Lösung für lokale Administratorpasswörter (LAPS): Tipps und bewährte Methoden

Das lokale Windows-Administrator-Konto ist ein begehrtes Ziel für Hacker und Malware. Es kann eine Menge schlechter Dinge passieren, wenn es einem Hacker gelingt, das lokale Admin-Konto eines Ihrer Server zu knacken.

Schreckliche Dinge passieren normalerweise, wenn jemand einen bösartigen Malware-Stamm mit dem Administrator-Konto herunterlädt. Das Ausmaß dieser Probleme wird noch verstärkt, wenn das Standard-Administrator-Konto für jede ähnliche Maschine dasselbe Passwort verwendet.

Sie können das komplexeste Passwort der Welt haben, aber sobald es auf einem Gerät kompromittiert ist, ist es Freiwild für alle anderen Geräte, die dieselben lokalen Admin-Anmeldeinformationen verwenden.

Natürlich könnten Sie die lokalen Admin-Anmeldeinformationen für jedes Windows-Gerät anpassen, aber das kann sehr zeitaufwendig sein, ganz zu schweigen von der Aufgabe, die vielen Anmeldeinformationen zu inventarisieren. Der Prozess wird praktisch unbrauchbar, wenn Sie Passwortaktualisierungen aktivieren (was Sie natürlich tun sollten). Deshalb deaktivieren viele Admins diese Funktion oft einfach.

Es ist jedoch nachvollziehbar, dass man eine Art lokales Admin-Konto benötigt, um „direkt am Gerät Reparaturen durchzuführen“, wie zum Beispiel das Zurücksetzen der Vertrauensstellung zur Domäne oder das manuelle Einstellen einer IP-Adresse und so weiter.

Wenn es eine schreckliche Idee ist, auf jeder Maschine dasselbe lokale Admin-Passwort zu haben, was kann man dagegen tun?

Tipp 1: Verwenden Sie Microsoft Local Administrator Password Solution (LAPS)

Microsoft Local Administrator Password Solution (LAPS) is a Microsoft tool that gives AD administrators the ability to manage the local account password of domain-joined computers and store them in AD.

When implemented via Group Policy, LAPS creates a random password of a defined length and complexity that is cryptographically secure and different every time, on every machine. It then applies the newly created password to the Local Administrator account and records the password in a secure field in your Active Directory schema. They can then be retrieved when access is needed to the account. The process is done automatically whenever a Group Policy defined password refresh is due.

LAPS hat einige Voraussetzungen für die Implementierung:

• Es gilt nur für Windows-Geräte
• Geräte müssen einer Domäne beigetreten sein
• Es erfordert eine kostenlose Group Policy Clientseitenerweiterung
• Es erfordert eine Schemaerweiterung (keine Panik).
• Es funktioniert nur für das lokale Admin-Konto
• Es funktioniert nur für EIN lokales Admin-Konto (falls Sie mehr als eines haben).

Tipp 2: LAPS und Gruppenrichtlinie

Wie erwähnt, wird LAPS mittels Gruppenrichtlinie eingesetzt, was die Erstellung einer GPO erfordert. Zuerst müssen Sie LAPS herunterladen, was Sie hier tun können.
Dann verwenden Sie den Assistenten, um es auf Ihrer Group Policy Management Maschine zu installieren. Dies sollten Sie manuell tun und typischerweise NICHT auf automatisierte Weise.

Stellen Sie sicher, dass Sie mindestens die GPO-Editorvorlagen auswählen, um auf die notwendigen ADMX-Dateien zugreifen zu können. Der Fat Client ist eine grafische Benutzeroberfläche, die einem Benutzer mit entsprechenden Rechten die Möglichkeit gibt, das Passwort für ein bestimmtes Gerät abzufragen. Sie müssen nur die Management-Tools installieren und nicht die „AdmPwd GPO-Erweiterung“ auf Ihrem Rechner (dem mit der GPMC).

Sie müssen dann in Ihren lokalen PolicyDefinitions-Ordner gehen und die AdmPwd.admx- und AdmPwd.adml-Dateien kopieren und in Ihren zentralen AD-Speicher einfügen. (Überprüfen Sie dieses video zu diesem Vorgang).

Als Nächstes müssen wir das AD-Schema erweitern, um die lokalen Passwörter aufzunehmen.

Die zwei erforderlichen Attribute sind:

• ms-Mcs-AdmPwd – Speichert das Passwort im Klartext
• ms-Mcs-AdmPwdExpirationTime – Speichert den Zeitpunkt zum Zurücksetzen des Passworts

Um das Schema zu aktualisieren, importieren Sie einfach das AdmPwd PowerShell-Modul und verwenden Sie den Befehl update-AdmPwdADSchema wie unten gezeigt.

Der nächste Schritt besteht darin, eine Computerseitige GPO zu erstellen. Für dieses Beispiel werde ich sie LAPS Policy nennen. Die LAPS-Einstellungen erscheinen nun unter Computerkonfiguration > Administrative Vorlagen > LAPS, wo 4 Einstellungen verfügbar sind, wie unten gezeigt.

