Adminrechte im KMU: warum nicht jeder alles dürfen sollte

Die kurze Antwort: Im Alltag arbeitet niemand mit Administratorrechten, auch nicht der Chef. Jeder erhält genau die Rechte, die seine Aufgaben erfordern, Administratoren nutzen dafür ein zweites, getrenntes Konto, und die Zahl der Globalen Administratoren in Microsoft 365 bleibt klein. Das bremst den Arbeitsalltag nicht, begrenzt aber den Schaden deutlich, wenn ein Konto kompromittiert wird oder ein Klick auf den falschen Anhang passiert.

Schadsoftware kann genau das, was Ihr Benutzerkonto darf

Das Bundesamt für Sicherheit in der Informationstechnik warnt in seinen Empfehlungen zu Benutzerkonten: Gelangt Schadcode auf den Rechner, greift er mit den Berechtigungen des angemeldeten Kontos in das System ein, mit Administratorrechten also umso tiefer. Landet ein Verschlüsselungstrojaner auf einem Konto mit Administratorrechten, kann er Schutzfunktionen abschalten, Software installieren und sich im System festsetzen. Ob Ihre Umgebung solche Wege offen lässt, zeigt unser kostenloser Ransomware-Check in rund einer Minute. Auf einem eingeschränkten Konto bleibt derselbe Angriff deutlich kleiner. Das BSI empfiehlt deshalb, im Alltag grundsätzlich ohne Administratorrechte zu arbeiten und sie nur einzusetzen, wenn tatsächlich tief ins System eingegriffen oder Software installiert wird. Virenschutz bleibt trotzdem Pflicht, wie ihn unsere Seite zur Endpoint Protection beschreibt; eingeschränkte Rechte begrenzen den Schaden, wenn doch etwas durchkommt.

Das gilt auch für Schadsoftware, die über die Hardware kommt, etwa über einen gefundenen USB-Stick.

Getrennte Konten: eines für die Arbeit, eines für die Verwaltung

Der IT-Grundschutz des BSI verlangt im Baustein ORP.4, Kennungen und Berechtigungen nur nach tatsächlichem Bedarf zu vergeben, das Prinzip der geringsten Berechtigungen. Praktisch heißt das für kleine Unternehmen: Wer die IT verwaltet, bekommt zwei Konten. Ein normales Arbeitskonto mit Postfach für E-Mail und Office und ein separates Administratorkonto ohne Postfach, das nur für Verwaltungsaufgaben angemeldet wird. Eine Phishing-Mail landet dann immer auf dem Konto ohne weitreichende Rechte, denn das Adminkonto hat schlicht keinen Posteingang. Beide Konten sichern Sie mit Multi-Faktor-Authentifizierung ab; Microsoft zufolge sinkt die Wahrscheinlichkeit einer Kontoübernahme damit um 99,9 Prozent.

Weniger als fünf Globale Administratoren

Für Microsoft 365 nennt Microsoft in seinen bewährten Methoden für Entra-Rollen eine klare Grenze: Die Rolle Globaler Administrator sollte weniger als fünf Personen zugewiesen sein, weil sie praktisch uneingeschränkten Zugriff auf die gesamte Umgebung bedeutet. Für die tägliche Verwaltung reichen abgestufte Rollen, Microsoft Entra bringt dafür über 65 integrierte Rollen mit, etwa den Benutzeradministrator für Kennwortzurücksetzungen oder den Exchange-Administrator für Postfächer. Zusätzlich empfiehlt Microsoft zwei reine Notfallzugriffskonten, die nur zum Einsatz kommen, wenn sich alle anderen Administratoren ausgesperrt haben. Das Zielbild im KMU sieht damit so aus: zwei benannte Personen mit Globaler Administratorrolle, dazu die Notfallzugriffskonten, alles mit MFA.

Wer das Unternehmen verlässt, verliert die Rechte am selben Tag: IT-Offboarding-Checkliste.

Least Privilege ohne Alltagsbremse

Der häufigste Einwand lautet: Dann kann ja niemand mehr arbeiten. In der Praxis merkt der Alltag kaum etwas davon, wenn drei Dinge geregelt sind. Erstens wird freigegebene Software zentral verteilt, etwa über das Unternehmensportal, statt dass jeder lokale Adminrechte zum Installieren behält. Zweitens werden erweiterte Rechte auf Zeit vergeben statt auf Dauer, für ein Projekt oder einen Wartungstermin, danach fallen sie wieder weg. Drittens wird regelmäßig durchgesehen, wer welche Rolle hat, denn mit jedem Aufgabenwechsel sammeln sich sonst unbemerkt Rechte an. Wer so vorgeht, nimmt Angreifern den bequemsten Weg, ohne die eigenen Leute auszubremsen.

Wo Freigaben zu lange dauern, weichen Beschäftigte auf eigene Wege aus. Wohin das führt, zeigt Schatten-IT im KMU.

Häufige Fragen

Unser Team ist klein und jeder macht alles. Gilt das trotzdem für uns?

Gerade dann. Getrennt werden Konten, nicht Menschen: Dieselbe Person kann Arbeitskonto und Adminkonto besitzen. Je kleiner das Team, desto größer der Schaden, wenn das eine Konto übernommen wird, das alles darf.

Können Mitarbeiter ohne Adminrechte noch Programme installieren?

Ja, über zentral bereitgestellte Software, zum Beispiel im Unternehmensportal. Was dort nicht liegt, installiert die IT auf Zuruf. Das ist anfangs eine Umstellung, verhindert aber zugleich Wildwuchs aus ungeprüfter Software.

Wie viele Globale Administratoren sind im KMU sinnvoll?

Microsoft empfiehlt weniger als fünf. In kleinen Unternehmen sind zwei benannte Personen plus Notfallzugriffskonten ein praktikabler Rahmen. Externe Dienstleister erhalten eine eigene Kennung mit passender Rolle statt eines geteilten Adminzugangs.

So unterstützt Sie die High5Manufaktur GmbH

Die High5Manufaktur GmbH prüft für kleine und mittlere Unternehmen, wer in Microsoft 365 und auf den Geräten welche Rechte hat, richtet getrennte Administratorkonten samt Notfallzugriff ein und verteilt Rollen so, dass der Alltag flüssig bleibt. Im Rahmen unserer Betreuung von Microsoft Entra ID halten wir die Rechtevergabe dauerhaft aktuell, inklusive regelmäßiger Durchsicht. Mit direktem Ansprechpartner statt anonymer Hotline.

Quellen

• BSI: Ein Gerät und mehrere Benutzerkonten
• BSI IT-Grundschutz-Kompendium: Baustein ORP.4 Identitäts- und Berechtigungsmanagement (PDF)
• Microsoft Learn: Bewährte Methoden für Microsoft Entra-Rollen