Windows Administrator Protection: Adminrechte unter Windows 11 absichern

Was ist Administrator Protection

Lokale Administratorrechte sind unter Windows Fluch und Segen zugleich: Wer sie hat, kann das System uneingeschränkt konfigurieren – genau deshalb sind Admin-Konten ein bevorzugtes Angriffsziel. Kompromittierte lokale Adminrechte gehören zu den häufigsten Einstiegspunkten, über die Angreifer die Kontrolle über ein System übernehmen. Wie relevant das Thema ist, zeigt eine Zahl von Microsoft: Allein Token-Diebstähle – Angriffe, bei denen sich Angreifer administrative Berechtigungen aneignen – finden demnach rund 39.000 Mal pro Tag statt.

Administrator Protection (deutsch: Administrator-Absicherung, in Windows 11 25H2 auch als Local Administrator Protection bezeichnet) ist Microsofts Antwort darauf. Das Feature erlaubt Administratorkonten weiterhin alle notwendigen Systemaufgaben, verlangt dafür aber bei jeder einzelnen administrativen Aktion eine explizite Authentifizierung über Windows Hello – und gewährt die erhöhten Rechte nur zeitlich begrenzt für genau diesen einen Vorgang.

Konkret heißt das: Bevor eine Aktion mit Administratorrechten ausgeführt wird – etwa die Installation von Software, das Ändern von Systemeinstellungen wie Uhrzeit oder Registry oder der Zugriff auf sensible Daten –, muss der Benutzer seine Identität über die integrierte Windows-Hello-Authentifizierung bestätigen.

Der neue Erhöhungsprompt: Statt eines einfachen „Ja/Nein" verlangt Administrator Protection die Bestätigung per Windows Hello – hier per Gesichtserkennung, alternativ Fingerabdruck oder PIN. Dadurch werden zwei Risiken deutlich reduziert: Zum einen kann der Benutzer nicht mehr versehentlich Änderungen auf Systemebene vornehmen. Zum anderen – und das ist der eigentliche Sicherheitsgewinn – kann Malware keine Systemänderungen mehr unbemerkt im Hintergrund durchführen.

Über Jahre haben User Account Control (UAC) und Split Tokens dieses Risiko gemildert, indem erhöhte Aufgaben in einem eingeschränkten Admin-Kontext liefen. Wirksam, aber nicht kugelsicher: Diese Mechanismen ließen sich manipulieren oder umgehen. Administrator Protection bricht mit dem Split-Token-Modell und ersetzt es durch einen isolierten, systemverwalteten Ansatz.

Funktionsweise

Administrator Protection folgt konsequent dem Prinzip der geringsten Rechte (Least Privilege). Der Ablauf im Detail:

1. Anmeldung ohne Adminrechte: Beim Login unter Windows erhält der Administrator zunächst nur ein Token ohne Administratorrechte – er arbeitet also wie ein Standardbenutzer.
2. Bestätigung bei Bedarf: Sobald eine Aktion Administratorrechte erfordert, fordert Windows den Benutzer über Windows Hello auf, den Vorgang zu autorisieren.
3. Isoliertes Admin-Token: Nach der Autorisierung verwendet Windows ein verstecktes, vom System generiertes, profilsepariertes Benutzerkonto, um ein isoliertes Administrator-Token zu erstellen.
4. Zuweisung an den Prozess: Dieses Token wird ausschließlich an den anfordernden Prozess ausgegeben.
5. Sofortige Vernichtung: Sobald der Prozess beendet ist, wird das erhöhte Token wieder vernichtet. Die Administratorrechte bleiben also nicht bestehen.
6. Wiederholung je Aufgabe: Für jede weitere Aufgabe, die Adminrechte benötigt, läuft der komplette Vorgang erneut ab – inklusive erneuter Bestätigung.

Das Ergebnis: Der Administrator-Account bleibt im Alltag deprivilegiert und erhält höhere Rechte nur just-in-time, also nur für den konkreten Vorgang und nur so lange, wie er tatsächlich gebraucht wird.

