Lokale Administratorkonten sind in Windows-Umgebungen weiterhin ein unterschätztes Einfallstor. Sobald viele Clients oder Server dasselbe lokale Kennwort verwenden, kann eine einzige Kompromittierung die seitliche Bewegung eines Angreifers erheblich vereinfachen. Windows LAPS 2026 bietet dafür eine in Windows integrierte Lösung: Kennwörter werden pro Gerät verwaltet, regelmäßig gewechselt und für berechtigte Administratoren wieder abrufbar gespeichert. Aber nicht jede Konfiguration ist gleich sicher. Dieser Leitfaden zeigt, wie mittelständische Unternehmen Windows LAPS mit Active Directory, Microsoft Entra ID und Intune kontrolliert einführen, welche Fallstricke in hybriden Umgebungen drohen und wie der Notfallzugriff getestet wird.
GORTNET Fachredaktion · Aktualisiert: 25. Oktober 2026 · Lesezeit: ca. 11–13 Minuten
Warum gemeinsame lokale Administratorpasswörter ein reales Risiko sind
In vielen gewachsenen IT-Landschaften existiert neben den Domänenkonten ein lokaler Administrator. Er wird für Inbetriebnahme, Fernwartung oder Recovery verwendet. Wenn ein identisches Passwort in einem Image, in einer Dokumentation oder in einem Deployment-Skript hinterlegt ist, kann dessen Offenlegung zahlreiche Systeme gefährden. Das Problem besteht selbst dann, wenn Domänenadministratoren sehr gut abgesichert sind: Ein lokales Administratorkonto kann hohe Rechte auf dem jeweiligen Endpunkt bereitstellen.
Ein individuelles, automatisch rotierendes Kennwort reduziert dieses Risiko erheblich. Ein Administrator benötigt das Kennwort nur für einen begründeten Einsatz und sollte es nach dem Einsatz nicht dauerhaft weitergeben. Entscheidend ist nicht allein die Zufälligkeit des Kennworts, sondern die Kombination aus Einzelgerätezuordnung, kontrollierter Einsicht, Protokollierung und verlässlicher Rotation. Windows LAPS ist ein Baustein der Härtung, ersetzt jedoch weder EDR noch Gerätemanagement oder die Trennung privilegierter Identitäten.
Windows LAPS 2026: Was ist anders als beim alten LAPS?
Das aktuelle Windows LAPS ist eine native Windows-Funktion und nicht mit dem früher separat installierten Microsoft LAPS MSI zu verwechseln. Auf unterstützten Windows-Versionen stehen Richtlinien und Verwaltungsfunktionen über Windows selbst bereit. Neben lokalen Administratorkennwörtern kann Windows LAPS in passenden Active-Directory-Szenarien auch Kennwörter für den Directory Services Restore Mode (DSRM) auf Domänencontrollern verwalten. Das ist vor allem bei Recovery-Planungen relevant.
Für neue Rollouts sollte eine Migration vom Legacy-Produkt bewusst geplant werden, statt alte GPOs unbesehen mit neuen Einstellungen zu mischen. Auf neueren Systemen ist die Legacy-Variante als Produkt abgekündigt. Dokumentieren Sie, welche Maschinen den nativen Client unterstützen und welche Systeme vor einer Umstellung noch Betriebssystem- oder Patch-Updates benötigen. Ein erfolgreicher Pilot auf Windows 11 ist kein Beleg dafür, dass sämtliche älteren Server bereits mit denselben Einstellungen betrieben werden können.
AD oder Entra ID: Den richtigen Speicherort festlegen
Windows LAPS kann Kennwörter je nach Join-Status in Windows Server Active Directory oder Microsoft Entra ID sichern. Rein lokal domänengebundene Geräte verwenden die AD-Variante; ausschließlich Entra-verbundene Geräte die Cloud-Variante. Bei hybrid eingebundenen Geräten kann ein unterstützter Speicherort gewählt werden. Ein gleichzeitiges Backup desselben LAPS-Kennworts in beide Verzeichnisse ist nicht vorgesehen. Dies ist eine häufige Fehlannahme bei hybriden Migrationsprojekten.
