UAC härten und Windows Administrator protection

Die Benutzerkontensteuerung (User Account Control, UAC) teilt die Anmeldung eines Administrators in zwei Token: ein gefiltertes Standardbenutzer-Token, das standardmäßig für alles verwendet wird, und ein vollständiges Administratortoken, das erst nach einer Erhöhungsabfrage zum Einsatz kommt. Ist UAC gut konfiguriert, startet Malware in der Sitzung eines Admins trotzdem ohne Admin-Rechte und muss den Benutzer entweder zur Bestätigung einer Abfrage verleiten oder einen Bypass verwenden.

UAC ist zudem häufiger falsch konfiguriert, als man denkt. Imaging-Skripte schalten Abfragen ab, Hersteller verlangen LocalAccountTokenFilterPolicy = 1, und das integrierte Administratorkonto läuft überall stillschweigend mit vollem Token. Dieser Leitfaden behandelt die entscheidenden Einstellungen, die Vorgaben der Microsoft-Sicherheitsbaseline und das neuere Modell Administrator protection in Windows 11. Er setzt voraus, dass Sie bereits daran arbeiten, Alltagsbenutzern die lokalen Admin-Rechte zu entziehen; UAC ist die zweite Verteidigungslinie für diejenigen, die sie behalten.

Wie die Bausteine zusammenspielen

Alle klassischen Einstellungen befinden sich unter Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies > Security Options und beginnen mit User Account Control:. Sie schreiben nach HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System.

Schritt 1: Den aktuellen Zustand prüfen

Lesen Sie die Registrierung direkt aus, denn GPO-Ergebnisse verraten nicht, was ein Imaging-Skript oder ein Herstellerinstaller lokal gesetzt hat:

Get-ItemProperty "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" |
  Select-Object EnableLUA, ConsentPromptBehaviorAdmin, ConsentPromptBehaviorUser,
                PromptOnSecureDesktop, FilterAdministratorToken, EnableInstallerDetection,
                EnableSecureUIAPaths, EnableVirtualization, LocalAccountTokenFilterPolicy

EnableLUA = 0 bedeutet, dass UAC komplett ausgeschaltet ist: Jeder Administrator läuft mit vollem Token, und moderne Apps funktionieren womöglich nicht mehr. Behandeln Sie das auf jedem Client und Server als Befund auf Vorfallniveau.

Schritt 2: Die zentralen UAC-Richtlinien setzen

Dies sind die Werte der Microsoft-Sicherheitsbaseline für Windows 11 und Windows Server, mit Hinweisen, wo Sie weiter gehen können:

Einige Anmerkungen zu diesen Entscheidungen:

• Der Windows-Standard für Administratoren ist Prompt for consent for non-Windows binaries (5), wodurch viele signierte Windows-Binärdateien stillschweigend automatisch erhöht werden. Genau diese Liste der automatischen Erhöhung missbrauchen die meisten UAC-Bypass-Techniken. Mit 2 zeigt jede Erhöhung eine Abfrage.
• Automatically deny für Standardbenutzer entfernt die Anmeldedatenabfrage, über die Helpdesk-Mitarbeitende ein Admin-Kennwort auf dem Gerät eines Benutzers eingeben. Wenn Ihr Supportprozess darauf angewiesen ist, verwenden Sie stattdessen Prompt for credentials on the secure desktop (1) und stellen Sie sicher, dass die eingegebenen Anmeldedaten ein LAPS-Kennwort sind und kein Domain-Admin-Konto.
• Eine Änderung von EnableLUA erfordert einen Neustart. Die Einstellungen zum Abfrageverhalten wirken sofort.

In Intune stehen dieselben Einstellungen im Einstellungskatalog unter Local Policies Security Options zur Verfügung (Richtlinien-CSP LocalPoliciesSecurityOptions), mit Namen wie User Account Control Behavior Of The Elevation Prompt For Administrators.

Schritt 3: Den integrierten Administrator filtern

Standardmäßig ist das integrierte Administratorkonto (RID 500) vom Admin Approval Mode ausgenommen: Es läuft immer mit vollem Token und ist auch von der Remote-UAC-Filterung ausgenommen. Damit ist es für einen Angreifer, der seinen Hash besitzt, das wertvollste lokale Konto.