Die Profiltrennung im Überblick: Das erhöhte Admin-Token (oben) lebt in einem isolierten Admin-Profil samt eigener Registry-Hive – getrennt vom täglich genutzten User-Token (unten). Die Erhöhung erfolgt just-in-time und nie automatisch.

Vorher vs. nachher: das Split-Token-Modell

Vor Administrator Protection funktionierte das anders. Meldete sich ein Admin an, erzeugte Windows zwei Access-Token: eines mit vollen Adminrechten und eines mit eingeschränkten Standardrechten (das klassische Split Token). Für Alltagsaufgaben wie Surfen oder Dateien öffnen nutzte das System das eingeschränkte Token. Erst beim Versuch, ein Programm zu installieren oder Systemänderungen vorzunehmen, erschien der bekannte UAC-Prompt. Nach dem Klick auf „Ja" bekam das gestartete Programm Zugriff auf alle Adminrechte – das mächtige Token lag offen, bis die Anwendung geschlossen wurde.

Das klassische Split-Token-Modell: Beim Login eines Admins im Admin Approval Mode (oben) erzeugt Windows zwei Token – ein volles und ein eingeschränktes. Ein Standardbenutzer (unten) erhält nur das eingeschränkte Token.

Das schützte zwar vor dem versehentlichen Start von Schadsoftware, ließ das Admin-Token aber angreifbar: Malware konnte warten, bis eine privilegierte Aktion ausgelöst wurde, und sich in das aktive, erhöhte Token einklinken (Token Hijacking).

Administrator Protection trennt die beiden Welten vollständig. Statt das erhöhte Token direkt an das Benutzerkonto zu koppeln, wandert es in ein verstecktes, systemverwaltetes Admin-Profil – bildlich gesprochen: Der Admin-Schlüssel liegt in einem Tresor, auf den nur Windows selbst Zugriff hat. Wird eine erhöhte Aktion angefordert, wechselt Windows in den isolierten, verwalteten System-Admin-Kontext, „leiht" das Token temporär für genau diese Aufgabe aus und schließt es danach wieder weg – das Schattenkonto verschwindet. Selbst wenn Malware auf dem System lauert, kann sie das erhöhte Token weder abgreifen noch missbrauchen, weil es nur kurzzeitig und außerhalb ihrer Reichweite existiert.

Schlüsselmerkmale

Administrator Protection weist mehrere charakteristische Merkmale auf, die zusammen seine Sicherheitswirkung ausmachen:

• Windows-Hello-Integration: Die Bestätigung erfolgt über Windows Hello – also PIN, Fingerabdruck oder Gesichtserkennung. Das macht die Autorisierung gleichzeitig einfach und sicher.
• Just-in-time-Erhöhung: Der Administrator bleibt grundsätzlich eingeschränkt und erhält Erhöhungsrechte nur für die Dauer eines Admin-Vorgangs. Das Admin-Token wird nach der Verwendung verworfen und bei der nächsten Aufgabe neu erzeugt.
• Profiltrennung: Für das temporäre Admin-Token nutzt Windows versteckte, systemgenerierte, profilgetrennte Benutzerkonten. Diese strikte Isolation verhindert, dass Malware auf Benutzerebene die erhöhte Sitzung kompromittiert – die Erhöhung wird dadurch zu einer echten Sicherheitsgrenze (Security Boundary).
• Keine automatische Erhöhung: Jede Aktion, die Adminrechte erfordert, muss der Benutzer interaktiv autorisieren. Eine stillschweigende oder automatische Rechteerhöhung wird unterbunden. So behält der Administrator jederzeit die volle Kontrolle über alle Erhöhungsanforderungen und die Rechte lassen sich nicht missbrauchen.