Sie können Ihre LAPS GPO verwenden, um das Passwort entweder für das standardmäßige lokale Administratorkonto oder ein benutzerdefiniertes lokales Administratorkonto zu verwalten. Unten habe ich die Einstellung „Enable local admin password management“ aktiviert.

Wenn Sie den lokalen Admin-Account umbenannt haben (was Sie tun sollten), können Sie dann den aktualisierten Namen angeben. Sobald der Admin-Account ausgewählt ist, besteht der letzte Schritt darin, die Group Policy setting zu aktivieren, welche die Passworteinstellungen konfiguriert (dazu gehören Passwortlänge und -alter).

Sobald konfiguriert, verteilen Sie einfach die LAPS-Client-Seitenerweiterungssoftware über Ihre bevorzugte Softwareverteilungsmethode, wie PDQ Deploy. Sie benötigen nur den „GPO Extension“-Teil, wenn Sie einen ersten Test manuell durchführen möchten. Sie können dies hier sehen.

Sie können auch PolicyPak verwenden, um mehr Kontrolle über den Bereitstellungsprozess zu erlangen. Mehr dazu in einer Minute.

Tipp #3: Passwörter bei Bedarf über LAPS erhalten

Also, der Tag kommt, an dem Sie wissen müssen, was das aktuell generierte Passwort für einen Ihrer Windows-Maschinen ist. Wie machen Sie das? Es gibt mehrere Wege. Einer davon ist, den folgenden PowerShell-Befehl zu verwenden.

Get-AdmPwdPassword -Computername „Name des Computers“

Wenn Sie den LAPS Fat Client installiert haben, können Sie über das Startmenü auf die LAPS UI-Anwendung zugreifen.

Tipp #4: Weisen Sie granulare LAPS-Richtlinien an Benutzer durch Item-Level Targeting zu

PolicyPak bietet alle ADMX-Vorlageneinstellungen in seinem PolicyPak Admin Templates Manager und wir aktualisieren sie bei jeder neuen ADMX-Version. Es gibt viele Vorteile, den Admin Templates Manager anstelle der standardmäßigen Gruppenrichtlinie zu verwenden.

PolicyPak verwendet den Gruppenrichtlinien-Editor, wie unten gezeigt, fügt jedoch eine geheime Superkraft hinzu.

Der entscheidende Vorteil ist, dass PolicyPak Item-Level Targeting für jede Gruppenrichtlinieneinstellung nutzen kann, einschließlich LAPS.

Wenn Sie mit Group Policy Preferences vertraut sind, dann wissen Sie bereits, wie ILT eine wesentlich feinere Granularität hinsichtlich der Richtlinienzuweisung bietet. Nehmen wir zum Beispiel an, alle lokalen Admin-Konten auf Ihren Servern heißen ServAdm1n und Sie möchten eine separate LAPS-Richtlinie für diese Admins erstellen. Da es sich dabei nicht um Admin-Domain-Konten handelt, können Sie sie nicht mit Gruppenrichtlinien ansprechen, aber Sie können ILT verwenden, um jene Maschinen zu targetieren, die Windows Server 2016 ausführen.

Nun erstellen wir eine LAPS-Richtlinie für die Laptops der C-Level-Führungskräfte. Natürlich möchten wir ein starkes Passwort für diese lokalen Admin-Konten haben. In diesem Fall möchte ich 20-stellige Passwörter mit höchster Komplexität durchsetzen. Dann werde ich ILT verwenden, um die C-Level-Sicherheitsgruppe anzusteuern. Wie Sie im Screenshot unten sehen können, gibt es viele anvisierbare Optionen, einschließlich Computername, OU-Übereinstimmung, Standort-Übereinstimmung, Computerformfaktor (Laptop vs. Desktop) und mehr!

Als Bonus können traditionelle GPOs, die im Gruppenrichtlinien-Editor erstellt wurden, normalerweise nur über die Gruppenrichtlinie bereitgestellt werden, während PolicyPak-Einstellungen auf verschiedene Weisen wie SCCM, KACE oder Ihren bevorzugten MDM-Dienst verteilt werden können.
Sie können mehr über diesen Prozess erfahren, indem Sie dieses Video ansehen, das den Prozess der Bereitstellung von Gruppenrichtlinieneinstellungen ohne die Gruppenrichtlinien-Engine selbst demonstriert.

Tipp 5: Kombinieren Sie LAPS mit PolicyPak Least Privilege Manager

Local Administrator Password Solution ist ein hervorragendes Werkzeug, um den administrativen Zugriff auf Ihre wichtigsten Maschinen zu straffen. Tatsächlich ergänzt es sich auch hervorragend mit PolicyPak Least Privilege Manager. PolicyPak Least Privilege Manager eliminiert vollständig die Notwendigkeit lokaler Adminrechte und ermöglicht Standardbenutzern, spezielle Funktionen wie ein Admin auszuführen… aber ohne tatsächliche Adminrechte.

