Eine der meist empfohlenen Praktiken für sicheres Computing besteht darin, Ihre täglichen Aktivitäten in einem Standardbenutzerkonto auszuführen und Administratorkonten ausschließlich für die Installation von Anwendungen, das Anpassen der Systemeinstellungen und für eine anderweitige Neukonfiguration des Systems zu reservieren. Diese Einrichtung trägt dazu bei, zu verhindern, dass bei einem Standardkonto durchgeführte Pannen die globalen Systemressourcen beeinträchtigen. Beispielsweise kann ein Malware-Angriff oder ein Fehler in einer Anwendung einfacher auf den Ordner Applications, die globalen Library-Ordner und andere Ressourcen zugreifen, die für Administratorkonten verfügbar sind. Durch die Verwendung eines Kontos mit Standardberechtigungen tragen Sie daher dazu bei, zu verhindern, dass Probleme oder Gefahren die Systemressourcen beeinträchtigen, ohne Ihre ausdrückliche Erlaubnis.

Manche Menschen haben Bedenken gegen die Verwendung restriktiverer Standardkonten, da sie befürchten, nicht bei Bedarf Änderungen am System vornehmen zu können. In OS X sollte dies jedoch kein Problem sein. Wenn für eine Aufgabe Administratorrechte erforderlich sind, werden Sie in den meisten Fällen zur Eingabe der Berechtigungsnachweise aufgefordert, auch wenn diese Aufgaben von einem Standardkonto aus aufgerufen werden. Daher können Sie in Ihrem Standardkonto weiterarbeiten, um automatische Änderungen an Systemeinstellungen und Ressourcen zu verhindern, und sich dann bei Bedarf zur Authentifizierung vorbereiten.

Dies ist einfach, wenn Sie Ihr System zum ersten Mal einrichten. Dort können Sie mit dem Einrichtungsassistenten das Standardadministratorkonto erstellen und anschließend Standardbenutzerkonten für alle Benutzer angeben, die das System verwenden. Wenn Sie jedoch ein Administratorkonto ausgeführt haben, ist das Erstellen und Migrieren zu einem neuen Standardkonto eine Belastung, da Sie neben der Migration Ihrer Daten alle Einstellungen, Programme und Onlinedienste neu konfigurieren müssen zum neuen System.

Anstatt sich jedoch mit der Migration zu einem neuen Konto zu beschäftigen, können Sie Ihr aktuelles Konto von admin auf ein Standardkonto umstellen und dadurch dieselben Einschränkungen auferlegen. Dazu müssen Sie zunächst das neue Administratorkonto in den Systemeinstellungen "Konten" (oder "Benutzer und Gruppen") erstellen. Melden Sie sich dann von Ihrem aktuellen Konto ab und melden Sie sich beim neuen Administratorkonto an. Wechseln Sie nach der Anmeldung in dem neuen Konto zu den Systemeinstellungen "Konten" zurück, wählen Sie Ihr altes Administratorkonto aus und deaktivieren Sie die Option "Benutzer dürfen diesen Computer nicht verwalten", um das Konto zu verringern.

In einigen seltenen Fällen stellen Benutzer möglicherweise fest, dass alle Konten des Systems Standardkonten sind und keine Administratoroption verfügbar ist. Diese Situationen treten in der Regel aufgrund von Fehlern bei einer Systemmigration oder -wiederherstellung auf, und aufgrund des Fehlens eines Administratorkontos ist zur Wiederherstellung ein besonderes Augenmerk erforderlich.

Es gibt einige Ansätze, die Sie ergreifen können, wenn Ihrem System ein Administratorkonto fehlt. Die erste besteht darin, ein neues Administratorkonto mit dem Terminal im Einzelbenutzermodus zu erstellen. Der Einzelbenutzermodus umgeht die Konten im System und lädt das System in einer Terminalumgebung mit Root-Rechten. Dies ermöglicht den vollständigen Zugriff auf das System über die Befehlszeile, und Sie können das Systemverzeichnis ändern und ein neues Administratorkonto erstellen.

Starten Sie dazu zuerst das System neu, halten Sie dabei die Befehlstaste und die S-Taste gedrückt, bis Sie die Eingabeaufforderung sehen, und führen Sie dann den folgenden Befehl aus, um das Schreiben auf das Startlaufwerk zuzulassen (dies ist aus Sicherheitsgründen standardmäßig deaktiviert):

Mount -uw /

Wenn Sie diesen Befehl ausgeführt haben, führen Sie die folgenden Schritte aus, um ein neues Administratorkonto zu erstellen:

1. Überprüfen Sie mit dem folgenden Befehl das Vorhandensein der Admin-Gruppe:

   dscl. -read / Groups / admin GroupMembership

2. Wenn die Admin-Gruppe nicht vorhanden ist, erhalten Sie einen DS-Fehler als Ausgabe, der teilweise behauptet, dass der Datensatz nicht gefunden wurde. In diesem Fall müssen Sie die Admin-Gruppe erstellen, indem Sie die folgenden Befehle ausführen. Wenn dies jedoch der Fall ist, fahren Sie mit Schritt 3 fort:

   dscl. -create / groups / admin

   dscl. -Erstellen Sie / Groups / admin RealName-Administratoren

   dscl. -create / Groups / admin PrimaryGroupID 80

   dscl. -create / groups / admin Passwort \ *

   dscl. -create / Groups / admin GroupMembership root

   Mit diesen Befehlen wird die Gruppe erstellt, gefolgt von dem richtigen vollständigen Namen. Anschließend wird die Gruppenkennung auf die von der Admin-Gruppe in OS X verwendete Nummer festgelegt. Diese Nummer wird allen Ressourcen zugewiesen, auf die die Gruppe zugreifen kann. Durch die Zuweisung zu der neu erstellten Administratorgruppe wird sie zu einer echten Administratorgruppe, da jedes Mitglied Zugriff auf diese Ressourcen hat. Als letztes geben wir der Gruppe ein leeres Passwort, so dass zur Verwendung die Member-Passwörter erforderlich sind (Authentifizierung erforderlich) und das Root-Konto dann der Gruppe zugewiesen wird.

3. Weisen Sie der Administratorengruppe ein Benutzerkonto zu, indem Sie den folgenden Befehl ausführen. Ersetzen Sie in diesem Befehl USERNAME durch den Kurznamen des Kontos, das Sie verwalten möchten. Dies kann jetzt ein beliebiger Account sein:

   dscl. -create / Groups / admin GroupMembership USERNAME

Bei diesem Verfahren müssen Sie eine ganze Reihe von Befehlen eingeben. Da Tippfehler in Terminalbefehlen zu unerwünschten oder verwirrenden Ergebnissen führen können, können Sie alternativ den OS X-Setup-Assistenten zum Wiederherstellen des Administratorkontos verwenden. Führen Sie dazu nach dem Booten im Einzelbenutzermodus und dem Festlegen des Dateisystems für den Schreibzugriff (siehe oben) den folgenden Befehl aus:

rm /var/db/.AppleSetupDone

Dadurch wird eine unsichtbare Datei im System entfernt, die darauf hinweist, dass der Setup-Assistent bereits ausgeführt wurde. Wenn Sie diese Datei entfernen und neu starten, rufen Sie den Setup-Assistenten auf und lassen das System Sie durch die Schritte zum Erstellen eines neuen Administratorkontos über eine benutzerfreundliche Oberfläche führen.