Windows LAPS einführen: eindeutige lokale Admin-Kennwörter

Wenn alle Arbeitsplätze dasselbe lokale Administrator-Kennwort verwenden, ist ein kompromittierter Laptop eine kompromittierte Flotte. Ein Angreifer, der die lokale SAM ausliest oder den NTLM-Hash abgreift, kann sich mit diesem Hash an jedem anderen Computer authentifizieren, ganz ohne Knacken. Das ist nach wie vor einer der häufigsten Wege vom Phishing-Brückenkopf zum domänenweiten Vorfall.

Windows LAPS (Local Administrator Password Solution) behebt das: Jedes Gerät erhält ein eigenes, zufälliges lokales Administratorkennwort, das nach Zeitplan rotiert und in Active Directory oder Microsoft Entra ID gespeichert wird, wo es nur berechtigte Gruppen lesen können. Seit den kumulativen Updates vom April 2023 ist es in Windows 10, Windows 11 sowie Windows Server 2019 und neuer integriert. Auf den Clients muss nichts installiert werden.

Was sich gegenüber dem alten LAPS ändert

Das ursprüngliche „Microsoft LAPS“ war ein separates MSI mit einer clientseitigen Erweiterung und einem eigenen Attribut ms-Mcs-AdmPwd. Windows LAPS ist eine native Betriebssystemfunktion mit anderen Attributen und mehreren Verbesserungen:

Beide können während einer Migration nebeneinander bestehen, dürfen aber nicht dasselbe Konto auf demselben Computer verwalten. Planen Sie, jede OU auf Windows LAPS umzustellen und danach den alten Client zu entfernen.

Voraussetzungen

• Clients und Server auf einem unterstützten Build mit einem kumulativen Update ab April 2023.
• Für die Sicherung in Active Directory: einmal pro Gesamtstruktur die Berechtigung zur Schemaerweiterung (Schema Admins).
• Für verschlüsselte Kennwörter in AD: Domänenfunktionsebene Windows Server 2016 oder höher.
• Eine Sicherheitsgruppe für die Personen, die Kennwörter lesen dürfen, zum Beispiel LAPS-Workstation-Readers. Verwenden Sie dafür nicht Domain Admins: Der Helpdesk soll ein Arbeitsplatzkennwort wiederherstellen können, ohne Tier-0-Rechte zu besitzen.

Schritt 1: Schema erweitern und Berechtigungen setzen

Führen Sie Folgendes als Schema Admin auf einem Computer mit dem LAPS-PowerShell-Modul aus (jeder unterstützte Windows-Build):

Import-Module LAPS
Update-LapsADSchema

Erlauben Sie anschließend pro OU den Computern, ihr eigenes Kennwort in ihr Computerobjekt zu schreiben:

Set-LapsADComputerSelfPermission -Identity "OU=Workstations,DC=corp,DC=example"
Set-LapsADComputerSelfPermission -Identity "OU=Tier1-Servers,DC=corp,DC=example"

Erteilen Sie dann, wiederum pro OU, der passenden Gruppe Lesezugriff, damit Arbeitsplatz-Leser niemals Serverkennwörter sehen:

Set-LapsADReadPasswordPermission -Identity "OU=Workstations,DC=corp,DC=example" `
  -AllowedPrincipals "CORP\LAPS-Workstation-Readers"
Set-LapsADResetPasswordPermission -Identity "OU=Workstations,DC=corp,DC=example" `
  -AllowedPrincipals "CORP\LAPS-Workstation-Readers"

Prüfen Sie zum Schluss, wer auf diesen OUs sonst noch vertrauliche Attribute lesen kann. „All extended rights“, vor Jahren einem Dienstkonto oder einer Helpdesk-Gruppe erteilt, schließt stillschweigend den LAPS-Lesezugriff ein:

Find-LapsADExtendedRights -Identity "OU=Workstations,DC=corp,DC=example"

Alles in dieser Ausgabe, was keine LAPS-Gruppe, SYSTEM oder Domain Admins ist, verdient ein Ticket.

Schritt 2: Richtlinie konfigurieren

Die Gruppenrichtlinieneinstellungen befinden sich unter Computer Configuration > Policies > Administrative Templates > System > LAPS. Auf mit Intune verwalteten Geräten finden Sie dieselben Einstellungen unter Endpoint security > Account protection > Local admin password solution.

Auf Domänencontrollern kann dieselbe Richtlinie das DSRM-Kennwort (Directory Services Restore Mode) sichern. Setzen Sie das über ein separates, mit der OU Domain Controllers verknüpftes GPO mit eigener Lesergruppe um, denn DSRM-Zugriff ist ein Tier-0-Geheimnis.

Neuere Versionen (Windows 11 24H2 und Windows Server 2025) bringen die automatische Kontoverwaltung, bei der LAPS ein lokales Konto selbst anlegt und verwaltet, sowie Kennwörter im Passphrasen-Stil. Bei einer gemischten Flotte bleiben Sie bei den klassischen Einstellungen oben und ergänzen die neuen Optionen in einem separaten, auf neuere Builds gefilterten GPO.

