Wie "sicher" kann man Windows 7 maximal noch machen?

[pseudopseudonym]

Ich wusste wirklich nicht, dass es um Win7 nun schon so aussieht.

Komplexere Software ohne Lücken wird es nie geben, deswegen sind zeitnahe so wichtig.

 

[Espero]

Aber ich hatte den Flitz, Windows 7 auf meinem alten Alienware-Laptop von 2013 zu installieren.

Mach vielleicht Linux auf den alten Rechner, dann kannst du auch damit online gehen. Ich habe hier noch ältere Laptops, da läuft Linux Mint (Mate) problemlos ootb.

 

[madmax2010]

Aber ich habe gerne 2 Rechner, die ins VPN kommen.

mit vpn schützt man Systeme nicht vor angriffen..

 

[floTTes]

Mach vielleicht Linux auf den alten Rechner, dann kannst du auch damit online gehen. Ich habe hier noch ältere Laptops, da läuft Linux Mint (Mate) problemlos ootb.

Linux kommt für den nicht in Frage, der läuft noch mit einer 770M. Da gibt es noch keinen Vulkan-1.3-Support. Hatte mir überlegt ob ich mir eine GTX 1060 (MXM 3.1b) aus Asien (eBay) schicken lasse. Kostet aber auch wieder 200€ und wäre nur wieder eine Spielerei.

Zudem habe ich noch einen Alienware mit 970M hier, da geht Vulkan 1.3 schon drauf.

mit vpn schützt man Systeme nicht vor angriffen..

Das ist richtig, aber besagter Rechner kann ohne VPN gar nix machen. Ich glaube auch nicht, dass es über einen HTTP-Proxy oder sowas läuft - zumindest sehe ich nix. Ich kann, ohne dass ich im VPN bin, gar nix anpingen. Und im VPN auch nur unsere WAN-Seiten ... also bissl sicherer ist das damit schon - denke ich.

Ich denke, da sitzt irgendwo tiefer im System ein VPN-/Routing-Hook.

 

[Espero]

Linux kommt für den nicht in Frage, der läuft noch mit einer 770M.

Ok. Ja, das kann ich nachvollziehen.

 

[nutrix]

Ich glaube du hast Recht, nutrix.

Ich habe Recht, weil ich genau einer von denen bin, der in Firmen das als Externer für Sicherheitsfragen macht. 😇

Dass das nun so ein Boomerang wird, hätte ich nicht gedacht.
Ich sollte den Rechner wohl abgeben. Ich habe da unsere Admins in der Verantwortung gesehen. Schließlich wissen die ja, dass ich den Rechner noch habe und mich regelmäßig damit einlogge ...

Du hast als Mitarbeiter eine Mitwirkungspflicht. Sprich, wenn die Dir einmal nachweisen können, daß eine entsprechende Weisung an Euch rausging, bist Du (mit) verantwortlich. Natürlich sind dann Eure Admins Schnarchnasen (oder sie sind überlastet wie in vielen solchen Bereichen).
Bei meine Projekten wurden hier genaue Listen und Checklisten geführt, wer wo wie noch so ein Ding hat, und solange genervt, bis er oder sie das Ding rausrückte oder sicher deaktiviert wurde (plattmachen). Da wurden mir und anderen von den Geschäftsführungen entsprechender Druck gemacht, möglichst schnell alle Windows 7 Systeme (auch VMs und Co.) stillzulegen mit wöchentlichen Statusberichten und warum noch nicht usw.

Ich verspreche hoch und heilig, dass ich den Rechner austauschen lassen werde. Aber wehe, die geben mir dann keinen Zweiten! Dann seid IHR Schuld!

Tut mir leid, für Deine Geschäftsführung sind wir nicht zuständig, kein Anschluß unter dieser Nummer. 🤪

 

[Grimba]

Linux kommt für den nicht in Frage, der läuft noch mit einer 770M. Da gibt es noch keinen Vulkan-1.3-Support.

Das ist aber noch kein Problem, denn der Nvidia 470er Legacy Treiber wird nach wie vor gepflegt (und wird das auch noch lange) und kann verwendet werden. Du musst dann in Steam Proton 7 maximal einstellen, oder in Lutris dafür sorgen, dass höchstens DXVK 1.10.3 verwendet wird. Dann hast du eigentlich kein Problem. Habe ich hier auch noch bei einer Kiste mit Kepler so laufen.

 

[floTTes]

@Grimba,
ick wees - und VKD3D auf 2.6. Aber wenn ich wirklich mal Linux zum Gaming-System machen will, soll datt rennen!

Dann müsste ich noch uff Bullseye ... alles nervig.

