Werbung: Dieser Beitrag ist die erste Folge meiner Unboxing-Serie in Zusammenarbeit mit Admin By Request. Wie immer sind die Komplettlösung, die Meinungen und die Erfahrungen zu 100 % meine eigenen.
Willkommen zur ersten Folge meiner Unboxing-Serie! In dieser Serie schaue ich mir die Produkte von Admin By Request im Detail an – und beginne mit dem Produkt, für das das Unternehmen am besten bekannt ist: Endpoint Privilege Management (EPM). In diesem Blogbeitrag erkläre ich, was „Admin By Request“ ist, wie die Lösung bestehende lokale Administratorrechte entfernt, ohne die Leute bei ihrer Arbeit zu blockieren, und was ich zuerst konfigurieren würde. Wenn Sie lieber zuschauen als lesen möchten, finden Sie hier die vollständige Videofolge:
[Video-Platzhalter: die vollständige Unboxing-Folge]
Table of contents
Warum sollte ich mich um die Berechtigungsverwaltung kümmern?
Wenn ich in die Zukunft schaue, sehe ich drei Technologien, die wesentlich sind: Daten, KI – worüber alle reden – und Sicherheit. Und Sicherheit ist die Grundlage von allem. Ohne starke Sicherheit gibt es keine erfolgreiche KI-Strategie. Sicherheit ist Ihre Versicherung dafür, dass im Unternehmen alles am Laufen bleibt.
Aus eigener Erfahrung ist die Berechtigungsverwaltung eine der größten Sicherheitslücken in Organisationen. Ich habe in einer Umgebung mit 120.000 Geräten gearbeitet und es gab viele gültige Anwendungsfälle, warum Benutzer Administratorrechte benötigten: veraltete Software, an ein bestimmtes Gerät gebundene Anwendungen, die keine Updates mehr erhalten, oder Benutzer, die einfach eine Einstellung auf ihrem Computer ändern müssen. Gleichzeitig sind lokale Administratorrechte der Türöffner für böswillige Akteure – für Ransomware- und Supply-Chain-Angriffe. Das ist der Konflikt, mit dem jedes Sicherheitsteam konfrontiert ist: Benutzer benötigen Rechte, um ihre Arbeit zu erledigen, und sie möchten diese Rechte entfernen, um die Sicherheit der Umgebung zu gewährleisten.
Was ist Admin By Request?
Admin By Request ist eine Zero-Trust-Endpunktplattform und EPM ist ihr Kernprodukt: Es entfernt dauerhafte lokale Administratorrechte von Ihren Geräten und ersetzt sie durch kontrollierte, temporäre Erhöhung. Benutzer haben weiterhin die Möglichkeit, alles zu tun, was sie rechtmäßig benötigen – aber niemand hat mehr ständige Administratorrechte und jede Zugriffsberechtigung wird dokumentiert.
Die Lösung besteht aus einem kleinen Client für den Endpunkt und einem Cloud-Portal für die Admin-Seite. Es gibt Clients für Windows, macOS und Linux sowie Windows Server und Mobilgeräte – was es meiner Meinung nach zum umfassendsten EPM-Produkt macht, das derzeit auf dem Markt ist. Die Installationsprogramme werden für Ihren Mieter generiert und signiert und Sie verteilen sie manuell oder über Ihre vorhandene Softwareverteilung, zum Beispiel Microsoft Intune.
Ein Punkt, der für europäische Unternehmen sehr wichtig ist: Admin By Request betreibt ein dediziertes Rechenzentrum in Frankfurt. Audit-Logs, Erhöhungsanfragen, Konfigurationsdaten – alles bleibt in Deutschland. Wenn Sie schon einmal einen neuen Endpunkt Tool eingeführt haben und im Betriebsrat über Mitarbeiterüberwachung und Datenausfuhr aus der EU diskutiert haben, wissen Sie, wie viel einfacher das die Diskussion macht. Zusammen mit den konfigurierbaren Datenschutzeinstellungen ist dies eine starke DSGVO-Geschichte.
Wie funktioniert die Erhöhung eigentlich?