Schritt 3: Verarbeitung erzwingen und prüfen

Lösen Sie auf einem Pilotcomputer einen Richtlinienzyklus aus und lassen Sie LAPS sofort verarbeiten:

gpupdate /target:computer
Invoke-LapsPolicyProcessing

Lesen Sie dann das Ereignisprotokoll. LAPS schreibt nach Applications and Services Logs > Microsoft > Windows > LAPS > Operational. Ein erfolgreicher Zyklus endet mit einem Ereignis, das bestätigt, dass das Kennwort aktualisiert und gesichert wurde. Fehler sind dort eindeutig benannt: fehlende Berechtigungen auf der OU, falscher Kontoname oder ein DC, der das Schema noch nicht kennt.

Von einem Admin-Arbeitsplatz aus, als Mitglied der Lesergruppe:

Get-LapsADPassword -Identity PC-0142 -AsPlainText

Die Ausgabe zeigt Konto, Kennwort, Zeitpunkt der Festlegung und Ablaufdatum. Für Geräte mit Sicherung in Entra ID verwenden Sie Get-LapsAADPassword aus der Microsoft-Graph-PowerShell-Umgebung oder die Geräteseite im Entra- bzw. Intune Admin Center.

Um bei Bedarf zu rotieren, etwa nachdem ein Techniker das Kennwort verwendet hat:

Reset-LapsPassword            # lokal auf dem Gerät ausführen
Set-LapsADPasswordExpirationTime -Identity PC-0142   # oder den Ablauf über AD erzwingen

Schritt 4: Lokale Admin-Konten im Netzwerk nutzlos machen

LAPS macht jedes Kennwort eindeutig. Zusätzlich sollten Sie sicherstellen, dass lokale Administratorkonten überhaupt nicht für Remoteanmeldungen verwendet werden können. Das beseitigt eine ganze Klasse von Lateral Movement, selbst wenn ein Kennwort abfließt:

• Deny access to this computer from the network und Deny log on through Remote Desktop Services: Local account and member of Administrators group hinzufügen (bekannte SID S-1-5-114). Zu finden unter Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies > User Rights Assignment.
• Lassen Sie die UAC-Remoteeinschränkungen aktiv: LocalAccountTokenFilterPolicy muss unter HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System fehlen oder 0 sein. Die Microsoft-Sicherheitsbaseline erzwingt das über die Einstellung „Apply UAC restrictions to local accounts on network logons“.

Mit beiden Maßnahmen dient das LAPS-Kennwort nur noch der Anmeldung an der Konsole und dem Notfallzugriff, und genau dafür ist ein lokales Administratorkennwort gedacht.

Häufige Probleme

Das Ereignis meldet, dass das Konto nicht gefunden wurde. Der in der Richtlinie angegebene Kontoname existiert auf dem Gerät nicht. Legen Sie das Konto im Build-Prozess an oder lassen Sie die Einstellung leer, um den integrierten Administrator zu verwalten.

Das Kennwort erscheint nie in AD. Der Computer kann nicht in sein Objekt schreiben. Führen Sie Set-LapsADComputerSelfPermission erneut für die richtige OU aus und prüfen Sie, ob das Computerobjekt tatsächlich in dieser OU liegt (und nicht im Standardcontainer Computers, auf den mit OUs verknüpfte GPOs nicht angewendet werden).

Der Helpdesk erhält bei aktiver Verschlüsselung „Zugriff verweigert“. Leseberechtigung für das Attribut genügt nicht; der Benutzer muss Mitglied der Gruppe sein, die als autorisierter Entschlüsseler konfiguriert ist.

Kennwörter landen im alten Attribut ms-Mcs-AdmPwd. Wenn nur die alte LAPS-Richtlinie greift und der alte Client nicht installiert ist, läuft Windows LAPS im Legacy-Emulationsmodus und beachtet diese alte Richtlinie. Wenden Sie eine Windows-LAPS-Richtlinie auf die OU an (sie hat Vorrang) und legen Sie das alte GPO bei der Umstellung still. Ist der alte Client noch installiert und verwaltet dasselbe Konto, hält sich Windows LAPS heraus, um einen Konflikt zu vermeiden; deinstallieren Sie ihn also.

Checkliste

• Schema erweitert, Selbstberechtigung der Computer pro OU gesetzt
• Getrennte Lesergruppen für Arbeitsplätze, Server und DSRM
• Ausgabe von Find-LapsADExtendedRights geprüft und bereinigt
• Richtlinie: Länge 20+, Komplexität 4, Alter 30 Tage, Verschlüsselung aktiv, Verlauf aktiviert
• Zurücksetzen nach der Authentifizierung aktiviert
• Lokalen Konten die Netzwerk- und RDP-Anmeldung über S-1-5-114 verweigert
• Alter LAPS-Client nach der Migration entfernt
• Alarmierung auf Fehler im LAPS-Operational-Protokoll in Ihrer Log-Pipeline

LAPS gehört zu den wenigen Maßnahmen auf dieser Website, die fast nichts kosten, fast nichts kaputt machen und eine Technik beseitigen, die Angreifer bei nahezu jedem Windows-Einbruch nutzen. Es ist der richtige erste Schritt auf der Härtungskarte, gefolgt von Admin-Tiering und Protected Users.