Windows LAPS mit Entra ID und Intune: Lokale Adminpasswörter sicher verwalten

In vielen Umgebungen hat der lokale Administrator auf jedem Windows-Client dasselbe Passwort. Angreifer nutzen das bei Lateral-Movement- und Pass-the-Hash-Angriffen: Ein kompromittiertes Gerät reicht, um sich im Netzwerk auszubreiten. Windows LAPS (Local Administrator Password Solution) gibt jedem Gerät ein eigenes, zeitlich begrenztes Passwort und speichert es in Microsoft Entra ID. Seit April 2023 ist LAPS nativ in Windows eingebaut, ohne MSI-Paket und ohne Schema-Update für reine Cloud-Umgebungen. Diese Anleitung zeigt den Rollout in einer Entra-ID- und Intune-Umgebung in rund 45 Minuten.

Voraussetzungen

1. Windows-Client: Windows 11 ab 21H2 mit April-2023-Kumulativupdate (KB5025224) oder Windows 11 23H2+ (LAPS nativ); Windows 10 ab April-2023-Update; Windows Server 2019/2022 mit April-2023-Patch oder Windows Server 2025 nativ
2. Geräteverbindung: Geräte müssen vollständig Entra-joined oder Hybrid-joined sein – reine „Workplace Joined“ (Entra Registered) Geräte werden nicht unterstützt
3. Microsoft Entra ID: Beliebige Lizenz (Free genügt) für die LAPS-Grundfunktion; Entra ID P1/P2 nur für Custom Roles und Administrative Units
4. Microsoft Intune: Intune-Lizenz für das zentrale Management (alternativ GPO/Registry für Hybrid-Joined-Szenarien)
5. Entra-ID-Rollen: Zum Einrichten: Global Administrator oder Intune Administrator; zum Passwort-Abruf: Cloud Device Administrator oder Intune Administrator
6. PowerShell: Windows LAPS PowerShell-Modul ist nativ integriert (kein separater Download); Microsoft Graph PowerShell für API-basierten Abruf optional

Schritt 1: LAPS auf Tenant-Ebene in Entra ID aktivieren

Dieser Schritt ist einmal pro Tenant nötig, bevor ein Gerät sein Passwort hochladen kann. Ohne ihn schlägt die Passwortübertragung vom Client fehl.

Öffnen Sie das Entra Admin Center unter https://entra.microsoft.com (mindestens mit der Rolle Cloud Device Administrator) und navigieren Sie zu:

Entra ID > Devices > Overview > Device settings

Setzen Sie die Einstellung „Enable Local Administrator Password Solution (LAPS)“ auf Yes und klicken Sie auf Save.

Alternativ lässt sich die Aktivierung über die Microsoft Graph API durchführen:

PATCH https://graph.microsoft.com/beta/policies/deviceRegistrationPolicy

Body:
{
  "localAdminPassword": {
    "isEnabled": true
  }
}

Verifizieren: Laden Sie die Device-Settings-Seite neu – die LAPS-Einstellung muss auf „Yes“ stehen. Erst dann kann mit der Richtlinienerstellung fortgefahren werden.

Schritt 2: Intune-Richtlinie erstellen

Die LAPS-Konfiguration wird in Intune unter „Endpoint Security“ gepflegt, nicht unter „Device Configuration“. Der verwendete Windows LAPS CSP hat die höchste Priorität und überschreibt GPO- sowie Legacy-LAPS-Konfigurationen.

Öffnen Sie das Intune Admin Center unter https://intune.microsoft.com und navigieren Sie zu:

Endpoint security > Account protection > Create Policy

Wählen Sie folgende Optionen:

1. Platform: Windows
2. Profile: Local admin password solution (Windows LAPS)

Die empfohlene Basiskonfiguration für reine Entra-ID-Umgebungen sieht wie folgt aus:

Unter Assignments die Richtlinie ausschließlich an Gerätegruppen zuweisen – niemals an Benutzergruppen. Bei benutzergruppenbasierter Zuweisung ändert sich die LAPS-Konfiguration bei jedem Benutzerwechsel und kann zu Konflikten führen.

