Lokale Administratorkonten sind in vielen Unternehmen eine tickende Zeitbombe. Statische Passwörter, fehlende Rotation und eine unzureichende zentrale Verwaltung sind Schwachstellen, die Hacker gerne und gnadenlos ausnutzen. Schnell stellt sich die Frage: Wie können wir diese Sicherheitslücken schließen?
Vor zwei, drei Jahren war die eindeutige Antwort: Microsoft Legacy LAPS. Mittlerweile ist dieses Produkt und dessen Gruppenrichtlinien als Lösung aber schon etwas veraltet. Microsoft lässt uns aber nicht hängen und hat mit Windows LAPS ein leistungsstarkes Sicherheits-Tool geschaffen, das es in sich hat!
Mit dieser modernisierten Version können wir unsere lokalen Administrator-Konten wesentlich effizienter verwalten und absichern. Windows LAPS ist Bestandteil der Microsoft Umgebung und lässt sich bequem über die Cloud bearbeiten. Und statt uns mit komplizierten Installationsskripten herumzuschlagen, können wir Windows LAPS einfach über Intune steuern. Das spart nicht nur Zeit, sondern ist auch ein riesiger Schritt in Richtung Cyber-Security.
In diesem Artikel zeige ich Dir, wie Windows LAPS dynamische Benutzernamen generiert, Manipulationen auf Systemebene verhindert und Deine IT-Umgebung mit automatisierten Prozessen schützt.
Wenn Du Dir unsicher bist oder mehr zum Thema Windows LAPS erfahren möchtest, klick Dich durch die kommenden Artikel in meinem Blog (ich werde sie verlinken, sobald sie online sind) oder nimm gleich Kontakt mit mir auf. Zusammen lösen wir Dein Problem.
Alles Wichtige auf einen Blick
Mit dem neuen Windows LAPS haben wir eine moderne Lösung in unserem Admin-Toolkit, mit dem wir unsere lokalen Administratorkonten effizient verwalten können. Windows LAPS ist direkt ins Microsoft Betriebssystem integriert ist - ein wichtiger Aspekt, denn im Gegensatz zur Legacy-Version brauchen wir ab jetzt keine manuellen Gruppenrichtlinien oder auch einfache Richtlinien mehr zu konfigurieren und im Auge zu behalten. Stattdessen regeln wir die Steuerung zentral und cloudbasiert über Intune.
Die wichtigsten Neuerungen und Vorteile sind:
Mit Windows LAPS können wir in Sachen Security richtig aufatmen! Die neue Version erleichtert uns den Umstieg auf moderne Sicherheits- und Verwaltungsstrukturen. Mit ein paar gezielten Klicks können wir unsere aktuellen Prozesse modernisieren und mit anderen Sicherheitsmaßnahmen verknüpfen. Wie genau? Das zeig ich Dir jetzt.
Administrator-Konten besser mit Windows LAPS verwalten
Die bisherige LAPS-Version (auch Legacy LAPS genannt) mussten wir noch manuell über ein MSI-Paket installieren und per Gruppenrichtlinien verwalten. Diese Legacy LAPS-Variante tat zwar ihren Zweck, war aber nicht mehr wirklich zeitgemäß – insbesondere im Hinblick auf moderne Cloud-Sicherheitsanforderungen.
Das neue LAPS ist dagegen direkt ins Betriebssystem integriert und lässt sich cloudbasiert über Intune steuern – Du brauchst also nichts separat zu installieren oder manuelle Updates einzuplanen.
Wenn Du bisher Windows LAPS verwendet hast, kennst Du sicher die Herausforderungen: Kennwörter müssen zuverlässig rotiert werden, das Verwalten erfolgt meistens noch über eine Gruppenrichtlinie, und Cloud-Anbindung? Fehlanzeige.
(Quelle: https://www.oceanleaf.ch/content/images/2024/07/laps-1.png)
Mit dem neuen LAPS ändert sich das grundlegend. Microsoft hat das System und damit die Lösung zu vielen Sicherheitsfragen modernisiert – nicht nur technisch, sondern vor allem in Sachen praktischer Nutzung. So sparen wir Zeit und können uns auf andere wichtige Sicherheitsaspekte fokussieren.
Mir sind beim Einarbeiten ins neue Windows LAPS besonders drei Punkte aufgefallen:
Kurz gesagt: Die neue Windows LAPS-Version ist ein modernes Sicherheitsstandard-Paket für Dich und Dein Unternehmen, das den Umstieg auf aktuelle Sicherheits- und Verwaltungsstrukturen erleichtert.