Das Aktivieren von Admin Approval Mode for the Built-in Administrator account (FilterAdministratorToken = 1) unterstellt es wie jeden anderen Admin der UAC und auch der Remote-UAC, sodass sein Hash über das Netzwerk nicht mehr für vollen Administratorzugriff verwendet werden kann. Kombinieren Sie das mit LAPS, damit das Konto ein eindeutiges Kennwort hat, und halten Sie es deaktiviert oder für den Notfall reserviert.

Schritt 4: Remote-UAC für lokale Konten aktiv lassen

Wenn sich ein lokales Konto der Administratorengruppe über das Netzwerk authentifiziert (SMB, WMI, WinRM), erhält es durch Remote-UAC ein gefiltertes Token. Allein dieses Verhalten stoppt einen großen Teil des Lateral Movement per Pass-the-Hash mit lokalen Konten.

Gesteuert wird das über LocalAccountTokenFilterPolicy unter demselben Registrierungsschlüssel:

• Fehlt oder 0: gefiltertes Token für lokale Konten über das Netzwerk (sicher).
• 1: volles Token, Remote-UAC deaktiviert.

Die Microsoft-Sicherheitsbaseline erzwingt das über Apply UAC restrictions to local accounts on network logons unter Computer Configuration > Policies > Administrative Templates > MS Security Guide, sobald Sie die Vorlage SecGuide.admx aus dem Security Compliance Toolkit importiert haben. Setzen Sie die Einstellung auf Enabled.

Remote-UAC gilt nicht für Domänenkonten in der lokalen Administratorengruppe; diese erhalten über das Netzwerk ein volles Token. Deshalb bleiben die Einschränkungen der Netzwerkanmeldung aus dem Admin-Tiering wichtig. Verweigern Sie außerdem, wie im LAPS-Leitfaden beschrieben, der SID Local account and member of Administrators group (S-1-5-114) die Netzwerkanmeldung; das blockiert lokale Admins im Netzwerk unabhängig von diesem Wert.

Schritt 5: Administrator protection bewerten

Administrator protection ist ein neueres Modell für Windows 11, allgemein verfügbar für 24H2 und 25H2 mit dem Update KB5120998 vom August 2026 und standardmäßig deaktiviert. Statt für denselben Benutzer ein gefiltertes und ein volles Token in derselben Sitzung vorzuhalten, legt Windows für jeden Administrator ein verborgenes, vom System verwaltetes Konto mit getrenntem Profil an und stellt das erhöhte Token aus diesem Konto just in time aus, nachdem sich der Benutzer mit Windows Hello authentifiziert hat. Der erhöhte Prozess erhält ein eigenes Profil und eine eigene Registrierungsstruktur, und das Token wird verworfen, sobald der Prozess endet. Viele klassische UAC-Bypässe setzen voraus, dass gefiltertes und erhöhtes Token Profil, Umgebung und Liste der automatischen Erhöhung teilen, und diese Annahmen gelten nicht mehr.

Wo die Richtlinie verfügbar ist, wird sie unter Security Options mit User Account Control: Configure type of Admin Approval Mode, gesetzt auf Admin Approval Mode with Administrator protection, und User Account Control: Behavior of the elevation prompt for administrators running with Administrator protection konfiguriert. In Intune verwenden Sie die Einstellungen UserAccountControl_TypeOfAdminApprovalMode und UserAccountControl_BehaviorOfTheElevationPromptForAdministratorProtection des CSP LocalPoliciesSecurityOptions. Die Änderung erfordert einen Neustart.

Bevor Sie einen Rollout planen:

• Die Funktion wird unter Windows 11 Home, Pro, Enterprise und Education unterstützt, nicht jedoch unter Windows Server, auf Windows 365 Cloud-PCs oder auf Sitzungshosts von Azure Virtual Desktop, und Microsoft rät auf Geräten, die Hyper-V benötigen, davon ab.
• Testen Sie die Anwendungskompatibilität sorgfältig. Installationsprogramme und Werkzeuge, die erwarten, dass der erhöhte Prozess in dasselbe Benutzerprofil, dieselben zugeordneten Laufwerke oder dieselbe Benutzerregistrierung schreibt wie der nicht erhöhte Benutzer, können sich anders verhalten.
• Sie verändert auch Remoteanmeldungen: Solange sie aktiv ist, erhalten Domänenbenutzer in der lokalen Administratorengruppe über das Netzwerk standardmäßig ein nicht erhöhtes Token. Zwei Richtlinien (Allow remote logon with elevated privileges for domain users... und ...for specified domain users and groups...) stellen erhöhte Remoteanmeldungen wieder her; testen Sie also Ihre Remoteverwaltungswerkzeuge. Tiering, Remote-UAC und LAPS bleiben notwendig.

