So konfigurieren Sie Ihren Windows 11-PC für den Administratorschutz

Vorgestelltes Bild: Windows 11 Administratorschutzfunktion.

In den letzten Jahren wurden Windows-Administratorkonten zunehmend von Malware-Autoren und Anmeldeinformationen-Dieben ins Visier genommen. Um die bestehenden Bedrohungen zu bekämpfen, führt Windows 11 eine Administratorschutzfunktion ein. Sie bietet „just-in-time“ erhöhte Bescheinigungen für Benutzer auf der Grundlage von Windows Hello-Tokens. Hier erfahren Sie, wie Sie sie auf Ihrem Windows 11-PC konfigurieren, sobald sie verfügbar ist.

Was ist Administratorschutz in Windows 11

Der Administratorschutz ist eine Sicherheitsfunktion in Windows 11, die die Sicherheit Ihres Geräts über die Benutzerzugriffskontrolle (UAC) hinaus schützt. Anstatt einem Admin-Benutzer uneingeschränkte Berechtigungen zu gewähren, erzeugt das System temporäre, isolierte Tokens. Nachdem Ihre Administratoraufgabe abgeschlossen ist, wird das Token zerstört. Ab Mai 2025 ist die Funktion in der allgemeinen Windows 11-Version nicht verfügbar.

Die Tokens authentifizieren sich über Windows Hello und sind für den Benutzer unsichtbar, der nur eine Windows Hello-PIN oder biometrische Daten sieht. Um Missbrauch zu verhindern, existieren sie nur für die Dauer einer einzelnen Admin-Anfrage. So kann die Malware keine Änderungen an Ihrem Gerät vornehmen, da sie nicht auf die versteckte Schicht unter Windows-Sicherheit zugreifen kann.

Zugriff auf eine Administratorebene über die Windows Hello-PIN im Rahmen des Administratorschutzes.

Jede Administratoroperation muss separat über die Zwei-Faktor-Authentifizierung in Windows Hello autorisiert werden. Selbst wenn Sie der privilegierteste Benutzer in einem Netzwerk sind, weist Ihnen das System jetzt die niedrigste privilegierte Zugriffsebene zu. Dies fügt eine robuste Sicherheitsstufe gegen diebstahl von Anmeldeinformationen hinzu, wie etwa Windows NTLM-Bedrohungen.

Hinweis: Die Administratorschutzfunktion ist für Windows 10-Benutzer nicht verfügbar, da sie Zugriff auf das Trusted Platform Module (TPM) erfordert.

So aktivieren Sie den Administratorschutz auf Ihrem Windows 11-Gerät

Die Funktion wird schrittweise an alle Windows 11-Nutzer (Home/Pro usw.) in der Version 27774 und später verteilt. Überprüfen Sie Einstellungen -> System -> Info -> Windows-Spezifikationen -> OS-Build. Derzeit ist sie in der Insider Canary-Version verfügbar, daher müssen Sie Ihre Windows 11-Updates regelmäßig überprüfen.

Um den Administratorschutz-Workflow zu starten, müssen Sie von einem Standardbenutzerkonto zu einem Administratorkonto wechseln. Geben Sie dazu Win + R ein und geben Sie netplwiz ein. Doppelklicken Sie auf Ihr angemeldetes Benutzerkonto, z. B. „Administrator“.

Unter Gruppenmitgliedschaft stellen Sie möglicherweise fest, dass Sie ein Administrator-Konto verwenden. Wenn Sie sich in einem Standardbenutzer-Status befinden, ändern Sie dies, klicken Sie auf Übernehmen -> OK und melden Sie sich dann von Ihrer Sitzung ab und starten Sie neu.

Ein Benutzerkonto ist auf Administratorlevel, wie im UAC angegeben.

Als Nächstes müssen Sie Windows Hello als Anmeldemethode auf Ihrem Gerät einrichten. Gehen Sie zu Einstellungen -> Konten -> Anmeldeoptionen und richten Sie unter PIN (Windows Hello) Ihre bevorzugte PIN ein. Bestätigen Sie diese und klicken Sie dann auf OK.

Die Verwendung einer PIN mit Windows Hello funktioniert für die meisten Benutzer. Wenn verfügbar, können Sie auch Gesichtserkennung oder Fingerabdruck verwenden.

Ändern einer PIN in Windows Hello.

Um den Administratorschutz in Windows 11 zu konfigurieren, öffnen Sie die Windows-Sicherheit über das Suchmenü oder die Taskleiste.

Gehen Sie zu Kontoschutz -> Einstellungen für Administratorschutz, das sich am Ende der Seite befindet. Hier müssen Sie den Schalter Administratorschutz aktivieren.

Schalter für Administratorschutz in Windows-Sicherheit aktiviert.

Eine weitere Möglichkeit, den Administratorschutz zu aktivieren, besteht über den lokalen Gruppenrichtlinien-Editor (wieder nur in Windows 11 Insider-Build 27774 oder höher). Gehen Sie zu Computerkonfiguration -> Windows-Einstellungen -> Sicherheitseinstellungen -> Lokale Richtlinien -> Sicherheitsoptionen.

Doppelklicken Sie nun auf Benutzerkontensteuerung: Typ des Administratorgenehmigungsmodus konfigurieren -> Administratorgenehmigungsmodus mit Administratorschutz. Dort müssen Sie Windows Hello-Authentifizierung unter Eingabe von Anmeldeinformationen auf dem sicheren Desktop auswählen.

Mit beiden aktivierten Methoden wird, sobald Sie eine adminbezogene Aufgabe einleiten, ein Windows Hello-PIN-Eingabeaufforderung angezeigt, um Ihre Genehmigung zu erhalten. Dies ist sicherer als die Verwendung eines Passworts, da die tatsächliche Genehmigung unsichtbar und im Hintergrund erfolgt. Nachdem Sie Ihre Aufgabe, z. B. die Installation einer Software, die Berechtigungen erfordert, abgeschlossen haben, wird der einmalige Zugriff entzogen.

Es gibt nur eine weitere kleine Voraussetzung. Um diese neue Funktion zu aktivieren, müssen Ihre Benutzerprofile ordnungsgemäß funktionieren. Falls Ihr Benutzerprofil-Dienst beim Anmelden fehlschlägt, haben wir einige Möglichkeiten, um ihn wieder auf Kurs zu bringen.