{"id":7658,"date":"2020-07-14T15:04:03","date_gmt":"2020-07-14T15:04:03","guid":{"rendered":"https:\/\/www.ezeep.com\/?p=7658"},"modified":"2024-08-15T14:50:15","modified_gmt":"2024-08-15T14:50:15","slug":"printer-redirection-produktivitatsgarant-oder-sicherheitsluecke","status":"publish","type":"post","link":"https:\/\/www.ezeep.com\/de\/printer-redirection-produktivitatsgarant-oder-sicherheitsluecke\/","title":{"rendered":"Printer Redirection \u2013 Produktivit\u00e4tsgarant und Sicherheitsl\u00fccke"},"content":{"rendered":"\n
\"Printer<\/figure>\n\n\n\n

Ich bin \u00fcberzeugt, dass der Begriff “Printer redirection” von einem Softwareentwickler einfach mal in einen Prototyp eingebaut wurde. Und weil niemand eine bessere Idee hatte, ist er bis heute geblieben. Dahinter verbirgt sich das Feature, von einem Remote Desktop zu einem lokalen Drucker zu drucken. Kombiniert mit einem universellen Treiber auf dem Remote Desktop und ordentlicher Komprimierung der Druckdaten ergibt sich dadurch der Vorteil, dass jeder Nutzer unkompliziert und sofort auf seinen eigenen Drucker drucken kann, obwohl er auf einem Remote Desktop arbeitet, der hunderte oder tausende Kilometer entfernt ist. Drucken in Home Offices oder kleineren Niederlassungen k\u00f6nnte andernfalls nur mit erheblichem Aufwand erm\u00f6glicht werden.<\/p>\n\n\n\n

Jetzt ist der zumindest theoretische Traum des IT Admins, nichts mehr mit den lokalen Druckern der Nutzer zu tun zu haben und seine sch\u00f6ne Remote-Desktop-Farm ordentlich und sauber zu halten, leider zugleich der Alptraum des Sicherheitsteams. Jeder, der einen Drucker hat, kann s\u00e4mtliche Dokumente, auf die er zugreifen kann, einfach auf dem eigenen Drucker zum Beispiel zuhause ausdrucken. Keine Firewall, kein VPN, kein Email-Scanner, kein Blacklisting kann davor sch\u00fctzen.<\/p>\n\n\n\n

Es ist das bekannte Problem, eine Balance zwischen Produktivit\u00e4t und Sicherheit zu finden. Nicht jeder Mitarbeiter muss drucken, wenn er remote arbeitet. Der Trick ist, einfache und m\u00f6glichst granulare Wege zu kennen, um “Printer redirection” an- und auszuschalten.<\/p>\n\n\n\n

Werfen wir also mal einen Blick auf die M\u00f6glichkeiten!<\/p>\n\n\n\n

Printer Redirection ausschalten mit dem Remote Desktop Gateway Manager<\/h2>\n\n\n\n

1. Auf einem Windows Server 2012 oder h\u00f6her gehe zu Administrative Tools und \u00f6ffne den Remote Desktop Services Folder.<\/p>\n\n\n\n

2. W\u00e4hle den Remote Desktop Gateway Manager<\/p>\n\n\n\n

3. W\u00e4hle Connection Authorization Policies<\/p>\n\n\n\n

4. Klicke auf die Policy RDG_CAP_ALLUsers und \u00f6ffne den Tab Device Redirection<\/p>\n\n\n\n

5. Schalte “Disable device redirection for the following client device types” an und markiere die Box “Printers”<\/p>\n\n\n\n

\"Printer<\/figure>\n\n\n\n

Die lokalen Drucker der User werden jetzt nicht mehr auf dem Remote Desktop angelegt, und die User k\u00f6nnen somit nicht mehr auf ihren eigenen Druckern drucken. Wenn man Printer redirection f\u00fcr alle ausschalten m\u00f6chte, ist das ein einfacher Weg. Wenn man das etwas granularer haben m\u00f6chte, wird es kompliziert.<\/p>\n\n\n\n

Printer Redirection ausschalten per Group Policy<\/h2>\n\n\n\n

1. \u00d6ffne den Group Policy Editor und gehe zu “Computer Configuration\\Administrative Templates\\Windows Components\\Remote Desktop Services\\Remote Desktop Session Host\\Printer Redirection.”<\/p>\n\n\n\n

2. \u00d6ffne die Policy-Einstellung \u201cDo not allow client printer redirection\u201d und w\u00e4hle die Option \u201cEnabled\u201d<\/p>\n\n\n\n

3. Klicke auf OK, um die \u00c4nderung zu speichern und schlie\u00dfe das Fenster.<\/p>\n\n\n\n

\"Printer<\/figure>\n\n\n\n

Group Policies sind ein Standardweg, um Nutzer und Rechner zu managen. Die Konfigurationen werden an Organizational Units im Active Directory geh\u00e4ngt, und die entsprechenden Computer (oder Nutzer) in den OUs wenden beim n\u00e4chsten Group Policy Update die Konfiguration an. Sofern die Nutzer, die drucken sollen, und die User, die nicht drucken sollen, auf getrennten Computern ihre Remote Desktops haben und diese getrennten Computer auch im AD getrennt sind, kann man dadurch selektiv Printer Redirection unterbinden. Praktikabel ist das allerdings in der Realit\u00e4t nicht.<\/p>\n\n\n\n

Azure Virtual Desktop <\/h2>\n\n\n\n
    \n
  1. Im Azure Portal, suche nach Azure Virtual Desktop<\/li>\n\n\n\n
  2. Klicke auf \u201cHostpool\u201d und w\u00e4hle den Hostpool aus<\/li>\n\n\n\n
  3. Klicke auf \u201cProperties\u201d, w\u00e4hle den \u201cRDP settings\u201d Tab aus und stelle den Schalter f\u00fcr Printers auf \u201cOff\u201d.<\/li>\n<\/ol>\n\n\n\n
    \"Seit<\/figure>\n\n\n\n

    \u00c4hnlich wie bei den Group Policies kann man seit dem Spring Update 2020<\/a> sehr einfach Printer redirection an- und ausschalten. \u00c4hnlich wie bei den Group Policies bezieht sich diese Einstellung auf die Rechner, die die Remote Desktops hosten und nicht auf die User. Sofern man also die Notwendigkeit des lokalen Druckens nicht auch noch in die \u00dcberlegungen zu Hostpools einbeziehen m\u00f6chte, ist Granularit\u00e4t ein Problem.<\/p>\n\n\n\n

    Bei ezeep Blue<\/a> haben wir uns zu dem Kompromiss zwischen Produktivit\u00e4t und Sicherheit beim Drucken viele Gedanken gemacht. Uns war recht fr\u00fch klar, dass das Drucken zu lokalen Druckern basierend auf Usergruppen stattfindet und nicht basierend auf Rechnergruppen. Hier ist unser Weg, um granular das lokale Drucken zu erlauben oder zu unterbinden: <\/p>\n\n\n\n

    \n