Vorteile

Aus diesen Merkmalen ergeben sich mehrere konkrete Sicherheits- und Kontrollvorteile:

• Erhöhte Sicherheit: Durch die obligatorische Bestätigung jeder administrativen Aktion ist das System sowohl vor unbeabsichtigten Änderungen als auch vor Malware geschützt, die Adminrechte sonst unbemerkt ausnutzen könnte.
• Nutzerkontrolle: Administratoren legen gezielt fest, welche Anwendung wann Adminrechte erhält. Nur ausdrücklich autorisierte Programme dürfen Systemänderungen vornehmen – das reduziert das Risiko von Fehlkonfigurationen und bösartigen Änderungen.
• Malware-Reduktion: Bösartige Programme können Administratorrechte nicht mehr unbemerkt erlangen. Das unterbricht die Angriffs-Kill-Chain, weil Schadsoftware ohne aktive Zustimmung des Nutzers keine systemweiten Eingriffe mehr durchführen kann.

Voraussetzungen

Vor der Aktivierung gilt es, ein paar Rahmenbedingungen zu prüfen:

• Windows 11: Administrator Protection ist eine Neuerung von Windows 11 und steht auf älteren Windows-Versionen nicht zur Verfügung.
• Windows Hello eingerichtet: Da die Benutzerbestätigung über die Hello-Komponenten läuft (PIN, Fingerabdruck, Gesichtserkennung), muss auf dem Gerät mindestens eine Hello-Authentifizierungsmethode konfiguriert sein. Ohne Windows Hello lässt sich das Feature nicht nutzen.
• Neustart: Nach dem Aktivieren des Features – und nach jeder Änderung am Verhalten des Erhöhungsprompts – ist ein Neustart des Geräts erforderlich.

Konfiguration

Administrator Protection lässt sich sowohl lokal auf einzelnen Geräten als auch zentral über Verwaltungstools wie Microsoft Intune für großflächige Rollouts aktivieren. Die wesentlichen Methoden im Überblick:

Windows-Sicherheitseinstellungen (in Kürze verfügbar)

In der Windows-Sicherheits-App erscheint unter „Kontoschutz" ein Schalter für die Administrator-Absicherung. Einmal auf „Ein" gestellt, greift die Funktion nach einem Neustart.

Gruppenrichtlinie (GPO)

Über den Gruppenrichtlinien-Editor (gpedit.msc) lässt sich das Feature so einschalten:

1. Öffne den Gruppenrichtlinien-Editor (gpedit.msc).
2. Navigiere zu:

   Computerkonfiguration
     -> Windows-Einstellungen
       -> Sicherheitseinstellungen
         -> Lokale Richtlinien
           -> Sicherheitsoptionen
   

3. Setze die Richtlinie User Account Control: Configure type of Admin Approval Mode auf Admin Approval Mode with Administrator protection, um das Feature zu aktivieren.
4. Optional: Über User Account Control: Behavior of the elevation prompt for administrators running with Administrator protection legst du das Verhalten des Erhöhungsprompts fest – etwa eine Kennwortabfrage statt einer reinen Bestätigung. Standard ist hier Prompt for credentials.
5. Starte das Gerät neu, damit die Änderungen wirksam werden.

Im lokalen Sicherheitsrichtlinien-Editor: Die Richtlinie „User Account Control: Configure type of Admin Approval Mode" wird auf „Admin Approval Mode with enhanced privilege protection" gestellt.

Microsoft Intune (MDM)

In Intune wird Administrator Protection über den Einstellungskatalog (Settings Catalog) bereitgestellt:

1. Melde dich im Intune-Portal an.
2. Erstelle eine Sicherheitsgruppe mit den betreffenden Benutzern bzw. Geräten.
3. Lege eine Settings-Catalog-Policy an und setze:
   • User Account Control Type of Admin Approval Mode → Admin Approval Mode with enhanced privilege Protection
   • User Account Control Behavior Of The Elevation Prompt → Prompt for consent on the secure desktop
4. Weise die Richtlinie der Gruppe zu.
5. Intune synchronisiert die Richtlinie automatisch und wendet sie regelmäßig auf die Geräte an. Nach Eintreffen der Richtlinie muss das Gerät neu gestartet werden.