Verifizieren: Die Richtlinie erscheint unter „Endpoint security > Account protection“ mit Status „Enabled“. In der Zuweisungsübersicht sind ausschließlich Gerätegruppen sichtbar.

Schritt 3: Policy-Verarbeitung auf dem Client anstoßen

Nach dem Zuweisen der Richtlinie synchronisiert Intune die Einstellungen beim nächsten Check-in-Zyklus (normalerweise innerhalb von 8 Stunden). Für einen sofortigen Test können Sie die Policy-Verarbeitung auf dem Zielgerät manuell auslösen:

# PowerShell auf dem Zielgerät als Administrator ausführen:
Invoke-LapsPolicyProcessing

Den Erfolg prüfen Sie anschließend im Windows-Ereignisprotokoll:

# Letzte 10 LAPS-Ereignisse anzeigen:
Get-WinEvent -LogName "Microsoft-Windows-LAPS/Operational" | Select-Object -First 10

Relevante Event-IDs im Überblick:

Verifizieren: Event ID 10029 im Protokoll „Microsoft-Windows-LAPS/Operational“ bestätigt, dass das Passwort erfolgreich in Entra ID hinterlegt wurde.

Schritt 4: Passwort abrufen

Es gibt drei Wege, das aktuelle LAPS-Passwort abzurufen. Welchen Sie wählen, hängt von Ihrem Arbeitsablauf und den verfügbaren Berechtigungen ab.

Variante A: Intune Admin Center

Der einfachste Weg für den Helpdesk-Alltag:

Intune Admin Center:
Devices > All Devices > [Gerät auswählen] > Monitor > Local admin password > Show

Variante B: Entra Admin Center

Entra Admin Center:
Entra ID > Devices > Overview > Local administrator password recovery

Variante C: PowerShell via Microsoft Graph

# Microsoft Graph PowerShell installieren (einmalig):
Install-Module Microsoft.Graph -Scope AllUsers

# Anmelden:
Connect-MgGraph -TenantId "IHRE-TENANT-ID" -ClientId "IHRE-APP-ID"

# Passwort-Metadaten abrufen (benötigt: DeviceLocalCredential.ReadBasic.All):
Get-LapsAADPassword -DeviceIds "GeraeteName"

# Passwort im Klartext abrufen (benötigt: DeviceLocalCredential.Read.All):
Get-LapsAADPassword -DeviceIds "GeraeteName" -IncludePasswords -AsPlainText

Welche Entra-Rolle für den Passwort-Abruf benötigt wird, zeigt die folgende Übersicht:

Verifizieren: Auf mindestens einem Weg wird für das Testgerät ein Passwort mit Kontoname und Zeitpunkt der letzten Sicherung angezeigt. Die Anmeldung am Gerät mit diesem Konto und Passwort gelingt.

Schritt 5: Passwort manuell rotieren

Nach einer administrativen Fernwartungssitzung oder einem Sicherheitsvorfall sollte das Passwort sofort rotiert werden. Dafür stehen zwei Wege bereit:

Variante A: PowerShell direkt auf dem Gerät

# Als lokaler Administrator auf dem Zielgerät:
Reset-LapsPassword

Variante B: Intune Admin Center (Remote)

Devices > All Devices > [Gerät] > ... (Ellipsis-Menü) > Rotate local admin password

Hinweis: Die Remote-Rotation über Intune schlägt fehl, wenn das Gerät zum Zeitpunkt der Anfrage offline ist. In diesem Fall führt das Gerät die Rotation beim nächsten Intune-Check-in automatisch durch.

Verifizieren: Im Intune Admin Center ändert sich beim Gerät der Zeitpunkt der letzten Passwortrotation, das zuvor abgerufene Passwort funktioniert nicht mehr, und im Protokoll „Microsoft-Windows-LAPS/Operational“ steht ein neues Ereignis 10029.

