In größeren Firmennetzwerken mit vielen Clients wird oftmals von der Gruppenrichtlinieneinstellung Point-and-Print-Einschränkungen (Point and Print Restrictions) Gebrauch gemacht, um den Administrationsaufwand gering zu halten. Mit dieser Einstellung lässt sich steuern, wie Benutzer Druckertreiber von Druckerservern installieren können.

Seit einigen Wochen kommt es allerdings teilweise zu Problemen. Einige User berichten von einer Sicherheitsmeldung, wenn sie bestimmte Drucker verknüpfen bzw. installieren wollen. Die Meldung lautet “Vertrauen Sie diesem Drucker?”.

Ursache des Problems ist das Security-Bulletin MS16-087 aus dem Juli-Patchday. Genauer gesagt KB3170455 unter Windows 7 bzw. 8.1 und KB3163912 unter Windows 10 bzw. KB3172985 bei Windows 10 v1511. Nach der Deinstallation des entsprechenden Updates ist das Problem verschwunden und die Benutzer können ohne Warnmeldung Drucker installieren. Allerdings ist dieser Workaround nicht empfehlenswert und in vielen Netzwerken auch gar nicht möglich.

Auf der Suche nach einer sinnvollen Lösung bin ich auf den Thread “KB3163912 breaks Point and Print Restrictions GPO settings” im TechNet gestoßen. Hier berichten viele User von ähnlichen Problemen. Nach weiterer Fehlersuche war schnell klar, dass dieses Problem lediglich bei Druckern auftritt, die keine “packaged”-Treiber verwenden.

Einige haben sogar einen Case via Microsoft-Premiumsupport eröffnet. Die offizielle Antwort von Microsoft lautet, den Druckerhersteller zu kontaktieren und “packaged” Treiber zu verwenden. Leider existiert in einigen Fällen aber kein “packaged”-Treiber, was vor allem (aber nicht ausschließlich) ältere Drucker betrifft.

Lösung

Schlussendlich hat ein findiger User doch noch eine brauchbare Lösungsmöglichkeit vorgeschlagen. Mit Hilfe der Registry lässt sich ein “un-packaged”-Treiber in einen “packaged”-Treiber verwandeln. Dazu öffnet man den Registrierungseditor und navigiert zu folgendem Pfad:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Print\Enviroments\Windowsx64\Drivers\...\

Dort angekommen wählt man links den betroffenen Druckertreiber aus, in meinem Beispiel den “Brother PCL5e Driver”.

Rechts muss der Wert “PrinterDriverAttributes” angepasst werden. Das niedrigste Bit des Wertes ist für die Eigenschaft “Package Aware” zuständig und muss entsprechend auf “1” gesetzt werden. Der vorhandene Wert muss dabei ungerade gemacht werden, d.h. ein Wert von “0” wird auf “1” gesetzt, ein Wert von “2” auf “3” usw. Wenn der Wert beispielsweise “5” ist dann passt er bereits und es muss nichts geändert werden. Danach muss noch der Druckdienst (Spooler, deutsch: Druckerwarteschlange) neugestartet werden. Ab diesem Zeitpunkt meldet sich der Treiber als “packaged” und kann ohne weiteren Benutzereingriff installiert werden.

Alternativ kann der betroffene Druckertreiber auch von Hand in einen “packaged”-Treiber umgewandelt werden. Hierzu reicht eine kleine Anpassung der INF-Datei aus. Bei Microsoft existieren weitere Informationen dazu. Vielleicht bekommen es damit auch einige Druckerhersteller gebacken, endlich “packaged”-Treber anzubieten.

Im Windows Explorer werden die Laufwerksbuchstaben standardmäßig hinter dem Namen der Laufwerke angezeigt. In einigen Fällen ist es aber sinnvoll den Laufwerksbuchstaben vor dem Namen anzeigen zu lassen, beispielsweise wenn viele Netzlaufwerke verwendet werden. Mit einer kleinen Änderung in der Registry lässt sich dies bewerkstelligen. Dieser Tipp funktioniert unter Windows 7, Windows 8 bzw. Windows 8.1 sowie Windows 10.

1. Den Registrierungs-Editor mit Administratorrechten starten. Am einfachsten funktioniert dies über die Suchfunktion.
2. Anschließend zu folgendem Pfad navigieren:

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer

3. Darunter muss ein neuer “DWORD-Wert (32-Bit)” mit dem Namen “ShowDriveLettersFirst” erstellt werden.
4. Der Wert muss auf “4” gesetzt werden. Wer die Laufwerksbuchstaben wieder nach dem Namen sehen möchte, kann den Wert auf “0” setzen.
5. Nach einem Neustart bzw. nach dem Ab- und wieder Anmelden sind die Änderungen wirksam.