Hinweis: Nach jeder Änderung am Behavior of the elevation prompt ist zwingend ein Neustart nötig, damit die Einstellung greift.

CSP / Administrative Vorlagen

Alternativ steuerst du die Absicherung direkt über den Policy CSP (Configuration Service Provider) unter LocalPolicies\SecurityOptions:

Sicherheitsmodell & Architektur-Highlights

Hinter der schlichten „Bestätige mit Windows Hello"-Oberfläche steckt ein neu gebautes Sicherheitsmodell. Die folgenden Details basieren auf öffentlich verfügbaren Informationen und OSINT-Analysen der beteiligten Windows-DLLs – sie helfen zu verstehen, warum das Feature so wirksam ist. Microsoft hat diese interne Umsetzung nicht offiziell dokumentiert.

Der System Managed Admin Account (ShadowAdmin)

Kern des neuen Modells ist der System Managed Admin Account – in den zugehörigen DLLs intern als ShadowAdmin referenziert. Anders als bei Endpoint Privilege Management (EPM), das zur Erhöhung ein virtuelles Konto nutzt, ist der System Managed Admin Account ein persistentes, echtes Benutzerkonto, das in der SAM-Datenbank gespeichert wird. Es wird dynamisch erzeugt und mit dem primären Admin-Konto verknüpft, sodass erhöhte Operationen in einem getrennten Kontext laufen. Damit entfällt der Bedarf an Split Tokens vollständig.

Was beim Aktivieren im Hintergrund passiert: Sobald Administrator Protection aktiv ist, erzeugt das System für jedes existierende lokale Admin-Konto auf dem Gerät ein eigenes Schattenkonto – über die Funktion ShadowAdminAccount::CreateShadowAdminAccount in der samsrv.dll. Die einzige Ausnahme sind Konten, die von Windows LAPS verwaltet werden: Diese sind geschützt und werden nicht angetastet. Die neuen Konten erhalten randomisierte Namen nach dem Muster ADMIN_<zufall> bzw. ADMIN_<primärkontoname>.

Nachweis in der Praxis: Eine Get-WmiObject-Abfrage fördert das automatisch angelegte Schattenkonto ADMIN_admin zutage – ein echtes lokales Konto mit eigener SID, angelegt für das primäre Admin-Konto admin.

Verknüpfung über Forward- und Back-Link-SIDs

Damit Windows das Schattenkonto sauber dem Original zuordnen kann, werden in der SAM-Datenbank zwei Attribute gesetzt:

Diese bidirektionale Verknüpfung ist die Grundlage der späteren Sicherheitsvalidierung. Anschließend fügt ShadowAdminAccount::AddAccountToLocalAdministratorsGroup das Schattenkonto der lokalen Administratorengruppe hinzu – damit besitzt es die nötigen Rechte für privilegierte Operationen, ganz ohne UAC-Split-Token.

Zusammenfassung des Erstellungs-Flows:

1. Randomisierte Benennung: ShadowAdminAccount::CreateRandomShadowAdminAccountName generiert einen zufälligen, eindeutig dem Elternkonto zugeordneten Namen (z. B. ADMIN_testadmin für testadmin).
2. Verknüpfung in der SAM-DB: Forward-Link-SID im Original, Back-Link-SID im Schattenkonto.
3. Aufnahme in die lokale Admin-Gruppe: über AddAccountToLocalAdministratorsGroup, damit das Schattenkonto erhöhte Aufgaben ausführen kann.

Der Erhöhungsprozess (Appinfo & Consent)

Beim eigentlichen Elevate spielen zwei Windows-Komponenten die Hauptrolle. Die appinfo.dll ist Teil des Application Information Service (AppInfo) und steuert die UAC- und Erhöhungslogik: Sie bewertet jede Anforderung und entscheidet, ob ein Prozess als Standardbenutzer oder erhöht läuft. Die consent.exe zeigt den bekannten UAC-Dialog und wickelt die Bestätigung ab.