Eine Entscheidungsmatrix hilft: Wo arbeiten die Administratoren, ist der Notfallzugriff ohne Internet erforderlich, welche Rollen besitzen Einsichtsrechte und wie funktioniert ein Ausfall des Verzeichnisdienstes? Für eine ausschließlich in Entra ID gespeicherte LAPS-Konfiguration ist keine lokale AD-Schemaerweiterung nötig. Wer die AD-Variante wählt, muss hingegen Schema, Berechtigungen und gegebenenfalls die sichere Kennwortverschlüsselung vorbereiten.
Active Directory vorbereiten: Schema, ACL und Verschlüsselung
Vor der produktiven Aktivierung überprüfen Sie Domänenfunktionsebene, unterstützte Domain-Controller-Versionen, vorhandene Gruppenrichtlinien und die zuständigen OU-Strukturen. Der technische Leitfaden von Microsoft beschreibt die Schemaerweiterung über Update-LapsADSchema sowie die erforderlichen Berechtigungen für die Computerkonten. Diese Arbeit gehört in ein kontrolliertes Wartungsfenster und sollte zunächst in einer Testdomäne oder einer begrenzten Pilot-OU erprobt werden.
Sichern Sie Kennwörter nach Möglichkeit verschlüsselt in AD und definieren Sie ausdrücklich, wer entschlüsseln darf. Laut Microsoft erfordert die Windows-LAPS-Verschlüsselung eine Domänenfunktionsebene ab Windows Server 2016; ältere Funktionsstufen erlauben dieses Verschlüsselungsmodell nicht. Vergeben Sie keinen pauschalen Lesezugriff für gesamte Supportgruppen, wenn unterschiedliche Zuständigkeiten vorliegen. Zusätzlich sollten vorhandene erweiterte Rechte überprüft werden, weil bestimmte AD-Berechtigungen ansonsten einen unerwartet breiten Zugriff auf vertrauliche Attribute erlauben können.
Gruppenrichtlinien und Intune sauber konfigurieren
Für klassische AD-Clients sind Gruppenrichtlinien ein bewährter Rollout-Weg. Die wichtigste Einstellung ist BackupDirectory: Für AD-Backup lautet der dokumentierte Wert 2, für Microsoft Entra ID 1. Konfigurieren Sie außerdem Kennwortlänge, Komplexität, maximale Gültigkeit und das Zielkonto. Das integrierte lokale Administratorkonto wird anhand seiner SID identifiziert; sein lokalisiertes Anzeigenamensfeld darf nicht als zuverlässiger technischer Bezeichner betrachtet werden.
In Entra- oder Intune-verwalteten Umgebungen ist eine Endpoint-Security-Richtlinie für den Schutz lokaler Konten häufig der bessere Betriebsweg. Beachten Sie, dass das automatische Erstellen und Verwalten bestimmter lokaler Konten nur auf neueren Plattformen verfügbar ist, insbesondere Windows 11 24H2 beziehungsweise Windows Server 2025 und später. Ein selbst benanntes Konto muss je nach gewähltem Managementmodus bereits existieren. Dokumentieren Sie Zielgruppen und Ausschlüsse, um widersprüchliche Richtlinien für dieselben Geräte zu vermeiden.
Passwortabruf: Least Privilege und Nachvollziehbarkeit
Die technische Stärke von Windows LAPS geht verloren, wenn zu viele Mitarbeitende die Kennwörter beliebig abrufen können. Richten Sie abgestufte Rollen für Helpdesk, Systemadministration und Notfallverantwortliche ein. Prüfen Sie im Active Directory mit den dokumentierten LAPS-Cmdlets, welche Gruppen Lese- beziehungsweise Entschlüsselungsrechte besitzen. Bei Microsoft Entra ID unterstützen rollenbasierte Berechtigungen und Audit-Ereignisse die Trennung von Tätigkeiten.
Ein sauberer Abrufprozess verlangt einen Ticketbezug, eine Begründung und nach Bedarf eine zusätzliche Genehmigung. Administrationspasswörter gehören nicht in unverschlüsselte Chat-Nachrichten oder dauerhafte Dokumentationen. Nach einer Reparatur oder einer außergewöhnlichen Sitzung sollte eine Rotation ausgelöst beziehungsweise ihr erfolgreicher Abschluss kontrolliert werden. Protokolle sind mit angemessenen Zugriffsrechten und einer nachvollziehbaren Aufbewahrungsdauer zu schützen.
