Mobile-Menu

Der Generalschlüssel für Administratoren hat ausgedient Windows 11 vergibt Adminrechte nur noch pro Vorgang

Von Thomas Joos 8 min Lesedauer

Windows 11 24H2 und 25H2 bringen den Administrator­schutz mit, doch ab Werk bleibt er abgeschaltet. Wer ihn einschaltet, nimmt Administratoren die Dauerrechte, denn Windows vergibt erhöhte Rechte nur noch pro Vorgang. Entscheidend ist die Vorarbeit: Die IT muss klären, wer danach noch Adminrechte braucht.

Dauerhafte Adminrechte sind für Angreifer ein Geschenk. Windows 11 vergibt sie künftig nur noch pro Vorgang, die IT klärt vorab, wer sie überhaupt noch braucht.(Bild: © sahanaj - stock.adobe.com)
Dauerhafte Adminrechte sind für Angreifer ein Geschenk. Windows 11 vergibt sie künftig nur noch pro Vorgang, die IT klärt vorab, wer sie überhaupt noch braucht.
(Bild: © sahanaj - stock.adobe.com)

Meldet sich ein Administrator unter der bisherigen Benutzerkontensteuerung (UAC) an, hält Windows für die ganze Sitzung ein vollwertiges Admin-Token bereit. Den Diebstahl von Anmeldetoken schätzt Microsoft im Digital Defense Report 2024 auf 39.000 Fälle täglich. Mit KB5120998 vom 27.08.2026 liefert der Hersteller Administrator Protection aus, in der deutschen Oberfläche Administrator­schutz. Unternehmen sollten mit dem Einschalten zugleich klären, welche Konten danach noch Adminrechte brauchen.

Bildergalerie

Die alte UAC teilt ein Profil zwischen zwei Token

Bisher erhält ein Mitglied der lokalen Gruppe Administratoren beim Anmelden zwei Token. Im vollen Token ist die Administratorengruppe aktiviert, im eingeschränkten Token steht sie auf "DenyOnly" und zählt dort nur für Verweigerungen. Startet der Anwender ein Programm mit erhöhten Rechten, greifen beide Token auf dasselbe Benutzerprofil zu, samt Ordnern und Registry-Zweig HKCU.

Weiterführende Inhalte