Intune LAPS
Einzigartige, rotierende lokale Administratorpasswörter auf jedem Windows-Gerät. Gesichert in Entra ID. Kein gemeinsames Geheimnis mehr, das jeden Laptop entsperrt.
One Local Admin Password on Every Device Is Always on Every Device
On most mid-market Windows devices, the local administrator password is the same. It was set during imaging five years ago. It is written in a password manager. It is shared with the helpdesk. One phished credential, one stolen laptop, and an attacker has the key to every other device — classic lateral movement.
This is not a failure of your IT team. The old Microsoft LAPS needed on-prem AD, GPO, a schema extension, and careful maintenance. Windows LAPS changed that: it is built into Windows 11 and Windows 10 22H2, managed via Intune, and backs up to Entra ID. The license is already yours. What is missing: the policy design, the migration from legacy LAPS or static passwords, and the operational runbook.
Traditional consulting for LAPS? Five figures. The consultant configures, leaves a document, leaves. Your helpdesk is back to sharing a password next time somebody new joins.
AKTIVITÄTEN IM DETAIL
LIEFERUMFANG
Voraussetzungen überprüfen: Intune Plan 1, Entra ID Free, Windows 11 22H2+ oder Windows 10 22H2 mit KB5025221
Windows LAPS in den Mandanteneinstellungen von Entra ID aktivieren (Entra admin center → Geräte → Geräteeinstellungen)
Aktuellen lokalen Adminstatus inventarisieren: statische Kennwörter, klassisches Microsoft LAPS, GPO-basiertes LAPS, nicht verwaltete Geräte
Intune-LAPS-Richtlinie entwerfen: Zielkonto (integriertes RID- oder benanntes Konto), Kennwortkomplexität, Länge (14–64 Zeichen), Rotationsplan (30–90 Tage)
Sicherungsspeicher auswählen: Entra ID (empfohlen für Cloud- oder hybrid eingebundene Geräte), lokales AD (nur domänengebundene Geräte)
Rollenbasierte Zugriffssteuerung: Welche Intune-Administratoren Kennwörter lesen und rotieren können — Endpoint Security Manager-Rolle
In Pilot-Gerätegruppe bereitstellen (10–20 Geräte), Sicherung im Intune admin center validieren, manuelle Rotation testen
Gestaffelte Bereitstellung nach Gerätegruppe — Welle für Welle, mit Compliance-Überwachung
Altes LAPS außer Betrieb nehmen: GPO-Entfernung, Deinstallation von klassischem MS LAPS, Bereinigung des Kennworttresors
Helpdesk-Runbook: ein aktuelles Kennwort abrufen, manuelle Rotation, Fehlerbehebung bei Sicherungsfehlern
Nächste Schritte nach Intune LAPS
Ein sauber konfigurierter Tenant ist die Grundlage. Diese Blueprints bauen direkt darauf auf.
