ergänzen, damit Benutzer:innen die Einschränkungen nicht umgehen.
Nicht autorisierte Skriptausführung mit AppLocker blockieren
Auch das in Windows integrierte AppLocker bietet wirksame Parameter, um nicht autorisierte Skripte und Batchdateien zu verhindern. Bedenken Sie jedoch, dass AppLocker allein nicht verhindert, dass bestimmte Skripte im PowerShell Constrained Language Mode ausgeführt werden.
Daher empfiehlt es sich, PowerShell und die Eingabeaufforderung komplett zu sperren, wenn der Rechner der Benutzer:innen diese Funktionen nicht benötigt.
Benutzerkontensteuerung (UAC) aktivieren, um Berechtigungen zur Befehlsausführung zu begrenzen
UAC so zu konfigurieren, dass ein Standardbenutzerkonto eingeschränkt wird, ist ein weiterer hervorragender Weg zu einer sicheren Umgebung.
Benutzer:innen ohne erhöhte Rechte erhalten im Grunde immer dann eine Abfrage, wenn sie auf ein gesperrtes Programm zugreifen wollen. Die Administrator:innen werden benachrichtigt, oder die Benutzer:innen müssen vor dem Fortfahren eine Freigabe einholen.
Häufige Probleme beim Aktivieren oder Deaktivieren der Eingabeaufforderung beheben
Das Deaktivieren der Konsole ist an sich kein komplizierter Vorgang, doch einige kleinere Hürden und Aspekte werden leicht übersehen. Hier finden Sie grundlegende Lösungsansätze, falls ein Fehler auftritt.
Fehler: Der Gruppenrichtlinien-Editor lässt sich nicht öffnen (gpedit.msc nicht gefunden)
Der Editor für lokale Gruppenrichtlinien ist nur in diesen Windows-Editionen verfügbar:
- Pro
- Education
- Enterprise
Läuft auf Ihrem Gerät Windows Home, nutzen Sie stattdessen den Registrierungs-Editor.
Fehler: Die Eingabeaufforderung ist weiterhin über PowerShell erreichbar
Manche Benutzer:innen umgehen die Sperre, indem sie Befehle in PowerShell voranstellen. Außerdem lassen sich viele Befehle und Dienstprogramme der Eingabeaufforderung direkt in PowerShell ausführen oder haben dort ein Gegenstück. Deshalb sperren IT-Administrator:innen in der Regel PowerShell und die Eingabeaufforderung gemeinsam, wenn sie den Zugriff einschränken.
Fehler: Die Eingabeaufforderung muss wieder aktiviert werden
Sie aktivieren die Eingabeaufforderung wieder, indem Sie die Richtlinie Zugriff auf Eingabeaufforderung verhindern auf Nicht konfiguriert oder Deaktiviert setzen. Haben Sie die Einschränkung zuvor über die Windows-Registrierung gesetzt, können Sie den Schlüssel System löschen, sofern er keine weiteren Werte enthält.
Alternativ setzen Sie den DWORD-Wert DisableCMD auf 0 zurück, um die Eingabeaufforderung vollständig freizugeben.
Häufige Fragen zum Aktivieren und Deaktivieren der Eingabeaufforderung
Beeinträchtigt das Deaktivieren von cmd.exe die Systemleistung?
Nein, das Deaktivieren der Eingabeaufforderung wirkt sich nicht auf die Systemleistung aus. Es schränkt lediglich die Möglichkeit von Benutzer:innen ohne Administratorrechte ein, Befehle in der Konsole auszuführen.
Können Administrator:innen weiterhin auf die Eingabeaufforderung zugreifen?
Nein. Auch Administrator:innen haben auf diesem Gerät keinen Zugriff mehr auf die Eingabeaufforderung. Nur das System kann über diese Konsole die erforderlichen Skripte ausführen.
Wirkt sich das Deaktivieren von cmd.exe auf Batchdateien und Skripte aus?
Es gibt zahlreiche eng verwandte Fragen zu diesem Thema, etwa „Wie deaktiviere ich CMD .bat?“ oder „Wie deaktiviere ich die Skriptverarbeitung der Eingabeaufforderung?“. Zur Klarstellung: Das Deaktivieren der Eingabeaufforderung blockiert keine Batchdateien, solange Sie nicht gleichzeitig die entsprechende Richtlinie durchsetzen.
Suchen Sie dafür die Richtlinie Skriptverarbeitung für Eingabeaufforderung deaktivieren.
Wird mit der Eingabeaufforderung auch PowerShell blockiert?
Nein, PowerShell müssen Sie separat deaktivieren. Die zusätzlichen Hinweise unter Ergänzende Sicherheitsmaßnahmen zeigen Ihnen, wie Sie den Zugriff auf PowerShell sperren.
Fazit: die Eingabeaufforderung in Windows 10 deaktivieren
Die Skriptverarbeitung der Eingabeaufforderung zu deaktivieren, ist eine solide Grundlage für eine sichere IT-Umgebung. Diese Richtlinie allein hält findige Benutzer:innen jedoch nicht zwangsläufig davon ab, die Einschränkungen zu umgehen. Deshalb kann es sinnvoll sein, zusätzlich PowerShell zu deaktivieren und so die Lücken zu schließen.
Wenn Sie sich entschieden haben, die Konsole der Eingabeaufforderung zu sperren, können Sie dafür den Registrierungs-Editor oder die GPO nutzen. In den meisten Fällen empfehlen wir Letztere, sofern Ihr Gerät mit den Windows-Editionen Pro, Enterprise oder Education läuft. Home-Benutzer:innen bearbeiten andernfalls die Windows-Registrierung, am besten mit allen nötigen Sicherheitsvorkehrungen.
💡 Wenn Sie eine visuelle Erklärung bevorzugen, sehen Sie sich So deaktivieren Sie die Eingabeaufforderung an.
