Team Data GmbH - IT-Systemhaus Osnabrück Logo
WhatsApp
0541 50798808
Fernwartung

Windows LAPS: lokale Admin-Kennwörter automatisch verwalten

Kurz gesagt: Windows LAPS ist in Windows 11, Windows 10 mit dem Update vom 11.04.2023 und aktuellen Windows-Server-Versionen bereits eingebaut und kostet nichts extra. Es vergibt für das lokale Administratorkonto auf jedem Gerät ein eigenes Kennwort, wechselt es regelmäßig und speichert es im Active Directory oder in Microsoft Entra ID. Du brauchst nur eine Richtlinie per Gruppenrichtlinie oder Intune.

Stand: 03.11.2026

Warum lokale Admin-Kennwörter ein Risiko sind

In vielen Firmennetzen hat das lokale Administratorkonto auf allen PCs dasselbe Kennwort. Microsoft beschreibt genau das als Einfallstor: Gelangt ein Angreifer an dieses eine Kennwort, kann er sich damit von Gerät zu Gerät bewegen. Windows LAPS schließt diese Lücke, indem jedes Gerät ein eigenes, regelmäßig wechselndes Kennwort bekommt, das sicher gespeichert wird und nur von berechtigten Administratoren abgerufen werden kann.

Laut Microsoft schützt das gegen Pass-the-Hash- und Lateral-Movement-Angriffe, verbessert die Sicherheit bei Fernwartung durch den Helpdesk und hilft, Geräte wiederherzustellen, an die man sonst nicht mehr herankommt.

Du kommst nicht weiter? Wir übernehmen das für dich, meist per Fernwartung. Ruf an: 0541 507 988 08, schreib uns oder buch ein Erstgespräch.

Welche Voraussetzungen gelten?

  • Clients: Windows 11 ab 23H2 sowie Windows 11 und Windows 10 mit dem Update vom 11.04.2023 oder neuer. Windows 10 ist seit dem 14.10.2025 ohne Support, LAPS läuft dort nur weiter, solange das Gerät Updates bekommt, etwa über ESU.
  • Server: Windows Server 2025 sowie Windows Server 2022 und 2019 mit dem Update vom 11.04.2023 oder neuer.
  • Lizenz: Windows LAPS selbst ist kostenlos. Für die Sicherung im Active Directory brauchst du keine weitere Lizenz, für Microsoft Entra ID reicht Entra ID Free.
  • Speicherort: Nur in Entra eingebundene Geräte sichern nach Entra ID, nur in der Domäne eingebundene nach Active Directory. Hybride Geräte können eines von beiden nutzen, aber nicht beides gleichzeitig.

Das alte Microsoft LAPS (Legacy) ist ab Windows 11 23H2 abgekündigt, neuere Windows-Versionen blockieren die Installation des alten MSI-Pakets. Für Neueinführungen nimmst du deshalb das eingebaute Windows LAPS.

Wie richte ich Windows LAPS mit Active Directory ein?

Die Grundschritte laut Microsoft, ausgeführt in der PowerShell mit dem LAPS-Modul:

  1. Schema erweitern: Update-LapsADSchema einmalig für die gesamte Gesamtstruktur ausführen.
  2. Geräten Schreibrecht geben: Set-LapsADComputerSelfPermission -Identity <OU> auf der Organisationseinheit mit den Computern ausführen, damit die Geräte ihr Kennwort selbst aktualisieren dürfen.
  3. Leserechte festlegen: Mit Set-LapsADReadPasswordPermission einer Gruppe erlauben, die Kennwörter abzurufen. Domänen-Admins haben dieses Recht bereits.
  4. Richtlinie verteilen: Über die Windows-LAPS-Gruppenrichtlinie mindestens BackupDirectory auf den Wert für Active Directory setzen. Ohne Angabe von AdministratorAccountName verwaltet LAPS das eingebaute lokale Administratorkonto.
  5. Prüfen: LAPS verarbeitet die Richtlinie stündlich. Mit Invoke-LapsPolicyProcessing startest du das sofort. Im Ereignisprotokoll bestätigt die Ereignis-ID 10018 die erfolgreiche Aktualisierung im AD.
  6. Kennwort abrufen: Get-LapsADPassword -Identity <Computername> -AsPlainText.

Hat deine Domäne mindestens die Funktionsebene 2016, kannst du die Kennwörter im AD verschlüsselt speichern. Darunter sind sie nur im Klartext gespeichert und über Zugriffsrechte geschützt. Für eine sofortige Rotation, etwa nach einem Sicherheitsvorfall, gibt es Reset-LapsPassword auf dem Gerät oder Set-LapsADPasswordExpirationTime im AD.

Wie richte ich Windows LAPS mit Intune ein?

Für Geräte in Microsoft Entra ID muss LAPS zuerst in Microsoft Entra aktiviert sein. Danach legst du die Richtlinie in Intune an:

  1. Im Microsoft Intune Admin Center zu Endpunktsicherheit (Endpoint security), Kontoschutz (Account protection) gehen und Richtlinie erstellen (Create Policy) wählen.
  2. Plattform Windows, Profil Local admin password solution (Windows LAPS) wählen, dann Erstellen.
  3. Name und Beschreibung vergeben.
  4. Unter Backup Directory festlegen, wohin gesichert wird. Der Speicherort muss zur Art passen, wie das Gerät eingebunden ist.
  5. Die Richtlinie Gerätegruppen zuweisen, nicht Benutzergruppen. Microsoft empfiehlt eine einzige LAPS-Richtlinie pro Gerät, um Konflikte zu vermeiden.
  6. Mit Überprüfen + erstellen abschließen.

Das Kennwort siehst du anschließend unter Geräte, Alle Geräte, Gerät auswählen, unter Überwachen Local admin password. Dort kannst du auch manuell rotieren. Jeder Abruf wird protokolliert.

Welche Standardwerte solltest du kennen?

Ohne eigene Einstellung wechselt LAPS das Kennwort nach 30 Tagen und erzeugt 14 Zeichen. Möglich sind 1 bis 365 Tage, bei Sicherung in Entra ID mindestens 7 Tage, und 8 bis 64 Zeichen.

So unterstützen wir dich

Wir führen Windows LAPS für Unternehmen in Osnabrück und Umgebung ein, im lokalen Active Directory wie über Intune, und räumen dabei gleich auf, wer überhaupt lokale Adminrechte braucht. Weiter entfernte Kunden betreuen wir per Fernwartung. Mehr dazu auf unserer Seite zu IT-Sicherheit für Unternehmen.

Häufige Fragen

Muss ich Windows LAPS installieren?

Nein. Windows LAPS ist in den unterstützten Windows- und Windows-Server-Versionen bereits eingebaut. Das alte Legacy-LAPS brauchst du nicht.

Kann ich Kennwörter in AD und Entra ID gleichzeitig sichern?

Nein. Microsoft erlaubt pro Gerät nur einen Speicherort.

Legt LAPS ein neues Administratorkonto an?

Nein. LAPS verwaltet ein vorhandenes Konto. Ein eigenes Admin-Konto musst du vorher selbst anlegen.

Wer kann die Kennwörter sehen?

Im AD Domänen-Admins und die Gruppen, denen du Leserechte gibst. In Entra ID braucht es eine passende Rolle, etwa Cloud Device Administrator (Cloudgeräteadministrator).

Quellen