Ein bewährter Ansatz: Aktivieren Sie die Funktion zuerst auf den Geräten der IT-Mitarbeitenden, wo Admins regelmäßig Rechte erhöhen und Probleme melden können, und weiten Sie sie dann auf die übrigen Benutzer aus, die lokale Admin-Rechte behalten.

Was kaputtgeht

• Ältere Installations- und Updateprogramme, die davon ausgehen, erhöht zu laufen. Mit aktiver Installationserkennung fragen sie nach; ist für Standardbenutzer automatisches Verweigern gesetzt, schlagen sie fehl. Verteilen Sie sie über Ihr Verwaltungswerkzeug im Systemkontext.
• Remoteverwaltungswerkzeuge, die sich mit einem lokalen Konto über SMB oder WMI verbinden. Remote-UAC blockiert sie. Verwenden Sie ein Domänenkonto im richtigen Tier oder ein agentenbasiertes Werkzeug.
• Barrierefreiheits- und Fernsupport-Tools, die UIAccess nutzen und außerhalb von Program Files liegen. Die Einstellung für sichere UIAccess-Pfade blockiert sie, bis sie an einem sicheren Speicherort installiert sind.
• Skripte, die den integrierten Administrator verwenden und ein volles Token erwarten. Mit aktivem FilterAdministratorToken müssen sie ausdrücklich erhöht ausgeführt werden.

Überprüfen

1. Registrierungszustand. Führen Sie die Abfrage aus Schritt 1 auf einer Stichprobe von Geräten erneut aus und erfassen Sie sie flottenweit über ein Compliance-Skript. Markieren Sie jedes EnableLUA = 0 oder LocalAccountTokenFilterPolicy = 1.
2. Tokentyp. Aktivieren Sie Audit Process Creation und werten Sie das Sicherheitsereignis 4688 aus. Das Feld Token Elevation Type zeigt %%1936 (volles Token, UAC deaktiviert oder RID-500-Ausnahme), %%1937 (erhöht) oder %%1938 (eingeschränkt). Ein stetiger Strom von %%1936 aus interaktiven Sitzungen von Administratorkonten bedeutet, dass UAC seine Aufgabe nicht erfüllt (Standardbenutzer haben kein geteiltes Token, daher zeigen auch ihre Prozesse normalerweise %%1936).
3. Remote-UAC-Test. Versuchen Sie von einem anderen Computer aus, mit einem lokalen Admin-Konto auf \\target\C$ zuzugreifen. Der Zugriff muss abgelehnt werden.
4. Überwachung auf Manipulation. Alarmieren Sie bei Änderungen an EnableLUA, ConsentPromptBehaviorAdmin und LocalAccountTokenFilterPolicy (Sysmon Event 13 oder Ihr EDR). Malware setzt diese Werte, um die nächste Stufe zu erleichtern.

Checkliste

• EnableLUA überall 1, ohne Ausnahme
• Admin-Abfrage auf Zustimmung oder Anmeldedaten auf dem sicheren Desktop gesetzt, nicht auf die standardmäßige automatische Erhöhung
• Standardbenutzer-Abfrage auf automatisches Verweigern gesetzt, oder Anmeldedaten nur mit LAPS
• FilterAdministratorToken für den integrierten Administrator aktiviert
• LocalAccountTokenFilterPolicy fehlt oder ist 0, erzwungen über die Vorlage MS Security Guide
• Administrator protection auf IT-Geräten pilotiert, wo unterstützt
• Erhöhungstyp in Ereignis 4688 und Änderungen der UAC-Registrierung überwacht

UAC ist die letzte Linie auf einem Gerät, auf dem noch jemand Admin-Rechte besitzt. Am besten wirkt es als Teil der gesamten Reihe Konten & privilegierter Zugriff und zusammen mit Credential Guard und LSA-Schutz, die die Anmeldedaten schützen, auf die ein Angreifer mit erhöhten Rechten als Nächstes zielen würde.