Windows LAPS verwaltet lokale Admin-Passwörter über Intune und Entra ID

In vielen Tenants, die ich mir anschaue, werden lokale Administratorpasswörter auf Windows-Clients als Risiko unterschätzt. Immer wieder stoße ich auf identische lokale Admin-Konten mit Standardpasswörtern. Für Angreifer, die sich seitwärts durchs Netz bewegen wollen, ist das ein gefundenes Fressen. Besonders in Hybrid- oder Cloud-only-Umgebungen mit vielen Autopilot-Deployments braucht man einen Mechanismus, der diese Schwachstelle zuverlässig schließt. Seit dem Update im April 2023 steckt Windows LAPS direkt im Betriebssystem. Mit der Entra-ID-Integration, die seit Oktober allgemein verfügbar ist, lässt sich das Ganze inzwischen auch vollständig aus der Cloud über Intune verwalten.

Identische lokale Admin-Passwörter öffnen Angreifern den Weg durchs Netz

Wie gefährlich identische lokale Administratorpasswörter sind, wird oft unterschätzt. Hat ein Angreifer erst einmal Zugriff auf ein solches Konto, kann er sich ungehindert auf weitere Clients bewegen – Stichwort Pass-the-Hash und Credential Reuse. Netzwerksegmentierung oder Virenschutz helfen dagegen nur bedingt. Jedes Gerät braucht deshalb ein eigenes Admin-Passwort, das regelmäßig wechselt und das niemand zentral kennt. Microsofts Antwort darauf hieß schon lange LAPS (Local Administrator Password Solution), allerdings bisher nur als MSI-Lösung in Verbindung mit Active Directory. Mit der neuen Windows-LAPS-Integration lassen sich die Passwörter direkt in Entra ID (ehemals Azure AD) speichern, klassische AD-Strukturen braucht man dafür nicht mehr. Mehr dazu in der offiziellen Dokumentation: Microsoft LAPS Overview und Entra LAPS Management.

Ein Häkchen in Entra ID und eine Intune-Richtlinie aktivieren Windows LAPS

Für Windows LAPS in Entra-only- oder Hybrid-Umgebungen genügt zunächst ein Häkchen in den Geräteeinstellungen von Entra ID. Dort schaltet man unter „Windows LAPS“ die Sicherung lokaler Administratorpasswörter ein. Erst dann dürfen die Geräte ihre zufällig erzeugten Passwörter in den Verzeichnisdienst (Entra ID oder lokales AD) hochladen. Die eigentliche LAPS-Konfiguration steuert man anschließend über eine Account-Protection-Richtlinie in Intune. Darin legt man Sicherungsziel, Passwortlänge, Komplexität und Rotationszyklus fest. Seit einiger Zeit lässt sich in Intune auch Entra ID direkt als Sicherungsziel auswählen, was Cloud-only-Umgebungen ein gutes Stück voranbringt.

Viele sind unsicher, welche Werte sinnvoll sind. In der Praxis haben sich für die meisten Szenarien 16 Zeichen mit komplexen Zeichenklassen bewährt, dazu ein Wechsel alle 7 bis 30 Tage, je nachdem, wie sensibel die Umgebung ist.

Praxistipp: Bevor ihr LAPS in der Breite ausrollt, testet die Richtlinie mit einer kleinen Pilotgruppe. Kontrolliert, ob die Passwörter wirklich im Entra-Portal ankommen und der Zugriff so funktioniert, wie ihr es geplant habt.

RBAC regelt, wer Passwörter auslesen und rotieren darf

Im Alltag stellt sich vor allem eine Frage: Wer darf das gespeicherte lokale Admin-Passwort einsehen? Microsoft folgt hier dem Prinzip der minimalen Rechte. Über die rollenbasierte Zugriffssteuerung (RBAC) in Entra ID bestimmt man gezielt, wer an die Passwörter herankommt, etwa Helpdesk-Rollen oder bestimmte Admin-Gruppen. Angezeigt wird das Passwort, indem man im Entra-Portal oder in Intune das Gerät aufruft und dort den LAPS-Bereich öffnet. Im Notfall lässt sich das Passwort an dieser Stelle auch rotieren.