Gemeinsam könnten Sie LAPS auf all Ihren Unternehmensmaschinen durchsetzen … da Sie keinen lokalen Admin-Zugriff mehr benötigen werden.

Letztendlich können Sie mit PolicyPak alles, was Sie mit Group Policy machen können, besser umsetzen. Implementieren Sie LAPS und fügen Sie PolicyPak hinzu, um mehr Sicherheit, Leistung und Agilität zu erhalten.

Geteilte lokale Administratorpasswörter verwandeln eine kompromittierte Maschine in Zugang zu allen Maschinen, die diese verwenden – ein Problem, das eine lokale Administrator-Passwortlösung behebt. Das Festlegen eines eindeutigen Passworts für jedes Gerät verhindert diese Wiederverwendung, schafft jedoch ein Inventarproblem, da jede Anmeldeinformation gespeichert und regelmäßig aktualisiert werden muss.

Was ist LAPS?

Wie LAPS funktioniert

Passworterstellung

Die manuelle Verwaltung wird unpraktikabel, daher deaktivieren viele Administratoren das Konto, und 76 % der Organisationen können den dauerhaften Zugriff laut dem Netwrix 2026 Data and Identity Security Report nicht sofort widerrufen, wenn er nicht mehr benötigt wird.

Jedes verwaltete Gerät durchläuft denselben Zyklus, gesteuert durch eine Hintergrundaufgabe, die die aktive Richtlinie jede Stunde unabhängig vom Group Policy-Aktualisierungszyklus.

Directory-Speicher

Das Konto behält seinen Platz für Sofortreparaturen, wie das Zurücksetzen einer defekten Domänenvertrauensstellung oder das Festcodieren einer IP-Adresse, wenn andere Optionen fehlschlagen. Windows LAPS bewahrt diesen Wiederherstellungszugang und automatisiert die Passwortverwaltung dafür.

Rotation

LAPS ist ein Microsoft-Tool, mit dem Administratoren das lokale Administratorpasswort von domänenverbundenen Computern verwalten und in Active Directory. In der aktuellen Version kann Windows LAPS auch das Passwort sichern in Microsoft Entra ID. Jedes Gerät generiert ein eigenes zufälliges Passwort, das die definierten Anforderungen an Länge und Komplexität erfüllt, sodass keine zwei Maschinen dieselben Anmeldeinformationen verwenden.

Abruf

Wenn eine Richtlinie, die Windows LAPS aktiviert, das Gerät über Group Policy oder Microsoft Intune erreicht, generiert das Gerät ein zufälliges Passwort, das die Längen- und Komplexitätsanforderungen der Richtlinie erfüllt, und wendet es auf das verwaltete lokale Administratorkonto an.

Das Gerät speichert das Passwort dann im konfigurierten Verzeichnis zusammen mit einer Ablaufzeit, die auf dem Passwortalter der Richtlinie basiert. In Active Directory befindet sich das Passwort in einem vertraulichen Attribut des Computerobjekts, im Klartext oder verschlüsselt. Jedes Gerät schreibt sein eigenes Passwort, daher benötigt der Computer Schreibrechte für seine LAPS-Attribute, während eine separate, kleinere Gruppe Leserechte besitzt.

Wenn die Ablaufzeit erreicht ist, generiert und speichert das Gerät ein neues Passwort. Die Rotation kann auch früher erfolgen, wenn ein Administrator Reset-LapsPasswordExpand auf dem Gerät ausführt, die Ablaufzeit im Verzeichnis festlegt oder sich auf die Richtlinie verlässt, um das Passwort nach der Anmeldung des verwalteten Kontos zu rotieren.

Wogegen LAPS schützt

Ein autorisierter Administrator ruft das Passwort ab, wenn er sich an dieser Maschine anmelden muss, über PowerShell oder Active Directory Users and Computers.

LAPS zielt auf eine Schwäche der lokalen Administratoranmeldeinformationen ab: dasselbe Passwort auf vielen Rechnern, ein Passwort, das nach der Nutzung gültig bleibt, und ein Passwort, das zu vielen Personen zugänglich ist.

Netwrix Privilege Secure erstellt für jede administrative Sitzung ein auf die Aufgabe beschränktes Konto und entfernt es, wenn die Sitzung endet. Fordern Sie eine Demo an.

Pass-the-hash und laterale Bewegung

Geteilte Anmeldedaten bei Helpdesk-Arbeiten

Unerreichbare Geräte

Unbefugte Passwortzugriffe

Remote-Helpdesk-Arbeit benötigt lokalen Administratorzugang, und ein Passwort, das viele Techniker kennen und das niemand ändert, hält diesen Zugang lange nach Schließen des Tickets offen. Mit LAPS ruft ein Techniker das Passwort für einen Rechner ab, meldet sich an, und das Passwort wird nach der Nutzung geändert, sodass die erlernten Anmeldedaten nicht mehr funktionieren.