Rotation nach Anmeldung und Umgang mit laufenden Sitzungen
Kennwortrotation ist nicht nur ein monatlicher Automatismus. Windows LAPS bietet Richtlinien für Aktionen nach einer authentifizierten Nutzung des verwalteten Kontos. Abhängig von Konfiguration und Betriebssystem können Zurücksetzen, Abmelden oder andere unterstützte Folgemaßnahmen ausgelöst werden. Die Einstellungen sind mit Supportabläufen abzustimmen, damit eine dringende Wartung nicht durch unvorhergesehene Abmeldungen unterbrochen wird.
Für kritische Server wählen Sie kurze, aber realistische Zeitfenster und testen produktionsnahe Remote-Support-Fälle. Beschreiben Sie außerdem, wie ein Kennwort manuell vorzeitig rotiert wird, wenn ein Mitarbeitender das Unternehmen verlässt oder ein Passwort irrtümlich offengelegt wurde. Im Monitoring sollte ein Gerät auffallen, dessen Kennwort zu lange nicht aktualisiert wurde. Eine reine Richtlinienzuweisung ist noch kein Nachweis dafür, dass die Rotation wirklich funktioniert.
Windows LAPS 2026 in hybriden Umgebungen testen
Ein guter Pilot umfasst mindestens eine vollständig domänengebundene Workstation, ein hybrid angebundenes Gerät, einen aktuellen Windows-Server und – wenn vorgesehen – einen Domänencontroller für den DSRM-Anwendungsfall. Prüfen Sie pro Gerät: Richtlinie empfangen, Kennwort gespeichert, Berechtigungen korrekt, Kennwortwechsel erfolgreich, Abruf durch berechtigte Rolle möglich und Zugriff für unberechtigte Rolle verweigert. Führen Sie die Tests mit realen Rollenkonten durch und nicht ausschließlich als Domänenadministrator.
Beachten Sie Unterbrechungen bei Netzverbindungen, Join-Probleme, lokale Passwortänderungen durch Fremdsoftware und bereits vorhandene Legacy-LAPS-Konfigurationen. Fassen Sie Fehler nicht unter „LAPS funktioniert nicht“ zusammen: Trennen Sie Richtlinienfehler, Schreibrechte im Verzeichnis, Kontoexistenz und Zugriffsrechte beim Lesen. Erst eine nachvollziehbare Diagnose verhindert hektische Änderungen an besonders sensiblen Gruppenberechtigungen.
DSRM-Kennwörter und Notfallwiederherstellung
Der Directory Services Restore Mode ist für die Wiederherstellung von Active-Directory-Domänencontrollern relevant. Windows LAPS kann in geeigneten Umgebungen auch dieses Kennwort verwalten. Anders als bei üblichen Arbeitsplatzrechnern darf der Notfallprozess hier keine Abhängigkeit erzeugen, die im Katastrophenfall nicht mehr erfüllt werden kann. Wer bei einem vollständigen Verzeichnisproblem ausschließlich auf einen normalen AD-Lesezugriff vertraut, riskiert genau dann Handlungsunfähigkeit, wenn Hilfe nötig ist.
Planen Sie gemeinsam mit dem Disaster-Recovery-Team die gesicherte Wiedergewinnung der erforderlichen Informationen aus unterstützten Backups und dokumentierten Recovery-Prozessen. Ein Test sollte in einer isolierten Umgebung stattfinden. Halten Sie Ersatzverantwortliche und Zugriff auf Notfalldokumentation bereit. DSRM-Prozesse sind kritischer als alltägliche Helpdesk-Aufgaben und sollten entsprechend strenger freigegeben, protokolliert und regelmäßig geübt werden.
Typische Fehler bei der Einführung vermeiden
Zu den häufigsten Fehlern zählen doppelte Richtlinien, falscher Backup-Speicherort, nicht vorhandene benutzerdefinierte Administratorkonten, unzureichende AD-Berechtigungen und eine verschlüsselte AD-Konfiguration, deren Entschlüsselungsrollen niemand geprüft hat. Ebenso gefährlich ist eine unkritisch kopierte Konfiguration aus alten Blogbeiträgen: Plattformunterstützung und Einstellungen haben sich über mehrere Windows-Versionen verändert. Verwenden Sie deshalb stets die dokumentierten aktuellen Herstelleranforderungen für die eingesetzte Geräteklasse.
