Windows Local Administrator Password Solution (LAPS) ist ein kostenloses Microsoft-Tool, das die Sicherheit von Windows-Netzwerken erhöht, indem es die Passwörter lokaler Administrator-Konten auf Computern automatisch ändert und verwaltet. Es ist ein nützliches Werkzeug, um Passwort-Angriffe und -Hacks zu vermeiden und um sicherzustellen, dass die lokalen Administrator-Konten auf den Computern im Netzwerk stets mit einzigartigen und sicheren Passwörtern geschützt sind.

Zuvor war das Verwalten der Passwörter für lokale Administrator-Konten auf Computern in Windows-Netzwerken eine große Herausforderung. Unternehmen und Organisationen verwendeten entweder das gleiche Standardpasswort auf allen Computern oder hatten schwache Passwörter, die leicht zu erraten waren. Dies führte zu einem hohen Sicherheitsrisiko, da jeder Benutzer, der über die Kenntnisse verfügte, auf das Netzwerk zugreifen konnte, wenn er das Passwort kannte.

Vor LAPS gab es verschiedene Methoden, um lokale Administrator-Passwörter auf Computern zu verwalten. Eine häufig verwendete Methode bestand darin, dass IT-Administratoren manuell Passwörter für jedes Computerkonto generierten und diese in einer Datenbank speicherten. Diese Methode war jedoch sehr zeitaufwändig und fehleranfällig, insbesondere bei größeren Netzwerken mit einer großen Anzahl von Computern.

Eine weitere Methode war die Verwendung von Gruppenrichtlinien, um die Passwörter zu ändern. Dies war jedoch ebenfalls problematisch, da die Gruppenrichtlinien leicht zu knacken waren, wenn ein Angreifer den Zugriff auf den Active Directory-Server erlangte.

Download LAPS für Windows

Über den folgenden Link können Sie sich die aktuellste Version von Windows LAPS downloaden.


Windows-FAQ Newsletter

Hier könnt Ihr Euch bei unserem Windows-FAQ Newsletter anmelden.

Local Administrator Passwort Solution (LAPS)

Vorteile von Windows LAPS

Mit LAPS können IT-Administratoren sicherstellen, dass lokale Administrator-Passwörter auf jedem Computer im Netzwerk einmalig sind und regelmäßig automatisch geändert werden. LAPS nutzt eine verschlüsselte Passwortverwaltungsfunktion, die es Administratoren ermöglicht, sichere und einzigartige Passwörter für jede Computerinstallation zu generieren und automatisch zu ändern. Darüber hinaus werden die Passwörter auf dem Computer selbst gespeichert, wodurch das Sicherheitsrisiko durch zentralisierte Datenbanken minimiert wird.

Ein weiterer wichtiger Vorteil von LAPS ist, dass es auf allen Computern im Netzwerk automatisch installiert werden kann. IT-Administratoren können die LAPS-Client-Software auf jeden Computer im Netzwerk installieren, unabhängig davon, ob es sich um einen physischen Computer oder eine virtuelle Maschine handelt. Sobald LAPS installiert ist, generiert es ein sicheres Passwort für das lokale Administrator-Konto auf jedem Computer und speichert es sicher in Active Directory.

LAPS bietet auch eine einfache Möglichkeit, die lokalen Administrator-Passwörter zu verwalten. IT-Administratoren können die Passwörter für einzelne Computer oder für eine Gruppe von Computern ändern, ohne sich um manuelle Eingriffe oder Konfigurationen kümmern zu müssen. Darüber hinaus ermöglicht LAPS den IT-Administratoren, auf einfache Weise zu überwachen, welche Passwörter auf welchen Computern verwendet werden und wer das Passwort zuletzt hat.

Eine weitere Verbesserung, die LAPS mit sich bringt, ist die Möglichkeit, den Zugriff auf lokale Administrator-Konten auf eine Gruppe von IT-Mitarbeitern zu beschränken. IT-Administratoren können auswählen, welche Benutzer Zugriff auf die LAPS-Verwaltungsfunktionen haben, und sicherstellen, dass nur autorisierte Personen Passwörter ändern und anzeigen können.

Darüber hinaus verfügt LAPS über eine erweiterte Funktion zur Verschlüsselung von Passwörtern. Die Passwörter werden mit einer symmetrischen Verschlüsselungstechnologie geschützt, die sicherstellt, dass nur autorisierte Benutzer Zugriff auf die Passwörter haben. Diese Verschlüsselungstechnologie gewährleistet auch, dass die Passwörter während der Übertragung vom Active Directory-Server zu den Computern im Netzwerk geschützt sind.

