Die Windows 7 Diensteverwaltung für Paranoiker

Angesichts von in der letzten Zeit vielen neuen Windows-7-Systemen [2] fällt auf, das zum Thema der Diensteverwaltung von Windows 7 so etwas wie eine "Anleitung für Paranoiker" fehlt. Es gibt zwar gute allgemeine Erklärungen und auch Anleitungen zur Konfiguration leistungsschwacher Systeme, aber der Ansatz, alles was irgendwie gefährlich nach "Netzwerk" und "Remote-Zugriff" klingt, zu deaktivieren, dafür aber möglichst keine anderen Funktionen mit zu erwischen, wurde bislang noch nicht so richtig verfolgt – was wir hiermit nachholen wollen.

Die nachfolgende Auflistung enthält somit primär Empfehlungen an diesen Stellen, wo es um Netzwerk- und Remote-Funktionalität geht, welche für einen Einzelplatz-PC komplett unnötig sind und nur potentielle Sicherheitslöcher auftun. In einigen Fällen darf man sich bezüglich der von Microsoft gewählten Dienste-Namen nicht verwirren lassen – es gibt auch Netzwerk-Dienste, die nichts mit einem Netzwerk im Sinne des Wortes zu tun haben, genauso wie es auch Dienste mit einem "Remote" im Namen gibt, die nicht für einen echten Remote-Zugriff stehen. In diesen Fällen haben wir das ganz genau kontrolliert und dabei zwischen solchen Diensten unterschieden, die für den einfachen Internet-Zugriff eines Einzelplatz-PCs vonnöten sind – und solchen Diensten, welche wirklich nur in einem Netzwerk oder für einen Remote-Zugriff gebraucht werden.

Zudem enthält die Liste hier und da noch Empfehlungen, diverse autostartende Dienste anderer Ausrichtung auf "Manuell" zu setzen, sofern dies deren Funktionalität nicht beeinträchtigt. Bei Diensten, welche man je nach persönlichen Vorlieben auf "Manuell" oder "Deaktiviert" setzen kann, wurde dies extra notiert, aber keine explizite Empfehlung dafür ausgesprochen. Wer eine besonders sparsame Konfiguration wünscht, kann diese Punkte dennoch angehen. Von der Deaktivierung all zu vieler Dienste raten wir allerdings ab, dies bringt unter Windows 7 eigentlich nichts an Performance, birgt aber ein gewisses Potential für unerwartete Probleme. Nachfolgende Liste soll eher explizit die Funktions-Vielfalt von Windows 7 erhalten – nur eben unter dem Verzicht auf die Punkte "Netzwerk" und "Remote-Zugriff".

Warnhinweis: Diese Anleitung umfasst allein den Anwendungszweck eines Einzelplatz-PCs, ohne Netzwerk-, ohne Remote- und ohne Dateifreigabe-Funktionalität. Nur in diesem Anwendungsfall ist diese Anleitung zielführend.

Wer sich tiefer mit den Windows-Diensten beschäftigen will, sei auf die umfangreichen Ausführungen der WinFAQ [3] verwiesen. Artikel mit Tipps zu den verschiedenen Windows-Diensten gibt es zudem seitens Tipps4you [4] und der PC-Welt [5]

Im Sinne einer totalen Abschaltung von Netzwerk- und Remote-Funktionalität sind zudem noch zwei Windows-Einstellungen zu korrigieren. Erstens ist die "Remoteunterstützung" zu deaktivieren, jene ist unter "Systemsteuerung/System/Erweiterte Remoteeinstellungen" zu finden:

Windows Remoteunterstützung [6]

Und zweitens kann man bei den verbauten Netzwerk-Adaptern diverse Punkte herausnehmen, die für einen Einzelplatz-PC nicht benötigt werden. Zu finden sind die Netzwerk-Adapter unter "Systemsteuerung/Netzwerk- und Freigabecenter/Adaptereinstellungen ändern", wo für jeden einzelnen Netzwerk-Adapter unter dessen "Eigenschaften" sich diverse installierte Dienste & Protokolle offerieren:

Netzwerk-Adaptereinstellungen ändern [7]

Hierbei kann man die "Datei- und Druckerfreigabe für Microsoft Netzwerke" komplett deinstallieren, während der "Client für Microsoft-Netzwerke" sowie die "E/A-Treiber für Verbindungsschicht-Topologieerkennung" und die "Antwort für Verbindungsschicht-Topologieerkennung" deaktiviert werden können. Aktiv sein muß allein der "QoS-Paketplaner", das "Internetprotokoll Version 6 (TCP/IPv6)" und das "Internetprotokoll Version 4 (TCP/IPv4)". Damit wäre dann das Soll aus Paranoiker-Sicht erfüllt – ohne deswegen jedoch Funktionen verloren zu haben.