Zur einfacheren Umsetzung biete ich eine Registrierungsdatei an, die alle Änderungen in der Registry automatisch durchführt.

Bei aktivierter Benutzerkontensteuerung (UAC) kann es vorkommen, dass Netzwerklaufwerke in Programmen, die mit administrativen Rechten laufen, nicht angezeigt werden. Auch Microsoft beschreibt dieses Problem.

Ursache ist die Art und Weise, wie Windows mit aktivierter Benutzerkontensteuerung arbeitet. Wenn Netzlaufwerke per Anmeldeskript verbunden werden, erfolgt dies mit dem standardmäßigen Benutzer-Token, d.h. mit eingeschränkten Rechten. Programme, die mit administrativen Rechten laufen (nach Bestätigung des Benutzerkontensteuerung-Pop-Ups), arbeiten jedoch mit einem anderen Benutzer-Token. Dadurch sind Netzlaufwerke, welche mit dem eingeschränkten Benutzer-Token verbunden werden, nicht für das administrative Benutzer-Token vorhanden.

Dieses Verhalten lässt sich aber mittels eines kleinen Eingriffs in die Registry abstellen.

1. Den Ausführen-Dialog (Windows-Taste + R) öffnen und “regedit” eingeben, damit der Registrierungs-Editor geöffnet wird.
2. Anschließend zu folgendem Pfad navigieren:

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System

3. Darunter muss ein neuer “DWORD-Wert (32-Bit)” mit dem Namen “EnableLinkedConnections” erstellt werden.
4. Der Wert muss auf “1” gesetzt werden.
5. Nach einem Neustart sind die Änderungen wirksam und Netzwerklaufwerke stehen auch im administrativen Kontext zur Verfügung.

Bei der Installation von Windows 7 wird standardmäßig eine 100 MByte große Partition mit der Bezeichnung “System-reserviert” angelegt. In einigen Fällen wird diese Partition aber nicht erstellt, beispielsweise wenn sich bei der Installation schon ein vorheriges Windows auf der Festplatte befindet. Auch bei vorinstallierten PCs oder bei einer automatischen Installation kann die 100-MB-Partition fehlen.

Im Normalfall ist das nicht weiter schlimm, da die Partition lediglich den Bootmanager beinhaltet. Fehlt sie, wird der Bootmanager einfach auf die Windows-Partition gepackt. Ein weiterer Einsatzzweck der 100-MB-Partition ist die Unterstützung der BitLocker-Laufwerksverschlüsselung. Damit eine mit BitLocker verschlüsselte Systempartition gebootet werden kann, muss der Bootloader auf der unverschlüsselten 100-MB-Partition liegen.

Ab Windows 8 ist die Partition “System-reserviert” 350 MByte groß, da sich dort noch zusätzlich eine Notfallumgebung befindet.

Nachträgliche Erstellung der 100-MB-Partition

Wenn die Partition fehlt, aber die BitLocker Laufwerksverschlüsselung verwendet werden soll, muss die Partition nachträglich erstellt werden. Natürlich kann auch Windows neu installiert werden, aber es geht auch einfacher.

Die Lösung bietet das “BitLocker Drive Preparation Tool” (BdeHdCfg.exe). Einfach folgenden Befehl ausführen und schon wird eine entsprechende Partition nachträglich erstellt. Allerdings ist diese dann 300 MByte groß.

BdeHdCfg -target default

Nach einem Neustart ist die Partition dann vorhanden.

Mögliche Fehler beheben

Bei meinen Versuchen habe ich immer folgende Fehlermeldung erhalten:

Das Zielsystemlaufwerk wurde nicht gefunden. Sie müssen das Laufwerk möglicherweise manuell auf BitLocker vorbereiten.

Die Lösungsvorschläge von Microsoft haben mir nicht geholfen. Auch im Internet konnte ich keine Lösung für dieses Problem finden. Nach einigen Versuchen konnte ich aber die Ursache des Problems aufdecken: Der Defragmentierungs-Dienst. Dieser war  mit dem Starttyp “Deaktiviert” versehen. Sobald der Starttyp auf “Manuell” geändert wird, funktioniert auch wieder die automatische Erstellung der 100-MB-Partition.