Eine weitere wichtige Funktion von LAPS ist die Möglichkeit, Berichte zu erstellen. IT-Administratoren können Berichte erstellen, die Informationen darüber enthalten, welche Passwörter auf welchen Computern verwendet werden, wer das Passwort zuletzt geändert hat und wann das Passwort zuletzt geändert wurde. Diese Berichte sind nützlich, um sicherzustellen, dass die Passwörter regelmäßig geändert werden und um Sicherheitsaudits durchzuführen.

Zusammenfassend ist LAPS eine effektive Lösung, um lokale Administrator-Passwörter in Windows-Netzwerken sicher zu verwalten und zu ändern. Es ist eine Verbesserung gegenüber den früheren Methoden, da es eine einfache Möglichkeit bietet, sichere und einzigartige Passwörter zu generieren und zu ändern, ohne manuelle Eingriffe oder Konfigurationen vornehmen zu müssen. Darüber hinaus bietet LAPS eine erweiterte Passwortverschlüsselung und eine Möglichkeit, den Zugriff auf die Verwaltungsfunktionen auf autorisierte Benutzer zu beschränken. Es ist eine wichtige Maßnahme, um die Sicherheit von Windows-Netzwerken zu erhöhen und potenzielle Passwort-Angriffe und Hacks zu vermeiden.

Windows Laps Setup Wizard

Wie funktioniert Windows LAPS genau?

LAPS verwendet ein verschlüsseltes Attribut im Active Directory-Objekt des jeweiligen Computers, um das zufällig generierte lokale Administratorpasswort zu speichern. Das Attribut kann nur von Benutzern mit den richtigen Zugriffsberechtigungen im Active Directory gelesen werden, wodurch eine erhöhte Sicherheit gewährleistet wird.

Das LAPS-Tool ist in Form einer Gruppenrichtlinie-Erweiterung verfügbar. Die Gruppenrichtlinie muss auf den Domänencontrollern konfiguriert werden, um LAPS in der Windows-Domäne zu aktivieren. Sobald die Gruppenrichtlinie aktiviert ist, wird das LAPS-Client-Programm auf allen Computern in der Domäne installiert.

Wenn das LAPS-Client-Programm installiert ist, generiert es zufällige lokale Administrator-Passwörter für jeden Computer und speichert sie im verschlüsselten Attribut im Active Directory-Objekt des jeweiligen Computers. Das Passwort wird alle 30 Tage automatisch geändert, um die Sicherheit zu erhöhen.

Die LAPS-Gruppenrichtlinie-Erweiterung ermöglicht es IT-Administratoren auch, auf alle gespeicherten Passwörter zuzugreifen und sie zu ändern, falls dies erforderlich ist. Dies ist hilfreich, wenn beispielsweise ein Mitarbeiter das Unternehmen verlässt und das lokale Administrator-Passwort auf seinem Computer geändert werden muss.

LAPS bietet auch eine Möglichkeit, auf verwaiste lokale Administrator-Konten zuzugreifen, d.h. Konten, die keinen zugewiesenen Benutzer haben. Wenn ein verwaistes Konto erkannt wird, kann LAPS ein zufälliges Passwort generieren und das Konto aktivieren, um sicherzustellen, dass es nicht von Angreifern ausgenutzt wird.

Um sicherzustellen, dass die Passwörter von LAPS ordnungsgemäß geschützt sind, verwendet das Tool eine Verschlüsselungstechnologie namens AES-256, um die Passwörter zu verschlüsseln. Darüber hinaus ist es wichtig, sicherzustellen, dass nur autorisierte Benutzer auf die LAPS-Verwaltungsfunktionen zugreifen können, um die Sicherheit zu erhöhen.

Zusätzlich zu den oben genannten Funktionen bietet LAPS auch eine Möglichkeit, Ereignisprotokolle zu erstellen, die aufzeichnen, wann ein Passwort geändert wurde und wer die Änderung vorgenommen hat. Dies ist hilfreich, um zu überwachen, wer Zugriff auf die Passwörter hat und um Sicherheitsaudits durchzuführen.

Insgesamt ist LAPS ein nützliches Tool, um lokale Administrator-Passwörter in Windows-Netzwerken sicher zu verwalten und zu ändern. Es bietet eine einfache Möglichkeit, zufällige und einzigartige Passwörter zu generieren und zu ändern, sowie erweiterte Funktionen zur Passwortverschlüsselung und Zugriffsbeschränkung.

