Windows LAPS einrichten: lokale Administratorkennwörter automatisch rotieren
Das gleiche lokale Administratorkennwort auf hundert Geräten ist eine Einladung zum Lateral Movement. Diese Seite zeigt, wie die Rotation eingerichtet wird, wo die Kennwörter landen und welche Standardwerte gelten, wenn du nichts weiter konfigurierst.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Ein Kennwort, das überall passt, ist genau einen Angriff weit weg vom Rest
Das lokale Administratorkonto ist auf jedem Windows-Gerät vorhanden und wird bei der Installation mit einem Kennwort versehen. Weil das in der Fläche niemand einzeln machen will, kommt es aus dem Image, aus dem Verteilungsablauf oder aus einer Tabelle im Ablageordner der Administration, und danach ist es überall dasselbe. Genau darauf zielt der Angriffsweg, den Microsoft in der Dokumentation als Pass-the-Hash und seitliche Ausbreitung benennt: Wer den Anmeldenachweis auf einem Gerät erbeutet, kommt damit auf alle anderen.
Die Versuche, das ohne Werkzeug zu lösen, halten alle nicht lange. Ein Skript, das monatlich ein neues Kennwort setzt, muss das Ergebnis irgendwo hinschreiben, und dieses Irgendwo wird zum neuen Angriffsziel. Ein Kennwort je Standort verkleinert den Schaden, hebt ihn aber nicht auf. Das Konto ganz zu deaktivieren klingt sauber, bis ein Gerät die Verbindung zur Domäne verliert und niemand mehr hineinkommt.
Dazu kommt eine Altlast. Viele Häuser haben vor Jahren das alte Microsoft LAPS als Installationspaket ausgerollt, mit eigener Schemaerweiterung, eigener Erweiterung für die Gruppenrichtlinienverarbeitung und einem Kennwort im Klartext im Verzeichnis. Dieses Produkt ist seit Windows 11 23H2 abgekündigt, die Installation des Pakets wird auf neueren Betriebssystemfassungen blockiert, und Microsoft nimmt dafür keine Codeänderungen mehr vor. Wer heute noch damit arbeitet, hat eine Aufgabe mit Termin.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Vier Aufrufe, und die Ablage im Verzeichnis steht
Die folgende Kette erweitert das Schema, erlaubt den Geräten in einer Organisationseinheit das Schreiben, gibt einer Lesegruppe Zugriff und ruft am Ende ein Kennwort ab. Jeder Bestandteil beantwortet eine eigene Frage, und jeder lässt sich einzeln prüfen.
Der Aufbau
Update-LapsADSchema; Set-LapsADComputerSelfPermission -Identity "OU=Server,DC=firma,DC=intern"; Set-LapsADReadPasswordPermission -Identity "OU=Server,DC=firma,DC=intern" -AllowedPrincipals @("FIRMA\LAPS-Leser"); Get-LapsADPassword -Identity SRV01 -AsPlainText - 01 Die einmalige Vorbereitung im Forest
Update-LapsADSchemaDer Aufruf legt die Attribute an, in denen Windows LAPS Kennwort, Ablaufzeitpunkt und, falls aktiviert, die Historie speichert. Er ist einmalig für den gesamten Forest und braucht entsprechende Rechte im Schema. Für die Ablage ausschließlich in Microsoft Entra ID ist er nicht nötig. Wichtig für Häuser mit Altbestand: Dieser Aufruf legt die Schemaelemente des alten Microsoft LAPS nicht an, dafür bleibt Update-AdmPwdADSchema aus dem alten Produkt zuständig.
- 02 Das Gerät darf sein eigenes Kennwort schreiben
Set-LapsADComputerSelfPermissionOhne diese vererbbare Berechtigung auf der Organisationseinheit kann ein Computerkonto sein Kennwort nicht im Verzeichnis ablegen, und in den Ereignissen taucht kein erfolgreicher Schreibvorgang auf. Derselbe Aufruf richtet auch die Berechtigung ein, die ein Gerät braucht, um beim Wechsel die aktuelle verschlüsselte Fassung für die Historie zu lesen. Setz die Berechtigung bewusst je Organisationseinheit, nicht aus Bequemlichkeit an der Wurzel.