Für Organisationen, die bislang vollständig auf Windows Server Active Directory gesetzt haben, bietet LAPS einen reibungslosen Umstieg auf moderne Verwaltungsmechanismen – ohne Altlasten auf bestehenden Geräten.
LAPS-Sicherheitsfunktionen, die Dich wirklich schützen
Windows LAPS ist so ein Produkt, das wirklich was zu bieten hat. Das Passwort-Rotationstool erspart Dir sehr viel manuelle Arbeitszeit und auch die vielen neuen Sicherheitsfunktionen im Betriebssystem machen Deinen Tenant und somit Deine Clients um einiges sicherer.
Welche Funktionen das genau sind, schauen wir uns jetzt im Detail an – inkl. Praxistipps.
Dynamische Benutzernamen
Statische Admin-Kontonamen wie "Administrator" oder "Admin" sind ein beliebtes Einfallstor für Hacker. Windows LAPS ist da wesentlich cleverer: Dank zufällig generierter Suffixe oder definierbarer Präfixe werden aus festen Kontonamen flexible Ziele.
Ein Beispiel: Aus „WLapsAdmin“ wird etwa „LAPS-SAM_2712“.
Manipulationsschutz auf Systemebene
Ein oft übersehener Angriffsvektor: Angreifer, die sich in Dein System eingeschmuggelt haben, löschen oder verändern privilegierte Accounts. Windows LAPS überwacht und verhindert Manipulationsversuche an verwalteten Accounts auf Kernel-Ebene und macht Hackern so einen Strich durch die Rechnung. Selbst wenn jemand lokale Admin-Rechte hat, kann der Windows LAPS-Account nicht entfernt oder überschrieben werden.
Was das bedeutet: Die Angriffszeit verkürzt sich drastisch. Selbst bei einem Hackingangriff bleiben Deine Schutzmechanismen intakt – ein wichtiges Plus für die Forensik und das Risiko-Management. Hacker haben so gut wie keine Chance mehr, Deinen Tenant über priviligierte Accounts zu schaden.
Erweiterte Passphrase-Optionen
Nur weil ein Passwort lang und stark ist, heißt das noch lange nicht, dass es auch nützlich ist. Klar, schützt es Deinen Account, aber was bringt es Dir, wenn Du Dich selbst nicht mehr an Dein Passwort erinnern kannst? Windows LAPS gibt uns hier neue Funktionen – zum Beispiel die Auswahl zwischen langen Passphrasen, kurzen Wortkombinationen oder Versionen mit individuellen Präfixen.
Das sieht in etwa so aus:
(Quelle: https://michaelsendpoint.com/intune_laps/laps_settings.png)
So kannst Du als Administrator eine gute Balance zwischen Sicherheit und Benutzerfreundlichkeit aufbauen– und dabei Deine spezifischen organisatorischen Anforderungen und Compliance-Konfigurationen optimieren.
Hast Du weitere Fragen zum Thema Sicherheit oder bist Du unsicher, wie Du Deine Microsoft-Umgebung besser auf die Sicherheitsanforderungen Deines Unternehmens ausrichten kannst? Dann sichere Dir einen Platz in einer meiner gezielten Schulungen.
Post-Authentication-Aktionen
Was passiert nach einer Anmeldung mit privilegierten Rechten? Windows LAPS denkt mit. Die integrierten Post-Auth-Aktionen sorgen dafür, dass ein temporärer Zugang nicht zum Dauerrisiko wird.
Dazu wird Dein Tenant mit folgenden Features geschützt:
Automatische Accountverwaltung: Alles steuerbar
Die neue Engine von Windows LAPS erlaubt eine fein abgestimmte Konfiguration über verschiedene CSP-Werte. Das heißt, Du kannst nicht nur festlegen, ob ein Account erstellt oder verwaltet wird, sondern auch
Dein Vorteil: Du hast wesentlich mehr Kontrolle über die Prozesse und bist weniger abhängig von starren Standards. Checke Deine unterschiedlichen Konfigurationen erst mit Testgeräten, bevor Du die Kennwörter ausrollst.
Neue automatische Accountverwaltungsfeatures
Mit der neuesten Windows LAPS- Version haben wir eine neue Möglichkeit, lokale Accounts automatisch zu verwalten. Diese Funktionen ermöglichen Dir eine granularere Kontrolle, mehr Sicherheit und eine flexiblere Anpassung an Deine bestehende Infrastruktur.