 

[Grimba]

Die alte Mühle „rennt“ eh nur noch gemächlich, was erwartest du da noch rausholen zu können?

 

[Zelig]

Solange ein Großteil der Win10-PCs als Admin ohne Passwort Tag und Nacht mit allen erdenklichen Remote-Genehmigungen an nicht gepflegten Uralt-Routern laufen, relativiert sich das Problem Windows 7 wohl etwas.

 

[nutrix]

Nein, tut es nicht. Wer so in Punkto Sicherheit denkt, sollte sich meiner Meinung nach von der IT und PCs wirklich fernhalten.

 

[floTTes]

@nutrix,
er hat schon nicht Unrecht. Wenn das Haus des Nachbarn brennt, kann man auch gleich sein eigenes anzünden!

 

[Zelig]

Jetzt mal ernsthaft. Hier liefen bis vor wenigen Wochen mehrere PCs mit Windows 7 mit erheblichen Datenverkehr im Internet. Und ja, einer läuft heute noch. Über Jahre hinweg nicht mal der Hauch einer Infektion. Dieser PC ist sicher besser kontrolliert, als ein gut Teil der im Netz agierenden PCs mit Windows 10.

Natürlich hat Windows 7 mehr Einfallstore als Windows 10/11. Aber die wenigsten davon werden doch praktisch genutzt. Der weit überwiegende Teil kommt nicht als programmiertechnisches, sich unter Windows schiebendes Exploit-Wunder daher, was wohl in der Regel erst einmal einen angreifbaren Router voraussetzt, sondern als plumpe Pishing-Mail oder über kompromittierte Websites. Setzt man hier den Hebel an, läuft das System bereits relativ sicher, siehe oben. Kontrolliert man das System und das Netz permanent mit den auch für Windows 7 zur Verfügung stehenden Mitteln, wird es noch sicherer. Wobei ich sagen muss, ich hatte mir da über längere Zeit nur wenig Gedanken gemacht und es gab auch keine Infektion.

Wenn ich die einschlägigen Berichte über Infektionen lese, stehen mir die Haare zu Berge bei dem, was in den betroffenen IT-Biotopen abgeht, da wäre es völlig Schnuppe, ob Windows 11 oder Windows XP läuft. Und massenweise PCs, die von Windows 7 auf Windows 10 geupdatet wurden, natürlich ohne im BIOS die nötigen Einstellungen vorzunehmen und mit nur halbherzigen Voreinstellungen zur Sicherheit, sind ebenfalls völlige Krücken. Hier ist Microsoft und der IT-Welt offenbar völlig egal, was abgeht.

Hinzu kommt, dass Windows 10 mit haufenweise Zeugs vollgepackt wurde, das ich nicht brauche, und das durch seine tiefe Einbindung in das System und die ... wie sagt man ... "hohe Automatisierung" gefährlich ist. Viele neue Bedrohungen setzen doch genau hier an. Neue Funktionen, neue Einfallstore.

Ich bin auch ziemlich sicher, dass es hier im Forum durchaus einige User gibt, die Windows 7 nutzen, aber sich dazu nicht zu äußern, weil sie keine Lust haben, sich mit irgendwelchen Allgemeinplätzen runtermachen zu lassen.

 

[Grimba]

Jetzt mal ernsthaft. Hier liefen bis vor wenigen Wochen mehrere PCs mit Windows 7 mit erheblichen Datenverkehr im Internet. Und ja, einer läuft heute noch.

Schlimm genug.

Über Jahre hinweg nicht mal der Hauch einer Infektion.

Was Du nicht bemerken müsstest, das ist ja der Knackpunkt.

Dieser PC ist sicher besser kontrolliert, als ein gut Teil der im Netz agierenden PCs mit Windows 10.

Fragt sich nur von wem. Erheblicher Datenverkehr und so. Sus….

Natürlich hat Windows 7 mehr Einfallstore als Windows 10/11. Aber die wenigsten davon werden doch praktisch genutzt

Quelle? Woran machst du diese Aussage bitte fest?

Der weit überwiegende Teil kommt nicht als programmiertechnisches, sich unter Windows schiebendes Exploit-Wunder daher, was wohl in der Regel erst einmal einen angreifbaren Router voraussetzt, sondern als plumpe Pishing-Mail oder über kompromittierte Websites. Setzt man hier den Hebel an, läuft das System bereits relativ sicher, siehe oben.

Natürlich sitzt das größte Problem immer vor dem Rechner. Aber bei alten Systemen muss sich malware halt kaum mehr Mühe geben. Die Einfallstore sind ja seit Jahren bekannt und dokumentiert, und solange es Leute wie dich gibt, die trotz dessen allen ernstes glauben, sie persönlich hätten das schon im Griff, werden die auch immer ein Ziel finden.