- 03 Die Lesegruppe, und nur sie
Set-LapsADReadPasswordPermissionHier entscheidest du, wer Kennwörter überhaupt abfragen darf. Mitglieder der Domänen-Admins haben dieses Recht bereits. Für alle anderen gilt: Die Berechtigung wird vererbbar auf der Organisationseinheit gesetzt und sollte sich an der Schutzbedürftigkeit der darin liegenden Geräte orientieren. Für Geräte im Servicedesk-Umfeld darf der Kreis größer sein als für die Notebooks der Geschäftsführung.
- 04 Gruppen statt Personen
-AllowedPrincipalsDer Parameter nimmt die Sicherheitsprinzipale entgegen, die lesen dürfen. Nimm dafür eine eigene Gruppe und keine Einzelkonten, denn diese Berechtigung wandert sonst mit jedem Personalwechsel durch die Berechtigungsliste. Beachte dabei den zweiten Kreis: Lesen und Entschlüsseln sind zwei verschiedene Rechte. Wer entschlüsseln darf, legt die Richtlinieneinstellung ADPasswordEncryptionPrincipal fest, und die steht ohne Zutun auf der Gruppe der Domänen-Admins.
- 05 Der Abruf und was er verrät
Get-LapsADPasswordDie Ausgabe enthält neben dem Kennwort auch den Kontonamen, den Zeitpunkt der letzten Aktualisierung, den Ablaufzeitpunkt sowie zwei Felder, die den Sicherheitsstand zeigen: die Quelle, an der du erkennst, ob das Kennwort verschlüsselt abgelegt ist, und den Sicherheitsprinzipal, der entschlüsseln darf. Wer hier bei Source einen Hinweis auf Klartext sieht, hat die Verschlüsselung nicht aktiv.
- 06 Der Schalter, der das Kennwort sichtbar macht
-AsPlainTextOhne ihn liefert das Cmdlet das Kennwort in einer geschützten Form zurück, die sich nicht versehentlich in ein Protokoll schreibt. Nutz den Schalter deshalb bewusst und nicht als Gewohnheit in Skripten. Für den Notfall gibt es zusätzlich den Weg über eine eingebundene Sicherung des Verzeichnisses: Mit den Parametern für Port und Wiederherstellungsmodus lässt sich ein Kennwort auch dann noch abrufen, wenn kein Domänencontroller mehr erreichbar ist.
Wenn es nicht funktioniert
Das siehst du
Die Richtlinie ist verteilt, im Verzeichnis steht aber bei keinem Gerät ein Kennwort.
Warum
In den meisten Fällen fehlt die Einstellung BackupDirectory, die ohne Zutun auf deaktiviert steht und damit alle übrigen Einstellungen wirkungslos macht. Die zweite häufige Ursache ist die fehlende Schreibberechtigung des Computerkontos auf der Organisationseinheit. Beides sieht von außen gleich aus, nämlich nach gar nichts.
Was hilft
Prüf am Gerät das Ereignisprotokoll von Windows LAPS: Ein erfolgreicher Schreibvorgang hinterlässt dort ein Ereignis mit der Kennung 10018. Fehlt es, setz zuerst BackupDirectory auf den Wert für die Ablage im Verzeichnis und wiederhole Set-LapsADComputerSelfPermission auf der richtigen Organisationseinheit. Mit Invoke-LapsPolicyProcessing musst du danach nicht auf den nächsten Durchlauf warten.
Das siehst du
Die Verschlüsselung lässt sich in der Richtlinie zwar aktivieren, das Kennwort landet aber trotzdem im Klartext im Verzeichnis.
Warum
Die Verschlüsselung setzt eine Domänenfunktionsebene ab Windows Server 2016 voraus. Liegt die Domäne darunter, ist ausschließlich die Ablage im Klartext möglich, abgesichert allein durch die Zugriffssteuerungslisten, und die Verwaltung des DSRM-Kontos auf Domänencontrollern entfällt ebenfalls.
Was hilft
Prüf zuerst die Funktionsebene der Domäne. Solange sie darunter liegt, verkleinerst du den Kreis der Lesenden so weit wie möglich und planst die Anhebung. Beachte dabei, dass Microsoft das Abrufen zuvor verschlüsselter Kennwörter in einer Domäne unterhalb dieser Ebene ausdrücklich nicht unterstützt.
Das siehst du
Ein Kollege darf das Kennwort abfragen, bekommt in der Ausgabe aber keinen lesbaren Wert.
