Adminrechte im Unternehmen: Warum lokale Administratorrechte ein Sicherheitsrisiko sind

Kurzantwort für Geschäftsführer

Lokale Administratorrechte sind praktisch. Aber sie sind eines der häufigsten Sicherheitsrisiken in gewachsenen IT-Umgebungen.

Wenn Mitarbeiter dauerhaft lokale Administratorrechte haben, können sie Software installieren, Systemeinstellungen verändern, Sicherheitsfunktionen deaktivieren und versehentlich Schadsoftware mehr Möglichkeiten geben.

Das Problem ist selten böse Absicht. Meistens sind Adminrechte aus Bequemlichkeit entstanden: Ein Programm musste installiert werden, ein Druckertreiber machte Probleme, eine Fachsoftware verlangte Rechte oder ein Mitarbeiter sollte „schnell selbst helfen können“.

Aus einer Ausnahme wird dann ein Dauerzustand.

Für Unternehmen ist wichtig: Mitarbeiter sollen arbeitsfähig bleiben, aber nicht dauerhaft mehr Rechte haben als notwendig.

Weniger Rechte bedeuten nicht weniger Produktivität. Weniger Rechte bedeuten kontrolliertere IT.

Was lokale Administratorrechte bedeuten

Ein lokaler Administrator kann auf einem einzelnen Gerät weitreichende Änderungen vornehmen.

Dazu gehören typischerweise:

• Software installieren
• Treiber installieren
• Dienste ändern
• Sicherheitseinstellungen verändern
• lokale Benutzer anlegen
• Schutzfunktionen beeinflussen
• Systemeinstellungen ändern
• Dateien in geschützten Bereichen bearbeiten
• Programme mit erhöhten Rechten ausführen

Das kann für IT-Administration notwendig sein. Für den normalen Arbeitsalltag ist es aber meist nicht erforderlich.

Die Herausforderung besteht darin, notwendige administrative Tätigkeiten kontrolliert zu ermöglichen, ohne jedem Benutzer dauerhaft volle Rechte zu geben.

Warum Adminrechte in KMU oft historisch gewachsen sind

Viele kleine Unternehmen hatten lange einfache IT-Strukturen. Einige PCs, ein Server, ein Drucker, vielleicht eine Fachsoftware.

Wenn etwas nicht funktionierte, wurde schnell eine Lösung gesucht. Lokale Adminrechte waren oft der einfachste Weg.

Das Problem: Was kurzfristig hilft, bleibt langfristig bestehen.

Nach Jahren weiß niemand mehr genau:

Wer hat lokale Adminrechte? Warum wurden sie vergeben? Sind sie noch notwendig? Welche Programme brauchen sie wirklich? Welche Geräte sind betroffen? Welche Dienstleisterkonten existieren?

Ein Rechtekonzept fehlt häufig. Genau hier entstehen Sicherheitsrisiken.

Wie Angreifer Adminrechte ausnutzen

Schadsoftware arbeitet mit den Rechten des Benutzers oder versucht, höhere Rechte zu erlangen.

Wenn der angemeldete Benutzer bereits lokale Adminrechte hat, wird vieles einfacher.

Mögliche Folgen:

• Schutzsoftware wird deaktiviert
• Schadsoftware installiert Dienste
• weitere Programme werden nachgeladen
• lokale Daten werden verändert
• Netzlaufwerke werden angegriffen
• Zugangsdaten können leichter abgegriffen werden
• dauerhafte Manipulationen auf dem System werden einfacher

Lokale Adminrechte bedeuten nicht automatisch, dass ein Angriff erfolgreich ist. Aber sie erhöhen den möglichen Schaden.

UAC ist kein Ersatz für ein Rechtekonzept

Windows User Account Control kann helfen, Rechteerhöhungen sichtbarer zu machen.

Aber UAC ersetzt kein sauberes Berechtigungskonzept.

Wenn Benutzer regelmäßig erhöhte Rechte bestätigen oder Anmeldedaten eingeben, entsteht Gewöhnung. Dann wird aus einer Sicherheitsabfrage ein Klick auf „Ja“.

Für Unternehmen ist deshalb wichtig:

• UAC unterstützt kontrolliertes Arbeiten.
• dauerhaft lokale Adminrechte bleiben ein Risiko.
• Standardbenutzerkonten sollten der Normalfall sein.
• Adminrechte sollten gezielt und nachvollziehbar vergeben werden.

Typische Risikofälle

In der Praxis sehen wir häufig:

• alle Mitarbeiter sind lokale Administratoren
• Fachsoftware benötigt angeblich Adminrechte
• Druckerinstallation ist nur mit Adminrechten möglich
• alte Programme schreiben in geschützte Ordner
• Entwickler oder Techniker haben dauerhaft volle Rechte
• Dienstleisterkonten sind nicht dokumentiert
• ehemalige Mitarbeiterkonten bestehen noch
• lokale Standardpasswörter sind überall gleich
• Adminrechte werden nie überprüft

Viele dieser Themen lassen sich lösen, ohne den Betrieb lahmzulegen.

Standardbenutzer als Normalfall

Der sichere Grundsatz lautet:

Normal gearbeitet wird als Standardbenutzer. Administrative Tätigkeiten erfolgen kontrolliert, bewusst und dokumentiert.

Das bedeutet:

• Mitarbeiter können ihre Arbeit erledigen
• Softwareinstallationen werden gesteuert
• Änderungen am System sind kontrolliert
• Support kann gezielt helfen
• Ausnahmen sind nachvollziehbar
• Rechte können wieder entzogen werden

Das Ziel ist nicht, Mitarbeiter zu blockieren. Das Ziel ist, Risiken zu begrenzen.

Getrennte Admin-Konten

Wenn administrative Aufgaben notwendig sind, sollten dafür getrennte Admin-Konten genutzt werden.

