Lokales Administratorkennwort: eins für alle Firmen-PCs ist das Problem

Ein Kennwort für alle Rechner öffnet alle Rechner

Steht auf allen Firmen-PCs dasselbe lokale Administratorkennwort, reicht ein einziger befallener Rechner, und ein Angreifer ist auf allen anderen ebenfalls Administrator. Microsoft beschreibt genau diesen Fall in der Dokumentation zu Windows LAPS: Lokale Administratorkonten teilen oft dasselbe Kennwort auf vielen Geräten, und Angreifer nutzen das, um sich seitlich durch das Netz zu bewegen. Dafür muss niemand das Kennwort kennen. Bei sogenannten Pass-the-Hash-Angriffen genügt der gespeicherte Hashwert von einem Gerät.

Die Lösung hat zwei Teile. Jeder Rechner bekommt ein eigenes, zufälliges Administratorkennwort, und im Alltag arbeitet niemand mit Administratorrechten. Das eigene Kennwort pro Gerät setzt Windows LAPS automatisch, das seit dem Update vom April 2023 in Windows eingebaut und kostenlos ist. Es braucht allerdings Microsoft Entra ID oder einen Windows-Server mit Active Directory. Ohne beides geht es auch, dann mit einem Eintrag pro Rechner im Passwort-Manager.

Wie das gleiche Kennwort auf alle PCs kommt

Ein erfundenes Beispiel, wie es dazu kommt: Der IT-Dienstleister richtet zwölf Rechner nach demselben Muster ein und vergibt dabei dasselbe Administratorkennwort, damit er sich später überall anmelden kann. Danach erfährt es die Büroleitung, weil sie einen Druckertreiber installieren muss, und irgendwann der Auszubildende, der beim Umzug geholfen hat. Nach fünf Jahren kennen es sieben Leute, von denen drei nicht mehr in der Firma sind.

Microsoft nennt das in der Dokumentation zu lokalen Konten (Stand 13.04.2026) ein erhebliches Risiko. Kennwörter, die unverändert bleiben oder gleichzeitig geändert werden, damit sie überall gleich sind, sollen laut Microsoft durch zufällige Kennwörter je Konto ersetzt werden, und zwar in dieser Reihenfolge der Präferenz: mit LAPS, mit einem Werkzeug zur Verwaltung privilegierter Kennwörter oder mit einem eigenen Skript. Das BSI verlangt im Baustein ORP.4, Berechtigungen nur nach dem tatsächlichen Bedarf zu vergeben (A2), und nicht benötigte Standard-Administratorkennungen müssen deaktiviert oder gelöscht werden (A1).

Das eingebaute Konto „Administrator“ ist ab Werk aus: Laut Microsoft deaktiviert Windows Setup dieses Konto und legt stattdessen ein weiteres lokales Konto in der Gruppe Administratoren an. Ein gemeinsames Kennwort gehört deshalb zu einem Konto, das jemand nachträglich angelegt oder eingeschaltet hat, zum Beispiel mit einem Namen wie „admin“ oder „service“.

Windows LAPS nach aktueller Microsoft-Dokumentation

Die Angaben in diesem Abschnitt stammen aus der Microsoft-Übersicht zu Windows LAPS (Stand 14.09.2026) und den Seiten zu den Richtlinieneinstellungen (Stand 26.06.2025) und zur Verwaltung über Microsoft Intune (Stand 29.05.2025), abgerufen am 14.10.2026.

• Was es tut: LAPS ändert das Kennwort eines lokalen Administratorkontos auf jedem Gerät in festen Abständen, legt es verschlüsselt im Verzeichnis ab und lässt berechtigte Administratoren es dort abrufen.
• Wo es läuft: Windows 11 ab 23H2 sowie ältere Windows-11- und Windows-10-Versionen mit dem Update vom 11. April 2023 oder später. Windows 10 hat am 14. Oktober 2025 das Ende des Supports erreicht. LAPS bleibt laut Microsoft nur auf Windows-10-Geräten verfügbar, die weiter Updates bekommen, etwa über erweiterte Sicherheitsupdates (ESU).
• Was es kostet: nichts. Für die Ablage in Microsoft Entra ID reicht laut Microsoft die kostenlose Stufe Entra ID Free. Wer die Richtlinie über Intune verteilt, braucht dafür ein Intune-Abonnement (Intune Plan 1). Microsoft empfiehlt Intune, nennt für eingebundene Geräte aber auch andere Geräteverwaltungen (MDM).
• Was es nicht kann: Ein Gerät sichert sein Kennwort entweder in Entra ID oder in Active Directory, nie in beiden. Geräte, die nur „mit dem Arbeitsplatz verbunden“ (registriert) sind, unterstützt LAPS nicht. Laut Microsoft verwaltet LAPS jeweils nur ein lokales Administratorkonto pro Gerät.
• Das alte Microsoft LAPS: Das frühere Zusatzprogramm von 2016 ist ab Windows 11 23H2 veraltet, neuere Windows-Versionen blockieren seine Installation.