Kontrolliert man das System und das Netz permanent mit den auch für Windows 7 zur Verfügung stehenden Mitteln, wird es noch sicherer

Die da wären? Windows 7 hat nichts, was noch annähernd auf dem Stand wäre, hier altbekannten Exploits zu widerstehen. Deswegen sind es ja Exploits. Dass du dich sicher fühlst, reicht hier leider nicht.

Wobei ich sagen muss, ich hatte mir da über längere Zeit nur wenig Gedanken gemacht und es gab auch keine Infektion

Daher weht wohl eher der Wind.

Wenn ich die einschlägigen Berichte über Infektionen lese, stehen mir die Haare zu Berge bei dem, was in den betroffenen IT-Biotopen abgeht, da wäre es völlig Schnuppe, ob Windows 11 oder Windows XP läuft. Und massenweise PCs, die von Windows 7 auf Windows 10 geupdatet wurden, natürlich ohne im BIOS die nötigen Einstellungen vorzunehmen und mit nur halbherzigen Voreinstellungen zur Sicherheit, sind ebenfalls völlige Krücken. Hier ist Microsoft und der IT-Welt offenbar völlig egal, was abgeht.

Was ein wildes Durcheinander von Allgemeinplätzen…

Hinzu kommt, dass Windows 10 mit haufenweise Zeugs vollgepackt wurde, das ich nicht brauche, und das durch seine tiefe Einbindung in das System und die ... wie sagt man ... "hohe Automatisierung" gefährlich ist. Viele neue Bedrohungen setzen doch genau hier an. Neue Funktionen, neue Einfallstore.

Daher weht wohl in zweiter Hinsicht der Wind. Du willst nicht, bist stur und bockig, und lässt dir das neue nicht Vorschreiben. Die Haltung funktioniert aber nicht in beide Richtungen. Dann müsstest du so konsequent sein und Windows 7 selbst weiterpflegen, was du nicht kannst, da closed source, oder Linux nehmen. Deine „Lösung“ ist einfach keine, jetzt mal Ernsthaft.

Ich bin auch ziemlich sicher, dass es hier im Forum durchaus einige User gibt, die Windows 7 nutzen, aber sich dazu nicht zu äußern, weil sie keine Lust haben, sich mit irgendwelchen Allgemeinplätzen runtermachen zu lassen.

Sicher, ändert am Grundsatz aber nichts. Dann seid ihr eben viele Freunde von Botnetzen. Yay! Mit euch können die echt arbeiten. Jaja, ich versteh schon, Mut zur Lücke.

 

[Zelig]

1. Allgemeinplatz.
2. Der Win10-User würde es genausowenig merken. Wenn es seinen Eingang in Antivirensoftware findet, dann bei Win7 genauso, wie bei Win10.
3. Kein Argument.
4. Quelle: Die bekannten Quellen zu bekannt gewordenen Infektionen. Spätestens im dritten Absatz fällt das Wort Email.
5. Bei neuer Software muss sie sich sicher etwas mehr Mühe geben. Aber es läuft auch dort ganz gut. Gerade, weil es viele Win10/11-User gibt, die glauben, nur weil sie diese Version benutzen, wären sie safe.
6. Ich frage mal andersrum: Was hat ein verwildertes Win10, um Exploits zu widerstehen?
7. Ich mache mir sicher mehr Gedanken, als der durchschnittliche Win10/11-User.
9. Nochmal: Gegen das, was ich in einschlägigen Foren lese, ist mein PC ein Waisenknabe. Wenn Win10/11-User es nicht einmal schaffen, sich einfachste Viren vom Halse zu halten, wie wird es dann in der Tiefe aussehen?
10. Ach so? Beim Knopfdruck-Update von Win7 auf Win10 wird im BIOS Secure Boot eingeschaltet, TPM aktiviert und die Festplatte auf GPT umgestellt?
11. Kontrolliert werden der interne und externe Netzwerk-Traffic, alle ausgehenden Verbindungen sowohl am PC als auch am Router. Ja ich weiß, das reicht nicht, ist aber immer noch besser, als das, was der "herkömmliche" Win10-User tut. Windows 10 hat da wohl auch nichts an Bord, oder?
12. Genau darauf habe ich gewartet.
13. Die große Bot-Netze funktionierten und funktionieren wohl recht simpel, jedenfalls habe ich auf die Schnelle keines gefunden, welches nicht auf Windows-Ebene laufen würde und damit feststellbar wäre. Dass mein PC in einem Bot-Netz ist, müsstest aber erst einmal Du beweisen. Bis dahin ...