Ein Gerät mit gebrochenem Domänenvertrauen oder eines, dessen Domänenkonten sich nicht anmelden können, ist weiterhin über sein lokales Administratorkonto erreichbar, solange jemand das aktuelle Passwort kennt. LAPS speichert dieses Passwort im Verzeichnis, sodass Administratoren sich anmelden und Geräte wiederherstellen können, die sonst nicht zugänglich wären.

Windows LAPS vs legacy Microsoft LAPS

Gespeicherte Passwörter werden selbst zum Ziel, daher ist das access control model entscheidend. Active Directory-Berechtigungen und optionale Verschlüsselung bestimmen, wer jedes Passwort lesen oder entschlüsseln kann, und Microsoft Entra ID verwendet rollenbasierten Zugriff, sodass nur autorisierte Leser ein bestimmtes Passwort abrufen.

Ein pass-the-hash-Angriff verwendet einen gestohlenen Passwort-Hash ohne Entschlüsselung erneut, und ein gemeinsames lokales Administratorpasswort macht diesen Hash auf jedem Gerät gültig, das es verwendet, sodass eine kompromittierte Workstation laterale Bewegungen im gesamten Netzwerk ermöglicht. Mit LAPS hat jedes Gerät ein eigenes Passwort, sodass ein von einem Gerät gestohlener Hash nur für dieses Gerät gültig ist.

Zwei Produkte teilen sich den Namen LAPS, und die Unterschiede bestimmen, wo Passwörter gespeichert werden, ob sie verschlüsselt sind und wie lange Microsoft Probleme behebt.

Was Windows LAPS hinzufügt

Windows LAPS ist eine separate Implementierung, kein Update des Legacy-Produkts, daher können beide nur auf einem Gerät laufen, wenn sie unterschiedliche Konten verwalten.

Windows LAPS wurde in den Windows-Updates vom 11. April 2023 ausgeliefert und ist im Betriebssystem integriert, sodass Sie kein Clientpaket bereitstellen müssen.

• Das Backup zu Microsoft Entra ID wurde am 23. Oktober 2023 allgemein verfügbar, wodurch Entra-joined- und hybrid-joined-Geräte unter dasselbe Modell fallen.
• In Active Directory kann Windows LAPS gespeicherte Passwörter verschlüsseln und eine Passworthistorie führen, und Domänencontroller können das DSRM-Konto-Passwort sichern.
• Windows 11 24H2 und Windows Server 2025 fügen Passphrasenerstellung und automatische Kontoverwaltung hinzu.

Was die Einstellung für Legacy LAPS bedeutet

Welche Version verwenden

Microsoft hat das Legacy Microsoft LAPS ab Windows 11 23H2 und später eingestellt. Neuere Betriebssysteme blockieren den Legacy-Installer, und Microsoft plant keine Codeänderungen mehr für das Produkt. Der Support läuft nur auf älteren Windows-Versionen weiter, bis diese ihr eigenes Support-Ende erreichen.

• Jede Version schreibt in ein eigenes Ereignisprotokoll und enthält ein PowerShell-Modul, LAPSExpand, das die veralteten AdmPwdExpand-Cmdlets ersetzt.

Windows LAPS enthält einen Emulationsmodus, der eine bestehende Legacy-Richtlinie während der Migration berücksichtigt. Betrachten Sie ihn als Brücke, da das Passwort im Klartext gespeichert wird und keine Verschlüsselung oder Passwort-Historie verwendet werden kann.

Verwenden Sie Windows LAPS für neue Bereitstellungen auf Windows 11 23H2 und später sowie Windows Server 2025 und später. Frühere unterstützte Versionen, einschließlich Windows 11 22H2 und 21H2, Windows Server 2022 und 2019 sowie Windows 10, benötigen das Update vom 11. April 2023 oder später.

So richten Sie Windows LAPS ein und verwenden es

Windows 10 hat am Ende des Supports am 14. Oktober 2025 erreicht, und Windows LAPS ist nur noch auf Windows 10-Geräten verfügbar, die weiterhin Updates erhalten, beispielsweise über das Extended Security Updates-Programm. Für neue Bereitstellungen verwenden Sie Windows 11 oder eine unterstützte Version von Windows Server.

Schritt 1: Überprüfen Sie die Anforderungen

Führen Sie die nächsten Schritte auf einem Server oder Arbeitsplatz aus, der das Windows LAPS PowerShell-Modul enthält, das mit dem Update geliefert wird.

Diese Schritte installieren Windows LAPS auf domänenverbundenen Geräten, die Passwörter in Active Directory sichern.

Stellen Sie sicher, dass jedes Gerät ein unterstütztes Betriebssystem mit dem Update vom 11. April 2023 oder neuer ausführt und mit Active Directory verbunden oder hybrid-verbunden ist. Die Passwortverschlüsselung erfordert eine Domänenfunktionsstufe von 2016 oder höher, und die DSRM-Sicherung erfordert Domänencontroller mit Windows Server 2019 oder höher.

