Was ist der Windows 11-Administratorschutz?

Microsoft kündigt auf seiner Build-2025-Konferenz den Administratorschutz für Windows 11 an und stellt damit eine neue Sicherheitsfunktion vor, die speziell den Schutz von Administratorkonten verbessert. Der Administratorschutz sorgt dafür, dass sensible Systembereiche und erhöhte Berechtigungen besser abgesichert werden, um unbefugten Zugriff und potenzielle Angriffe zu verhindern.

Diese Neuerung hat direkte Auswirkungen auf die Entwicklung von Anwendungen für Windows 11: Entwickler müssen künftig stärker berücksichtigen, wie ihre Programme mit Administratorrechten umgehen, und ihre Anwendungen entsprechend anpassen, um den neuen Sicherheitsanforderungen zu entsprechen. Dadurch wird insgesamt ein höheres Sicherheitsniveau im Betriebssystem gewährleistet, ohne die Funktionalität für Nutzer und Entwickler unnötig einzuschränken.

Was ist der Windows-Administrator-Schutz?

Der Windows 11-Administrator-Schutz bietet lokalen Administratoren mehr Schutz, ohne die Funktionen einzuschränken, die sie zur Durchführung ihrer Aufgaben benötigen.

Microsoft gab in seinem Digital Defense Report 2024 bekannt, dass es täglich 39.000 Angriffe auf Windows-Geräte zum Diebstahl von Anmeldetoken gab. Wenn Benutzer Anwendungen als Administrator ausführen, sind sie einem höheren Risiko ausgesetzt. Anwendungen mit erhöhten Rechten können leichter von Malware infiziert werden, da sie Zugriff auf Systemressourcen haben, wie beispielsweise Anmeldetoken, die Windows zur Authentifizierung von Benutzern verwendet.

Geschützte Administratoren vs. Standardbenutzer

Administratorkonten in Windows 11 werden auch als "geschützte Administratoren" bezeichnet. Meistens sind geschützte Administratoren nicht auf den Administratorstatus erhoben – sie verfügen stattdessen über Standardbenutzerzugriff. Sie können diesen jedoch bei Bedarf ganz einfach erweitern. Beispielsweise möchten Sie vielleicht eine Anwendung ausführen, die nur mit Administratorrechten funktioniert, oder Sie müssen eine systemweite Änderung über die Systemsteuerung oder die App "Einstellungen" vornehmen.

Die Erhöhung der Berechtigungen wird in Windows 11 durch die Benutzerkontensteuerung (User Account Control, UAC) geregelt. Die Standardkonfiguration der UAC umfasst automatische Erhöhungen. Bei einigen systemweiten Aufgaben des Betriebssystems werden Ihnen stillschweigend Administratorrechte zugewiesen, ohne dass Sie irgendeine Form der Zustimmung erteilen müssen. Es ist jedoch möglich, automatische Erhöhungen in Windows zu deaktivieren.

Microsoft empfiehlt, sich nach Möglichkeit nicht als geschützter Administrator anzumelden, sondern ein Standardbenutzerkonto zu verwenden. Die einzige Möglichkeit, als Standardbenutzer Administratorrechte zu erhalten, ist die "Over-the-Shoulder-Elevation", d. h., jemand, der das Passwort für ein lokales Administratorkonto kennt, muss Ihnen den Benutzernamen und das Passwort mitteilen. Oder Sie geben das Passwort an den Benutzer weiter, was jedoch den Sinn der Einrichtung eines Standardbenutzerkontos zunichte macht, es sei denn, Sie verfügen über einen Prozess, um das Passwort jedes Mal zu ändern, wenn eine Over-the-Shoulder-Elevation durchgeführt wird.

Unternehmen, die es sich leisten können, lassen ihre Benutzer als Standardbenutzer anmelden und fügen dann eine Privileged Access Management (PAM)-Lösung hinzu, wie Beyond Trust PowerBroker oder das Endpoint Privilege Management in Microsoft Intune, die es Unternehmen ermöglichen, Erhöhungen auf Administratorzugriff zentral zu verwalten. Diese Lösungen sind jedoch mit Kosten verbunden und müssen eingerichtet und verwaltet werden.

Der Administrator-Schutz in Windows 11 richtet sich an Unternehmen, die sich keine Endpoint-Privilege-Management-Lösung leisten können und bei denen sich Benutzer zumindest zeitweise als Administrator anmelden müssen.

