Windows LAPS: Lokale Admin-Passwörter per GPO verwalten

Was Windows LAPS leistet

Die Local Administrator Password Solution (LAPS) aktualisiert lokale Admin-Passwörter automatisch und speichert sie im Active Directory. Seit 2023 ist das Feature in Windows integriert und firmiert als Windows LAPS. Es kann Passwörter eines lokalen Admin-Kontos zentral verwalten, wenn die PCs Mitglied im Active Directory oder in Entra ID sind.

Dieser Beitrag beschreibt die Einrichtung mit einem lokalen Active Directory: Schema erweitern, Berechtigungen vergeben, LAPS per GPO aktivieren und Passwörter auslesen.

Voraussetzungen

Die Verschlüsselung der Admin-Passwörter erfordert eine Domänen-Funktionsebene von mindestens 2016. Schema-Änderungen benötigen die Berechtigungen eines Schema-Admins. Windows LAPS verwendet eigene Attribute, daher ist die Schema-Erweiterung auch bei bisherigem Einsatz des alten LAPS notwendig.

Active Directory vorbereiten

Schema erweitern

$cred = Get-Credential -Message "Passwort eingeben" -UserName "contosoadministrator"
Update-LapsADSchema -Credential $cred -Verbose

Clients dürfen Passwörter schreiben

Get-ADOrganizationalUnit -Filter 'name -like "IT"' | Select-Object DistinguishedName
Set-LapsADComputerSelfPermission -Identity "OU=IT,DC=contoso,DC=com"

Leseberechtigung vergeben

Standardmäßig können nur Domänen-Admins LAPS-Passwörter auslesen. Für andere Gruppen, etwa LAPSAdmins:

Set-LapsADReadPasswordPermission -Identity "OU=IT,DC=contoso,DC=com" -AllowedPrincipals @("contosoLAPSAdmins")

Berechtigung zum Zurücksetzen des Ablaufdatums

Set-LapsADResetPasswordPermission -Identity "OU=IT,DC=contoso,DC=com" -AllowedPrincipals @("contosoLAPSAdmins")

LAPS per GPO aktivieren und konfigurieren

Die GPO-Einstellungen finden sich unter Computerkonfiguration → Richtlinien → Administrative Vorlagen → System → LAPS. Zuerst das Kennwort-Sicherungsverzeichnis festlegen:

• Kennwort-Sicherungsverzeichnis konfigurieren: Active Directory
• Kennworteinstellungen: Komplexität, Länge (Standard 14 Zeichen), Alter (Standard 30 Tage)
• Name des zu verwaltenden Administratorkontos (Windows 10) bzw. automatische Kontoverwaltung (Windows 11, Konto WLapsAdmin)
• Kennwortverschlüsselung aktivieren (Standard aktiv ab Domänenfunktionsebene 2016)
• Autorisierten Kennwortentschlüssler konfigurieren (z. B. LAPSAdmins)
• Aktionen nach der Authentifizierung: Passwort nach 24 Stunden ersetzen, optional Neustart

Passwörter auslesen

Get-LapsADPassword -Identity "win11ent-vm1" -AsPlainText

Alternativ im AD-Benutzer und Computer Eigenschaftsdialog des Computerobjekts auf der Registerkarte LAPS. Windows Admin Center bietet ebenfalls eine LAPS-Extension.

Zusammenfassung

LAPS erhöht die Sicherheit lokaler administrativer Konten, indem es Kennwörter automatisch aktualisiert und im Active Directory hinterlegt. Die Integration in Windows seit 2023 vereinfacht die Nutzung, dennoch sind Schema-Erweiterung, Berechtigungsvergabe und GPO-Konfiguration notwendig. Wer die Rollen für das Auslesen und Entschlüsseln von Passwörtern trennt, sollte eine eigene Gruppe wie LAPSAdmins verwenden und Domänen-Admins dort mit aufnehmen.

Quellen

• WindowsPro: Windows LAPS konfigurieren (27.05.2025)
• Microsoft Learn: Get started with Windows LAPS

Hinweis: Dieser Beitrag wurde mit Unterstützung künstlicher Intelligenz (KI) erstellt.