Inhalt in Kürze
- Lokale Admin-Rechte sind das größte vermeidbare Risiko in der Endpunktsicherheit — Schadsoftware erbt die Rechte des angemeldeten Benutzers, und der Entzug ist die wirksamste Einzelmaßnahme dagegen.
- Endpoint Privilege Management (EPM) in Microsoft Intune lässt Mitarbeiter dauerhaft als Standardbenutzer arbeiten und hebt nur einzelne, per Richtlinie freigegebene Programme punktuell an — Sicherheit und Produktivität schließen sich nicht mehr aus.
- EPM kennt zwei Richtlinientypen (Einstellungen und Regeln) und mehrere Erhöhungstypen (automatisch, vom Benutzer bestätigt, vom Support genehmigt, verweigern). Jede Erhöhung wird protokolliert.
- EPM ist ein Add-on zu Intune Plan 1 — einzeln oder als Teil der Intune Suite lizenzierbar; in Microsoft 365 Business Premium nicht enthalten.
Wenn jeder Mitarbeiter lokaler Administrator auf seinem Rechner ist, hat jede Schadsoftware, jeder Phishing-Klick und jeder unbedachte Doppelklick dieselben Rechte wie der Mitarbeiter selbst: volle Kontrolle über das Gerät. Trotzdem laufen lokale Admin-Rechte in vielen mittelständischen Betrieben noch breit verteilt — weil der Entzug angeblich die Arbeit lahmlegt. Genau dieses Argument löst Endpoint Privilege Management in Microsoft Intune auf. Die Mitarbeiter arbeiten als Standardbenutzer, und nur die einzelnen Aktionen, die wirklich erhöhte Rechte brauchen, werden gezielt und nach Regel freigegeben.
Warum lokale Admin-Rechte das größte vermeidbare Risiko sind
Ein lokaler Administrator kann Schutzsoftware deaktivieren, Treiber tauschen, beliebige Software installieren und Systemeinstellungen ändern. Das Problem dabei: Schadsoftware erbt exakt die Rechte des angemeldeten Benutzers. Ist der Benutzer lokaler Administrator, ist es im Ernstfall auch der Angreifer — und flächig verteilte Administratorrechte machen Rechteausweitung und seitliche Ausbreitung im Netzwerk erst leicht möglich.
Wie groß dieser Hebel ist, zeigt der Microsoft Vulnerabilities Report von BeyondTrust: Die Kategorie „Erhöhung von Berechtigungen” bleibt mit rund 40 Prozent aller erfassten Microsoft-Schwachstellen das größte Sicherheitsrisiko, nachzulesen in der Auswertung von IT-Administrator zu den Windows-Schwachstellen. Auch das BSI empfiehlt in seinen Basisschutz-Empfehlungen zu Benutzerkonten ausdrücklich, das Arbeiten mit Administratorrechten zu vermeiden und sich stattdessen als normaler Benutzer anzumelden.
Der Entzug der lokalen Admin-Rechte ist also die wirksamste Einzelmaßnahme — er scheitert in der Praxis aber regelmäßig am Produktivitäts-Argument. Genau hier setzt Endpoint Privilege Management an.
Das Prinzip von Endpoint Privilege Management
Mit Endpoint Privilege Management arbeiten Nutzer als Standardbenutzer ohne lokale Administratorrechte und führen nur einzelne Aufgaben mit erhöhten Rechten aus. Das ist der Kern: Der Standardbenutzer ist der Default, nicht die Ausnahme. Nur die Programme oder Skripte, die wirklich höhere Berechtigungen brauchen, werden punktuell und nach IT-Vorgabe erhöht — eine Just-in-Time-Rechteerweiterung statt dauerhafter Vollrechte.