Wie funktioniert der Administrator-Schutz?

Wenn der Administrator-Schutz aktiviert ist, läuft die Anwendung oder der Prozess unter einem separaten Benutzerprofil, sobald ein geschützter Administrator Administratorrechte erlangt.

Benutzerprofile bieten eine zusätzliche Sicherheitsebene. Der Administrator-Schutz nutzt ein System Managed Administrator Account (SMAA) und ein separates Benutzerprofil, um die Anwendung oder den Prozess mit erhöhten Rechten auszuführen. Diese neue Architektur bietet zusätzlichen Schutz.

Just-in-Time-Erweiterung

Sitzungen mit erhöhten Rechten werden mittels Just-in-Time-Erweiterung eingerichtet. Die Erweiterung erfolgt, sobald Sie sie anfordern, und wird aufgehoben, sobald die Anwendung oder der Prozess geschlossen wird. Sie erhalten erst dann wieder erweiterte Rechte, wenn Sie diese erneut anfordern.

Windows Hello-Integration

Der Administrator-Schutz wurde in Windows Hello integriert. Jedes Mal, wenn ein geschützter Administrator eine Berechtigungserweiterung wünscht, muss er seine Zustimmung entweder über eine PIN oder eine biometrische Geste wie Gesichtserkennung, Fingerabdruck oder eine andere von Windows Hello unterstützte Methode erteilen.

Die automatische Berechtigungserweiterung wird als Standardkonfiguration in Windows 11 entfernt

Die automatische Berechtigungserweiterung wird in Windows 11 entfernt. Geschützte Administratoren müssen der Erweiterung von Berechtigungen immer zustimmen, um zu verhindern, dass Malware unbemerkt im Hintergrund Aktionen ausführt, von denen der Benutzer sonst möglicherweise nichts mitbekommt.

Einschränkungen des Administrator-Schutzes

Der Administrator-Schutz in Windows 11 weist einige Einschränkungen auf.

Mehr Aufforderungen zur Berechtigungserweiterung

Da die automatische Berechtigungserweiterung entfernt wird, werden geschützte Administratoren (PA) mehr Aufforderungen zur Berechtigungserweiterung sehen. Wenn ein PA etwas tun muss, das zuvor automatisch mit erhöhten Rechten ausgeführt wurde, wie z. B. eine systemweite Änderung in der App "Einstellungen", wird er bei aktivierter Administrator-Schutzfunktion zur Zustimmung aufgefordert. Für die meisten Benutzer sollte es jedoch nicht notwendig sein, systemweite Einstellungen häufig zu ändern, sobald ihr Gerät einmal konfiguriert ist.

Separates Benutzerprofil

Der Administrator-Schutz führt zu einem separaten Benutzerprofil, in dem PAs Dateien speichern oder benutzerdefinierte Einstellungen vornehmen können. Wenn dieselbe Anwendung oder derselbe Prozess ohne erweiterte Berechtigungen ausgeführt wird, haben PAs keinen Zugriff auf Dateien und Einstellungen, da diese in einem separaten Benutzerprofil gespeichert sind.

Benutzer könnten gezwungen sein, Apps häufiger mit erweiterten Berechtigungen auszuführen, um einen Wechsel zwischen Benutzerprofilen zu vermeiden und einen konsistenten Zugriff auf Dateien und Konfigurationseinstellungen zu gewährleisten. Microsoft weist Entwickler darauf hin, dass Anwendungen im Benutzermodus ausgeführt werden sollten, damit sie keine Administratorrechte benötigen..

Wichtig ist, den Unterschied zwischen einem PA und einem Standardbenutzerkonto zu verstehen – letzteres hat Microsoft schon immer zur Verwendung empfohlen. Viele Unternehmen verstehen diesen Unterschied jedoch nicht und nutzen ein PA, das bei der Einrichtung von Windows 11 als Standardkonto verwendet wird.

Ob Sie sich für ein PA oder ein Standardbenutzerkonto entscheiden, hängt von der beruflichen Funktion des Benutzers ab. Entwickler benötigen wahrscheinlich immer Administratorzugriff auf ihre Geräte. Anwendungen wie Visual Studio Code und andere Tools erfordern Administratorzugriff auf das Betriebssystem für die Fehlersuche usw., sodass der Administratorschutz dazu beiträgt, Entwickler in Situationen zu schützen, in denen Endpoint Privilege Management nicht praktikabel ist.