Schritt 2: Aktualisieren Sie das Active Directory-Schema

Schritt 3: Berechtigungen erteilen

Erweitern Sie das Schema einmal pro Forest, damit Windows LAPS Passwörter in neuen Attributen des Computerobjekts speichern kann. Führen Sie das Cmdlet auf einem Windows Server 2019 oder neueren Domänencontroller oder auf einem Server mit installiertem Modul aus:

Prüfen Sie dann, wer bereits erweiterte Rechte für diese OU besitzt. Jedes Windows LAPS-Passwortattribut ist vertraulich, daher kann jeder Hauptbenutzer mit erweiterten Rechten sie lesen:

Eine Bereitstellung benötigt Geräte, die ihre eigenen Passwörter schreiben, eine Gruppe, die sie liest, und eine Gruppe (oft dieselbe), die eine Ablaufzeit erzwingen kann. Gewähren Sie jede gegen die Organisationseinheit, die die Computer enthält:

Schritt 4: Konfigurieren Sie die Richtlinie in Group Policy

Entfernen Sie die erweiterten Rechte von jedem Principal, der keine Passwörter lesen sollte.

Das Cmdlet fügt Schemaattribute wie msLAPS-PasswordExpand, msLAPS-EncryptedPasswordExpand und msLAPS-PasswordExpirationTimeExpand. In anderen Domänen desselben Forests muss dies nicht wiederholt werden.

Schritt 5: Überprüfen Sie die angewendete Richtlinie

Suchen Sie auf einem Zielgerät im Windows LAPS-Ereignisprotokoll nach der Ereignis-ID 10018Expand, die bestätigt, dass das Passwort in Active Directory geschrieben wurde. Wenn Sie nicht auf den stündlichen Zyklus warten möchten, verarbeiten Sie die Richtlinie jetzt:

Setzen Sie BackupDirectoryExpand auf 2 für Active Directory und lassen Sie AdministratorAccountNameExpand unkonfiguriert, um das integrierte Administratorkonto zu verwalten, das Windows LAPS anhand seines bekannten relativen Bezeichners und nicht seines Namens identifiziert, und konfigurieren Sie es nur für ein benutzerdefiniertes Konto. Windows LAPS erstellt dieses benutzerdefinierte Konto nicht, erstellen Sie es daher zuerst, es sei denn, Sie aktivieren die automatische Kontoverwaltung unter Windows 11 24H2 oder Windows Server 2025.

Schritt 6: Ein Passwort abrufen

Erstellen Sie ein Computer-seitiges Gruppenrichtlinienobjekt (GPO), öffnen Sie Computerkonfiguration > Richtlinien > Administrative Vorlagen > System > LAPS und konfigurieren Sie die Windows LAPS policy settings. Die Vorlage LAPS.admxExpand wird im lokalen PolicyDefinitions-Ordner mitgeliefert, und wenn Sie einen central store verwenden, kopieren Sie sie dort manuell, da Windows-Updates dies nicht für Sie erledigen.

Die gleichen Personen können das Passwort aus den Eigenschaften des Computerobjekts in Active Directory Users and Computers lesen.

Rufen Sie das aktuelle Passwort für eine bestimmte Maschine ab, wenn Sie darauf zugreifen müssen, und verwenden Sie dazu ein Konto aus der Lesergruppe aus Schritt 3:

Schritt 7: Passwort auf Abruf rotieren

Überprüfen Sie dann, ob das Computerobjekt ein neues oder aktualisiertes Attribut msLAPS-PasswordExpirationTimeExpand besitzt. Wenn das Ereignis 10018Expand nie erscheint oder das Attribut leer bleibt, überprüfen Sie den GPO-Link und die Selbstschreibberechtigung aus Schritt 3 erneut.

Benennen Sie auch das integrierte Konto um, um es etwas schwerer erratbar zu machen, obwohl der bekannte Bezeichner des Kontos den Nutzen einschränkt. Wenn Sie die Kennworteinstellungen nicht konfigurieren, PasswordAgeDaysExpand standardmäßig auf 30, PasswordLengthExpand auf 14 und PasswordComplexityExpand auf 4.

Nachdem ein Techniker ein Passwort verwendet hat oder nach einem Ereignis, das es hätte offenlegen können, ändern Sie es. Führen Sie auf dem Gerät selbst Folgendes aus:

Windows LAPS mit Microsoft Entra ID

Mit diesen sieben Schritten hält jedes Gerät in der Organisationseinheit sein eigenes Passwort in Active Directory. Die Lesergruppe kann es abrufen und rotieren, und der stündliche Richtlinienzyklus hält den Rotationsplan ohne weiteren Aufwand am Laufen.

Stellen Sie auf der Verzeichnis-Seite die Ablaufzeit auf jetzt ein, und das Gerät rotiert beim nächsten Richtlinienzyklus oder sofort, wenn Sie Invoke-LapsPolicyProcessingExpand darauf ausführen:

Ein Administrator muss Windows LAPS für den Mandanten zuerst aktivieren, da Entra ID standardmäßig keine neuen Passwörter von verwalteten Geräten akzeptiert.

Die rollenbasierte Zugriffskontrolle von Entra schützt die Passwörter, und standardmäßig können nur die Rollen Global Administrator, Cloud Device Administrator und Intune Administrator diese abrufen. Überprüfen Sie daher, wer diese hoch privilegierten Rollen innehat.