Die Voreinstellungen, die man kennen sollte

Ab Windows 11 24H2 kommen Passphrasen aus Wörtern statt Zeichenfolgen dazu und eine automatische Kontoverwaltung, bei der LAPS das verwaltete Konto selbst anlegt. Laut Microsoft kann ein Angreifer mit gültigem LAPS-Kennwort und Administratorrechten die Aktion nach der Benutzung umgehen. LAPS begrenzt den Schaden, ersetzt aber nicht die Frage, wer das Kennwort abrufen darf.

Mit Microsoft 365: LAPS über Entra ID einrichten

Mit Microsoft 365 allein sind die PCs noch nicht in Microsoft Entra ID eingebunden, für LAPS müssen sie es sein. Microsoft Entra Join ist laut Microsoft für alle Windows-10- und Windows-11-Geräte möglich, außer den Home-Editionen. Der Ablauf nach der Entra-Dokumentation zu LAPS:

1. Geräte einbinden. Jeder PC wird mit Microsoft Entra ID verbunden, bei neuen Geräten schon bei der Ersteinrichtung.
2. LAPS im Mandanten einschalten. Im Microsoft Entra Admin Center unter Geräte, Geräteeinstellungen die Option „Local Administrator Password Solution (LAPS) aktivieren“ auf „Ja“ setzen. Dafür ist mindestens die Rolle Cloudgeräteadministrator nötig.
3. Richtlinie auf die Geräte bringen. Microsoft empfiehlt dafür Intune, dort als Richtlinie für den Kontoschutz mit dem Sicherungsziel Entra ID.
4. Abruf regeln. Das Kennwort sehen ab Werk nur die Rollen Cloudgeräteadministrator und Intune-Administrator. Entra ID protokolliert jeden Abruf, die Einträge stehen im Admin Center bei den Geräten.

Mit einem eigenen Windows-Server und Active Directory läuft dasselbe über die Gruppenrichtlinie unter Computerkonfiguration, Administrative Vorlagen, System, LAPS. Das Kennwort liegt dann im Active Directory, ab Domänenfunktionsebene 2016 verschlüsselt und ab Werk nur für Domänenadministratoren lesbar. Wer die Zugänge zur Entra-Verwaltung selbst sichern will, findet das unter Microsoft 365: Admin-Konto und Notfallzugang.

Ohne Domäne: der Weg für kleine Betriebe

Sind die PCs nur in einer Arbeitsgruppe, mit lokalen Konten oder privaten Microsoft-Konten eingerichtet, hat LAPS kein Ziel. Ein Gerät sichert sein Kennwort nur in Entra ID oder Active Directory, und den lokalen Registrierungsschlüssel für LAPS sieht Microsoft in erster Linie für Tests und Entwicklung vor. Dann bleibt der Weg von Hand.

1. Bestand aufnehmen. Notieren Sie für jeden Rechner, welche Konten in der Gruppe Administratoren stehen. Sie finden sie in der Computerverwaltung unter „Lokale Benutzer und Gruppen“.
2. Mitarbeiter auf Standardkonten setzen. Wer am Rechner arbeitet, ist kein Administrator. Microsoft rät, sich mit einem Standardkonto anzumelden. Braucht eine Installation Administratorrechte, fragt die Benutzerkontensteuerung nach dem Administratorkennwort, und jemand Berechtigtes gibt es ein.
3. Ein Administratorkonto pro Rechner mit eigenem Kennwort. Lassen Sie für jeden PC ein Kennwort vom Passwortgenerator erzeugen, mindestens 16 Zeichen, und setzen Sie es dort. Gleiche Kennwörter mit anderer Endnummer gelten nicht.
4. Pro Rechner einen Eintrag anlegen. Im Passwort-Manager in einer Sammlung „IT“ mit Gerätename, Seriennummer, Standort und Benutzer des Rechners. Zugriff haben nur die Geschäftsführung und wer die Geräte betreut.
5. Altes Sammelkennwort abschaffen. Das bisherige gemeinsame Konto wird auf jedem Rechner gelöscht oder bekommt ebenfalls ein eigenes Kennwort.

