Was ist ein Administratorkonto?
Ein Administratorkonto ist ein Benutzerkonto mit weitreichenden Rechten, das Programme installieren und Sicherheitseinstellungen ändern darf und deshalb nur für diese Aufgaben benutzt werden sollte.
Ohne Fachbegriffe, für Betriebe ohne eigene IT.
Auf dieser Seite5 Abschnitte
Einfach erklärt
Ein Administratorkonto darf alles: Programme installieren, Benutzer anlegen, Sicherheitseinstellungen ändern. Es ist der Generalschlüssel Ihrer IT. Den trägt man nicht den ganzen Tag am Schlüsselbund. Man holt ihn nur, wenn eine Tür aufgeschlossen werden muss, die sonst zu bleibt.
Warum getrennte Konten
Wer im Alltag mit Administratorrechten arbeitet, gibt diese Rechte an jede Mail und jede Website weiter, die er öffnet. Ein Anhang mit Schadsoftware kann dann den ganzen Rechner übernehmen und Schutzprogramme abschalten. Deshalb gilt: ein normales Konto für E-Mail, Internet und Büroarbeit, ein getrenntes Administratorkonto nur für Einrichtung und Wartung. Das BSI zählt getrennte Administratorkonten zu seinen zehn wichtigsten Maßnahmen gegen Ransomware.
Das Notfallkonto
Für Microsoft 365 und andere Cloud-Dienste gehört ein Notfallkonto dazu. Das ist ein Administratorzugang, der im Alltag nie benutzt wird und an keiner einzelnen Person hängt. Es hilft, wenn sich alle anderen Administratoren ausgesperrt haben, etwa durch eine falsch gesetzte Regel. Microsoft empfiehlt mindestens zwei solche Konten, geschützt etwa mit einem Sicherheitsschlüssel, der sicher verwahrt wird.
Was Sie tun können
- Fragen Sie Ihren IT-Dienstleister, wer bei Ihnen Administratorrechte hat. Die Liste sollte kurz sein. Für die höchste Rolle in Microsoft 365 empfiehlt Microsoft weniger als fünf Personen.
- Lassen Sie Alltagskonten auf normale Rechte setzen, auch Ihr eigenes.
- Klären Sie, wo das Notfallkonto liegt und wer es öffnen darf.
Auch die Selbstauskunft im IT-Sicherheitscheck fragt nach getrennten Konten.
Achtung: Wer Microsoft 365 einrichtet, bekommt automatisch die höchste Rolle, den „Globalen Administrator“. Wird dieses Konto danach als tägliches Postfach weitergenutzt, arbeitet jemand jeden Tag mit dem Generalschlüssel.
Was ein getrenntes Konto nicht ersetzt
Auch das Administratorkonto braucht einen zweiten Faktor, besser einen Passkey. Getrennte Konten nützen außerdem wenig, wenn beide dasselbe Passwort haben.
Trennung und Ebenen
- Getrennte Identitäten: persönliches Alltagskonto, persönliches Administratorkonto, keine geteilten Admin-Kennungen. ORP.4.A1 (IT-Grundschutz, Edition 2023) verlangt eindeutig zugeordnete Kennungen und das Deaktivieren nicht benötigter Standard-Administratorkennungen. ORP.4.A10 verlangt Mehr-Faktor-Authentisierung für Kennungen mit weitreichenden Berechtigungen.
- Cloud-Rollen an Cloud-Konten: Microsoft rät, Entra-Rollen nicht an Konten zu vergeben, die aus dem lokalen Active Directory synchronisiert werden.
- Just in time: Mit Privileged Identity Management (PIM) werden Rollen nur auf Antrag und befristet aktiv. PIM setzt Microsoft Entra ID P2 oder ID Governance voraus.
- Lokale Administratoren: Windows LAPS verwaltet und rotiert das Passwort des lokalen Administratorkontos je Gerät und sichert es in Entra ID oder Active Directory. Es ist seit den Updates vom 11. April 2023 in Windows enthalten.
Notfallkonten in Entra ID
Microsoft empfiehlt mindestens zwei Notfallkonten (Break Glass):
notfall-01@ihre-firma.onmicrosoft.com Globaler Administrator FIDO2-Schlüssel A, Tresor 1
notfall-02@ihre-firma.onmicrosoft.com Globaler Administrator FIDO2-Schlüssel B, Tresor 2
- reine Cloud-Konten unter
*.onmicrosoft.com, nicht föderiert, nicht synchronisiert, - Rolle dauerhaft aktiv, nicht nur berechtigt,
- Anmeldung per Passkey (FIDO2) oder Zertifikat, anders als bei den normalen Admin-Konten,
- ausgenommen von Richtlinien für bedingten Zugriff, die Anmeldungen blockieren oder einschränken,
- Warnung bei jeder Anmeldung, Funktionstest mindestens alle 90 Tage.
Seit Microsoft MFA für die Admin-Portale verlangt, gilt das auch für Notfallkonten.
Typische Fehler
- Zu viele globale Administratoren. Microsoft empfiehlt weniger als fünf. Ab fünf zeigt die Übersicht in Entra ID eine Warnkarte.
- Gleiches lokales Admin-Passwort auf allen Rechnern. Ein erbeutetes Passwort öffnet dann jedes Gerät. Genau das verhindert LAPS.
- Notfallkonto am Handy einer Person. Microsoft rät, Notfallkonten weder einzelnen Personen noch deren Telefonen zuzuordnen.
- Dienstkonten als Administratoren, weil es bei der Installation einfacher war.
Prüfen
Mitglieder der lokalen Administratorgruppe, unabhängig von der Systemsprache über die bekannte SID der Gruppe:
Get-LocalGroupMember -SID S-1-5-32-544
Unter macOS: dscl . -read /Groups/admin GroupMembership. In Entra ID: Admin Center > Entra ID > Rollen und Administratoren > Globaler Administrator.