Administratorschutz

Der Administratorschutz ist ein Plattformsicherheitsfeature in Windows 11, das sicherstellen soll, dass Benutzer mit den geringsten erforderlichen Berechtigungen arbeiten. Administratorrechte nur bei Bedarf und nur mit ausdrücklicher Zustimmung des Benutzers erlangen. Dieses Feature funktioniert nach dem Prinzip der geringsten Rechte, hält Benutzer in einem entprivilegierten Zustand und gewährt Just-In-Time-Rechte für erhöhte Rechte nur bei Bedarf.

In der heutigen digitalen Landschaft verfügen Benutzer mit Administratorrechten unter Windows über leistungsstarke Möglichkeiten, Konfigurationen zu ändern und systemweite Änderungen vorzunehmen, die sich auf den allgemeinen Sicherheitsstatus eines Windows 11-Geräts auswirken können. Administratorrechte stellen einen erheblichen Angriffsvektor dar. Böswillige Akteure nutzen diese Berechtigungen häufig aus, um unbefugten Zugriff auf Benutzerdaten zu erhalten, die Privatsphäre zu gefährden und die Sicherheitsfunktionen des Betriebssystems ohne das Wissen des Benutzers zu deaktivieren.

Der Administratorschutz bewältigt diese Herausforderung, indem Benutzer aufgefordert werden, ihre Identität mit der integrierten Windows Hello-Authentifizierung zu bestätigen. Diese Überprüfung wird erzwungen, bevor Aktionen zugelassen werden, die Administratorrechte erfordern, z. B. das Installieren von Software, das Ändern von Systemeinstellungen wie Uhrzeit oder Registrierung und der Zugriff auf vertrauliche Daten.

Vorteile

Der Administratorschutz bietet mehrere wichtige Vorteile:

  • Erhöhte Sicherheit: Da für jede Verwaltungsaufgabe eine explizite Genehmigung des Benutzers erforderlich ist, schützt der Administratorschutz Windows vor versehentlichen Änderungen durch Benutzer und Änderungen durch Schadsoftware. Dadurch wird sichergestellt, dass Benutzer über potenziell schädliche Aktionen informiert werden, bevor sie auftreten, und bietet eine zusätzliche Verteidigungsebene gegen Bedrohungen.

  • Benutzerkontrolle: Der Administratorschutz erfordert, dass Benutzer explizit entscheiden, ob eine bestimmte Anwendung mit erhöhten Rechten ausgeführt werden soll. Dadurch wird sichergestellt, dass nur autorisierte Apps Systemänderungen vornehmen können, wodurch das Risiko versehentlicher oder böswilliger Änderungen verringert wird.

  • Reduzierung von Schadsoftware: Bösartige Software stützt sich häufig auf Administratorrechte, um Geräteeinstellungen zu ändern und schädliche Aktionen auszuführen. Der Administratorschutz unterbricht die Kill Chain für Angriffe, da Schadsoftware keine Administratorrechte mehr im Hintergrund erwerben kann.

Systemanforderungen

Der Administratorschutz ist jetzt mit KB5120998 verfügbar. Dieses Feature ist standardmäßig deaktiviert. Unternehmenskunden können das Feature mithilfe eines benutzerdefinierten OMA-URI aktivieren.

Unterstützte Editionen: Windows 11 Home, Pro, Enterprise, Education.

Der Administratorschutz gilt derzeit für unterstützte Windows 11-Geräte außerhalb von Windows 365 Cloud-PCs und Azure Virtual Desktop-Sitzungshosts. Die Unterstützung für diese Umgebungen sowie für Windows Server-Editionen ist für eine zukünftige Version geplant.

Konfigurieren Sie für Windows 365- und Azure Virtual Desktop-Sitzungshosts Benutzer als Standardbenutzer, um die besten Methoden mit den geringsten Berechtigungen zu befolgen.

Funktionsweise des Administratorschutzes

Der Administratorschutz basiert im Kern auf dem Prinzip der geringsten Rechte. Wenn sich ein Benutzer bei Windows anmeldet, erhält er ein Benutzertoken mit aufgehobenen Berechtigungen. Wenn jedoch Administratorrechte erforderlich sind, fordert Windows an, dass der Benutzer den Vorgang autorisiert. Nach der Autorisierung verwendet Windows ein verstecktes, vom System generiertes, profilgetrenntes Benutzerkonto, um ein isoliertes Administratortoken zu erstellen. Dieses Token wird an den anfordernden Prozess ausgegeben und nach Beendigung des Prozesses zerstört, um sicherzustellen, dass Administratorrechte nicht bestehen bleiben. Die Architekturänderungen stellen sicher, dass niemand ohne ordnungsgemäße Autorisierung auf den Code oder die Daten von Sitzungen mit erhöhten Rechten zugreifen oder diese manipulieren kann.

