7 05 2025

Es kann sinnvoll sein, in einer Firma mit Active-Directory lokale Administratoren festzulegen – oder auch nicht, weil zusätzliche Benutzerkonten mit Administrator-Rechten immer Risiken birgt. Hier erklären wir Vor- und Nachteile unserer Vorgangsweise.

✅ Vorteile eines lokalen Admin-Benutzers

• Offline-Verfügbarkeit: Auch ohne Netzwerkverbindung oder wenn AD nicht erreichbar ist, kann man sich lokal anmelden.
• Notfall-Zugriff: Bei Problemen mit der Domäne oder dem Benutzerprofil kann man sich trotzdem ins System einloggen und Reparaturen durchführen.
• Unabhängigkeit von Gruppenrichtlinien (GPOs): Lokale Admins sind weniger von zentralen Richtlinien betroffen – hilfreich für technische Diagnosen.
• Installation von Software / Änderungen an der Konfiguration: Ermöglicht lokalen Administratoren schnelle Eingriffe ohne auf Domänenrechte angewiesen zu sein.
• Schneller Zugang bei Neuinstallationen / Ersteinrichtung

❌ Nachteile eines lokalen Admin-Benutzers

• Sicherheitsrisiko bei einheitlichem Passwort: Wird dasselbe Passwort auf vielen Geräten genutzt, kann ein kompromittierter Rechner zum Einfallstor für andere werden.
• Schwer zu verwalten und zu kontrollieren: Änderungen am lokalen Benutzer werden nicht zentral dokumentiert oder gesteuert.
• Umgehung zentraler Sicherheitsrichtlinien: Lokale Admins können Sicherheitsmaßnahmen deaktivieren oder umgehen (z. B. Firewall, Virenscanner).
• Hohe Angriffsfläche bei Malware: Schadsoftware mit Adminrechten kann großen Schaden anrichten (z. B. Systemdateien ändern, persistenter Zugriff).
• Keine zentrale Passwort- oder Zugriffskontrolle: Wenn Mitarbeiter wechseln, kann der lokale Admin-Zugang bestehen bleiben und wird oft vergessen.

Unsere Empfehlungen – Best Practice

• Lokale Admins nur bei Bedarf aktivieren
• Einzigartige Passwörter pro Gerät (z. B. mit LAPS – Microsoft Local Administrator Password Solution)
• Nutzung von temporären Adminrechten über zentrale Tools
• Protokollierung und Monitoring lokaler Admin-Aktivitäten
• Wo möglich: Verzicht auf lokale Admin-Konten in produktiven Umgebungen

Die meisten firmeninterne Administratoren haben zu wenig Erfahrung mit Best-Practice, weil sie ja wenig mehr als die eigene Infrastruktur kennen. Und leider sehen wir immer wieder, dass Einäugige unter Blinden König sind. Wenn in Ihrem Unternehmen die Frage „local admin oder nur AD“ auftaucht, helfen wir von der siplan gmbh im Zuge unserer geförderten Beratung mit einem externen Blick auf Ihre kritische IT.

Collaborative State Machines (CSM) Umstellung Windows 11 – Was kann schiefgehen?