So migrieren Sie von Legacy LAPS zu Windows LAPS

Die Richtlinie stammt von Microsoft Intune und dem Windows LAPS-Konfigurationsdienstanbieter mit BackupDirectoryExpand auf 1 gesetzt, und die Abfrage erfolgt über Microsoft Graph mit Get-LapsAADPasswordExpand oder den Entra- und Intune-Portalen.

Geräte, die nur mit Microsoft Entra ID verbunden sind, sichern nur auf Entra ID, Geräte, die nur mit Active Directory verbunden sind, sichern nur auf Active Directory, und hybrid verbundene Geräte wählen eines von beiden, niemals beide. Entra ID benötigt keine Schemaerweiterung oder Active Directory-Berechtigungen, daher gelten die oben genannten Einrichtungsschritte für diese Geräte nicht.

Es läuft auf domain-verbundenen Windows-Geräten, mit der Erweiterung auf jedem verwalteten Gerät, einer Schemaerweiterung und einem einzigen verwalteten lokalen Administratorkonto.

• Richtlinie: Die veraltete Gruppenrichtlinie hat vier Einstellungen, darunter „Lokale Admin-Passwortverwaltung aktivieren.“
• Client: Die LAPS-Benutzeroberfläche, ein Fat Client im Startmenü, ermöglicht einem berechtigten Benutzer, das Passwort eines Geräts abzufragen.
• Attribute: das Passwort befindet sich in ms-Mcs-AdmPwdExpand im Klartext, und ms-Mcs-AdmPwdExpirationTimeExpand enthält die Zeit zum Zurücksetzen.
• Bereitstellung: Administratoren verteilen die Erweiterung typischerweise mit einem Software-Bereitstellungstool auf Endpunkte.
• Befehle: Update-AdmPwdADSchemaExpand erweitert das Schema, und Get-AdmPwdPassword -ComputerName "Name des Computers"Expand ruft ein Passwort ab.

Legacy-Bereitstellungen sind noch üblich, identifizieren Sie also Ihre vor der Migration. Eine Legacy-Bereitstellung verwendet den herunterladbaren Microsoft-Installer, seine clientseitige Group Policy-Erweiterung (die AdmPwd extension), Verwaltungstools für die Group Policy Management Console und die AdmPwd.admxExpand und AdmPwd.admlExpand-Vorlagen.

Schritt 1: Wählen Sie einen Migrationsansatz

Führen Sie das Windows LAPS-Schema-Update und die Berechtigungsvergabe im Setup-Bereich vor der Migration durch.

Schritt 2: Deaktivieren Sie die Legacy-Richtlinie und wenden Sie eine Windows LAPS-Richtlinie an

Schritt 3: Bestätigen Sie die Übergabe

1. Überprüfen Sie das Windows LAPS-Ereignisprotokoll auf erfolgreiche Passwortaktualisierungen.

Trennen oder deaktivieren Sie das Legacy-GPO für die Organisationseinheit, die Sie migrieren, und verknüpfen Sie das Windows LAPS-GPO so nah wie möglich zeitgleich. Wenn ein Gerät erstmals eine Windows LAPS-Richtlinie anwendet, wird das verwaltete Kontopasswort sofort geändert. Planen Sie die Änderung daher in einem Zeitraum, in dem niemand ein sofortiges Passwort für diese Geräte benötigt.

Überprüfen Sie die Übergabe an einem Beispielgerät:

Eine sofortige Umstellung verschiebt ein Gerät von der Legacy-Verwaltung zur Windows LAPS-Verwaltung desselben Kontos in einem Schritt. Ein Nebeneinander-Ansatz behält Legacy LAPS auf dem bestehenden Konto, während Windows LAPS ein zweites lokales Konto verwaltet, und Sie entfernen das zusätzliche Konto am Ende. Die Legacy-Richtlinie und die Windows LAPS-Richtlinie dürfen niemals dasselbe Konto auf demselben Gerät anvisieren.

Schritt 4: Entfernen Sie die Legacy-Software

1. Bestätigen Sie, dass msLAPS-PasswordExpirationTimeExpand einen neuen Wert im Computerobjekt hat.
2. Rufen Sie das Passwort mit Get-LapsADPasswordExpand ab, um zu beweisen, dass der neue Pfad durchgängig funktioniert.

Sobald alle Geräte im Geltungsbereich unter Windows LAPS melden, deinstallieren Sie die Legacy-Erweiterung von den Endpunkten und die Verwaltungstools von den administrativen Arbeitsstationen. Für eine MSI-Installation führen Sie dies in einer erhöhten Eingabeaufforderung aus:

So sichern Sie Ihre LAPS-Bereitstellung

Einschränken, wer Passwörter lesen kann

Eine funktionierende und eine sichere Bereitstellung unterscheiden sich darin, wer die Passwörter lesen kann, wie sie gespeichert werden und wie schnell ein verwendetes Passwort abläuft.