Technisch sauber gelöst: EPM nutzt für die meisten Erhöhungstypen ein isoliertes virtuelles Konto. Keines dieser Konten wird der lokalen Administratorgruppe des Windows-Geräts hinzugefügt. Der Benutzer bekommt also nicht heimlich doch ein Administratorkonto — die Erhöhung bleibt auf die eine freigegebene Aktion begrenzt. Damit ist EPM ein praktischer Baustein einer Zero-Trust-Strategie: Eine breite Benutzerbasis arbeitet mit den geringsten Rechten, ausgewählte Aufgaben werden nur bei Bedarf erweitert. Diese Details dokumentiert Microsoft in der offiziellen EPM-Übersicht auf Microsoft Learn.
Die zwei Richtlinientypen in Intune
EPM steuert sich über zwei Richtlinientypen im Intune Admin Center — die saubere Trennung von „wie verhält sich der Client” und „was darf erhöht werden” ist der Schlüssel für eine wartbare Konfiguration.
Richtlinie für Rechteerweiterungseinstellungen
Die Rechteerweiterungseinstellungen (Elevation settings policy) steuern den EPM-Client selbst: die Berichtsebene und das Standardverhalten bei Erhöhungen. Mit dieser Richtlinie wird der EPM-Client automatisch auf den zugewiesenen Windows-Geräten installiert. Ohne sie passiert nichts — sie ist die Voraussetzung dafür, dass EPM auf dem Gerät überhaupt aktiv wird.
Richtlinie für Rechteerweiterungsregeln
Die Rechteerweiterungsregeln (Elevation rules policy) definieren pro Programm oder Skript, ob und wie erhöht wird. Das Targeting ist präzise: über Dateiname, Pfad, Dateihash und Herausgeberzertifikat. Unterstützt werden ausführbare Dateien (.exe), Windows-Installer-Dateien (.msi) und PowerShell-Skripte (.ps1). So lässt sich exakt festlegen, dass etwa ein bestimmtes Branchenprogramm erhöht werden darf — eine umbenannte oder manipulierte Datei aber nicht.
Die Erhöhungstypen, die über Sicherheit und Komfort entscheiden
Welcher Erhöhungstyp pro Regel gewählt wird, entscheidet über die Balance aus Sicherheit und Komfort. Genau hier liegt die eigentliche Steuerungsarbeit — und der häufigste Fehler ist, aus Bequemlichkeit pauschal alles automatisch zu erhöhen.
| Erhöhungstyp | Was passiert | Wann sinnvoll |
|---|---|---|
| Automatisch | Programm wird ohne Nutzereingabe erhöht | Geprüfte, häufige Aktionen — mit Bedacht einsetzen |
| Vom Benutzer bestätigt | Nutzer wählt „Mit erhöhtem Zugriff ausführen”, bestätigt per Authentifizierung oder geschäftlicher Begründung | Standardfall für die meisten berechtigten Programme |
| Vom Support genehmigt | Nutzer stellt eine Anforderung, ein Administrator gibt frei | Sonderfälle, Einzelinstallationen, Sicherheitsnetz |
| Verweigern | Datei wird gezielt von der Erhöhung ausgeschlossen | Gegen bekannte Risiko-Software |
Der Typ „vom Benutzer bestätigt” ist in der Praxis der Arbeitspferd-Modus: Der Endnutzer nutzt das Kontextmenü „Mit erhöhtem Zugriff ausführen”, und der Administrator kann zusätzlich eine Authentifizierung oder eine geschäftliche Begründung verlangen. Das schafft Reibung genau dort, wo sie sinnvoll ist — der Nutzer wird kurz zum Nachdenken gezwungen, ohne dass die IT jeden einzelnen Vorgang freischalten muss.
Wer EPM nur einführt, um dann reflexartig jedes lästige Programm auf „automatisch" zu stellen, baut die Vollrechte durch die Hintertür wieder ein. Eine automatische Erhöhung gehört ausschließlich auf geprüfte, signierte und häufig benötigte Anwendungen — niemals als bequeme Sammel-Lösung. Im Zweifel ist „vom Benutzer bestätigt" die richtige Wahl.
Lizenz und Voraussetzungen
Endpoint Privilege Management ist eine Add-on-Lizenz neben Microsoft Intune Plan 1 und kann alternativ als Teil der Microsoft Intune Suite lizenziert werden. Intune Plan 1 ist die Basis — und in vielen Microsoft-365-Plänen bereits enthalten. EPM gilt für Windows-Geräte.
