Endpoint Privilege Management in der Praxis: Lokale Adminrechte gezielt reduzieren

Lokale Administratorrechte sind in vielen Unternehmen historisch gewachsen. Mit Microsoft Intune Endpoint Privilege Management lassen sich Rechte gezielter, nachvollziehbarer und sicherer steuern – ohne legitime Arbeitsabläufe unnötig zu blockieren.

Endpoint Privilege Management ist eine Intune-Funktion, mit der Benutzer als Standardbenutzer arbeiten und trotzdem Aufgaben ausführen können, die erhöhte Rechte erfordern. Typische Beispiele sind Anwendungsinstallationen, Treiberupdates oder ältere Fachanwendungen, die zur Ausführung erhöhte Rechte benötigen.

EPM unterstützt dabei Least Privilege und Zero-Trust-Prinzipien, ohne Produktivität grundsätzlich zu blockieren.

EPM kann Erhöhungen automatisch oder benutzerinitiiert auslösen. Gesteuert wird das über zwei zentrale Richtlinientypen:

Für die meisten Arten der Rechteerhöhung verwendet EPM ein virtuelles Konto, das vom angemeldeten Benutzerkonto getrennt ist. Der EPM-Client wird automatisch installiert, wenn eine Elevation Settings Policy zugewiesen wird.

Die Praxiserfahrung zeigt, dass ein phasenweises Vorgehen für EPM entscheidend ist. Ein harter Entzug lokaler Administratorrechte ohne Datenbasis erzeugt Reibung. Erfolgreiche Projekte beginnen deshalb mit Transparenz und einer strukturierten Analyse bestehender Berechtigungen.

• Auswertung und Transparenz schaffen
• Benutzergruppen mit ähnlichen Anforderungen identifizieren
• Regeln erstellen
• Überwachen und nachbessern
• Lokale Administratorrechte überprüfen und reduzieren

• Informationsarbeiter, die nur selten erhöhte Rechte benötigen.
• Entwickler oder technische Rollen mit wiederkehrenden, legitimen Sonderfällen.
• Durch den Support freizugebende Rechteerhöhungen („Support Approved Elevation“) für Dateien, die noch nicht durch bestehende Regeln abgedeckt sind.
• Rückbau alter Gruppen wie „lokale Admins Fachbereich X".
• Pilot in einer abgegrenzten Gruppe, bevor lokale Adminrechte breit reduziert werden.

Endpoint Privilege Management ist einer der greifbarsten Sicherheitsanwendungsfälle im aktuellen Microsoft-365-Umfeld. Das Konzept ist nicht neu. Seit EPM im Rahmen der Microsoft-365-Anpassungen für viele E5-Kunden lizenzseitig zugänglicher geworden ist, lohnt sich die strukturierte Bewertung lokaler Administratorrechte jedoch umso mehr. Richtig eingeführt unterstützt EPM dabei, dauerhafte Administratorrechte schrittweise zurückzubauen, legitime Sonderfälle kontrolliert abzubilden und die Produktivität der Benutzer zu erhalten.

abtis unterstützt beim EPM Readiness Check: Bestandsaufnahme lokaler Adminrechte, Analyse der unterschiedlichen Benutzergruppen und Anforderungen, Regeln für das Pilotprojekt, Freigabeprozess, Kommunikation und Betriebsmodell für kontrollierte Rechteerhöhung mit Microsoft Intune.

Quellen und weiterführende Links

• Microsoft: Advancing Microsoft 365 – New capabilities and pricing update
• Microsoft Intune Blog: Microsoft 365 adds advanced Microsoft Intune solutions at scale
• Microsoft Intune Blog: IT experts weigh in – advanced Intune capabilities coming to Microsoft 365 E3 and E5
• Microsoft Licensing: Microsoft 365 Pricing and Packaging Updates
• Microsoft Learn: Microsoft Intune advanced capabilities
• Microsoft Learn: Use Endpoint Privilege Management with Microsoft Intune
• Erweiterte Microsoft-Intune-Funktionen jetzt in Microsoft 365 E3 und E5 verfügbar
• Microsoft Learn: Deploy Endpoint Privilege Management with Microsoft Intune
• Microsoft Learn: Plan and Prepare for Endpoint Privilege Management Deployment

Bevor Rechte entzogen werden, braucht es Transparenz. Gemeinsam prüfen wir Ihre aktuelle Situation und entwickeln einen sicheren Fahrplan für die Einführung von Endpoint Privilege Management.

Readiness Check anfragen