Verschlüsseln Sie Passwörter in Active Directory

Führen Sie Find-LapsADExtendedRightsExpand nach jeder Delegationsänderung erneut aus, da Inhaber erweiterter Rechte die vertraulichen Passwortattribute lesen können.

Erteilen Sie einer dedizierten Sicherheitsgruppe Leseberechtigungen, z. B. der Helpdesk-Ebene, die Vor-Ort-Reparaturen durchführt, und schließen Sie breite IT-Gruppen aus. Domain Admins können Passwörter bereits lesen, daher ergänzt die Gruppe diese, und ihre Mitglieder verdienen die gleichen Zugriffsüberprüfungen wie jede privilegierte Gruppe.

Starke Passwort-Einstellungen festlegen

Aktivieren Sie ADPasswordEncryptionEnabledExpand, damit das Gerät das Passwort verschlüsselt, bevor es im Attribut msLAPS-EncryptedPasswordExpand gespeichert wird. Die Verschlüsselung erfordert eine Domänenfunktionsebene von 2016 oder höher.

Leseberechtigung gewährt keine Entschlüsselungsrechte, und ADPasswordEncryptionPrincipalExpand benennt den einzelnen Benutzer oder die Gruppe, die zum Entschlüsseln berechtigt ist, standardmäßig Domain Admins, wenn nicht festgelegt. Setzen Sie es auf Ihre Lesergruppe, denn ein Helpdesk, das ein Attribut lesen kann, das es nicht entschlüsseln kann, hat keinen Nutzen.

Passwörter nach der Verwendung zurücksetzen

Die Verschlüsselung schaltet auch den Passwortverlauf frei, stellen Sie also ADEncryptedPasswordHistorySizeExpand (Standard 0; akzeptiert bis zu 12), wenn Techniker manchmal das vorherige Passwort benötigen.

Verwenden Sie unterschiedliche Richtlinien für verschiedene Geräte

Verkürzen Sie die Verzögerung für sensible Geräte und kombinieren Sie dies mit der bedarfsorientierten Rotation aus Schritt 7, wenn ein Techniker in 10 Minuten fertig ist, damit die Anmeldeinformationen nicht bis zum Nachmittag gültig bleiben.

Ein Benutzer mit einem gültigen Windows LAPS-Passwort kann Administratorrechte erlangen und diese Mechanismen verhindern oder umgehen, daher begrenzt das Zurücksetzen die Exposition, ohne sie durchzusetzen.

PostAuthenticationActionsExpand steuert, was passiert, nachdem sich jemand mit dem verwalteten Konto authentifiziert hat, und PostAuthenticationResetDelayExpand steuert, wie lange das Gerät wartet. Standardmäßig setzt das Gerät das Passwort zurück und meldet sich 24 Stunden nach der Authentifizierung vom verwalteten Konto ab, und eine Verzögerung von 0 deaktiviert diese Aktionen.

Sichern Sie das Wiederherstellungskonto des Domänencontrollers

Server, deren lokales Administratorkonto ServAdm1n heißt, können eine Richtlinie verwenden, während Executive-Laptops eine andere nutzen, die 20-stellige Passwörter erzwingt, wobei jede GPO mit der passenden Organisationseinheit verknüpft oder auf eine Sicherheitsgruppe gefiltert ist.

Verwenden Sie auch separate Richtlinien für ältere und neuere Betriebssysteme, da Passphrasen, automatische Kontoverwaltung und Post-Authentifizierungsaktion 11 nur für Windows 11 24H2 und Windows Server 2025 gelten.

Grenzen von LAPS

LAPS belässt ein bestehendes Administratorkonto

Aktivieren Sie auf Domänencontrollern ADBackupDSRMPasswordExpand, damit Windows LAPS das DSRM-Konto-Passwort sichert, was eine Passwortverschlüsselung und Domänencontroller mit Windows Server 2019 oder neuer erfordert.

LAPS sichert lokale Administratoranmeldeinformationen und überlässt dauerhaften Zugriff, Genehmigungsabläufe und Nicht-Windows-Abdeckung anderen Kontrollen.

Erhöhen Sie PasswordLengthExpand über den Standardwert von 14 Zeichen hinaus, wenn Geräte dies erfordern, bis zu 64, und halten Sie PasswordComplexityExpand bei 4 oder höher. Unter Windows 11 24H2 und Windows Server 2025 erzeugen Komplexitätswerte von 6 bis 8 Passphrasen, die am Telefon leichter zu lesen sind, und PassphraseLengthExpand legt die Wortanzahl fest. Stimmen Sie jede Einstellung auf die lokale Passwort-Richtlinie des Geräts ab, da ein inkompatibler Wert dazu führt, dass Windows LAPS kein Passwort erstellen kann und das Ereignis 10027Expand.

Das verwaltete Konto bleibt ein lokales Administratorkonto, das zwischen den Nutzungen deaktiviert werden kann, während LAPS das Passwort einzigartig macht und rotiert. Der Netwrix 2026 Data and Identity Security Report stellte fest, dass die Verletzungsraten um weitere 7 Punkte steigen, wenn dauerhafter privilegierter Zugriff die Norm ist.