Für KMU besonders wichtig: In Microsoft 365 Business Premium ist EPM nicht enthalten. Wer also seine Mitarbeiter über Business Premium lizenziert hat und glaubt, EPM sei „schon dabei”, irrt. Hier braucht es das EPM-Add-on oder ein Upgrade in Richtung Intune Suite. Den genauen Listenpreis und die Bundle-Optionen führt Microsoft auf der Seite zu den Intune-Plänen und -Preisen — die konkrete Euro-Zahl hängt vom Vertragsmodell und Reseller ab und sollte vor einer Entscheidung über die aktuelle Microsoft-Preisliste verifiziert werden. Wer ohnehin bereits mit Intune und Autopilot Geräte automatisiert einrichtet, hat die Basis dafür meist schon gelegt.
Das Lizenzmodell von Microsoft 365 ist so vielseitig und umfangreich, dass es wirklich für jeden einzelnen Benutzer die entsprechende Lizenz gibt.
Dennis KreftMicrosoft 365 & Cloud-Experte
Genau diese Vielfalt ist Chance und Falle zugleich: Sie zahlen schnell für Funktionen doppelt oder vermissen eine wie EPM, die nicht im gebuchten Plan steckt. Eine saubere Lizenzaufnahme vor dem Projekt erspart böse Überraschungen.
Audit und Reporting als Entscheider-Argument
Für Geschäftsführer ist das stärkste EPM-Argument nicht die Technik, sondern die Nachvollziehbarkeit. Intune protokolliert jede Rechteerweiterung mit detaillierten Metadaten und liefert dafür zwei getrennte Berichte:
- Verwaltete Rechteerweiterungen. Alle Erhöhungen, die über EPM-Regeln gesteuert wurden — sauber dokumentiert, mit Programm, Gerät und Benutzer.
- Nicht verwaltete Rechteerweiterungen. Die klassischen „Als Administrator ausführen"-Aktionen, die noch außerhalb von EPM passieren — also der Blindbereich, den Sie schließen wollen.
- Datenbasis für den Entzug. Aus beiden Berichten lesen Sie ab, welche Programme wirklich Admin-Rechte brauchen — und können den Entzug der lokalen Admin-Rechte faktenbasiert vorbereiten statt auf Verdacht.
Damit wird aus einer Bauchentscheidung („Können wir den Leuten die Rechte überhaupt nehmen?”) eine messbare: Sie sehen schwarz auf weiß, welche Erhöhungen heute tatsächlich stattfinden — und welche davon je eine Regel brauchen.
Der Unterschied zum alten „Arbeiten ohne Admin-Rechte”
Früher hieß Admin-Entzug fast immer Reibung: jede Installation ein Ticket, jeder Drucker ein Anruf, jedes Update ein Helpdesk-Vorgang. Aus dieser Erfahrung speist sich der Reflex „das legt uns lahm”. EPM dreht das um. Der Entzug bleibt — aber die berechtigten Ausnahmen laufen regelbasiert und nachvollziehbar, nicht über den genervten Admin am Telefon.
Der Unterschied zur alten Pauschalempfehlung „nehmt den Leuten einfach die Rechte weg” ist die kontrollierte, dokumentierte Elevation statt eines starren Verbots. Ergänzend kümmert sich in Microsoft-Entra-ID-Umgebungen die LAPS-Funktion (Local Administrator Password Solution) um das eingebaute lokale Administratorkonto, dessen Passwort automatisch und einzigartig pro Gerät verwaltet wird. EPM und LAPS adressieren also zwei verschiedene Ebenen: EPM die tägliche Arbeit der Mitarbeiter, LAPS den Notfall- und Wartungszugang. Wie das im Detail funktioniert, beschreiben wir auch im Beitrag, warum Sie ohne Admin-Rechte auf Ihren PCs arbeiten sollten.