 

[Grimba]

Wie gesagt, dir wird hier niemand klarmachen können, wie falsch du damit liegst. Das zeigt das hier erneut. Ich werde mir jetzt nicht die Zitateschlacht geben, das ist nur Kampf gegen Windmühlen, keine Lust dazu. Ist aber auch wirklich sehr krudes Zeug.

Nur DU wirst an der falschen Grundannahme, auf der du deinen Fuß bockig aufstampfst, einfach nichts ändern.

Es hat seinen Grund, warum nicht mehr gepflegte Software nicht mehr produktiv im Netz genutzt werden sollte. Das gilt ja schon bereits für kleine bestandteile, Libraries usw. Was nicht mehr gepflegt wird, erhält eben keine neuen Patches. Die Nutzung folglich zu unterlassen ist durch die Bank weg Konsens in der IT, und aus irgend einem Grund hat dich da die Welt einfach nicht gefragt, dabei hast du dir doch so viele Gedanken gemacht, tja.

Dabei ist es hier sogar egal, ob pöse Microsoft oder eine Open Source Schmiede. Da ist man sich sehr einig.

Es ist ein völlig anderes Problem, ob dir Windows 10 nicht, oder 7 dir so gut gefällt. Nur kannst du deswegen dir Sicherheit nicht herbeireden. Microsoft richtet sich nicht nach dir, alle anderen Hersteller auch nicht. Das ist nicht so, wie sein altes Auto einfach weiterfahren.

Was du machst, ist grob fahrlässig. Wenn dir das bewusst ist, gut. Dein Ding. Aber das zu relativieren ist schlicht und ergreifend Kokoleres.

 

[floTTes]

@Zelig,
Nun mal ganz ruhig mit den Pferden. Viele können ja verstehen, worauf du hinaus willst - gerade ich. Ich hatte dieses Thema ja erstellt, eben weil ich wissen wollte, wie es um Windows 7 steht.

Ich wollte IPv6, Teredo, SMB usw. deaktivieren. Nun hat sich herausgestellt, dass das leider nicht mehr reicht. Auch "Brain.exe" und Firefox können einen nicht vollends beschützen.

Die Unsicherheit anderer Systeme macht Windows 7 nun mal nicht "sicherer".

Wenn du Win7 nutzt und nicht infiziert bist: Glückwunsch. Ich habe mich - auf Grund der Faktenlage - dazu entschlossen, Win7 keine Chance mehr zu geben. Das ist (sehr) schade, aber der einzig "vernünftige" Weg.

Die Leute, die mit 100km/h auf der Landstraße weniger gefährlich sind als Omis mit 30km/h im Einkaufszentrum, werden auch immer weniger. Kann man an den Kreuzen neben den Bäumen sehen.

Ich könnte eine Wette eingehen, dass ich meinen Win7 "sicher" betreiben könnte. Die würde ich wahrscheinlich auch gewinnen - Task-Manager, Silent Runners, etc. zum überprüfen, externe Firewall na usw. Es würde aber meinem "Denken" zur IT-Sicherheit widersprechen.
Ich kam nur auf die Idee Win7 zu installieren, weil ich noch dachte, es wäre sicher.

 

[coasterblog]

Ich könnte eine Wette eingehen, dass ich meinen Win7 "sicher" betreiben könnte. Die würde ich wahrscheinlich auch gewinnen

Das denke ich eher nicht. Und damit bin ich nicht alleine.
Aber gegen "Glauben" kommt man mit Fakten ja nicht an. Es wurde ja schon bemerkt: man kann machen was man meint. Konsequenzen aber inklusive.

 

[floTTes]

Ha! Challenge accepted! Ich wollte nicht sagen, dass ich die Infektion verhindern kann, aber ich "denke" ich könnte sie "reinigen". Und für Ransom-Ware ... da rufe ich halt die Nummer auf dem Bildschirm an.

Ich hab's doch verstanden: kein Win7 für floTTes.

Aber mal Spaß bei Seite. Ich würde auf dem Ding ja z.B. Steam mit meinem Account laufen lassen. Ich gehe ganz sicher kein Risiko eines Account-Diebstahls oder gar VAC-Banns ein ...

/e
Keene Challenge ...

 

[Grimba]

Und für Ransom-Ware ... da rufe ich halt die Nummer auf dem Bildschirm an.

Made my Day Hab sehr gelacht. Danke dafür! Jetzt muss ich die Kaffeespritzer vom Bildschirm kriegen....

Ergänzung (19. Januar 2024)

Ich könnte eine Wette eingehen, dass ich meinen Win7 "sicher" betreiben könnte.

