Der Microsoft IPP-Treiber für einen angeschlossenen IPP-Drucker (Internet Printing Protocol) ignoriert bei einer sicheren / verschlüsselten Verbindung (IPPS) alle Zertifikatfehler (z. B. Name, Gültigkeitsdatum, Zertifizierungsstelle). So können auch selbstsignierte Zertifikate für die Drucker verwendet werden. Ein Zertifikat ist für die eindeutige Authentifizierung zwischen Drucker und PC (Windows) bei verschlüsselten Verbindungen erforderlich. Zur Verbesserung der Sicherheit (z. B. wenn Daten über öffentliche Netzwerke transportiert werden) können bestimmte Zertifikatüberprüfungen aktiviert werden. Bei einer fehlgeschlagenen Überprüfung wird der Druckvorgang bzw. die Übertragung nicht gestartet und der Benutzer erhält eine allgemeine Fehlermeldung. Die Zertifikatprüfung gilt auch für die Installation eines neuen IPP-Druckers.

Die Einstellungen mit dem Umgang von Zertifikatfehlern gilt nur für den Microsoft-IPP-Treiber. IPP basiert auf den HTTP (Hypertext Transfer Protocol) und verwendet TLS (Transport Layer Security) für die Verschlüsselung.

So geht's:

• Starten Sie "%windir%\regedit.exe" bzw. "%windir%\regedt32.exe".
• Klicken Sie sich durch folgende Schlüssel (Ordner) hindurch:
  HKEY_LOCAL_MACHINE
  SOFTWARE
  Policies
  Microsoft
  Windows NT
  Printers
  IPP
  Falls die letzten Schlüssel noch nicht existieren, dann müssen Sie diese erstellen. Dazu klicken Sie mit der rechten Maustaste in das rechte Fenster. Im Kontextmenü wählen Sie "Neu" > "Schlüssel".
• Ungültigen allgemeinen Zertifikatname nicht zulassen:
  • Doppelklicken Sie auf den Schlüssel "SecurityFlagsBlockCertCNInvalid".
    Falls dieser Schlüssel noch nicht existiert, dann müssen Sie ihn erstellen. Dazu klicken Sie mit der rechten Maustaste in das rechte Fenster. Im Kontextmenü wählen Sie "Neu" > "DWORD-Wert" (REG_DWORD). Als Schlüsselnamen geben Sie "SecurityFlagsBlockCertCNInvalid" ein.
  • Ändern Sie den Wert ggf. von "0" (zulassen) auf "1" (blockieren).
• Ungültiges Zertifikatsdatum nicht zulassen:
  • Doppelklicken Sie auf den Schlüssel "SecurityFlagsBlockCertDateInvalid".
    Falls dieser Schlüssel noch nicht existiert, dann müssen Sie ihn erstellen. Dazu klicken Sie mit der rechten Maustaste in das rechte Fenster. Im Kontextmenü wählen Sie "Neu" > "DWORD-Wert" (REG_DWORD). Als Schlüsselnamen geben Sie "SecurityFlagsBlockCertDateInvalid" ein.
  • Ändern Sie den Wert ggf. von "0" (zulassen) auf "1" (blockieren).
• Nicht-Serverzertifikate nicht zulassen:
  • Doppelklicken Sie auf den Schlüssel "SecurityFlagsBlockCertWrongUsage".
    Falls dieser Schlüssel noch nicht existiert, dann müssen Sie ihn erstellen. Dazu klicken Sie mit der rechten Maustaste in das rechte Fenster. Im Kontextmenü wählen Sie "Neu" > "DWORD-Wert" (REG_DWORD). Als Schlüsselnamen geben Sie "SecurityFlagsBlockCertWrongUsage" ein.
  • Ändern Sie den Wert ggf. von "0" (zulassen) auf "1" (blockieren).
• Ungültige Zertifizierungsstellen nicht zulassen:
  • Doppelklicken Sie auf den Schlüssel "SecurityFlagsBlockUnknownCA".
    Falls dieser Schlüssel noch nicht existiert, dann müssen Sie ihn erstellen. Dazu klicken Sie mit der rechten Maustaste in das rechte Fenster. Im Kontextmenü wählen Sie "Neu" > "DWORD-Wert" (REG_DWORD). Als Schlüsselnamen geben Sie "SecurityFlagsBlockUnknownCA" ein.
  • Ändern Sie den Wert ggf. von "0" (zulassen) auf "1" (blockieren).
• Die Änderungen werden ggf. erst nach einem Neustart aktiv.

Hinweise:

• SecurityFlagsBlockCertCNInvalid:
  0 = Zertifikate mit einem ungültigen allgemeinen Name ("CN") werden akzeptiert. (Standard)
  1 = Zertifikate mit einem ungültigen allgemeinen Name ("CN") werden blockiert.
• SecurityFlagsBlockCertDateInvalid:
  0 = Zertifikate mit einem ungültigen Datum (z. B. Gültigkeit abgelaufen) werden akzeptiert. (Standard)
  1 = Zertifikate mit einem ungültigen Datum (z. B. Gültigkeit angelaufen) werden blockiert.
• SecurityFlagsBlockCertWrongUsage:
  0 = Auch Nicht-Serverzertifikate (Client-Zertifikate) werden akzeptiert. (Standard)
  1 = Alle Nicht-Serverzertifikate (Client-Zertifikate) werden komplett blockiert.
• SecurityFlagsBlockUnknownCA:
  0 = Zertifikate mit einer ungültigen Zertifizierungsstelle werden akzeptiert. (Standard)
  1 = Zertifikate mit einer ungültigen Zertifizierungsstelle werden blockiert.
• Ändern Sie bitte nichts anderes in der Registrierungsdatei. Dies kann zur Folge haben, dass Windows und/oder Anwendungsprogramme nicht mehr richtig arbeiten.

Versionshinweis:

• Diese Einstellung gilt erst ab Windows 11 Version 24H2.

Querverweis:

• Einstellungen - Drucker - Installation von IPP-Druckern ohne IPPS verhindern (ab 24H2)