LAPS hat keinen Genehmigungs- oder Sitzungsworkflow

LAPS deckt nur Windows ab

Windows LAPS kann DSRM-Passwörter nicht in Microsoft Entra ID sichern. Wenn alle Domänencontroller ausgefallen sind, Get-LapsADPasswordExpand mit dem Parameter -PortExpand liest Passwörter aus einem eingebundenen Backup des Verzeichnisses.

Wie Netwrix hilft, den dauerhaften lokalen Administratorzugang zu reduzieren

Ersetzen Sie dauerhaften lokalen Administratorzugang durch Just-in-Time-Zugang

Die vollständige Abschaffung der local administrator rights ist die stärkere Option, da Standardbenutzer dann spezielle Aufgaben ohne sie erledigen können und das von LAPS verwaltete Konto zu einem selten genutzten Notfallzugang wird. LAPS und least privilege arbeiten zusammen, wobei LAPS die verbleibenden Konten schützt.

Windows LAPS verwaltet lokale Konten auf Windows-Geräten, die mit Active Directory oder Microsoft Entra ID verbunden sind, und unterstützt keine Microsoft Entra workplace-joined Clients. Linux-Hosts, macOS-Laptops und Netzwerkgeräte sind ausgeschlossen, ebenso wie Windows-Geräte, die nicht im Verzeichnis eingebunden sind.

Jeder mit Leseberechtigung kann innerhalb seines delegierten Bereichs ein Passwort abrufen, und ein abgerufenes Passwort gewährt lokale Administratorrechte bis zur Rotation. Die Verzögerung nach der Authentifizierung begrenzt dieses Zeitfenster, und die Berechtigungsliste zeigt, wer ein Passwort abrufen kann. LAPS verwaltet die Anmeldeinformationen und zeichnet nicht auf, was ein Administrator nach der Anmeldung tut, daher zeigt eine separate Prüfung, was er getan hat.

Die routinemäßige Verwaltung hinterlässt oft ein aktives Konto, und Netwrix Privilege Secure richtet sich gegen dieses Konto.

Zeichnen Sie auf, was Administratoren mit erhöhtem Zugriff tun

Finden Sie dauerhaft privilegierte Konten

Netwrix Privilege Secure ersetzt dauerhafte Administratorrechte durch Just-in-Time-Zugriff, der nur für die Aufgabe erstellt und nach deren Abschluss entfernt wird. Die Erhöhung ist zeitlich begrenzt und läuft automatisch ab, sodass keine permanenten erhöhten Anmeldeinformationen zwischen den Einsätzen untätig bleiben.

Kombinieren Sie LAPS mit Just-in-Time-Zugriff für die Routineverwaltung

Eastern Carver County Schools sah, wie Red Teams wiederholt durch übermäßigen und unnötigen privilegierten Zugriff auf kritische Systeme zugriffen. Mit Netwrix Privilege Secure gewährt der Bezirk Zugriff „on the fly“ über temporäre Konten, die nach Abschluss der Aufgabe entfernt werden, und implementierte Privileged Access Management für seine kritischen Systeme in Tagen statt Monaten.

Netwrix Privilege Secure, ein Produkt für Privileged Access Management, zeichnet privilegierte Sitzungen auf und überwacht sie, sodass ein Prüfer, der wissen möchte, was während einer erhöhten Sitzung passiert ist, die Sitzung selbst erhält. Die Aufzeichnung liefert einem Ermittler eine Prüfspur für forensische Arbeiten, die LAPS nicht bietet.

Netwrix Privilege Secure durchsucht die Umgebung, um versteckte privilegierte Konten zu finden. Verwenden Sie die Ergebnisse, um zu entscheiden, welche Konten von LAPS verwaltet werden sollen, welche auf Just-in-Time-Zugriff umgestellt werden und welche entfernt werden sollen.

Eine solide LAPS-Bereitstellung verwendet Windows LAPS statt des veralteten Produkts, verschlüsselt Passwörter im richtigen Verzeichnis, beschränkt den Zugriff darauf, rotiert sie nach der Nutzung und migriert Geräte, die noch den alten Client verwenden.

Es schützt die Konten, die bestehen bleiben müssen. Für alles andere prüfen Sie, ob jede administrative Aufgabe überhaupt ein dauerhaftes Konto benötigt, und passen Sie die Kontrolle an die Dauer der Aufgabe, automatische Widerruf und Sitzungsnachweise an.

Netwrix Privilege Secure deckt die Routineverwaltung dieser Entscheidung ab mit just-in-time access, Sitzungsaufzeichnung und Erkennung von dauerhaft privilegierten Konten.

Fordern Sie eine Demo an und sehen Sie, wie Netwrix Privilege Secure dauerhafte Administrator-Konten durch Just-in-Time-Sitzungen ersetzt, aufzeichnet, was Administratoren tun, und die noch vorhandenen dauerhaften privilegierten Konten findet.