Es gibt zwei Kernmuster, die nahezu jeden realen Fall abdecken:
1. Erhöhung pro Prozess (Als Administrator ausführen). Ein Benutzer muss eine bestimmte Anwendung mit Administratorrechten installieren oder ausführen. Anstatt den gesamten Benutzer hochzustufen, wird nur dieser einzelne Prozess hochgestuft – der Benutzer zieht das Installationsprogramm auf „Admin By Request“, gibt einen Grund an und der Prozess wird mit Administratorrechten ausgeführt. Wenn der Prozess endet, enden damit auch die Rechte. Für mich ist das der eigentliche Game-Changer, denn es deckt die häufigste Anfrage („Ich muss nur dieses Tool installieren“) ab, ohne jemals einen Admin-Benutzer zu erstellen.
2. Zeitgesteuerte Admin-Sitzungen. Für alles, was kein einzelner Prozess ist – denken Sie an eine Einstellung, die tatsächlich Administratorzugriff erfordert – fordert der Benutzer eine Admin-Sitzung mit einer kurzen Begründung an. Ein Administrator überprüft die Anfrage im Portal, genehmigt sie und der Benutzer erhält Administratorrechte für ein definiertes Fenster mit sichtbarem Timer. Wenn die Sitzung endet (oder der Benutzer auf „Fertig stellen“ klickt), werden die Rechte widerrufen und das Gerät ist wieder ein normales Benutzerkonto.
Ein praktisches Beispiel aus meiner eigenen täglichen Arbeit: Auf einem Mac erfordert die Aktivierung der Bildschirmaufzeichnungsberechtigung für Microsoft Teams lokale Administratorrechte – eine einminütige Aufgabe, die klassischerweise ein dauerhaftes Administratorkonto rechtfertigen würde. Bei „Admin By Request“ handelt es sich stattdessen um eine kurze, genehmigte und vollständig geprüfte Sitzung.
Zwei Details, die mir besonders gut gefallen: Sie können für die Erhöhung eine Multi-Faktor-Authentifizierung verlangen – ein Microsoft-Anmeldefenster für die Entra-ID anstelle eines lokalen Passworts – und jede Datei wird durch einen integrierten Malware-Scan überprüft, bevor sie erhöht ausgeführt werden darf. Wenn ein Schädling nach Administratorrechten fragt, erhalten Sie drei Wochen später eine Echtzeitbenachrichtigung anstelle eines Vorfallberichts.
Wie sieht die Admin-Seite aus?
Das Portal ist erfrischend unkompliziert. Auf der Übersichtsseite werden Ihr Abonnement, die eingehenden Anfragen, Ihr Sicherheitsstatus und Produktneuigkeiten angezeigt – und es gibt einen integrierten Chat, wenn Sie eine Frage haben, sodass Sie nicht auf ein Support-Ticket auf eine schnelle Antwort warten müssen.
Zwei Dinge empfehle ich gleich zu Beginn zu konfigurieren:
Single Sign-On. Die anfängliche Anmeldung besteht aus Benutzername und Passwort, und in einer Unternehmensumgebung sollte dies nicht so bleiben. Verbinden Sie das Portal mit Microsoft Entra ID, und von da an melden sich Administratoren über Ihren Identitätsanbieter an, einschließlich MFA und bedingtem Zugriff.
Mandanteneinstellungen. Hier passt sich die Lösung an Ihre Organisation an:
- Identität: Eine App-Registrierung verbindet Entra ID (oder Google und andere Anbieter), wodurch Ihre Gruppen in Tool eingebracht werden – die Grundlage für bereichsbezogene Konfigurationen.
- Daten & Datenschutz: Sie entscheiden, was sichtbar ist. Anfragen können anonymisiert werden, sodass die Genehmigungsentscheidung auf der Grundlage der Beschreibung und nicht der Person getroffen wird und Sie die Datenaufbewahrungsfrist kontrollieren. Dies ist der Abschnitt, den Ihr Betriebsrat sehen möchte.
- API-Schlüssel: Für Automatisierung und Integrationen gibt es eine dokumentierte API – ziehen Sie Prüfdaten in Ihr SIEM oder erstellen Sie Ihre eigenen Workflows.
- Automatische Aktualisierung: Der Endpunkt-Client hält sich selbst auf dem neuesten Stand, sodass Sie keinen weiteren Agenten zu Ihrem Patch-Rückstand hinzufügen.
Welche Leitplanken bekomme ich?
