In vielen Tenants, die ich begleite, stehen lokale Administratorrechte auf Windows-Clients ganz oben auf der Liste der Sicherheitsthemen. Die Risiken kennt jeder, trotzdem stößt die Umsetzung oft auf Widerstand: Die Fachabteilungen fürchten um ihre Produktivität, und die IT will sich nicht jede einzelne Freigabe ans Bein binden. Endpoint Privilege Management (EPM), erhältlich als Teil der Intune Suite oder als Add-on (siehe Lizenzoptionen), bietet hier endlich einen kontrollierbaren Mittelweg, mit dem beide Seiten leben können.

Endpoint Privilege Management steuert Rechteerhöhungen direkt aus Intune

Mit EPM kann ich fein steuern, wann Endanwender erhöhte Rechte bekommen, ohne mir das pauschale Risiko klassischer lokaler Admin-Konten einzuhandeln. Im Unterschied zu älteren Werkzeugen ist EPM direkt in Microsoft Intune eingebaut und bringt zeitgemäße Richtlinien für Windows-10- und Windows-11-Clients mit. Es gibt im Wesentlichen zwei Arten von Richtlinien: Die „Elevation settings policy“ legt das grundsätzliche Verhalten von EPM fest, etwa das Timeout für Erhöhungen und die Benutzerbestätigung. Die „Elevation rules policy“ bestimmt, welche Prozesse oder Dateien erhöht werden dürfen und auf welche Weise. Verteilt werden beide über Intune, ausgewertet wird ebenfalls zentral.

Praktisch finde ich, dass ich nicht auf den Dateipfad beschränkt bin, sondern auch Hash- oder Zertifikatsregeln anlegen kann. Bei viel genutzten Tools, die ständig neue Versionen bekommen, sparen Zertifikatsregeln eine Menge Pflegeaufwand. Die Regeln lassen sich so bauen, dass die Erhöhung automatisch geschieht oder der Benutzer sie bestätigen und begründen muss. Für die Anwender bleibt der Ablauf dadurch reibungsarm, und die Sicherheit kommt trotzdem nicht zu kurz.

Die Einführung beginnt mit einer reinen Auswertung

Bevor ich die lokalen Adminrechte vollständig entziehe, setze ich EPM grundsätzlich erst im reinen Auswertungsmodus („report-only“) ein. Die Auswertungen in Intune zeigen dann, welche Programme und Aktionen wirklich erhöhte Rechte brauchen und wer sie nutzt. Daraus ergibt sich, wo Handlungsbedarf besteht und welche Elevation-Regeln sinnvoll sind. Erstaunlich oft tauchen in diesen Berichten Tools auf, die längst niemand mehr braucht, oder Abläufe, die eigentlich in die automatisierte Softwareverteilung gehören.

Praxistipp: Die ersten Elevation-Regeln sollten immer die häufigsten Anforderungen aus den Reports abdecken. Wer gleich mehr regelt, schafft nur zusätzliche Komplexität und mehr Arbeit für den Support.

Den Schritt in den Produktivbetrieb gehe ich anschließend in Etappen: zuerst Regeln für die wichtigsten Anwendungen, danach der Entzug der lokalen Adminrolle, etwa per Intune-Richtlinie. Für das integrierte „Built-In Administrator“-Konto kombiniere ich das mit Windows LAPS, damit für den Notfall weiterhin eine kontrollierte Hintertür offen bleibt.

Elevation-Regeln erhöhen automatisch, mit Begründung oder nach Support-Freigabe

Wie die Regeln konkret aussehen, hängt vom Schutzbedarf und von der Unternehmenskultur ab. In Intune entscheide ich, ob die Erhöhung automatisch läuft, zum Beispiel bei Standardtools wie 7-Zip oder Notepad++, oder ob der Benutzer einen Grund nennen muss. Diese Begründungen werden protokolliert und helfen später, die Regeln nachzuschärfen. Seit Anfang 2024 kommt mit „support-approved elevation“ eine weitere Variante hinzu: Der Support gibt dabei einzelne Erhöhungen gezielt für bestimmte Nutzer frei, beispielsweise über ein Ticket. Die Funktion ist noch jung und verlangt auch im Supportprozess klare Regeln. Sie lässt aber erkennen, wohin sich EPM entwickelt.

Gute Regeln sind so eng wie möglich gefasst, am besten über Zertifikat oder Hash, im Zweifel wenigstens über den genauen Dateipfad. Bei Setups, die sich häufig ändern, etwa Installationsprogrammen, braucht es unter Umständen eine Kombination. Hier ein gekürztes Beispiel für eine Zertifikatsregel:

{
  "RuleType": "Certificate",
  "Publisher": "Contoso Ltd.",
  "ProductName": "ContosoApp",
  "AllowElevation": true
}

Erst wenn Technik und organisatorische Vorgaben wie Dokumentationspflicht oder Support-Freigabe ineinandergreifen, sinkt das Missbrauchsrisiko, ohne dass die Nutzer ausgebremst werden.

Das Diagramm zeigt den Ablauf einer Erhöhungsanfrage

Im folgenden Diagramm ist dargestellt, wie ein typischer Elevation Request mit Intune EPM abläuft, und zwar für automatische, begründete und vom Support genehmigte Freigaben:

flowchart TD
  User["Nutzer startet Anwendung"] --> EPMClient["EPM-Client prüft lokale Policy"]
  EPMClient -->|"Match: automatische Erhöhung"| Elevate["Erhöhung erfolgt"]
  EPMClient -->|"Match: Benutzerbegründung"| Justify["Nutzer gibt Begründung ein"]
  Justify --> Elevate
  EPMClient -->|"Match: Supportgenehmigung"| SupportReq["Supportanfrage wird gestellt"]
  SupportReq --> SupportApprove["Support genehmigt"]
  SupportApprove --> Elevate
  EPMClient -->|"Kein Match"| Deny["Anfrage abgelehnt"]

Abbildung: So entscheidet Endpoint Privilege Management über eine Erhöhungsanfrage.

Berichte und Lizenzierung verdienen von Anfang an Aufmerksamkeit

Die Berichte zu Rechteerhöhungen lassen sich direkt in Intune aufrufen. Mit ihnen finde ich Kandidaten für neue Regeln und prüfe, ob die bestehenden noch passen. Vor allem in den ersten Wochen sollte man regelmäßig hineinschauen, weil sich die Anforderungen häufig ändern und die IT dann nachsteuern kann. Zur Lizenzierung: EPM ist entweder in der Intune Suite enthalten oder wird als einzelnes Add-on lizenziert. Technisch lassen sich beide Varianten mischen. Ich rate im Alltag trotzdem zu klaren Zuordnungen, weil Verwaltung und Reporting dann einfacher sind. Mehr dazu steht in der EPM-Übersicht.

Erst schaffe ich Transparenz, dann steuere ich gezielt

Der meiste Widerstand gegen das Entfernen lokaler Adminrechte kommt nach meiner Erfahrung daher, dass niemand genau weiß, was dann passiert, und alle Produktivitätseinbußen befürchten. EPM nimmt dem Thema viel von seinem Schrecken, weil ich erst beobachte und danach gezielt regle, statt mit der Brechstange alles zu sperren. Report-Modus, Pilotregeln und erst dann der Rollout in die Breite: Dieses Vorgehen hat sich bei mir mehrfach bewährt. Zusammen mit Windows LAPS und sauberen Supportprozessen ist Endpoint Privilege Management für mich die Lösung, auf die viele Admins seit Jahren gewartet haben.