Den presentaid-Installer für SmartScreen freigeben

Dieser Artikel richtet sich an IT-Administratoren, deren Benutzer presentaid selbst herunterladen und installieren. Er erklärt, was Microsoft Defender SmartScreen prüft und wie du den Installer freigibst, ohne SmartScreen abzuschalten.

Verteilst du presentaid zentral, brauchst du nichts davon. Siehe Unternehmensweiter Rollout / Installationsparameter.

So funktioniert der Installer

Die Download-Schaltfläche auf der Download-Seite liefert presentaid-setup.exe, einen kleinen Installer. Beim Start:

1. Lädt er das aktuelle presentaid.msi über HTTPS von https://presentaid.com/downloads/presentaid.msi herunter
2. Prüft er, ob das MSI von der bkt solutions GmbH digital signiert und unverändert ist. Schlägt die Prüfung fehl, wird das MSI nicht gestartet.
3. Startet er die normale MSI-Installation. presentaid wird für den aktuellen Benutzer installiert und braucht keine Adminrechte.

Beide Dateien sind mit einem Extended-Validation-Codesignaturzertifikat (EV) der bkt solutions GmbH signiert.

Warum SmartScreen warnen kann

SmartScreen bewertet heruntergeladene Programme nach ihrer Reputation. Sie wächst, je mehr Menschen dieselbe Datei herunterladen und ausführen. Eine neue Datei hat anfangs wenig Reputation, auch wenn sie korrekt signiert ist. Benutzer sehen dann möglicherweise:

• In Microsoft Edge: einen Hinweis, dass presentaid-setup.exe nicht häufig heruntergeladen wird
• Beim Start der Datei: „Der Computer wurde durch Windows geschützt“

Standardmäßig können Benutzer fortfahren (Behalten in Edge, Weitere Informationen > Trotzdem ausführen in Windows). Erlauben deine Richtlinien das nicht, nutze eine der folgenden Optionen.

Option 1: presentaid zentral verteilen (empfohlen)

Installiere das MSI mit Intune, Configuration Manager oder einem Anmeldeskript. Im Browser wird nichts heruntergeladen, also ist SmartScreen nicht beteiligt, und Benutzer müssen nichts tun. Siehe Unternehmensweiter Rollout / Installationsparameter.

Option 2: Installer intern bereitstellen

SmartScreen prüft nur Dateien, die das Windows-Kennzeichen „aus dem Internet heruntergeladen“ tragen. Eine Kopie des Installers ohne dieses Kennzeichen, die von deiner eigenen Dateifreigabe gestartet wird, prüft SmartScreen nicht.

1. Lade presentaid-setup.exe von der Download-Seite herunter.
2. Prüfe die Signatur in PowerShell. Status muss Valid sein, und der Antragsteller muss mit CN=bkt solutions GmbH beginnen.

3. Entferne das Download-Kennzeichen, denn es bleibt beim Kopieren erhalten:

4. Lege die Datei auf eine Dateifreigabe, die deine Benutzer erreichen, und lass sie den Installer von dort starten.

Der Installer lädt immer das neueste MSI herunter. Du musst die Datei auf der Freigabe also nicht ersetzen, wenn eine neue presentaid-Version erscheint.

Option 3: presentaid.com in SmartScreen freigeben

Bei dieser Option laden Benutzer von der Website herunter, und Microsoft Edge warnt nicht vor dem Download. Welche Einstellung gilt, hängt davon ab, ob dein Unternehmen Microsoft Defender for Endpoint nutzt.

Ohne Microsoft Defender for Endpoint

Setze die Microsoft-Edge-Richtlinie Liste der Domänen konfigurieren, für die Microsoft Defender SmartScreen keine Warnungen auslöst (SmartScreenAllowListDomains) und füge presentaid.com hinzu.

• Gruppenrichtlinie: Administrative Vorlagen > Microsoft Edge > SmartScreen-Einstellungen (aus MSEdge.admx)
• Intune: Einstellungskatalog > Microsoft Edge > SmartScreen-Einstellungen
• Registry:

Microsoft wendet diese Richtlinie nur auf PCs an, die einer Active-Directory-Domäne angehören, oder auf Windows-Pro- oder -Enterprise-PCs, die in einer Geräteverwaltung registriert sind. Ist Defender for Endpoint aktiviert, ignoriert Edge sie.

Mit Microsoft Defender for Endpoint

Lege einen Zulassen-Indikator für die Domäne an:

1. Öffne im Microsoft Defender-Portal Einstellungen > Endpunkte > Allgemein > Erweiterte Features und stelle sicher, dass Benutzerdefinierte Netzwerkindikatoren aktiviert ist.
2. Öffne Einstellungen > Endpunkte > Indikatoren > IP-Adressen oder URLs/Domänen und wähle Element hinzufügen.
3. Gib presentaid.com ein, wähle die Aktion Zulassen und die Gerätegruppen.

Laut Microsoft wirkt der Indikator meist innerhalb von zwei Stunden, spätestens nach 48 Stunden.

Sehen Benutzer beim Start der heruntergeladenen Datei weiterhin „Der Computer wurde durch Windows geschützt“ ohne Möglichkeit fortzufahren, nutze Option 1 oder 2.

Anwendungssteuerung (AppLocker, App Control for Business)

Dürfen auf deinen PCs nur freigegebene Programme laufen, lege Herausgeberregeln für die bkt solutions GmbH an:

• Regeln für ausführbare Dateien: presentaid-setup.exe
• Windows Installer-Regeln: presentaid.msi (die AppLocker-Standardregeln erlauben bereits alle digital signierten MSI-Dateien)

Erstelle die Regeln aus den signierten Dateien und setze sie auf Herausgeberebene, damit sie auch künftige Versionen abdecken. Verwende keine Pfadregeln: Der Installer speichert das MSI jedes Mal in einem neuen Ordner im Temp-Ordner des Benutzers.

Netzwerk

Der Installer verbindet sich per HTTPS (Port 443) mit presentaid.com. Er nutzt die Proxy-Einstellungen von Windows und meldet sich mit dem Windows-Konto des Benutzers am Proxy an.

Fehlerbehebung

Kann der Installer das MSI nicht herunterladen, zeigt er einen Link zur Download-Seite. Dort können Benutzer presentaid.msi direkt herunterladen.