Kerneinstellungen und Funktionalitäten
Die automatische Accountverwaltungslösung verfügt über fünf entscheidende Konfigurationsparameter, die Dir detaillierte Kontrolle über das Windows LAPS-Verhalten bieten:
Passphrase-Konfiguration
Mit dem Update kannst Du als Administrator nun Passphrasen mit einer Länge von 3 bis 10 Wörtern einsetzen; der Standard sind 6 Wörter. Diese flexible Funktionalität ermöglicht es Dir, Passwort-Konfigurationen zu implementieren, die spezifisch mit den organisatorischen Anforderungen und Sicherheitsstandards Deines Unternehmens übereinstimmen.
Die Passphrase-Engine nutzt einen umfangreichen Wortschatz aus häufig verwendeten, aber sicheren Wörtern und kombiniert diese mit mathematisch optimierten Algorithmen. Maximal sicher und benutzerfreundlich - klingt gut!
(Quelle: https://learn.microsoft.com/en-us/windows-server/identity/laps/laps-concepts-passwords-passphrases)
Systemanforderungen und Kompatibilität
Nicht alle Features von Windows LAPS stehen automatisch in allen Betriebssystemen zur Verfügung – bestimmte Voraussetzungen müssen erfüllt sein. In diesem Abschnitt erfährst Du, welche Windows-Versionen und Lizenzmodelle notwendig sind, damit Du auch wirklich alle Features zuverlässig und sicher nutzen kannst.
Betriebssystemanforderungen zum Windows Server
Um diese neuen Features vollständig nutzen zu können, musst Du zuerst sicherstellen, dass Deine Umgebung die folgenden Kompatibilitätsanforderungen erfüllt:
Für neue automatische Accountverwaltungsfeatures:
Windows LAPS bleibt rückwärtskompatibel mit klassischen Windows Server Active Directory-Umgebungen und unterstützt sowohl hybride als auch rein lokale Szenarien.
Für erweiterte Passwort-Komplexität und Post-Authentifizierungsaktionen:
Die Systemkompatibilität erstreckt sich über verschiedene Windows-Versionen, wobei bestimmte Features spezifische Build-Nummern erfordern. Diese Anforderungen stellen sicher, dass die zugrunde liegenden Sicherheitsmechanismen ordnungsgemäß funktionieren und Dir die erwartete Schutzebene bieten.
Lizenzanforderungen zur Nutzung von Microsoft Entra ID und Active Directory
Die Nutzung von Windows LAPS ist unkompliziert und verursacht keine zusätzlichen Lizenzkosten - zumindest nicht für die Grundfunktionen. Das Windows-Feature ist auf allen unterstützten Windows-Versionen kostenlos verfügbar. Du brauchst keine Lizenz, um die Kennwörter Deiner lokalen Administratorkonten in einem Windows Server Active Directory zu sichern.
Für die Sicherung und Verwaltung der Passwörter in Microsoft Entra ID benötigst Du jedoch mindestens eine Microsoft Entra ID Free-Lizenz oder eine höherwertige Lizenz. Das ist aber gar nicht so schlecht, denn so kannst Du flexibel entscheiden, ob Du die unternehmensweiten Kennwörter weiterhin im lokalen Active Directory oder in der Cloud mit Entra ID verwalten möchtest, ohne Dich um komplexe Lizenzmodelle zu sorgen.
Bereit, Deinen Microsoft 365 auf das nächste Level zu bringen?
Wenn Du Expertenberatung oder praktische Hilfe bei der Implementierung dieser Strategien benötigst, kontaktiere uns bitte über das Kontaktformular unten. Ein sicherer Tenant ist entscheidend für den Schutz sensibler Daten. Gemeinsam werden wir eine sichere, effiziente Umgebung gestalten, die Deine sich entwickelnden Geschäftsanforderungen unterstützt.
Schau Dir doch auch die anderen Tutorials und Tipps an, die ich bereits auf meinem Blog geteilt habe. Dort findest Du auch andere Beiträge zu Microsoft Security-Relevanen Themen, u.a. zum Microsoft Defender for Cloud Apps, Microsoft Intune, der Enterprise & Mobility-Suite, dem Microsoft 365 Defender oder der Microsoft Information Protection.
Ich bin stehts bemüht, die aktuellsten Themen und Fragestellungen meiner Kunden zu beantworten, um Dich bei der Arbeit mit der Microsoft Cloud Security und anderen Microsoft 365 Produkten zu unterstützen.
Wenn Du Fragen hast, melde Dich sehr gerne bei mir!