Beispiel: Ein Mitarbeiter arbeitet im Alltag mit einem normalen Benutzerkonto. Für administrative Aufgaben wird ein separates Admin-Konto verwendet. Dieses Konto wird nicht für E-Mail, Internet oder normale Arbeit genutzt.

Das reduziert Risiko.

Besonders wichtig ist das für:

• lokale Administratoren
• Domänenadministratoren
• Microsoft-365-Administratoren
• Dienstleisterzugänge
• Serveradministration

Admin-Konten sind Werkzeuge, keine normalen Arbeitskonten.

Temporäre Rechte statt dauerhafter Rechte

Nicht jeder Bedarf rechtfertigt dauerhafte Adminrechte.

Oft reicht:

• temporäre Rechtevergabe
• Installation durch IT
• Softwareverteilung
• genehmigte Ausnahmen
• Remote-Support
• zentrale Paketverwaltung
• Freigabe einzelner Anwendungen
• dokumentierter Prozess für Sonderfälle

So bleibt der Betrieb flexibel, ohne Rechte dauerhaft offen zu lassen.

Fachsoftware und alte Anwendungen

Ein häufiger Einwand lautet: „Unsere Software braucht Adminrechte.“

Manchmal stimmt das. Oft ist es aber nur eine gewachsene Annahme.

Zu prüfen ist:

• Welche Rechte braucht die Anwendung wirklich?
• Schreibt sie in geschützte Ordner?
• Benötigt sie lokale Datenbankzugriffe?
• Gibt es Herstellerempfehlungen?
• Kann die Anwendung angepasst werden?
• Reichen Rechte auf bestimmte Ordner oder Registry-Bereiche?
• Gibt es eine neuere Version?

Gerade alte Fachsoftware sollte nicht automatisch die Sicherheitsarchitektur bestimmen.

Lokale Adminpasswörter und Dienstleisterzugänge

Besonders kritisch sind gleiche lokale Adminpasswörter auf mehreren Geräten.

Wenn ein Gerät kompromittiert wird, kann das Kennwort auf anderen Geräten genutzt werden.

Auch Dienstleisterzugänge sollten dokumentiert und begrenzt sein.

Zu prüfen ist:

• Gibt es lokale Admin-Konten?
• Sind Passwörter eindeutig?
• Wer kennt diese Passwörter?
• Gibt es alte Dienstleisterkonten?
• Werden Zugänge nach Projekten entfernt?
• Sind Zugriffe protokolliert?

Nicht dokumentierte Adminzugänge sind ein Risiko.

Adminrechte in Microsoft 365

Adminrechte betreffen nicht nur Windows-Geräte.

Auch Microsoft 365 hat Rollen und Administratorberechtigungen.

Zu prüfen ist:

• Wer ist globaler Administrator?
• Gibt es zu viele globale Admins?
• Sind Admin-Konten mit MFA geschützt?
• Gibt es getrennte Admin-Konten?
• Werden Rollen nach Aufgabe vergeben?
• Gibt es Notfallkonten?
• Werden Admin-Aktionen protokolliert?

Zu viele globale Admins sind in Microsoft 365 genauso problematisch wie lokale Adminrechte auf PCs.

30-60-90-Tage-Fahrplan

Erste 30 Tage: Sichtbarkeit schaffen

• lokale Administratoren erfassen
• Microsoft-365-Adminrollen prüfen
• Dienstleisterkonten dokumentieren
• alte Konten identifizieren
• Fachsoftware mit Adminbedarf erfassen
• Risiken priorisieren

Bis 60 Tage: Rechte reduzieren

• unnötige lokale Adminrechte entfernen
• Standardbenutzer als Normalfall einführen
• getrennte Admin-Konten anlegen
• MFA für Admin-Konten prüfen
• lokale Adminpasswörter absichern
• Dienstleisterzugänge bereinigen

Bis 90 Tage: Betrieb etablieren

• Prozess für temporäre Rechte definieren
• Softwareinstallation regeln
• Ausnahmen dokumentieren
• regelmäßige Rechteprüfung einführen
• Adminaktionen überwachen
• Geschäftsführung informieren

Geschäftsführer-Checkliste

• Wissen wir, wer lokale Adminrechte hat?
• Sind diese Rechte notwendig?
• Gibt es getrennte Admin-Konten?
• Sind globale Microsoft-365-Admins begrenzt?
• Sind Admin-Konten mit MFA geschützt?
• Gibt es alte Dienstleisterzugänge?
• Werden Adminrechte regelmäßig geprüft?
• Gibt es einen Prozess für temporäre Rechte?

Wenn mehrere Antworten unklar sind, sollten Adminrechte überprüft werden.

Unsere Empfehlung

EDV Systeme Donner empfiehlt, Adminrechte nicht pauschal zu entfernen, sondern kontrolliert zu reduzieren.

Wichtig ist ein pragmatischer Weg:

• erst sichtbar machen
• dann Risiken bewerten
• dann Rechte gezielt reduzieren
• Ausnahmen sauber dokumentieren
• Betrieb sicherstellen

Das Ziel ist nicht, Mitarbeiter auszubremsen. Das Ziel ist, Angriffsflächen zu reduzieren.

Fazit

Adminrechte sind kein Komfortthema. Sie sind ein Sicherheitsfaktor.

Wer dauerhaft mit zu hohen Rechten arbeitet, erhöht das Risiko für Schadsoftware, Fehlkonfigurationen und unkontrollierte Änderungen.

KMU sollten deshalb regelmäßig prüfen, wer welche Rechte hat und ob diese Rechte wirklich notwendig sind.

Weniger Rechte bedeuten mehr Kontrolle. Und mehr Kontrolle bedeutet mehr Sicherheit.