Windows 11 24H2 und 25H2 – Adminrechte nur noch bei Bedarf

Windows 11 24H2 und 25H2 enthalten den Administratorschutz, standardmäßig ist er jedoch ausgeschaltet. Wird er aktiviert, vergibt Windows erhöhte Rechte nur noch für einzelne Vorgänge statt für die gesamte Sitzung. Damit ändert sich nicht nur eine Sicherheitseinstellung: Unternehmen müssen auch klären, welche Personen und Arbeitsabläufe weiterhin erhöhte Rechte benötigen.

Der Unterschied liegt in der Dauer der Berechtigung

Bei der bisherigen Benutzerkontensteuerung erhält ein Mitglied der lokalen Administratorengruppe laut der Meldung bei der Anmeldung zwei Token: ein eingeschränktes und ein vollständiges. Startet die Person ein Programm mit erhöhten Rechten, greifen beide Token auf dasselbe Benutzerprofil zu. Dazu gehören auch die persönlichen Ordner und der Registry-⁠Zweig HKCU.

Der Administratorschutz setzt an diesem Modell an. Ist er eingeschaltet, soll Windows erhöhte Rechte nicht dauerhaft für die Sitzung bereithalten, sondern nur für den jeweiligen Vorgang vergeben. Das ist eine Änderung daran, wie lange privilegierte Rechte verfügbar sind. Sie beseitigt nicht die Aufgaben, für die Mitarbeitende oder Administratoren solche Rechte tatsächlich benötigen.

Microsoft liefert den Administratorschutz mit KB5120998 aus. Die Funktion ist in Windows 11 24H2 und 25H2 enthalten, bleibt laut Meldung aber ab Werk deaktiviert. Die bloße Verfügbarkeit auf einem Gerät bedeutet deshalb noch nicht, dass dort bereits das geänderte Berechtigungsmodell gilt.

Erst Rollen und Arbeitsabläufe erfassen

Wir würden die Funktion nicht einschalten, bevor klar ist, wer im Unternehmen administrative Aufgaben erledigt und welche Abläufe davon abhängen. Ein Gruppenmitgliedschaftsverzeichnis allein beantwortet diese Frage nicht: Es zeigt, wer Rechte besitzt, aber nicht zwingend, wann und wofür sie im Alltag gebraucht werden.

Sinnvoll ist eine Bestandsaufnahme aus zwei Blickwinkeln. Auf der einen Seite stehen die Personen und Konten mit Administratorrechten. Auf der anderen Seite stehen die Tätigkeiten, bei denen tatsächlich eine Erhöhung angefordert wird. Dazu können wiederkehrende Wartungsaufgaben oder Änderungen an verwalteten Geräten gehören. Welche konkreten Anwendungen und Abläufe betroffen sind, hängt von der jeweiligen Umgebung ab und sollte dort geprüft werden, statt es aus der Funktion abzuleiten.

So lässt sich unterscheiden, ob Rechte für eine klar abgegrenzte Aufgabe gebraucht werden oder ob sie lediglich dauerhaft bestehen, weil sie einmal eingerichtet wurden. Gerade diese Unterscheidung ist für die Einführung entscheidend: Eine technische Einstellung kann überflüssige Berechtigungen begrenzen, aber sie ersetzt keine saubere Zuordnung von Zuständigkeiten.

Einführung als Änderung am Betriebsablauf behandeln

Planen Sie die Aktivierung daher wie eine Änderung, die den Arbeitsalltag berühren kann. Prüfen Sie die üblichen administrativen Tätigkeiten mit den betroffenen Rollen und Konten. Wichtig ist dabei nicht nur, ob eine Rechteanforderung erscheint, sondern auch, ob die Aufgabe anschließend wie vorgesehen erledigt werden kann. Halten Sie fest, welche Abläufe geprüft wurden und wer für ihre Freigabe zuständig ist.

Beziehen Sie auch den Support ein. Wenn eine Person bei einer Aufgabe plötzlich eine Berechtigung benötigt, muss sie wissen, an wen sie sich wendet und wie die Freigabe erfolgt. Andernfalls entsteht leicht ein neuer Umweg: Nutzer melden sich mit einem privilegierten Konto an oder erhalten wieder umfassendere Rechte, nur damit ein Arbeitsablauf weitergeht. Das würde den Zweck einer gezielteren Rechtevergabe unterlaufen.

Für die IT ist außerdem wichtig, Ausnahmen nicht stillschweigend zur Regel werden zu lassen. Wird ein zusätzlicher Bedarf sichtbar, sollte er einer konkreten Aufgabe und einer verantwortlichen Rolle zugeordnet werden. So bleibt nachvollziehbar, weshalb erhöhte Rechte nötig sind und ob der Bedarf weiterhin besteht.

Weniger Dauerrechte sind kein Ersatz für Berechtigungsmanagement

Der Administratorschutz ist deshalb kein Schalter, der die Prüfung lokaler Administratoren überflüssig macht. Er verändert, wann Windows erhöhte Rechte bereitstellt. Wer in einer Umgebung Konten mit Administratorrechten nicht regelmäßig auf ihren tatsächlichen Bedarf prüft, löst dieses organisatorische Problem durch die Aktivierung allein nicht.

Umgekehrt sollte eine nötige administrative Aufgabe nicht einfach blockiert werden, weil eine neue Einstellung aktiv ist. Entscheidend ist, den legitimen Bedarf zu erkennen und den Ablauf dafür bewusst festzulegen, statt pauschal allen Beteiligten dauerhafte Rechte zu lassen. Das ist eine pragmatische Abwägung: weniger unnötige Privilegien, ohne den geregelten Betrieb von Geräten zu behindern.

Der passende nächste Schritt ist daher keine ungeprüfte Aktivierung auf allen Geräten, sondern eine kontrollierte Erprobung mit den Rollen und Arbeitsabläufen, die tatsächlich administrative Tätigkeiten ausführen. Erst wenn diese Abläufe geprüft und Zuständigkeiten geklärt sind, sollte der Administratorschutz gezielt eingeschaltet werden.

Quellen: Security-⁠Insider – „Windows 11 vergibt Adminrechte nur noch pro Vorgang“ (https://www.security-insider.de/administrator-protection-windows-11-25h2-a-20f3a040fad436c0e1c5ce7a502796ca/)