Die folgende Mermaid-Grafik zeigt, wie Gerät, Entra ID und Intune über den Lebenszyklus eines LAPS-Passworts zusammenspielen:

flowchart TD
    Device["Gerät generiert Passwort"] --> EntraID["Backup in Entra ID"]
    EntraID --> Intune["Intune Richtlinie bestimmt Einstellungen"]
    Helpdesk["Helpdesk-Admin liest Passwort"] --> EntraID
    Intune --> Device["Rotation wird angestoßen"]

Abbildung: Lebenszyklus eines LAPS-Passworts mit Entra-ID-Integration.

Bei den Berechtigungen erlebe ich in Projekten noch viel Verwirrung. Das liegt daran, dass die volle Geräteadministratorrolle nicht automatisch das Recht enthält, Passwörter auszulesen. Die Einzelheiten stehen in der Dokumentation: How to manage local admin passwords.

Das Audit-Log zeigt jeden Passwortabruf

Gern übersehen wird, dass man auch wissen muss, wer wann welches Passwort angesehen oder rotiert hat. Windows LAPS protokolliert das selbst. Im Audit-Log von Entra ID ist ersichtlich, welcher Benutzer ein Passwort abgerufen oder rotiert hat. In regulierten Umgebungen oder bei erhöhtem Schutzbedarf ist das Gold wert. Zusätzlich landen LAPS-Aktionen im Ereignisprotokoll des Geräts, was sich gut für forensische Auswertungen oder die Anbindung an ein SIEM nutzen lässt.

Landen die Logs in Microsoft Sentinel, findet man LAPS-Ereignisse zum Beispiel mit dieser KQL-Abfrage:

SecurityEvent
| where EventID in (10018, 10019, 10021)
| project TimeGenerated, Computer, Account, EventID, EventData

Das alte LAPS als MSI und Windows LAPS vertragen sich nicht auf einem Gerät

Gar nicht so selten sind in einer Umgebung beide Varianten im Einsatz: die „alte“ Microsoft-LAPS-MSI-Lösung und das moderne, integrierte Windows LAPS. Auf demselben Gerät dürfen beide niemals gleichzeitig aktiv sein. Windows LAPS wird ab Windows 10 21H2 (mit dem Patch vom April 2023) und unter Windows 11 direkt unterstützt. Ältere LAPS-Installationen muss man vorher entfernen, weil ein Parallelbetrieb zu unvorhersehbarem Verhalten führt. Die neue Generation verwaltet man vollständig über Intune und Entra ID, die MSI-Variante setzt dagegen weiterhin klassische AD-Strukturen und Gruppenrichtlinien voraus.

Windows LAPS mit Entra ID schließt eine lange offene Lücke im Gerätemanagement

Für mich ist die native Windows-LAPS-Integration mit Entra-ID-Unterstützung ein wichtiger Schritt hin zu einem sicheren Gerätemanagement in Cloud- und Hybridumgebungen. Lokale Admin-Konten lassen sich jetzt zentral und sicher im Griff behalten, ohne dass man den alten AD-Ballast mitschleppen muss. Mich überzeugt vor allem, dass die Passwörter automatisch wechseln und sich die Berechtigungen fein abstufen lassen – und dass jeder Zugriff sauber protokolliert wird. In vielen meiner Kundenprojekte hat genau das noch gefehlt, um bei Endgeräten einen Zero-Standing-Privilege-Ansatz umzusetzen. Wer tiefer einsteigen möchte, findet weitere Details etwa in der Intune-Dokumentation oder in meinen Praxisbeiträgen wie [/blog/neues-microsoft-teams-umstieg-planen].