Das denke ich eher nicht. Und damit bin ich nicht alleine.

Ich kann nicht anders, als hier nochmal reinzugehen, es ist stärker als ich...

Nein, kannst du nicht, da bin ich ganz bei Coasterblog.
Der Grund dafür ist simpel:

Windows 7 kann keine vertrauenswürdige Verbindungen mehr zu irgendwas aufbauen. Das liegt an einem ganz einfachen Umstand: ALLE beteiligten Betriebssystemkomponenten sind seit Jahren ungepflegt und veraltet. Der Netzwerkstack, die verwendeten Protokollversionen, die Kryptobibliothek (SSL und so), der Zertifikatsspeicher, die Speicherverwaltung etc. D.h. Lücken dieser Komponenten stehen also seit Jahren offen, neuere Cyphers gab es nicht.

Das führt dazu, dass man stets mit Lückenbehafteten Komponenten Verbindungen aufbaut, und auf die verwendete Verschlüsselung kein Verlass ist, weil die Jahre veraltete Cryptolib ihre eigenen Schwachstellen hat und ältere, zumindest als grenzwertig angesehene Cypher zur Anwendung kommen (müssen).

Dass diese von vielen Gegenstellen noch akzeptiert werden liegt daran, dass das Netz sich hier langsam, aber dennoch stetig bewegt. WindowsXP ist z.B. inzwischen kaum noch fähig zu irgendwas eine Verbindung aufzubauen. Aber für gewöhnlich werden auch alte Cypher irgendwann abgeräumt, für die in Windows 7 enthaltenen ist der Zeitpunkt halt noch nicht gekommen, was aber nicht heißt, dass die sicher sind. Man möchte halt Serverseitig möglichst wenige ausschließen, könnten ja auch mögliche Kunden dran hängen und damit Geld. Ist halt der konservative Ansatz: So sicher wie möglich, aber die Hürde so niedrig wie noch vertretbar möglich. Sonst wäre das gesamte Internet ja schon auf TLS1.3, was dieses Jahr 6 Jahre wird, aber noch quasi nirgendwo gefordert, geschweige denn in der Breite implementiert ist. Und schlussendlich ist es ja nicht so, als gäbe es eine Stelle, die sowas verbindlich für das ganze Internet festlegen könnte.

Man könnte jetzt natürlich hingehen und sagen, gut, liefert man eben seine eigenen Cryptolib. Dann hättest du noch immer alle anderen veralteten Komponenten des Betriebssystems an dieser Stelle beteiligt und dazu die Frage: Wer macht das denn? Welcher Anbieter macht sich hier die Mühe, für ein EOL OS das noch weiter separat zu liefern? Ja, die gibt es, durchaus. Aber dennoch: Altes System -> neue Software wird rar. Der Verfall ist hier also auch unbestreitbar da, denn man muss dann mit der Zeit immer mehr alte Software einsetzen.

Und was für einen Einfluss hat man dann von außen auf die Verbindungen? Wenig. Der Router kann in verschlüsselte Verbindungen nicht reingucken, das ist ja der Sinn der Sache. Und wenn Verbindungen vom PC selbst ausgehen, weiß der Router vermutlich noch am wenigsten, was davon akzeptabel ist, und was nicht. Internet Security Suites oder sowas wie Pi-Hole usw. können hier ggf. mit Blacklists arbeiten, beheben hier aber nicht den Umstand, dass ein Großteil der beteiligten Komponenten nunmal exploitbehaftet sind. Und diese tauschen ja diese Programme eben auch nicht aus.

Und diesen Umstand hat Windows 10 einfach nicht. Denn es wird gepflegt. Es kann kryptographisch vertrauenswürdige Verbindungen aufbauen. Was da irgendwelche Idioten mit machen und wieviele das sind, geschenkt. Mit der Menge von Idioten bei einem über alle Maßen verbreiteten System zu argumentieren ist so, als wenn ich sagen würde: Schau dir doch die Unfallstatistiken an: Wieviele Unfälle passieren wohl mit meinem Gogomobil? Dagegen beim Golf sooooo viele! Der Golf ist also unsicherer. Pro Tipp: NEIN!

Neue Software hat und erzeugt zwar neue Probleme, unbestritten. Aber sie hat eins nicht: Alte Probleme. Und die neuen werden gefixt oder haben zumindest die Chance gefixt zu werden. Und die neuen Probleme haben auch nicht zwingend etwas mit den alten gemeinsam. Bei alter Software werden auch altbekannte nicht mehr gefixt.

Daher nein, man kann Windows 7 nicht sicher im Internet betreiben.