Einige Anwendungen sind möglicherweise darauf angewiesen, dass Administratorrechte immer vorhanden sind und das Profil mit erhöhten Rechten zugänglich ist, wenn es ohne erhöhte Rechte ausgeführt wird. Mit diesem neuen Ansatz benötigen einige Szenarien in diesen Apps möglicherweise Updates, damit sie reibungslos mit dem erweiterten Sicherheitsmodell funktionieren. Microsoft arbeitet aktiv mit App-Entwicklern zusammen, um sie bei der Anpassung zu unterstützen, damit Ihre bevorzugten Erfahrungen nahtlos bleiben und Ihr System geschützt bleibt. Anleitungen zum Entwickeln Ihrer Anwendungen finden Sie unter Verbessern der Anwendungssicherheit mit Administratorschutz.

Letztendlich geht es bei diesen Änderungen darum, Windows für Sie sicherer zu machen, damit Sie leistungsstarke Features mit größerer Sicherheit nutzen können.

Wichtige architektonische Highlights

Diagramm der Administratorschutzarchitektur.

  • Just-in-Time-Erhöhung: Benutzer bleiben entprivilegiert und erhalten nur während eines Administratorvorgangs Just-In-Time-Rechte für erhöhte Rechte. Das Admin-Token wird nach der Verwendung verworfen und neu erstellt, wenn eine andere Aufgabe ausgeführt wird, die Administratorrechte erfordert.

  • Profiltrennung: Der Administratorschutz verwendet versteckte, vom System generierte, profilgetrennte Benutzerkonten, um isolierte Administratortoken zu erstellen. Dadurch wird sichergestellt, dass Schadsoftware auf Benutzerebene die Sitzung mit erhöhten Rechten nicht kompromittieren kann.

  • Keine automatischen Erhöhungen: Benutzer müssen jeden Administratorvorgang interaktiv autorisieren. Dadurch wird sichergestellt, dass der Administrator die volle Kontrolle behält und dass Administratorrechte nicht missbraucht werden.

  • Windows Hello-Integration: Der Administratorschutz ist für eine einfache und sichere Autorisierung in Windows Hello integriert.

Konfiguration

Sie können den Administratorschutz auf verschiedene Arten aktivieren:

  • Microsoft Intune Einstellungskatalog (Vorschau)
  • CSP
  • Gruppenrichtlinie
  • Windows-Sicherheit-Einstellungen (Vorschau)

Hinweis

Um Geräte mithilfe von Microsoft Intune zu konfigurieren, erstellen Sie eine Einstellungskatalogrichtlinie, und verwenden Sie die unter der Kategorie Local Policies Security Optionsaufgeführten Einstellungen:

  • Verhalten der Benutzerkontensteuerung der Eingabeaufforderung für erhöhte Rechte zum Schutz der Administratoren
    • Art der Benutzerkontensteuerung des Admin-Genehmigungsmodus

Weisen Sie die Richtlinie einer Sicherheitsgruppe zu, die die zu konfigurierenden Geräte oder Benutzer als Mitglieder enthält.

Wichtig

Ein Neustart ist erforderlich, damit der Administratorschutz wirksam wird.

Ereignisse überwachen und melden

Zum Nachverfolgen von erhöhten Rechten verfügt der Administratorschutz über zwei neue Ereignisse der Ereignisablaufverfolgung für Windows (ETW) unter dem vorhandenen Microsoft-Windows-LUA-Anbieter mit der GUID {93c05d69-51a3-485e-877f-1806a8731346}:

Ereignis-ID Name des Ereignisses Beschreibung
15031 Höhen genehmigt Protokolliert, wenn sich ein Benutzer erfolgreich authentifiziert und eine Erhöhung gewährt wird
15032 Erhöhung verweigert/fehlgeschlagen Protokolliert, wenn die Erhöhung verweigert wird, fehlschlägt oder das Zeitlimit überschritten wird

Was protokolliert wird

  • Die Sicherheits-ID (SID) des Benutzers, der die Erhöhung ausgelöst hat
  • Name und Pfad der Anwendung
  • Das Ergebnis der Erhöhung (genehmigt, verweigert, Timeout)
  • Das vom System verwaltete Administratorkonto, das zum Ausführen der Aufgabe verwendet wird
  • Die Authentifizierungsmethode (z. B. Kennwort, PIN, Windows Hello)

Erfassen dieser Ereignisse

  • Aktivieren des Microsoft-Windows-LUA-Anbieters (GUID: {93c05d69-51a3-485e-877f-1806a8731346})
  • Verwenden von Logman oder WPR (Windows Performance Recorder) zum Starten einer Ablaufverfolgungssitzung
  • Nach Ereignis-IDs 15031 und 15032
  • Analysieren Sie die resultierende ETL-Datei mithilfe der Windows-Leistungsanalyse oder Ihrem bevorzugten Tool

