Gleiche Admin-Passwörter auf mehreren PCs: ein vermeidbares Unternehmensrisiko

Ein lokales Administratorkonto wird für Wartung oder Notfälle benötigt. Problematisch wird es, wenn viele Geräte dasselbe Kennwort verwenden. Ein einzelner kompromittierter Rechner kann dann Zugang zu weiteren Systemen eröffnen.

Windows LAPS verwaltet pro Gerät ein eigenes, regelmäßig wechselndes Kennwort und speichert es geschützt in Active Directory oder Microsoft Entra ID.

Warum gemeinsame Kennwörter die Reichweite erhöhen

Angreifer suchen wiederverwendbare Zugangsdaten für seitliche Bewegungen. Ein Passwortfund auf einem Endgerät darf nicht automatisch auf weiteren PCs funktionieren.

Was Windows LAPS geschäftlich verbessert

LAPS reduziert Passwortlisten, schafft nachvollziehbare Abrufe und automatische Rotation.

• Kennwort je Gerät
• automatischer Wechsel
• geschützter Abruf
• Rotation nach Verwendung

Welche Entscheidungen vor der Einführung nötig sind

Festzulegen sind Zielgeräte, Speicherort, Supportrollen, Notfallverfahren, Intervall und Umgang mit Offline-Geräten.

LAPS ersetzt keine saubere Administration

Lokale Administratorrechte bleiben begrenzt. Standardkonten, MFA, getrennte Rollen und Protokollierung sind weiterhin notwendig.

Wie der Erfolg gemessen wird

Zielgeräte wenden Richtlinien an, Kennwörter sind geschützt und nur berechtigte Personen können sie abrufen.

• Abdeckungsquote
• fehlgeschlagene Rotation
• berechtigte Gruppen
• Notfallzugriff

Weiterführende Informationen

• IT-Sicherheit für Unternehmen: https://www.hamburger-it-service.de/it-sicherheit-fuer-unternehmen/
• Windows-Härtung messbar machen: https://www.hamburger-it-service.de/2026/09/17/windows-systemhaertung-messbar/

Quellen und fachliche Grundlage

• https://learn.microsoft.com/en-us/windows-server/identity/laps/laps-overview
• https://learn.microsoft.com/en-us/windows-server/identity/laps/laps-concepts-overview
• https://learn.microsoft.com/en-us/intune/device-security/laps/overview