Wie ein Managed-IT-Partner EPM einführt
EPM scheitert selten an der Technik, sondern an der Reihenfolge. Wer am ersten Tag allen die Rechte entzieht und parallel ein leeres Regelwerk hat, produziert genau das Ticket-Chaos, das alle befürchten. Der saubere Weg läuft anders herum.
- Erst Monitoring. EPM-Client und Einstellungs-Richtlinie ausrollen, dann beobachten: Welche Erhöhungen passieren heute, welche Programme brauchen wirklich Rechte? Die Reporting-Daten liefern die Antwort.
- Regelwerk bauen. Für die berechtigten Programme gezielte Regeln anlegen — nach Herausgeberzertifikat und Hash, nicht pauschal alles auf automatisch. Risiko-Software wird per „Verweigern" ausgeschlossen.
- Rechte schrittweise entziehen. Lokale Admin-Rechte gruppenweise entfernen und parallel die Elevation-Regeln pflegen — so merkt der Anwender den Unterschied kaum.
- Sicherheitsnetz spannen. Den Erhöhungstyp „vom Support genehmigt" für Sonderfälle bereithalten, damit niemand bei einem echten Einzelfall blockiert ist.
Stellen Sie sich vor: Sie packen einen neuen Laptop aus, schalten ihn ein — und er konfiguriert sich komplett selbst. Alle Apps, alle Einstellungen, alle Sicherheitsrichtlinien. Das geht heute mit Microsoft 365 und Intune.
Jens HagelGründer, hagel IT-Services GmbH
Genau in diese Logik gehört der Admin-Entzug: Die Sicherheitsrichtlinie, die festlegt „dieser Benutzer ist Standardbenutzer”, wird mit dem Gerät zentral ausgerollt — nicht manuell auf jedem Rechner gefrickelt. Das ist Teil unserer Managed IT Services zum Festpreis und unseres Modern Workplace mit Microsoft 365.
Aus der Praxis
Der Admin-Entzug ist eine der wenigen Maßnahmen, die viel bringen und wenig kosten — und trotzdem aufgeschoben werden. Nicht aus Technik-Gründen, sondern aus Sorge vor dem Aufstand der Belegschaft.
Wir wären ein leichtes Opfer — das weiß ich. Da hätte ich gerne einen verlässlichen Partner, der davon mehr versteht als ich als Laie.
Genau dafür ist der datenbasierte Weg da: Erst zeigt das Reporting, welche Programme heute überhaupt Rechte ziehen, dann entziehen wir die lokalen Admin-Rechte gruppenweise — bei vielen Betrieben merkt am Ende kaum jemand den Unterschied, weil die berechtigten Programme weiter laufen. Wer den Status seiner Endpunkte zuerst messen will, startet sinnvoll mit unserem Endpoint-Security-Check. Das passt zu den allgemeinen Grundlagen zur Verbesserung der IT-Sicherheit und ergänzt eine gehärtete Microsoft-365-Sicherheit. Betriebe mit eigener IT-Abteilung holen sich den EPM-Aufbau gezielt über Co-Managed IT dazu.
Ihr nächster Schritt
Der schnellste Weg von „verteilte Vollrechte” zu „kontrolliertem Standardbenutzer” beginnt mit einem Monitoring-Lauf: Wir machen sichtbar, welche Erhöhungen heute tatsächlich passieren und welche Programme echte Admin-Rechte brauchen. Darauf bauen wir ein sauberes EPM-Regelwerk und entziehen die lokalen Admin-Rechte schrittweise — ohne Ticket-Chaos, für Unternehmen in Hamburg und ganz Norddeutschland. Mehr zu unserem Heimatmarkt finden Sie unter IT-Service Hamburg, einen Gesamtüberblick gibt die Startseite von hagel IT.
Lokale Admin-Rechte entziehen, ohne den Arbeitsalltag auszubremsen.
15 Minuten, kostenlos, ohne Vertriebsdruck. Wir sehen uns Ihre Endpunkte und Intune-Umgebung an und sagen Ihnen, wie der Admin-Entzug bei Ihnen ohne Reibung läuft.
Erstgespräch buchen →