Local Administrator Passwort Solution Setup

Welche Gruppenrichtlinien steuern Windows Laps?

Die Gruppenrichtlinien, die zum Windows LAPS gehören, heißen „Local Administrator Password Solution (LAPS) – Deployment“ und „Local Administrator Password Solution (LAPS) – Password Settings„.

Die „LAPS – Deployment„-Richtlinie wird verwendet, um die Installation des LAPS-Client-Programms auf den Computern in der Domäne zu aktivieren. Diese Richtlinie enthält Einstellungen, die festlegen, wie der LAPS-Client auf den Computern installiert wird und welche Optionen während der Installation verwendet werden.

Die „LAPS – Password Settings„-Richtlinie wird verwendet, um die Einstellungen für die Passwortgenerierung und -speicherung von LAPS festzulegen. Diese Richtlinie enthält Einstellungen, die festlegen, wie oft die Passwörter geändert werden sollen, wie lange sie sein sollen, welche Zeichen enthalten sein sollen und wo die Passwörter im Active Directory gespeichert werden sollen.

Um sicherzustellen, dass LAPS ordnungsgemäß funktioniert, müssen beide Gruppenrichtlinien aktiviert und konfiguriert werden. Weitere Informationen zur Installation und Konfiguration von LAPS finden Sie in den offiziellen Microsoft-Dokumentationen.

Password Settings

Wie werden diese beiden LAPS Gruppenrichtlinien konfiguriert?

Hier sind die grundlegenden Schritte, um die beiden Gruppenrichtlinien, „Local Administrator Password Solution (LAPS) – Deployment“ und „Local Administrator Password Solution (LAPS) – Password Settings„, zu konfigurieren:

  1. Laden Sie das LAPS-Tool von der offiziellen Microsoft-Website herunter und installieren Sie es auf einem Domänencontroller.
  2. Starten Sie die Gruppenrichtlinien-Verwaltungskonsole auf dem Domänencontroller.
  3. Erstellen Sie eine neue Gruppenrichtlinie und nennen Sie sie „LAPS-Deployment„.
  4. Klicken Sie mit der rechten Maustaste auf die neue Gruppenrichtlinie und wählen Sie „Bearbeiten“ aus dem Kontextmenü aus.
  5. Navigieren Sie zu „Computerkonfiguration“ > „Policies“ > „Softwareeinstellungen“ > „Softwareinstallation„.
  6. Klicken Sie mit der rechten Maustaste auf den leeren Bereich im rechten Fensterbereich und wählen Sie „Neues Paket“ aus dem Kontextmenü aus.
  7. Wählen Sie die MSI-Datei für das LAPS-Client-Programm aus, die Sie zuvor heruntergeladen und auf dem Domänencontroller installiert haben.
  8. Wählen Sie „Zuweisen“ als Bereitstellungsart aus und klicken Sie auf „OK„.
  9. Schließen Sie die Gruppenrichtlinien-Verwaltungskonsole und überprüfen Sie, ob die neue Gruppenrichtlinie im Domänencontroller vorhanden ist.
  10. Erstellen Sie eine zweite Gruppenrichtlinie und nennen Sie sie „LAPS-Password-Settings„.
  11. Klicken Sie mit der rechten Maustaste auf die neue Gruppenrichtlinie und wählen Sie „Bearbeiten“ aus dem Kontextmenü aus.
  12. Navigieren Sie zu „Computerkonfiguration“ > „Richtlinien“ > „Administrative Vorlagen“ > „LAPS„.
  13. Konfigurieren Sie die Einstellungen für die Passwortgenerierung und -speicherung, einschließlich Passwortlänge, Gültigkeitsdauer und Speicherort im Active Directory.
  14. Speichern und schließen Sie die Gruppenrichtlinien-Verwaltungskonsole.
  15. Stellen Sie sicher, dass beide Gruppenrichtlinien auf alle Computer in der Domäne angewendet werden, indem Sie sie auf eine Organisationseinheit oder auf die gesamte Domäne anwenden.

Es ist wichtig zu beachten, dass die Konfiguration von LAPS je nach den Anforderungen und Richtlinien Ihrer Organisation variieren kann. Es wird empfohlen, die offizielle Microsoft-Dokumentation zu lesen und die Empfehlungen Ihres IT-Teams oder Sicherheitsbeauftragten zu befolgen, um sicherzustellen, dass LAPS ordnungsgemäß und sicher konfiguriert wird.

– Hashwert – Aufgabe und Funktion