Warum
Lesen und Entschlüsseln sind zwei verschiedene Rechte. Das Kennwort wird auf dem Gerät verschlüsselt, bevor es überhaupt ins Verzeichnis geht, und zwar für genau einen Sicherheitsprinzipal. Ist die Einstellung ADPasswordEncryptionPrincipal nicht gesetzt, ist das die Gruppe der Domänen-Admins, und alle anderen sehen nur eine Fehlermeldung beim Entschlüsseln.
Was hilft
Setz ADPasswordEncryptionPrincipal auf die Gruppe, die tatsächlich entschlüsseln soll. Da Windows LAPS nur einen einzigen Prinzipal unterstützt, legst du für mehrere Kreise eine übergeordnete Gruppe an und nimmst die anderen als Mitglieder auf. Beachte, dass sich der berechtigte Sicherheitsprinzipal nach dem Verschlüsseln eines Kennworts nicht mehr ändern lässt; die Umstellung greift erst mit der nächsten Rotation.
Das siehst du
Im Ereignisprotokoll erscheint wiederholt die Kennung 10027, und es wird kein neues Kennwort erzeugt.
Warum
Die konfigurierte Länge oder Komplexität passt nicht zur lokalen Kennwortrichtlinie des Geräts. Windows LAPS kann dann kein gültiges Kennwort bilden. Dieselbe Falle stellen die neueren Werte für Passphrasen: Sie werden erst ab Windows 11 24H2 und Windows Server 2025 unterstützt, ältere Systeme fallen auf den Standardwert zurück.
Was hilft
Gleich Länge und Komplexität mit der lokalen Kennwortrichtlinie ab. Wenn ihr gemischte Betriebssystemstände habt und Passphrasen nutzen wollt, leg zwei getrennte Richtlinien an, eine für die neueren und eine für die älteren Fassungen, statt eine Richtlinie mit Werten zu verteilen, die ein Teil der Geräte nicht kennt.
Das siehst du
Der Installationsablauf für neue Geräte bricht ab, sobald das Gerät der Domäne beigetreten ist.
Warum
Windows LAPS ist Bestandteil des Betriebssystems und immer aktiv. Sobald eine Richtlinie greift, beginnt die Durchsetzung sofort. Tritt ein Gerät während der Installation in eine Organisationseinheit ein, in der eine LAPS-Richtlinie auf dasselbe lokale Konto zeigt, mit dem der Ablauf gerade angemeldet ist, wird dessen Kennwort mitten im Vorgang ausgetauscht.
Was hilft
Nutz eine saubere Zwischen-Organisationseinheit für die Installation, in der bewusst keine LAPS-Richtlinie gilt, und verschieb das Konto erst am Ende des Ablaufs an seinen endgültigen Platz. Microsoft empfiehlt dieses Vorgehen ohnehin als allgemeine Regel. Alternativ richtest du die Richtlinie auf ein anderes lokales Konto als das des Installationsablaufs.
Vom leeren Verzeichnis zum rotierenden Kennwort
- 01 Wohin soll gesichert werden? Die Beitrittsart des Geräts entscheidet darüber, ob das überhaupt zur Wahl steht.
- 02 Ist das Schema erweitert? Einmal je Forest, und nur für die Ablage im Verzeichnis nötig.
- 03 Darf das Gerät sein Kennwort schreiben, und darf die richtige Gruppe es lesen?
- 04 Steht BackupDirectory in der Richtlinie? Ohne diesen Wert passiert gar nichts.
- 05 Wer hält erweiterte Rechte auf der Organisationseinheit und kann damit vertrauliche Attribute lesen?
Die Einrichtung in sechs Schritten
Für die Ablage im Verzeichnis brauchst du eine einmalige Vorbereitung im Forest und danach zwei Berechtigungsentscheidungen. Wer ausschließlich in Microsoft Entra ID sichert, überspringt die Vorbereitung im Verzeichnis vollständig, einschließlich der Schemaerweiterung.
Zuerst klären, wohin das Kennwort überhaupt gehen soll
Die Beitrittsart des Geräts entscheidet. Ein Gerät, das nur in Microsoft Entra ID registriert ist, kann ausschließlich dorthin sichern. Ein Gerät, das nur der Domäne beigetreten ist, ausschließlich in das Verzeichnis. Nur ein hybrid verbundenes Gerät hat die Wahl, und auch dort gilt: entweder das eine oder das andere, beides gleichzeitig ist nicht vorgesehen. Für Server im Rechenzentrum ist das Verzeichnis der Regelfall.
