Definition Was ist eine Local Administrator Password Solution (LAPS)?

Anbieter zum Thema

Aagon GmbH

Local Administrator Password Solution (LAPS) ist ein Windows-Sicherheitsfeature. Es schützt lokale Administratorkennwörter von in Active Directory oder Entra ID eingebundenen Rechnern und sorgt dafür, dass automatisch zufällige, individuelle Passwörter generiert und regelmäßig geändert werden. LAPS ist nativ in den aktuellen Windows-Client- und -Server-Betriebssystemen integriert.

Local Administrator Password Solution, abgekürzt LAPS, ist die Bezeichnung für eine von Microsoft auf Windows-Rechnern bereitgestellte Sicherheitsfunktion. Das Feature wurde entwickelt, um lokale Administratorkennwörter von in Active Directory oder Entra ID eingebundenen Windows-Rechnern zu schützen. Es sorgt dafür, dass automatisch individuelle, zufällige und komplexe Kennwörter generiert und in regelmäßigen Abständen geändert werden. Diese Kennwörter werden von LAPS zudem automatisch zentral über den Verzeichnisdienst Active Directory oder über den cloudbasierten Identitäts- und Zugriffsverwaltungsdienst Entra ID gesichert und verwaltet. Nur autorisierte IT-Administratoren haben Zugriff auf diese dort gespeicherten Passwörter.

LAPS wurde ursprünglich bereits im Jahr 2015 als kostenloser Download für Windows und als zusätzliche Attribute für Active Directory bereitgestellt und erforderte die manuelle Installation eines LAPS-Client-Agenten. Mittlerweile ist das Sicherheitsfeature nativ als Systemkomponente in die aktuellen Windows-Client- und Windows-Server-Betriebssysteme integriert. Das LAPS-Feature ist auf Geräten mit unterstützten Windows-Versionen ohne weitere Lizenzkosten nutzbar.

LAPS ist ein einfach umzusetzender und dennoch sehr wirkungsvoller Schutzmechanismus gegen interne oder externe Angriffe. Das Sicherheitsfeature schließt das häufig genutzte Einfallstor unsicherer Administratorpasswörter in IT-Umgebungen. Microsoft betrachtet es als eine Standardfunktion für gut abgesicherte Windows-Umgebungen.

Warum ist eine Funktion wie LAPS sinnvoll beziehungsweise notwendig?

Lokale Administratorkonten mit erweiterten Berechtigungen sind zur Systemverwaltung und Konfiguration von Windows-Rechnern unerlässlich. Über diese Konten lassen sich Softwareinstallationen und Updates vornehmen, Systemeinstellungen verändern oder Hardwaretreiber aktualisieren und vieles mehr. Von einem lokalen Administratorkonto geht aufgrund seiner maximalen Berechtigungen aber auch ein hohes Sicherheitsrisiko aus. Gerät es in falsche Hände, kann damit großer Schaden auf dem Rechner angerichtet werden. Hinzu kommt, dass in vielen Rechnerumgebungen auf den Clients oder Servern oft dasselbe Administratorpasswort, manchmal sogar noch das Standardkennwort aus dem Installationsprozess, verwendet wird. In diesem Fall kann ein Angreifer mit Kenntnis dieses Passworts sich mehr oder weniger frei in der IT-Umgebung bewegen und auf vielen verschiedenen Geräten sein Unwesen treiben.

Umso wichtiger ist es, dass die lokalen Administratorpasswörter einzigartig und durch eine entsprechende Komplexität ausreichend sicher sind. Zudem sollten die Passwörter in regelmäßigen Abständen geändert werden. Das Ändern des Administratorpassworts stellt sicher, dass die alten Zugangsdaten nach einer bestimmten Zeit automatisch ihre Gültigkeit verlieren und nicht mehr genutzt werden können. Darüber hinaus ist es sinnvoll, die lokalen Passwörter an einer zentralen Stelle automatisch zu sichern und zu verwalten und dort alle Passwortänderungen lückenlos nachverfolgen zu können.

Genau diese Funktionen bietet das LAPS-Feature. Es erhöht damit die Sicherheit von Windows-Umgebungen deutlich. LAPS reduziert die Angriffsfläche und sorgt für die Einhaltung von Compliance-Anforderungen und gängigen Sicherheitsstandards.