Schritt 6: Audit-Logs auswerten

Jeder Passwort-Abruf und jede Rotation wird in den Entra-Audit-Logs protokolliert, mit Zeitstempel, Ausführendem (UPN) und betroffenem Gerät. Das genügt für Compliance und Nachvollziehbarkeit ohne zusätzliches SIEM.

Entra Admin Center:
Entra ID > Devices > Overview > Audit logs

Relevante Activity-Filter:
  "Update device local administrator password"   → Passwort wurde rotiert
  "Recover device local administrator password"  → Passwort wurde abgerufen

Verifizieren: Nach dem Abruf in Schritt 4 zeigt das Audit-Log einen Eintrag „Recover device local administrator password“ mit Ihrem Konto, nach der Rotation in Schritt 5 einen Eintrag „Update device local administrator password“.

Vollständige Policy-Einstellungen (Referenz)

Die folgende Tabelle zeigt alle konfigurierbaren LAPS-Parameter mit Standardwerten und Plattformbeschränkungen:

Die Registry-Pfade für die CSP-gesetzten Werte (zur Diagnose auf dem Client) lauten:

HKLM\Software\Microsoft\Policies\LAPS
  BackupDirectory    = 1   (DWORD)
  PasswordAgeDays    = 30  (DWORD)
  PasswordLength     = 14  (DWORD)
  PasswordComplexity = 4   (DWORD)

Troubleshooting / Typische Fehler

Event 10027: Passwort-Upload schlägt fehl

Der häufigste Fehler beim ersten Rollout. Ursache ist fast immer, dass LAPS auf Tenant-Ebene noch nicht aktiviert wurde. Prüfen Sie im Entra Admin Center unter „Device settings“, ob die LAPS-Einstellung auf „Yes“ steht.

Richtlinie wird als „Conflict“ angezeigt

Erhält ein Gerät zwei konkurrierende LAPS-Richtlinien, werden beide als „Conflict“ markiert und keine davon angewendet – das Passwort wird in diesem Fall auch nicht gesichert. Lösung: Überschneidungen in den Gerätegruppenzuweisungen beseitigen und sicherstellen, dass jedes Gerät nur eine LAPS-Richtlinie erhält.

Benutzerdefiniertes Konto existiert nicht

Windows LAPS erstellt ein benutzerdefiniertes Konto im Standardmodus nicht selbst (Ausnahme: automatische Kontoverwaltung ab Windows 11 24H2 und Windows Server 2025). Wird ein benutzerdefinierter Kontoname konfiguriert, muss das Konto separat über den Accounts CSP (oder ein Intune-Skript) angelegt werden, bevor LAPS es verwalten kann.

PasswordComplexity 5–8 wird ignoriert

Werte für Passphrasen und erweiterte Komplexitätsstufen funktionieren ausschließlich auf Windows 11 24H2+ und Windows Server 2025. Ältere Systeme fallen ohne Fehlermeldung auf den Default-Wert 4 zurück. Empfehlung: Separate Richtlinien für ältere und neue Betriebssystemversionen erstellen.

Remote-Rotation schlägt fehl

Siehe Hinweis in Schritt 5: Offline-Geräte rotieren beim nächsten Intune-Check-in. Das Passwort im Portal bleibt bis dahin gültig und lesbar.

Gerät gelöscht – Passwort verloren

Nach der Löschung eines Geräts in Entra ID ist das gespeicherte LAPS-Passwort unwiederbringlich verloren. Es gibt keinen Recovery-Weg. Bei geplanter Geräteausmusterung das Passwort vorher notieren, falls noch lokaler Zugriff benötigt wird.

Legacy-LAPS-MSI blockiert

Ab Windows 11 23H2 ist das alte Legacy-Microsoft-LAPS-MSI-Paket blockiert. Falls noch Legacy-LAPS-Installationen im Einsatz sind, müssen diese vor dem Upgrade auf 23H2 auf Windows LAPS migriert werden.