Gewechselt wird das Kennwort eines Rechners, sobald es jemand bekommen hat, der es nicht behalten soll: ein Mitarbeiter für eine einmalige Installation, ein Techniker eines Softwareherstellers, ein Dienstleister, dessen Vertrag endet. Reine Zeitwechsel soll eine Firma nach BSI vermeiden, solange sie bemerken kann, dass ein Kennwort in falsche Hände geraten ist. Ob eine Firma das bei einem lokalen Kennwort bemerken würde, ist fraglich. Kann sie es nicht, soll sie nach ORP.4.A23 prüfen, ob sie doch in festen Abständen wechselt. Die Bedingung im BSI-Text erklärt Passwörter regelmäßig ändern.

Kennwort vergessen oder Dienstleister gewechselt

Mit LAPS ist ein vergessenes Kennwort kein Problem, es steht abrufbar in Entra ID oder Active Directory. Ohne LAPS hilft ein zweites Konto aus der Gruppe Administratoren: Es setzt das Kennwort des anderen Kontos in der Computerverwaltung neu. Fehlt auch das, wird es aufwendig, und der Rechner muss im schlechtesten Fall neu eingerichtet werden. Deshalb steht jedes dieser Kennwörter im Passwort-Manager und nicht nur im Kopf des Technikers.

Wechselt die Firma den IT-Dienstleister, kennt der alte alle lokalen Administratorkennwörter, die er gesetzt hat. Wird LAPS über Intune verwaltet, lässt sich das Kennwort pro Gerät im Intune Admin Center sofort neu setzen, ohne auf den nächsten planmäßigen Wechsel zu warten. Diese Aktion ist laut Microsoft in keiner fertigen Rolle enthalten und muss über eine eigene Intune-Rolle freigegeben werden. Ohne LAPS gehen Sie die Einträge der Sammlung „IT“ Rechner für Rechner durch. Was sonst noch zum Wechsel gehört, beschreibt IT-Dienstleister wechseln, die Wiederherstellungsschlüssel der verschlüsselten Laufwerke behandelt BitLocker-Wiederherstellungsschlüssel.

Was in den Passwort-Manager gehört und was nicht

Mit LAPS gehören die wechselnden Kennwörter der Rechner nicht in den Tresor, sie liegen in Entra ID oder Active Directory. In den Tresor gehören die Zugänge, mit denen man dort hinkommt, und eine Notiz, welche Geräte LAPS nutzen. Ohne LAPS ist der Tresor der Ort für die Kennwörter selbst, ein Eintrag pro Rechner. Router, Drucker und Kameras haben eigene Gerätekennwörter, siehe Standardpasswörter von Geräten ändern.

Ihr IT-Dienstleister kann bei Passwortheld ein eigenes Konto im Tresor bekommen, das nur die Sammlung „IT“ sieht. Weil es keine Nutzergrenze gibt, kostet das nichts extra. Endet die Zusammenarbeit, sperrt der Verantwortliche in Ihrer Firma dieses Konto, und der Tresor zeigt, welche Sammlungen der Dienstleister sehen konnte. Die Kennwörter darin ändern Sie trotzdem, wie in der Checkliste Mitarbeiter verlässt die Firma beschrieben.

Ein erfundenes Beispiel: Ein Architekturbüro mit sechs Arbeitsplätzen, alle mit Windows 11 Pro in Version 24H2 und Microsoft 365, aber nie in Entra ID eingebunden. Auf allen Rechnern gibt es das Konto „cad-admin“ mit demselben Kennwort, das auch zwei frühere Werkstudenten kannten. Der Inhaber bucht ein Intune-Abonnement dazu und lässt die Rechner beim nächsten Wartungstermin einbinden. Dann schaltet der Dienstleister LAPS mit automatischer Kontoverwaltung ein, sodass LAPS ein eigenes Konto anlegt, und löscht „cad-admin“. Die Mitarbeiter arbeiten seitdem mit Standardkonten. Welche Zugänge ein Planungsbüro sonst ordnen sollte, zeigt die Seite für Architekten.