Nachtrag vom 19. Mai 2014

In diesem Artikel haben wir aus der Praxiserfahrung heraus noch eine kleine Änderung vorgenommen: Der Windows-Dienst "Anwendungserfahrung" wird üblicherweise als ein Dienst für das Windows-7-Feature" Aero" beschrieben, womit diverse ähnlich gelagerte Anleitungen auch dessen Deaktivierung empfehlen. Praxiserfahrungen ergaben jedoch, daß dieser Dienst nicht wirklich viel mit Aero zu tun hat, sondern – in diesem Fall ist die Microsoft-Beschreibung des Diensts tatsächlich zielführend – von verschiedener Anwendungs-Software auch ganz ohne Aero benutzt wird und dabei sogar deren Startzeit verkürzen kann. Die Deaktivierung dieses Dienstes kann somit keinesfalls mehr empfohlen werden, der Artikel wurde an dieser Stelle geändert. Gleichfalls wurde der Hinweis beim Windows-Dienst "Sitzungs-Manager für Desktopfenster-Manager" auf dessen Zugehörigkeit zu Aero entfernt, da das Ziel dieser Anleitung zu den Windows-7-Diensten nicht in der Deaktivierung möglichst vieler Dienste, sondern allein in der Deaktierung von Netzwerk- und Remote-Diensten liegt.

Nachtrag vom 22. Mai 2014

Eine weitere Änderung an diesem Artikel: Der Dienst "Windows-Bilderfassung (WIA)" dient leider nicht nur für die Bildübertragung beim Anschluß von Kameras & Handys, sondern ist eben auch bei der Windows Scan- und Fax-Funktion mit im Spiel. Auf "Manuell" eingestellt, funktioniert das Scannen mit der Windows-Scan-Funktion allerdings nicht mehr, so daß die Seitenempfehlung entsprechend abgeändert wurde. Davon abgesehen ist dies ein perfektes Beispiel dafür, wie durch Copy&Paste (in diesem Fall unsererseits) im Internet Fehler weitergetragen werden, bis sie irgendwann in dutzenden Suchergebnissen gleichlautend auftauchen und damit als "Wahrheit" angenommen werden. Leider sind wohl die wenigsten Anleitungen zu den Windows-Diensten wirklich vollkommen selbsterstellt, man verläßt sich zu oft auf die Arbeit anderer – was dann eben auch die Möglichkeit zur Übernahme von Fehler eröffnet.

Wenigstens in der Frage der Ausschaltung von Netzwerk- und Remote-Fähigkeit bei den Windows-Diensten können wir sagen, daß unsere Anleitung absolut selbst erstellt wurde – nur in den Nebenempfehlungen haben wir uns jedoch teilweise auf andere Anleitungen im Internet verlassen und wurden dabei nun schon zum zweiten Mal zurückgepfiffen. Dies ist nicht optimal – andererseits gelingt es eventuell somit, unsere Anleitung im Laufe der Zeit durch Gegenmeinungen und Korrekturen entsprechend zu härten. Noch im Raum steht natürlich die Frage, ob sich ein Praktiker finden läßt, welcher Empfehlungen für eine ähnliche Anleitung aber unter Heimnetzwerk-Bedingungen verfassen kann – wo dann also nur noch die unbenötigen Netzwerk-Dienste sowie die Remote-Dienste deaktiviert sind. Hinweise hierzu (sowie zu allen weiteren gefundenen Fehlern) werden im Diskussions-Thread zu diesem Artikel [8] entgegengenommen.

Nachtrag vom 2. Oktober 2016

Als Nachtrag wurde der im Herbst 2015 eingeführte Dienst "Diagnostics Tracking Service" aufgenommen, mit der Empfehlung jenen zu deaktivieren. Genauere Hintergründe hierzu gibt es mittels eines Blogeintrags [9].

[8]