Ein weiteres Risiko ist die fehlende Überwachung nach dem Rollout. Geräte außerhalb des regelmäßigen Netzwerkzugriffs oder mit beschädigter Verwaltung können längere Zeit ohne erfolgreiche Rotation bleiben. Bauen Sie eine monatliche Ausnahmeliste auf und ordnen Sie problematische Endpunkte konkreten Administratoren zu. Der KPI sollte nicht „Anzahl zugewiesener Richtlinien“, sondern „Anteil erfolgreich und fristgerecht rotierender Geräte“ lauten.
30-Tage-Rollout für den Mittelstand
Woche eins: Gerätebestand, Betriebssystemversionen, Join-Status, lokale Administratorkonten und vorhandene LAPS- oder Passwortmanagementlösungen erfassen. Anschließend Recovery-Anforderungen und Administratorrollen dokumentieren. Woche zwei: Active-Directory-Schema und ACL beziehungsweise Entra-Konfiguration vorbereiten, einen begrenzten Testkreis definieren und den Passwortabruf nach dem Vier-Augen-Prinzip erproben.
Woche drei: Kennwortrotation, Ablauf nach Verwendung, Geräte mit schlechter Netzwerkverbindung und Supportprozesse testen. Woche vier: den Rollout in Wellen ausweiten, Ausnahmen dokumentieren und Monitoring etablieren. Definieren Sie vorab, wie eine fehlerhafte Richtlinie zurückgenommen wird, ohne das letzte funktionierende lokale Administratorkonto zu verlieren. Der Rollout endet nicht mit der technischen Aktivierung, sondern mit einem bestandenen Recovery-Test.
FAQ: Fragen zu Windows LAPS 2026
Braucht Windows LAPS einen separaten MSI-Client? Nein, auf unterstützten und entsprechend aktualisierten Windows-Systemen ist die Funktion integriert. Kann dasselbe Kennwort parallel in AD und Entra ID gespeichert werden? Nein, Windows LAPS verwendet pro Gerät einen unterstützten Backup-Speicherort. Funktioniert LAPS bei reinen Entra-registrierten Geräten? Der Geräte-Join-Status ist entscheidend; ausschließlich registrierte Geräte sind für diesen Anwendungsfall nicht gleichwertig mit Entra-joined Geräten.
Ist Windows LAPS ein Ersatz für privilegiertes Zugriffsmanagement? Nein. Die Lösung adressiert die Verwaltung bestimmter lokaler Kennwörter. Für domänenweite Adminrechte, privilegierte Cloud-Rollen, Servicekonten und die Überwachung administrativer Sitzungen sind weitere Schutzmaßnahmen nötig. Wie messe ich Erfolg? Durch aktuelle Rotationsnachweise, minimal berechtigte Abrufrollen, dokumentierte Notfälle und eine sinkende Anzahl gemeinsam genutzter lokaler Kennwörter.
Fazit und nächste Schritte
Windows LAPS 2026 ist kein isoliertes Passwortprojekt, sondern Teil eines sicheren Identitäts- und Gerätemanagements. Entscheidend sind ein getesteter Wiederherstellungsweg, restriktive Zugriffsrechte und laufende Kontrollen. Wenn Sie die Umsetzung nicht auf alle Endpunkte gleichzeitig ausrollen, sondern in dokumentierten Wellen arbeiten, lassen sich betriebliche Risiken minimieren und die Wirksamkeit nachvollziehbar belegen.
Weiterführende GORTNET-Beiträge
Sie möchten die Konfiguration oder den Sicherheitszustand Ihrer Windows-Umgebung professionell prüfen? Kontaktieren Sie GORTNET für ein strukturiertes Vorgehen.
Verlässliche Quellen
- Microsoft Learn: Windows LAPS Overview
- Microsoft Learn: Windows LAPS mit AD
- Microsoft Learn: LAPS mit Microsoft Entra ID
- Microsoft Intune: Windows LAPS
Die technischen Schritte müssen vor dem Einsatz mit den aktuellen Herstellerunterlagen und dem konkreten Systemstand abgeglichen werden. Die Beispiele ersetzen keine Prüfung in der jeweiligen Produktionsumgebung.