Die ganz miese Sache: Zugriffsrechtsfehler in der Registry durch Kappen der Vererbung

Vorneweg: Dieser Artikel gilt für alle NT-basierenden Betriebssysteme - also für WindowsNT, Windows2000, CP, Vista, Windows7, Windows8, Windows10,...
Bei mir trat die Sache unter Vista auf.

Das Ausgangsproblem:
Ich musste neulich ein Script für den PPFScanner etwas anpassen und habe danach das Script auf meinem Programmierrechner durchgetestet um festzustellen, ob es läuft. Beim Durchlauf des Scripts habe ich festgestellt, dass es bei einer Registrysuche unter HKEY_CURRENT_USER extrem lange gedauert hatte. Grund war hier, dass wegen fehlenden Zugriffsrechten kein Zugriff auf einiges an Schlüsseln in diesem Bereich mehr vorhanden war. Unter dem Schlüssel HKEY_CURRENT_USER keinen Zugriff mehr auf Registryschlüssel zu haben, ist natürlich sehr ungewöhnlich. Ich habe mich dann darum gekümmert festzustellen, was in den betroffenen Schlüsseln an Daten stand - mit dem PPFScanner habe ich Möglichkeiten dazu das zu tun, ohne Zugriffsrechte irgendwie ändern zu müssen. Alle Schlüssel, auf die ich keinen Zugriff mehr hatte, befandemn sich unter HKEY_CURRENT_USER\Software\Classes\CLSID und wurden von Java genutzt.
Im Prinzip hatte ich auf alle Unterschlüssel von HKEY_CURRENT_USER\Software\Classes\CLSID keinen Zugriff mehr.

Ursachensuche:
Ich hatte vor einiger Zeit Abstürze eines Filtertreiber von Antivir beim Herunterfahren des Rechners auf diesem Betriebssystem mit Bluescreen. Danach konnte ich später Software Festplattenfehler auf dem Gerät feststellen. Die Ursache scheint also da zu liegen.

Die großen Probleme:

• Probleme solcher Art fallen oft kaum auf - im Prinzip fallen sie erst auf, wenn genau die Komponente genutzt werden soll, auf die kein Zugriff besteht. Selbst wenn sie auffallen, würde man den Fehler, der sich dann äußert, wohl kaum in der Registry vermuten. Die Ursache des Fehlers kann (wie es bei mir auch der Fall war) Ewigkeiten zurückliegen und Sicherungen, die man dann noch hat, haben meist genau diesen Fehler eben auch.
• Die Registry ist extrem umfangreich - wie findet man solche Fehler möglichst effektiv?
• Wie sind diese Fehler möglichst effektiv und schnell zu beseitigen, ohne irgendetwas dauerhaft in der Registry durch falsche Zugriffsrechtseinstellungen zu schädigen?

Beim Untersuchen der betroffenen Schlüssel stellte ich fest, dass dort den Schlüsseln weder Erlaubnisse noch Verbote zugeordnet waren. Die Zugriffkontrolliste der Schlüssel war also leer.
In der Registry erfolgt das Zuordnen von Rechten in der Regel durch Vererbung von Rechten von einem Oberschlüssel auf die Unterschlüssel. Da schien also die Vererbung zerschossen zu sein. Bei einer Vererbung erfolgt das Setzen der Rechte in den Unterschlüsseln bei Modifizierung der Rechte des Oberschlüssels.

Folgt man dem was oben steht, ergibt sich daraus, dass die Fehlerbeseitigung solcher Fehler normalerweise nicht bei den betroffenen Schlüsseln ansetzen muss, sondern beim Oberschlüssel - in meinem Fall HKEY_CURRENT_USER\Software\Classes\CLSID.
Die Vererbung war innerhalb des Schlüssels korrekt vorhanden.
In meinem Fall habe ich dann der Sicherheitsbeschreibung des Schlüssel HKEY_CURRENT_USER\Software\Classes\CLSID Leserechte für eine Gruppe hinzugefügt, die noch nicht in der Liste der Zugriffsrechte für diesen Schlüssel aufgeführt war. Fügt man eine neue Gruppe hinzu, lässt die sich später leicht wieder entfernen.
Nach dem Übernehmen der neuen Rechte wurden die durch den Oberschlüssel vererbten Zugriffsrechte wieder in die Unterschlüssel übernommen und es bestand wieder Zugriff. Danach habe ich die vorher hinzugefügten Rechte für die neue Gruppe unter HKEY_CURRENT_USER\Software\Classes\CLSID wieder entfernt. Der Fehler war damit beseitigt.