Hier ist ein Beispielbefehl:

logman start AdminProtectionTrace -p {93c05d69-51a3-485e-877f-1806a8731346} -ets

Problembehandlung

Hinweis

Wann dieses Feature nicht aktiviert werden sollte:

  • Windows 365 Cloud-PCs. Enterprise and Flex, Business.
  • Azure Virtual Desktop-Sitzungshosts
  • Für Geräte, die Hyper-V oder das Windows-Subsystem für Linux (WSL) erfordern.
  • Wenn Sie Apps verwenden, die nicht auf Edge-Erweiterungen oder freigegebene Dateien über Profile hinweg zugreifen können. Beispiel: Einige Installationsprogramme (die WebView2 intern verwenden) fordern möglicherweise erhöhte Berechtigungen an, auch wenn sie normal gestartet werden und die Meldung "Microsoft Edge kann nicht in sein Datenverzeichnis lesen und schreiben" angezeigt werden.

  • Verwenden Sie lokale SYSTEM- oder dedizierte Dienstkonten für geplante Aufgaben oder Skripts, die für die Ausführung "mit höchsten Berechtigungen" festgelegt sind. Im Wesentlichen müssen Skripts neu gestaltet werden, um zu vermeiden, dass ein ständig aktiviertes Admin-Token erwartet wird. Jeder Workflow, der davon ausging, dass eine Administratorsitzung verfügbar ist, muss angepasst werden.

  • Wenn Apps mit erhöhten Rechten mit Administratorschutz ausgeführt werden, sind Anmeldeinformationen für Single Sign-On (SSO) aus der Standardsitzung für die Sitzung mit erhöhten Rechten nicht verfügbar. Jede Domänen- oder Cloudauthentifizierung muss innerhalb dieser Sitzung mit erhöhten Rechten neu eingerichtet werden.

  • Netzlaufwerke/-ressourcen, auf die von erhöhten Rechten aus nicht zugegriffen werden kann. Installieren Sie es im Benutzerkontext, um Eingabeaufforderungen für Netzwerkanmeldeinformationen zu aktivieren. Wenn es wichtig ist, eine Anwendung mit erhöhten Rechten zu installieren, kopieren Sie die Installationsdateien vor dem Erhöhen auf ein lokales Laufwerk.

  • Einstellungsdaten für Anwendungen werden nicht über das reguläre Profil (nicht erhöhte Rechte) und das Profil mit erhöhten Rechten übertragen. Erhöhen Sie nur Apps, die Sie wirklich brauchen. Erwägen Sie, diese Anwendungen so zu konfigurieren, dass sie gemeinsame Datenverzeichnisse verwenden, auf die beide Profile zugreifen können (wenn möglich).

  • Remoteanmeldung auf Windows 365 Cloud-PC und Azure Virtual Desktop-Sitzungshosts, Roamingprofilen und Sicherungsadministratoren werden nicht unterstützt.

  • Bei computerübergreifenden Remoteverwaltungsszenarien kann das Verhalten der Remote-Erhöhung über die Benutzerkontensteuerung gesteuert werden: Remoteanmeldung mit erhöhten Berechtigungen für Domänenbenutzer in der lokalen Administratorgruppe zulassen, wenn der Administratorschutz aktiviert ist .

    Verhalten:

    • Deaktiviert (Standard): Domänenbenutzer in der lokalen Gruppe "Administratoren" führen Remoteanmeldungen ohne erhöhte Berechtigungen durch.
    • Aktiviert: Domänenbenutzer in der lokalen Gruppe "Administratoren" führen Remoteanmeldungen mit erhöhten Rechten durch, um dem herkömmlichen UAC-Verhalten zu entsprechen.

    Verwenden Sie für eine präzisere Steuerung die Benutzerkontensteuerung: Remoteanmeldung mit erhöhten Berechtigungen für angegebene Domänenbenutzer und -gruppen zulassen, wenn der Administratorschutz aktiviert ist , mit der Remoteanmeldungen mit erhöhten Rechten nur bestimmten Domänenbenutzern oder -gruppen gewährt werden, während andere Domänenbenutzer keine erhöhten Rechte erhalten.

  • Einige Anwendungen zeigen das Startsymbol nach der Installation nicht im Startmenü an. Wenn Sie erhöhte Rechte installiert haben, müssen Sie manuell zum Installationsspeicherort navigieren: AppData\Roaming\Microsoft\Windows\Start Menu\Programs\<App name>

  • Wenn die Aktualisierung einer Ihrer Anwendungen blockiert wird, deaktivieren Sie das Feature vorübergehend. (Neustart erforderlich)

  • Last updated on