Das Entfernen von Administratorrechten hilft nur, wenn die temporäre Erhöhung nicht missbraucht werden kann. Hier sticht für mich Admin By Request hervor:
- Sperrung: Der klassische Trick mit temporären Administratorrechten besteht darin, schnell einen neuen lokalen Benutzer zu erstellen und ihn der Administratorengruppe hinzuzufügen – permanenter Administrator durch die Hintertür. Lockdown blockiert genau das: Während einer erhöhten Sitzung können Benutzergruppen, Netzwerkeinstellungen und andere kritische Bereiche ausgeblendet und vor Manipulation geschützt werden.
- Intune Compliance Gate: Sie können verlangen, dass ein Gerät in Intune kompatibel ist, bevor es überhaupt eine Erhöhung anfordern kann. Nicht konformes Gerät, keine Administratorrechte.
- App-Steuerung mit maschinellem Lernen: Häufig verwendete Anwendungen können vorab genehmigt werden, damit Benutzer nicht blockiert und Administratoren nicht überlastet werden. Und wenn Sie denselben Antrag fünfmal genehmigen, wird er automatisch genehmigt – vorab durch Ihre eigenen Entscheidungen validiert.
- Untereinstellungen: Sie definieren einen globalen Standard und überschreiben ihn für bestimmte Gruppen, Organisationseinheiten oder Gerätetypen – beispielsweise können Laborgeräte ohne Genehmigung hochgestuft werden, während alle anderen eines benötigen. Das Scoping stammt von Ihren Entra-Gruppen.
- Branding: Ihr Firmenname, Ihr Logo, Ihre Anweisungen und ein optionaler Verhaltenskodex im Prompts – damit sich das Erlebnis wie ein interner Service anfühlt, nicht wie ein Drittanbieter-Service Tool.
Wie sieht es mit Berichterstattung und Prüfung aus?
Jede Erhebung erzeugt verwertbare Daten. Dashboards zeigen, woher Anfragen kommen, welche Benutzer sie stellen und welche Anwendungen mit erhöhten Rechten ausgeführt werden. Das Inventar listet jeden Client mit Gerätedetails und einem Überwachungsprotokoll der Erhöhungen und Administratorsitzungen pro Maschine auf. Sie können umgebungsweit nachvollziehen, wer wann was auf welchem Gerät geändert hat – und was gesammelt wird, ist konfigurierbar, was den Kreis zurück zu den Datenschutzeinstellungen schließt. Die Dokumentation ist wirklich gut, wenn Sie tiefer gehen möchten, mit Schritt-für-Schritt-Anleitungen für Dinge wie Entra ID Connect.
Wie fange ich an?
Die Eintrittsbarriere ist niedrig: Auf adminbyrequest.com gibt es einen Kostenlosen Plan – Name, Firma, E-Mail und innerhalb weniger Sekunden haben Sie einen vollständigen Login mit 25 Lizenzen. Das reicht aus, um den Client auf einer Handvoll Testgeräten zu installieren und in Ihrer eigenen Umgebung einen ordnungsgemäßen Proof of Concept zu erstellen, bevor Sie über Budgets sprechen.
Mein Urteil
Sie wissen, dass mir die Endpunktsicherheit am Herzen liegt – ich habe kürzlich über den Schutz von KI-Agenten mit Defender for Endpoint geschrieben, und das Entfernen bestehender lokaler Administratorrechte ist die gleiche Geschichte, eine Ebene tiefer: die Möglichkeiten eines Angreifers auf dem Gerät überhaupt zu verringern. Admin By Request liefert dies mit einer Benutzererfahrung, die von den Menschen tatsächlich akzeptiert wird, mit Leitplanken wie Sperrung und Malware-Scanning, allen wichtigen Plattformen und dem Frankfurter Rechenzentrum als europäischem Vertrauensargument. Meiner Meinung nach ist es derzeit das umfassendste EPM-Produkt auf dem Markt.
Meine Empfehlung: Erstellen Sie die kostenlose Testversion, rollen Sie den Client auf ein paar Testgeräte aus und sehen Sie, wie er sich in Ihrer Umgebung verhält. In der nächsten Folge dieser Serie werde ich das nächste Admin By Request-Produkt auf die gleiche praktische Weise auspacken.
Ich hoffe, das ist eine kleine Hilfe.
Bleibt gesund, Grüße Jannik