Das Schema erweitern, einmal für den gesamten Forest
Update-LapsADSchema legt die benötigten Attribute an. Der Aufruf ist eine einmalige Aktion für den gesamten Forest und lässt sich auf einem Domänencontroller ab Windows Server 2019 mit den entsprechenden Updates ausführen, ebenso auf jedem Server, der das LAPS-Modul für PowerShell unterstützt. Der Schalter -Verbose zeigt dabei im Detail, was passiert, und funktioniert bei allen Cmdlets des Moduls.
Dem Gerät erlauben, sein eigenes Kennwort zu schreiben
Set-LapsADComputerSelfPermission setzt vererbbare Berechtigungen auf einer Organisationseinheit, sodass die darin liegenden Computerkonten ihr Kennwort selbst aktualisieren dürfen. Genau dieser Aufruf richtet nebenbei auch die Berechtigung ein, die das Gerät für die Kennworthistorie benötigt. Wer die Berechtigung lieber an der Wurzel der Domäne setzt, gibt statt des Namens den vollständigen Namen des Objekts an.
Getrennt festlegen, wer lesen und wer ablaufen lassen darf
Set-LapsADReadPasswordPermission gibt einer Gruppe das Recht, die Kennwörter abzufragen. Set-LapsADResetPasswordPermission gibt das Recht, den Ablaufzeitpunkt zu setzen, also eine vorzeitige Rotation auszulösen. Mitglieder der Domänen-Admins haben beides bereits. Wichtig ist der Unterschied: Wer lesen darf, darf damit noch lange nicht entschlüsseln, denn das regelt eine eigene Einstellung.
Die Richtlinie setzen und dabei mindestens ein Ziel angeben
Die Einstellungen stehen unter Computerkonfiguration in den administrativen Vorlagen im Knoten LAPS. Zwingend ist die Einstellung BackupDirectory mit dem Wert 2 für die Ablage im Verzeichnis, denn ohne sie ist alles andere wirkungslos. Alles Weitere ist optional und greift auf Standardwerte zurück. Die zugehörige Vorlagendatei liegt im Windows-Verzeichnis und wird bei einem Update ausdrücklich nicht selbsttätig in den Central Store kopiert.
Vor dem Ausrollen die vorhandenen erweiterten Rechte prüfen
Alle Kennwortattribute von Windows LAPS sind als vertraulich gekennzeichnet. Wer auf der Organisationseinheit das Recht auf alle erweiterten Rechte hält, kann vertrauliche Attribute trotzdem lesen. Find-LapsADExtendedRights zeigt dir, wer das ist. In einer sauberen Umgebung stehen dort nur das Systemkonto und die Domänen-Admins; alles andere gehört geklärt, bevor die ersten Kennwörter im Verzeichnis liegen.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Windows LAPS ist nicht die neue Fassung des alten Microsoft LAPS
Der wichtigste Unterschied steht so in der Dokumentation: Windows LAPS ist eine vollständig eigene Umsetzung, die zu Windows gehört, und keine Weiterentwicklung des früheren Installationspakets. Ausgeliefert wurde die Funktion mit den Windows-Updates vom 11. April 2023, und zwar für Windows 10, für Windows 11 21H2 und 22H2 sowie für Windows Server 2019 und Windows Server 2022. Windows 11 ab 23H2 und Windows Server 2025 bringen sie ohnehin mit.
Das alte Produkt ist damit am Ende seines Wegs. Es gilt seit Windows 11 23H2 als abgekündigt, die Installation des Pakets wird auf neueren Betriebssystemfassungen blockiert, und Microsoft nimmt keine Codeänderungen mehr daran vor. Auf älteren Fassungen, auf denen es bisher unterstützt war, läuft es weiter, aber nur bis zum regulären Supportende dieser Betriebssysteme.
Für den Umstieg gibt es einen Zwischenschritt, den sogenannten Emulationsmodus. Windows LAPS wertet darin die Gruppenrichtlinien des alten Produkts aus, allerdings mit klaren Einschränkungen: Kennwörter liegen dann wie früher ausschließlich im Klartext im Verzeichnis, die Verschlüsselung und die Ablage in Microsoft Entra ID stehen nicht zur Verfügung, und sobald eine eigene Windows-LAPS-Richtlinie vorhanden ist, hat diese immer Vorrang. Beim Abruf hilft Get-LapsADPassword auch hier weiter, denn es liest das alte Attribut ms-Mcs-AdmPwd mit, während der Ablaufzeitpunkt im alten Attribut ms-Mcs-AdmPwdExpirationTime nicht gesetzt werden kann.