Was sind die Unterschiede zwischen dem Legacy LAPS und der aktuellen LAPS-Implementierung?

Wie eingangs erwähnt, wurde LAPS bereits 2015 in Form einer zusätzlichen Software bereitgestellt. Dieses klassische LAPS wird heute von Microsoft als Legacy LAPS bezeichnet. Es handelt sich dabei um eine Lösung für Windows-Rechner und das Active Directory, die die Installation eines Agenten auf jedem verwalteten Endgerät erfordert. Dieser clientseitige LAPS-Agent generiert individuelle Administratorkennwörter und speichert sie im Active Directory. Die Unterstützung des cloudbasierten Identitäts- und Zugriffsverwaltungsdienstes Entra ID ist beim Legacy LAPS nicht gegeben.

Seit 2023 ist LAPS nativ in Windows 10 (ab dem Update vom 11. April 2023) und Windows 11 (Windows 11 23H2 und neuer oder Windows 11 22H2 beziehungsweise 21H2 mit dem April-2023-Update oder neuer) sowie in Windows Server (ab Windows Server 2019 mit dem Update vom 11. April 2023 und höher) als Systemfunktion integriert. Mit Windows 11 24H2 führte Microsoft zudem einige Neuerungen und Verbesserungen für die Windows Local Administrator Password Solution ein, zum Beispiel im Bereich der automatisierten Kontoverwaltung und bei den Sicherheitsrichtlinien.

Die Installation einer zusätzlichen Software ist mit der nativen Implementierung von LAPS als Systemfunktion in Windows nicht mehr notwendig. Neben Active Directory unterstützt dieses aktuelle LAPS auch über Entra ID und Intune verwaltete Geräte. Auch hybride Umgebungen mit Entra ID und lokalem Active Directory werden unterstützt. Zudem bietet es mehr Funktionen, eine höhere Flexibilität bei der Speicherung von Kennwörtern und bezieht auch die Benutzernamen der Administratorkonten in die automatische Verwaltung mit ein. Zu den erweiterten Funktionen zählen zum Beispiel eine verbesserte Audit-Protokollierung, verbesserte Verschlüsselungsmethoden, automatisches Rotieren und Ablaufen von Passwörtern und einiges mehr.

Microsoft empfiehlt, Legacy LAPS durch die aktuelle, native LAPS-Implementierung zu ersetzen, da die Unterstützung von Legacy LAPS in aktuellen Windows-11-Versionen ausläuft. Grundsätzlich ist es in bestimmten Konstellationen und unter Inkaufnahme von Einschränkungen aber auch möglich, in einer IT-Umgebung beide Varianten parallel zu verwenden. Das kann beispielsweise für LAPS-Migrationsszenarien und die schrittweise LAPS-Umstellung in Umgebungen mit Legacy LAPS sinnvoll sein.

Welche Komponenten verwendet LAPS und wie wird es konfiguriert?

LAPS in der aktuellen, nativ als Systemfunktion in Windows integrierten Implementierung verwendet im Wesentlichen diese drei Funktionskomponenten:

• eine Gruppenrichtlinien-Client-Side-Extension (CSE)

• Registry-Einträgen zur Konfiguration

• spezielle Attribute in Active Directory und Entra ID zur Speicherung und Verwaltung der Passwörter

Administratoren konfigurieren LAPS über Gruppenrichtlinien oder über Intune, die cloudbasierte Endpoint-Management-Lösung von Microsoft. Durch die Möglichkeit der Nutzung von Intune und Entra ID ist eine moderne, cloudbasierte Verwaltung der Administratorpasswörter möglich. Als LAPS-Einstellungen lassen sich beispielsweise der Speicherort (Active Directory oder Entra ID), Kontoname, Passwortlänge, die Komplexität der Passwörter, ihre Änderungsfrequenz oder Post-Authentication-Aktionen wie das Rotieren von Passwörtern sofort nach der Nutzung konfigurieren. Grundsätzlich sind auch gewisse Konfigurationsmöglichkeiten über die PowerShell gegeben. Die PowerShell ist aber eher für Automatisierungszwecke, Troubleshooting und gezielte Aktionen in LAPS vorgesehen.

(ID:50820978)