Windows & Server

Windows LAPS (Local Administrator Password Solution)

Overview

Windows LAPS ist die in Windows eingebaute Lösung, die für jedes Gerät ein eindeutiges Kennwort des lokalen Administratorkontos erzeugt, regelmäßig wechselt und zentral sichert. Damit funktioniert ein einmal erbeutetes lokales Admin-Kennwort nicht mehr auf allen Rechnern, was laterale Bewegung erschwert.

Gesichert wird entweder in Active Directory (für AD-gebundene Clients und Server, inklusive DSRM-Kennwort auf Domain Controllern) oder in Microsoft Entra ID (für Entra-gebundene Geräte, allgemein verfügbar seit 23. Oktober 2023). Hybrid gebundene Geräte nutzen eines der beiden Ziele, nicht beide. Windows LAPS ist ab Windows 11 23H2 und Windows Server 2025 integriert und kam für Windows 10, Windows 11 21H2/22H2 sowie Windows Server 2019 und 2022 mit dem Update vom 11. April 2023.

Das ältere Legacy LAPS (MSI-Paket mit Gruppenrichtlinien-Erweiterung) ist ab Windows 11 23H2 abgekündigt, neuere Betriebssysteme blockieren die Installation des MSI und Microsoft ändert den Code nicht mehr. Für die Migration gibt es einen Emulationsmodus, der alte Richtlinien liest, Kennwörter aber nur im Klartext ablegt. Windows Server 2025 und Windows 11 24H2 bringen außerdem automatische Kontoverwaltung, Passphrasen und eine Erkennung von Image-Rollbacks.

How it works

Windows LAPS läuft als Bestandteil des Betriebssystems ohne zusätzlichen Agent:

  1. Eine Richtlinie per Gruppenrichtlinie oder Intune (LAPS-CSP) legt Sicherungsziel, Kennwortlänge, Komplexität und Rotationsintervall fest.
  2. Das Gerät erzeugt ein Kennwort, setzt es für das verwaltete Konto und schreibt es in AD oder Entra ID, in AD optional verschlüsselt und mit Kennwortverlauf.
  3. Berechtigte Admins lesen das Kennwort im Microsoft Entra Admin Center, in Intune, in Active Directory-Benutzer und -Computer oder per Get-LapsADPassword bzw. Get-LapsAADPassword.
  4. Nach Ablauf oder nach einer Anmeldung mit dem Konto (Post-Authentication Action) rotiert das Gerät das Kennwort und kann die Sitzung abmelden oder neu starten.
  5. Für die AD-Variante erweitert Update-LapsADSchema das Schema um die msLAPS-Attribute.

Ab Windows 11 24H2 und Windows Server 2025 kann LAPS das lokale Admin-Konto selbst anlegen, umbenennen und deaktivieren sowie Passphrasen statt Zeichenfolgen erzeugen.

Benefits

  • Jedes Gerät hat ein eigenes lokales Admin-Kennwort, ein gestohlenes Kennwort öffnet also nicht das ganze Netz.
  • Automatische Rotation ersetzt manuelle Kennwortlisten in Tabellen oder Passwort-Safes.
  • Lesezugriffe auf Kennwörter sind über Rollen steuerbar und nachvollziehbar.
  • Keine Zusatzsoftware, weil Windows LAPS Teil des Betriebssystems ist.
  • Deckt auch das DSRM-Kennwort von Domain Controllern ab, das sonst oft jahrelang unverändert bleibt.

Practical example

Ein Elektrogroßhändler mit 350 Clients setzte bisher Legacy LAPS ein, auf neuen Windows-11-Geräten ließ sich das MSI nicht mehr installieren. Die IT aktualisiert das AD-Schema mit Update-LapsADSchema, konfiguriert Windows LAPS per GPO mit Verschlüsselung und Kennwortverlauf und nutzt auf Altgeräten übergangsweise den Emulationsmodus. Entra-gebundene Außendienst-Notebooks erhalten eine eigene LAPS-Richtlinie über Intune mit Sicherung in Entra ID. Nach der Migration werden die Legacy-Erweiterung deinstalliert und die alten Attribute bereinigt.

Things to keep in mind

  • Verlasse Dich nicht dauerhaft auf den Emulationsmodus, weil er Kennwörter unverschlüsselt in AD ablegt.
  • Entferne die Legacy-LAPS-Erweiterung von den Geräten, sonst ist der Emulationsmodus deaktiviert und alte und neue Richtlinien geraten durcheinander.
  • Vergib das Leserecht auf LAPS-Kennwörter nur an eine kleine Admin-Gruppe und überwache die Zugriffe.
  • Aktiviere die Post-Authentication Action, damit ein genutztes Kennwort nach kurzer Zeit automatisch ersetzt wird.
  • Prüfe nach dem Zurücksetzen von VMs auf ältere Images, ob Kennwort in AD und auf dem Gerät noch übereinstimmen; Windows Server 2025 erkennt solche Rollbacks.

Licensing & availability

Windows LAPS ist in Windows und Windows Server enthalten. Für die Sicherung in Active Directory ist keine zusätzliche Lizenz nötig, für Microsoft Entra ID genügt laut Microsoft Entra ID Free. Die Verwaltung per Intune setzt eine Intune-Lizenz voraus. Legacy LAPS ist abgekündigt und wird auf älteren Betriebssystemen nur bis zu deren Support-Ende unterstützt. Stand: Oktober 2026.

Conclusion

Windows LAPS kostet nichts extra und schließt eine der häufigsten Lücken für laterale Bewegung. Migriere verbliebene Legacy-LAPS-Installationen jetzt, weil neue Geräte sie ohnehin nicht mehr unterstützen.

Further reading

Related articles