Wohin das Kennwort geht und wer es lesen darf
Bei der Ablage im Verzeichnis liegt das Kennwort am Computerobjekt und ist doppelt abgesichert. Die erste Ebene sind die Zugriffssteuerungslisten auf der Organisationseinheit, die auf die Computerobjekte vererbt werden. Die zweite Ebene ist die Verschlüsselung, die auf dem Gerät selbst stattfindet, bevor überhaupt etwas übertragen wird. Sie beruht auf DPAPI-NG, also der Data Protection API der Cryptography API: Next Generation, und verwendet AES mit 256 Bit Schlüssellänge.
Microsoft beschreibt den Zugriff als drei ineinanderliegende Kreise. Der äußere Kreis darf den Ablaufzeitpunkt lesen und setzen, kann also eine vorzeitige Rotation auslösen; das gilt als heikel, aber nicht als zerstörerisch. Der mittlere Kreis darf die Kennwortattribute lesen. Der innere Kreis darf entschlüsseln und sollte am engsten gefasst sein. Für alle drei empfiehlt Microsoft, sie an der Schutzbedürftigkeit der Geräte auszurichten und nicht pauschal zu vergeben.
Eine Besonderheit verdient Aufmerksamkeit, weil sie sich leicht übersehen lässt: Alle Kennwortattribute sind als vertraulich gekennzeichnet, aber wer auf einer Organisationseinheit das Recht auf alle erweiterten Rechte hält, umgeht diese Kennzeichnung. Genau dafür gibt es Find-LapsADExtendedRights. In einer aufgeräumten Umgebung erscheinen dort nur das Systemkonto und die Domänen-Admins. Jeder weitere Eintrag ist ein stiller Mitleser.
Die Vorgaben, die ohne dein Zutun gelten
Windows LAPS arbeitet auch dann, wenn du außer der Zielangabe nichts konfigurierst, und greift dabei auf dokumentierte Standardwerte zurück. Das Kennwort ist 14 Zeichen lang, enthält Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen und wird nach 30 Tagen ausgetauscht. Verwaltet wird das eingebaute lokale Administratorkonto, das über seine bekannte relative Kennung erkannt wird und nicht über seinen Namen; das ist wichtig, weil der Name je nach Sprachfassung des Systems unterschiedlich ist.
Zwei Standardwerte überraschen regelmäßig. Erstens ist die Verschlüsselung im Verzeichnis von sich aus eingeschaltet, greift aber nur, wenn die Domänenfunktionsebene ab Windows Server 2016 liegt. Zweitens ist eine Aktion nach der Anmeldung voreingestellt: 24 Stunden nach einer Anmeldung mit dem verwalteten Konto wird das Kennwort zurückgesetzt, angemeldete Sitzungen werden beendet und SMB-Sitzungen gelöscht, wobei interaktive Sitzungen zwei Minuten Vorwarnung bekommen. Die Kennworthistorie dagegen ist ausgeschaltet und lässt sich nur zusammen mit der Verschlüsselung aktivieren.
Der Takt selbst ist nicht einstellbar. Eine Hintergrundaufgabe prüft die geltende Richtlinie einmal pro Stunde; sie ist bewusst keine geplante Aufgabe im Aufgabenplaner. Anders als das alte Produkt hängt Windows LAPS damit nicht am Aktualisierungsintervall der Gruppenrichtlinien, reagiert aber auf deren Änderungsbenachrichtigungen. Wer nicht warten will, ruft Invoke-LapsPolicyProcessing auf; das ist zielgenauer als ein erzwungenes gpupdate.
Domänencontroller, Sicherungen und der Ernstfall
Auf Domänencontrollern kann Windows LAPS zusätzlich das Kennwort des Kontos für den Verzeichnisdienst-Wiederherstellungsmodus verwalten. Das ist genau der Zugang, den im Ernstfall niemand zur Hand hat, weil er zuletzt bei der Heraufstufung vergeben wurde. Die Funktion setzt aktivierte Verschlüsselung voraus, ist also an dieselbe Domänenfunktionsebene gebunden, und eine Ablage in Microsoft Entra ID ist dafür nicht vorgesehen.