Der Ablauf mit aktiviertem Administrator Protection:

1. Registry-Check: Startet ein lokaler Admin eine Aktion, die Erhöhung braucht, prüft appinfo.dll den Schlüssel TypeOfAdminApprovalMode unter

   HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System
   

   Ist der Admin Approval Mode with Administrator Protection aktiv, weiß appinfo.dll, dass die Anforderung über einen System Managed Admin Account laufen muss – nicht über den Legacy-Modus.
2. Consent starten: appinfo.dll startet consent.exe, die den Erhöhungsprompt anzeigt. consent.exe liest die Forward-Link-SID aus dem SAM-Pfad des Haupt-Admins und verifiziert sie gegen die Back-Link-SID im Pfad des Schattenkontos.
3. Link aufbauen: consent.exe ruft CreateShadowAdminLink auf und mappt das Token des Haupt-Admins auf die SID des System Managed Admin Account – ein sicherer Link zwischen beiden.
4. Kontextwechsel: appinfo.dll schaltet die Session dynamisch in den Kontext des System Managed Admin Account. Der UAC-Prompt zeigt dabei sichtbare Indikatoren – den Titel „Windows-Sicherheit" und ein eigenes Farbschema –, die signalisieren, dass der Prozess in einem isolierten Kontext läuft.
5. Sicherer Start: Der Prozess wird unter dem System Managed Admin Account gestartet, ohne Interaktion mit dem Kontext des primären Admins.
6. Laufende Validierung: Während des gesamten Vorgangs prüft das System Forward- und Back-Link-SID gegeneinander. Das verhindert, dass sich Fremdprozesse als System Managed Admin Account ausgeben (Impersonation), und isoliert die Privilegien strikt.

Der Unterschied im Token: Ein per „Als Administrator ausführen" gestarteter Prozess (links) trägt privilegierte Rechte wie SeImpersonatePrivilege, während der reguläre Administrator-Kontext (rechts) nur ein deprivilegiertes Standard-Token mit deaktivierten Admin-Privilegien besitzt.

Administrator Protection und Entra-Konten

Werden Entra-ID-Konten der lokalen Administratorengruppe hinzugefügt, kommt zusätzlich der versteckte Registry-Schlüssel ShadowAdminPairs ins Spiel. Über ihn mappt Windows Entra-Identitäten auf lokale Admin-Privilegien. Wird dieser Schlüssel (bzw. die zugehörige ShadowAdminPair-SID) entfernt, brechen die Entra-Mappings – die Erhöhung funktioniert dann nicht mehr wie erwartet. Der Schlüssel ist also ein sensibler, betrieblich relevanter Bestandteil des Modells.

Abgrenzung zu EPM

Sowohl Administrator Protection als auch Endpoint Privilege Management (EPM) verwalten Adminrechte – aber mit unterschiedlichem Fokus:

Ausblick

Administrator Protection markiert einen grundlegenden Wandel im Umgang mit lokalen Adminrechten: Durch die Entkopplung erhöhter Aufgaben vom eigentlichen Benutzerkontext entschärft Microsoft viele der klassischen UAC-Schwachstellen – und macht die Rolle des lokalen Administrators deutlich sicherer.

Aktuell ist das Feature in den Windows-Insider-Programmen implementiert, damit Administratoren und Entwickler es testen und Feedback geben können. Microsoft plant, Administrator Protection künftig standardmäßig in Windows 11 zu aktivieren. Die nahtlose Integration mit dem modernisierten Windows Hello soll dabei eine sichere und zugleich komfortable Bestätigung administrativer Rechte ermöglichen. Das Ziel ist klar: Administratorrechte werden vom Dauerrisiko zu einem gut bewachten Werkzeug, das nur noch nach bewusster Autorisierung freigegeben wird.

Diese Anleitung ergänzt die Endpoint-Hardening-Serie; Administrator Protection ist – neben WDAC / App Control for Business – ein zentraler Baustein, um Least Privilege unter Windows 11 technisch durchzusetzen.