Häufige Fragen

Brauche ich für Windows LAPS eine bezahlte Entra-Lizenz?

Nein. Für die reine LAPS-Funktion mit Entra-ID-Backup genügt Microsoft Entra ID Free. Entra ID P1 oder P2 ist nur erforderlich, wenn Sie Custom Roles für granulare Passwort-Zugriffsberechtigungen oder Administrative Units nutzen möchten.

Muss ich Microsoft Intune verwenden?

Nein – Intune ist nicht zwingend erforderlich. Für Hybrid-Joined-Geräte kann LAPS auch über Gruppenrichtlinien konfiguriert werden (das ADMX-Template aus %windir%\PolicyDefinitions\LAPS.admx muss manuell in den SYSVOL Central Store kopiert werden). Intune bietet jedoch zentrales Management, Monitoring und die manuelle Passwort-Rotation direkt aus dem Portal.

Kann ich das Passwort gleichzeitig in Entra ID und Active Directory sichern?

Nein. Windows LAPS unterstützt nur ein Backup-Verzeichnis gleichzeitig. Bei Hybrid-Joined-Geräten muss zwischen Entra ID und on-premises AD gewählt werden.

Was passiert bei Richtlinien-Konflikten?

Beide werden als „Conflict“ markiert und keine angewendet, das Passwort wird nicht gesichert. Lösung siehe Troubleshooting: Gruppenüberschneidungen bereinigen.

Werden LAPS-Passwörter über Entra Connect synchronisiert?

Nein. Die Synchronisation von LAPS-Attributen aus on-premises AD nach Entra ID via Entra Connect ist kein unterstütztes Szenario. Entra-ID-basiertes LAPS kommuniziert vollständig direkt vom Gerät per HTTPS mit Entra ID – ohne Entra Connect.

Fazit

Der technische Rollout (Tenant-Aktivierung, Intune-Richtlinie, Zuweisung an Gerätegruppen) ist in unter einer Stunde erledigt. Danach hat jedes Gerät ein eigenes, rotierendes lokales Adminpasswort, jeder Abruf wird protokolliert, und der Helpdesk ruft Passwörter ohne Domänen-Adminrechte ab. Das verkleinert das Angriffsfenster für Lateral Movement deutlich.

Für KMU mit Intune und Entra ID fallen weder Lizenz noch Software noch Schema-Update an. Legacy-LAPS migrieren Sie spätestens vor dem Upgrade auf Windows 11 23H2, da das alte MSI-Paket dort blockiert wird.

Als logische Ergänzung zu LAPS empfehlen sich MFA und Conditional Access in Entra ID sowie das Absichern von Admin-Konten mit Pflicht-MFA und Break-Glass-Notfallkonten. Wer Privileged-Access-Management weiterdenken möchte, findet in Entra PIM für Just-in-Time-Adminrechte den nächsten konsequenten Schritt. Für BitLocker-Recovery-Keys gilt übrigens eine sehr ähnliche Logik – die Anleitung BitLocker Recovery-Keys sicher verwalten zeigt, wie beides zusammenspielt.

Weiterführende Anleitungen und Quellen

1. Microsoft 365: MFA und Conditional Access in Entra ID einrichten
2. Microsoft 365 Admin absichern: Pflicht-MFA 2026 und Break-Glass-Notfallkonten
3. Entra Privileged Identity Management (PIM): Just-in-Time-Adminrechte für KMU
4. BitLocker im Betrieb richtig ausrollen: Recovery-Keys sicher verwalten
5. Windows LAPS Übersicht – Microsoft Learn (offizielle Dokumentation)
6. Windows LAPS mit Microsoft Entra ID verwenden – Microsoft Entra Doku
7. Intune-Richtlinien für Windows LAPS bereitstellen – Microsoft Intune Doku