Um Hinweise darauf zu bekommen, ob solche Fehler voliegen könnten, kann man folgendes als Hilfsmittel nehmen:

• Von hier den PPFScanner herunterladen und die ZIP in einen eigenen Ordner entpacken (zum Beispiel nach C:\PPFS).
• PPFScan.exe starten.
• Lass auf Nachfrage des Programms die 64Bit Version des Scanners starten.
• In das Texteingabefeld über dem Button Script ausführen folgenden Text einfügen (das was in der Box steht - ohne das Wort Quellcode und die Zeilennummern). Achte darauf, dass dir der gesammte Inhalt der Box angezeigt wird:

CREATE_FOLDER->C:\PPF_Scan2
LOAD_USERS->
EXCLUDE_SEARCH_KEY->HKEY_LOCAL_MACHINE\SAM\SAM
EXCLUDE_SEARCH_KEY->HKEY_LOCAL_MACHINE\SECURITY
EXCLUDE_SEARCH_KEY->HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Protected Storage System Provider\*Local Machine*
EXCLUDE_SEARCH_KEY->HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Media Center\Service\Recording\Restricted
REGISTRY_SEARCH_KEY->HKEY_USERS\
->DasisteinganzganzbloederTestvonAHT
REGISTRY_SEARCH_KEY->HKEY_LOCAL_MACHINE\
->DasisteinganzganzbloederTestvonAHT
UNLOAD_USERS->
COPY_SCANFILES->C:\PPF_Scan2
OPEN->C:\PPF_Scan2
END->

• Klicke dann auf den Button Script ausführen und bestätige die erscheinende
  Messagebox mit Ja.
• Warte, bis der Scanner sich selbst beendet.
• Lasse das Script bei einer Meldung nicht abbrechen!
• Es befinden sich im Ordner C:\PPF_Scan2 dann einige Textdateien. Lade bitte alle Dateien, die du dort findest, bei http://workupload.com/ hoch und poste die Downloadlinks hier im Forum.

In der Datei Scripting.txt werden mit dem Hinweis Zugriff verweigert dann die Registryschlüssel aufgeführt, die keine Leserechte haben.
Man sollte aber nicht davon ausgehen, dass alle dort aufgeführten Schlüssel dort stehen, weil sie vom hier angesprohenen Registryfehler betroffen sind - längst nicht alles in der Registry lässt sich mit Adminrechten lesen! Es muss danach also immer eine Analyse erfolgen, in der ermittelt werden muss, warum hier die Leserechte fehlen.
Kann die weitere Analyse auf dem Rechner nicht selbst durchgeführt werden, helfe ich da gerne weiter.

Ich persönlich hatte auf meinem Hauptrechner dieses Problem des "Kappens der Vererbungen" bereits zweimal. Bei beiden Vorfällen habe ich als Auslöser Hardware- oder Softwarefehler der Festplatte in Verdacht. Das tritt wohl scheinbar also auch nach manchen Abstürzen des Rechners auf - und das nicht unbedingt gerade selten.

Tritt der Fehler auf einem Rechner auf, können weder Komponenten des Betriebssystems noch irgendwelche Programme Werte aus den betroffenen Schlüsseln lesen oder irgendetwas in sie hineinschreiben. Was passiert hängt davon ab, wofür die betroffenen Registryschlüssel verwendet werden. So können zum Beispiel...

• ...Programme oder Systemkomponenten mit oder ohne Fehlermeldungen abstürzen, weil verknüpfte DLLs nicht geladen werden können.
• ...Programme oder Systemkomponenten nicht korrekt funktionieren, weil sie ihre Einstellungen nicht aus der Registry auslesen können.
• ...Einstellungen nicht setzbar sein, weil Schreibzugriff auf die / den Registryschlüssel fehlt, der die Einstellungen abspeichert.
• ...Programme oder Systemkomponenten nicht automatisch gestartet werden, die sich ansonsten automatisch starten.
• ...Programme nicht installierbar oder deinstallierbar sein.
• .......

Die Spanne kann von wirklich auffälligem Fehlverhalten des Systems oder von Programmen bis hin zu Sachen, die erst Monate oder Jahre nach dem Ereignis auffallen reichen.