Privilegierte Konten absichern: Admin-Zugänge in 5 Schritten

Übernimmt ein Angreifer das Konto eines Systemadministrators, kann er laut der US-Cybersicherheitsbehörde CISA auf jedes System und alle Daten der Organisation zugreifen. Trotzdem melden sich viele Admins im Mittelstand noch mit Passwort plus SMS-Code oder Push-Bestätigung an. Diese Verfahren lassen sich laut CISA per Phishing, Push-Bombing oder SIM-Swapping aushebeln. Beim Push-Bombing flutet der Angreifer das Handy mit Anmeldeanfragen, beim SIM-Swapping meldet er die Rufnummer auf seine SIM-Karte um. Wer privilegierte Konten absichern will, trennt Admin-Konten und erzwingt Security Keys aus unserer Kategorie Identity & Access. Dazu kommen zwei Notfallkonten, ein Alarm bei jeder Nutzung und regelmäßige Tests.

Diese Anleitung behandelt nur Administrator- und Notfallkonten, nicht den Rollout für alle Mitarbeiter. Dafür gibt es unseren Ratgeber Passkeys im Unternehmen einführen.

Wie schützen Sie Administratorkonten am wirksamsten vor Übernahme?

Am wirksamsten schützen Sie Administratorkonten mit phishing-resistenter Mehrfaktor-Authentifizierung über FIDO2-Security-Keys oder Zertifikate. Dazu kommen getrennte Admin-Konten ohne E-Mail und Surfen. Mindestens zwei Notfallkonten erhalten eine eigene Anmeldemethode, lösen bei jeder Nutzung Alarm aus und werden alle 90 Tage getestet. Diese Reihenfolge stützen CISA und Microsoft.

Welche Konten gelten als privilegiert?

Privilegiert ist jedes Konto, mit dem jemand Rechte vergeben, Sicherheitsfunktionen abschalten oder Daten massenhaft lesen kann. In typischen Mittelstandsumgebungen sind das:

• globale Administratoren in Microsoft 365 und Entra ID
• Domänen-Admins im lokalen Active Directory
• Verwaltungskonten für Firewall, Backup-Konsole und Hypervisor
• Konsolen für Endpoint-Schutz und E-Mail-Security
• Zugänge externer Dienstleister mit Fernwartung
• Notfallkonten („Break-Glass“), die nur bei einem Totalausfall zum Einsatz kommen

CISA nennt neben Administratoren weitere Rollen mit Sonderrechten, etwa Juristen mit eDiscovery-Rechten auf alle Postfächer oder die Personalabteilung.

Privilegierte Konten absichern in 5 Schritten

Schritt 1: Admin-Konten vom Alltag trennen

Jeder Administrator bekommt ein eigenes Verwaltungskonto zusätzlich zum normalen Benutzerkonto. Mit dem Admin-Konto mailt und surft niemand. Vergeben Sie nur die Rollen, die für die Aufgabe nötig sind, und löschen Sie verwaiste Konten ausgeschiedener Mitarbeiter sofort.

Zwei Bereiche fallen oft durch das Raster. Lokale Administratorkonten auf Clients teilen sich häufig ein gemeinsames Kennwort. Windows LAPS vergibt stattdessen je Gerät ein eigenes Kennwort und wechselt es regelmäßig. Externe Dienstleister arbeiten besser mit benannten, befristeten Konten und eigenem Security Key statt mit einem Sammelkonto. Für die Arbeit mit Notfallkonten nennt Microsoft außerdem eine abgesicherte Arbeitsstation, etwa eine Privileged Access Workstation.

Schritt 2: Phishing-resistente Methode festlegen

Nicht jede Mehrfaktor-Methode schützt gleich gut. CISA bezeichnet phishing-resistente MFA als „Goldstandard“ und fordert Systemadministratoren ausdrücklich auf, darauf umzusteigen. Die einzige breit verfügbare Variante ist laut CISA FIDO/WebAuthn.

Grundlage: Reihenfolge nach CISA Fact Sheet „Implementing Phishing-Resistant MFA“, Tabelle 1 (Oktober 2022). Angriffs- und Eignungsspalte: eigene Einordnung.

Schritt 3: Zwei Schlüssel pro Admin registrieren

Registrieren Sie für jedes Admin-Konto zwei Security Keys: einen für den täglichen Einsatz, einen als Ersatz im Tresor. Entfernen Sie danach schwächere Methoden wie SMS aus dem Konto. Sonst wählt ein Angreifer im Anmeldedialog einfach die schwächere Option. Wie Sie Ausgabe, PIN und Verlustprozess regeln, beschreibt unser Ratgeber zum Security Key Rollout im Unternehmen.