Für den wirklich schlechten Tag, an dem kein Domänencontroller mehr läuft, gibt es einen dokumentierten Weg. Eine Sicherung der Verzeichnisdatenbank lässt sich mit dsamain lokal einbinden und über LDAP abfragen, und Get-LapsADPassword kann mit der Portangabe genau dort nachsehen. Das Werkzeug ist nicht vorinstalliert und wird über die optionale Windows-Funktion für die Verzeichnisdienste nachgerüstet. Wer diesen Ablauf einmal geübt hat, muss ihn nicht im Störfall zum ersten Mal lesen.
Ein neuerer Schutz betrifft virtuelle Maschinen. Wird ein Image auf einen älteren Stand zurückgesetzt, etwa über eine Prüfpunkt-Wiederherstellung unter Hyper-V, passen lokales und abgelegtes Kennwort nicht mehr zusammen. Windows LAPS erkennt das über eine Kennung, die es zusammen mit jedem neuen Kennwort ablegt, und rotiert sofort. Diese Erkennung gibt es allerdings erst ab Windows 11 24H2 und Windows Server 2025, und sie braucht das Schema eines Forests mit Windows Server 2025, weil das zugehörige Attribut nicht über die Schemaerweiterung nachgerüstet wird.
Dazu passende Kurse
Wenn lokale Administratorkonten nur ein Baustein einer größeren Absicherung sind, führen Kurse, in denen du lokale Konten und Verzeichnisrechte absicherst die einzelnen Maßnahmen zu einem Bild zusammen.
Für die Grundlagen darunter, von der Struktur der Organisationseinheiten bis zur Delegierung, sind Kurse rund um Verzeichnisdienste und Kennwortverwaltung im Serverbetrieb der passende Einstieg.
Wie sicher bist du beim Thema wirklich?
Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.
Wo du genau das übst
Danke an Trainer Sven, welcher ein sehr detailliertes und fachliches KnowHow besitzt.
Ich beziehe mich hier nur auf die Nachschlung durch Herrn Marco Jachmann. Herr Jachmann ist überaus kompetent und hat alle Inhalte professionell vermittelt.
Sehr sehr gut aufbereitete Nachschulung mit genau dem notwendigen Engagement und der erforderlichen Vorbereitung innerhalb von 48 Stunden.
Häufige Fragen
Muss ich für Windows LAPS etwas installieren?
Kostet Windows LAPS etwas?
Können wir Kennwörter gleichzeitig ins Verzeichnis und in die Cloud sichern?
Wir setzen noch das alte Microsoft LAPS ein. Müssen wir sofort umstellen?
Was passiert, wenn jemand das Kennwort des verwalteten Kontos von Hand ändert?
Wie stelle ich sicher, dass ein Kennwort sofort ausgetauscht wird?
Quellen
- Microsoft Learn, Übersicht zu Windows LAPS
- Microsoft Learn, Windows LAPS mit Active Directory einrichten
- Microsoft Learn, Richtlinieneinstellungen und Standardwerte von Windows LAPS
- Microsoft Learn, Architektur und Sicherheitskonzepte von Windows LAPS
- Microsoft Learn, Emulationsmodus für das alte Microsoft LAPS
Deine Ansprechpartner
Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.
Yves Hoppe
Weiterbildung & Beratung
Hilft dir, aus dem Windows Server-Programm den passenden Kurs für deinen Stand zu finden.
Norbert Jansen
Beratung & Inhouse
Plant mit dir Inhouse-Trainings, die auf eure Abläufe und euren Datenbestand zugeschnitten sind.
Lokale Konten und Verzeichnisrechte gemeinsam ordnen
In den Sicherheitskursen rund um Active Directory bei cmt arbeitest du an einer eigenen Umgebung durch, wie Berechtigungen im Verzeichnis wirken, wo vertrauliche Attribute gelesen werden können und welche Wege ein Angriff über lokale Konten nimmt.
Passt dazu
- Active Directory absichern: Tier-Modell, privilegierte Konten und saubere Delegierung
- NTLM zurückdrängen und auf Kerberos umstellen
- Gruppenrichtlinien oder Intune: welche Einstellung gehört wohin
- Gewachsene Gruppenrichtlinien aufräumen: Bestand aufnehmen, zusammenlegen, dokumentieren