Windows LAPS ist in aktuelle Windows-Versionen integriert und sichert Kennwörter lokaler Administratorkonten in Windows Server Active Directory oder Microsoft Entra ID.
Vor dem Rollout werden Berechtigungen, Verschlüsselung, Namenskonzept, Rotationsregeln und Notfallzugriff in einer Pilotgruppe geprüft. Legacy-LAPS und neue Richtlinien dürfen sich nicht überschneiden.
Aha-Moment
LAPS ist erst wirksam, wenn nicht nur Kennwörter rotieren, sondern Abrufrechte, Abdeckung, Fehler und Nutzung regelmäßig überprüft werden.
1. Voraussetzungen und Betriebsmodell
Prüfen Sie Betriebssystemstände, AD-Schema oder Entra- und Intune-Voraussetzungen sowie GPO oder CSP.
- Backup-Ziel AD oder Entra
- verschlüsselte Speicherung
- verwaltetes Konto
- Client- und DC-Versionen
2. Rechte nach Aufgaben trennen
Lesen, Zurücksetzen und Richtlinienverwaltung sind unterschiedliche Berechtigungen. Delegieren Sie auf passende OUs oder Gerätegruppen.
3. Richtlinie kontrolliert konfigurieren
Länge, Komplexität, Alter, Verschlüsselung, Post-Authentication-Aktion und Grace Period passen zum Supportprozess.
- Kennwortlänge
- Rotation nach Nutzung
- Offline-Fehlerbehandlung
- keine Speicherung im Ticket
4. Pilot und Validierung
Der Pilot umfasst unterschiedliche Geräte und Netzsituationen. Prüfen Sie Ablage, berechtigten Abruf, unberechtigte Ablehnung und Rotation.
5. Monitoring und Audit
Berichte zeigen fehlenden Status, Sicherungsfehler, veraltete Kennwörter und ungewöhnliche Abrufe.
- Abdeckung je OU
- letzte Sicherung
- Abruf- und Reset-Vorgänge
- Ausnahmen mit Termin
Weiterführende Informationen
- Wissen für Administratoren: https://www.hamburger-it-service.de/it-sicherheit-themen-fuer-administratoren/
- Maßnahmen nachweisbar umsetzen: https://www.hamburger-it-service.de/2026/09/17/technische-sicherheitsbewertung-massnahmenplan/
Quellen und fachliche Grundlage
- https://learn.microsoft.com/en-us/windows-server/identity/laps/laps-overview
- https://learn.microsoft.com/en-us/windows-server/identity/laps/laps-concepts-overview
- https://learn.microsoft.com/en-us/intune/device-security/laps/overview
Kurzüberblick
- Windows LAPS einführen
- Evidenz statt Annahmen
- klare Verantwortlichkeiten
- regelmäßige Überprüfung
Unterstützung benötigt?
Hamburger IT-Service unterstützt bei Bestandsaufnahme, Priorisierung, Umsetzung und nachvollziehbaren Nachweisen.