Schritt 4: Notfallkonten nach Microsoft-Vorgabe einrichten

Für Microsoft Entra ID beschreibt Microsoft die Notfallkonten genau (Stand der Dokumentation: Juni 2026):

1. Mindestens zwei Notfallkonten anlegen, rein in der Cloud mit einer Adresse auf *.onmicrosoft.com, ohne Verbund oder Synchronisierung.
2. Passkey (FIDO2) als Anmeldemethode verwenden, alternativ zertifikatbasierte Anmeldung bei vorhandener PKI.
3. Eine andere Methode als bei den normalen Admin-Konten nutzen. Microsofts Beispiel: Admins mit Authenticator-App, Notfallkonten mit FIDO2-Key. Nutzen Ihre Admins bereits FIDO2, melden sich die Notfallkonten per Zertifikat an.
4. Die Konten aus Richtlinien für bedingten Zugriff (Regeln zu Gerät, Ort und Risiko) ausschließen, die die Anmeldung blockieren oder einschränken.
5. Die Rolle „Globaler Administrator“ permanent aktiv zuweisen, nicht nur bei Bedarf aktivierbar über Privileged Identity Management.
6. Die Schlüssel in brandgeschützten Tresoren an getrennten Orten lagern.

So bleibt der Zugang möglich, wenn der Identitätsanbieter, das Mobilfunknetz oder der letzte reguläre Admin ausfällt.

Schritt 5: Jede Nutzung melden und regelmäßig testen

Jede Anmeldung eines Notfallkontos löst einen Alarm an mehrere Administratoren aus, zum Beispiel über Azure Monitor oder Microsoft Sentinel. Microsoft empfiehlt, die Notfallkonten mindestens alle 90 Tage zu testen. Nach jedem Personalwechsel prüfen Sie die Liste der Berechtigten und ändern die Tresor-Kombination. Für das Erkennen von Missbrauch im Alltag hilft unser Beitrag zu Identitätsangriffen und ITDR.

Welche Security Keys passen für Admin-Konten?

Für Administratoren lohnt ein Schlüssel, der neben FIDO2 auch Smartcard-Funktionen (PIV) beherrscht. Damit lassen sich bei vorhandener PKI auch Windows-Anmeldungen und die zertifikatbasierte Anmeldung der Notfallkonten abdecken.

Rechenbeispiel: Fünf Administratoren mit je zwei YubiKey 5C NFC sind 10 Schlüssel. Dazu kommen zwei Notfallkonten mit je zwei Schlüsseln, die per PIV-Zertifikat statt FIDO2 angemeldet werden. Das ergibt 14 Schlüssel zu je 58,00 €, also 812,00 € netto einmalig. Alle Modelle finden Sie im Yubico-Sortiment und bei Swissbit. Ein Mengenangebot für Ihr Admin-Team erstellen wir über das Kontaktformular.

Häufige Fehler beim Absichern von Admin-Konten

• Notfallkonten fallen unter dieselbe Richtlinie wie alle anderen und sperren sich im Ernstfall selbst aus.
• Der Ersatzschlüssel liegt in derselben Schublade wie der Hauptschlüssel.
• Notfallkonten nutzen dieselbe Anmeldemethode wie die normalen Admin-Konten.
• Dienstleister-Zugänge laufen weiter mit Passwort allein.

Welche Anforderungen NIS2 an die Authentifizierung stellt, fasst unser Beitrag Phishing-resistente MFA nach NIS2 zusammen.

FAQ zu privilegierten Konten

Reicht eine Authenticator-App für Administratoren?

Für den Übergang ja, langfristig nein. Einmalcodes und Push-Bestätigungen lassen sich über Phishing-Seiten abgreifen, FIDO2-Keys binden die Anmeldung an die echte Domain.

Wie viele Notfallkonten braucht ein Unternehmen?

Microsoft empfiehlt für Entra ID mindestens zwei Notfallkonten, damit der Ausfall eines Kontos oder Schlüssels nicht zur Aussperrung führt.

Was passiert, wenn ein Admin seinen Security Key verliert?

Er meldet sich mit dem registrierten Ersatzschlüssel an, und die IT entfernt den verlorenen Schlüssel sofort aus dem Konto. Die PIN erschwert es einem Finder, den Schlüssel zu nutzen.

Brauchen Notfallkonten ein Passwort?

Microsoft empfiehlt kennwortlose Methoden: Passkey (FIDO2) oder zertifikatbasierte Anmeldung. Entscheidend ist, dass die Methode sich von den normalen Admin-Konten unterscheidet.

Gilt das auch für lokale Server ohne Microsoft 365?

Ja. Microsoft rät, den Notfallzugriff für lokale Systeme und für Clouddienste getrennt und ohne gegenseitige Abhängigkeit zu halten. Für Windows Server Active Directory nennt Microsoft Smartcards als Beispiel, dafür eignen sich Schlüssel mit PIV-Funktion.

Fazit: Erst die Admins, dann alle anderen

Beginnen Sie mit Notfallkonten und globalen Admins, danach folgen Firewall-, Backup- und Dienstleister-Zugänge. Privilegierte Konten absichern heißt: Admin-Konten trennen, FIDO2 für Admins durchsetzen, Notfallkonten mit einer abweichenden Methode getrennt lagern und regelmäßig testen. Die Hardware dafür kostet für ein kleines Admin-Team unter 1.000 € netto. Welcher Schlüssel zu Ihrer Umgebung passt, klärt unser Produktberater.

Zum Nachlesen: CISA Fact Sheet zu phishing-resistenter MFA und Microsoft Learn zu Notfallzugriffskonten.