Bereich 01 / 12
Konten & privilegierter Zugriff
Fast jeder Windows-Einbruch wird über wiederverwendete oder zu breit gestreute Admin-Anmeldedaten zur Domänenkompromittierung. Dieser Bereich ersetzt gemeinsame lokale Administratorkennwörter durch Windows LAPS, trennt die Administration in Tiers, damit Domain-Admin-Anmeldedaten nie einen Arbeitsplatz berühren, und hält privilegierte Konten mit Protected Users und Anmeldeeinschränkungen dort, wo sie hingehören.
Pfad startenLernpfad
0/4 erledigt- 01Windows LAPS einführen: eindeutige lokale Admin-KennwörterGemeinsame lokale Administratorkennwörter durch Windows LAPS ersetzen: Schema, Berechtigungen, Gruppenrichtlinie, Verschlüsselung, Abruf und Prüfungen.
- 02Admin-Tiering und Protected Users für Active DirectoryDas Tier-Modell für Active Directory in der Praxis: was in Tier 0 gehört, Anmeldeeinschränkungen per GPO, Protected Users, PAWs und die Prüfungen dazu.
- 03Lokale Admin-Rechte entziehen, ohne Chaos zu stiftenBenutzern lokale Admin-Rechte entziehen: Bestand erheben, Mitgliedschaft per GPO oder Intune erzwingen, Erhöhung mit EPM regeln, Notfallzugang behalten.
- 04UAC härten und Windows Administrator protectionUAC richtig konfigurieren: Admin Approval Mode, sicherer Desktop, FilterAdministratorToken, Remote-UAC für lokale Konten und Administrator protection in Windows 11.