Privileged Access Workstation: Warum Admin-Konten einen eigenen Arbeitsplatz brauchen

Die meisten schweren Vorfälle in Microsoft-Umgebungen haben einen Wendepunkt: Der Angreifer erhält die Rechte eines Administrators. Ab da kann er Konten anlegen, Sicherheitsfunktionen abschalten, Daten abziehen oder Schadsoftware im ganzen Unternehmen verteilen. Beim Angriff auf ein polnisches Heizkraftwerk im Dezember 2025 übernahmen die Angreifer privilegierte Konten im Active Directory und verteilten ihre Schadsoftware per Gruppenrichtlinie auf die Rechner (CERT Polska, Energy Sector Incident Report).

Viele Unternehmen haben ihre Administratoren inzwischen mit MFA geschützt. Das Gerät, an dem diese Administratoren arbeiten, ist aber oft dasselbe Notebook, auf dem sie Rechnungen öffnen, Teams-Nachrichten lesen und nach Fehlermeldungen suchen. Genau dort setzt ein PAW-Konzept an.

Was ist eine Privileged Access Workstation?

Eine Privileged Access Workstation ist ein Arbeitsplatz, der ausschließlich für administrative Aufgaben genutzt wird. Microsoft beschreibt sie als höchste Sicherheitsstufe für Geräte und nennt den Grund ausdrücklich: Die PAW blockiert die häufigsten Wege für Phishing, nämlich E-Mail und das Surfen im Internet (Microsoft Learn: Privileged access devices).

Zur PAW gehören nach Microsoft unter anderem:

• Verwaltung über Intune ab dem ersten Start, keine privaten Geräte
• keine lokalen Administratorrechte für die Person am Gerät
• Anwendungen nur aus der zentralen Verteilung, abgesichert mit Anwendungssteuerung
• Webzugriff nur auf freigegebene Adressen wie die Admin-Portale von Microsoft 365 und Azure
• Microsoft Defender for Endpoint, BitLocker und hardwaregestützte Schutzfunktionen wie Credential Guard

Für Postfach, Teams und Recherche braucht die Person weiterhin einen normalen Arbeitsplatz mit ihrem normalen Konto.

Warum reicht MFA für Admin-Konten nicht?

MFA schützt die Anmeldung, nicht das Gerät. Drei Wege führen trotzdem zum Ziel:

Gefälschte Anmeldeseiten. Bei einem Adversary-in-the-Middle-Angriff gibt der Administrator Passwort und Code auf einer nachgebauten Seite ein, die beides in Echtzeit weiterreicht. Der Angreifer erhält die angemeldete Sitzung. Phishing-resistente Methoden wie Passkeys verhindern das, siehe Conditional Access und Passkeys.

Schadsoftware auf dem Gerät. Ein geöffneter Anhang oder ein manipulierter Download reicht, damit ein Infostealer Sitzungstoken und gespeicherte Zugangsdaten aus dem Browser liest. Die Anmeldung selbst war phishing-resistent, die Sitzung wird trotzdem übernommen.

Mitlesen während der Arbeit. Wer das Gerät kontrolliert, sieht, was der Administrator tut, und kann in seinem Namen handeln, solange er angemeldet ist.

Microsoft fasst das im Clean-Source-Prinzip zusammen: Die Vertrauensstufe der Quelle muss mindestens so hoch sein wie die des Ziels (Microsoft Learn: Success criteria for privileged access strategy). Ein Global Administrator, der von einem Gerät mit E-Mail und freiem Internet arbeitet, verletzt dieses Prinzip.

Was gehört zu einem PAW-Konzept?

Das Gerät allein schützt nicht, wenn das Admin-Konto auch woanders funktioniert. Ein vollständiges Konzept regelt fünf Dinge:

1. Getrennte Admin-Konten. Jede Person hat ein normales Konto für die tägliche Arbeit und ein Admin-Konto ohne Postfach und ohne Office-Lizenz. Admin-Konten für Entra ID sind reine Cloud-Konten und werden nicht aus dem lokalen Active Directory synchronisiert.
2. Phishing-resistente Anmeldung. Admin-Konten melden sich mit FIDO2-Sicherheitsschlüssel, Passkey oder Windows Hello for Business an, durchgesetzt über eine Authentifizierungsstärke.
3. Rollen nur auf Zeit. Mit Privileged Identity Management (PIM) sind Adminrollen nur zugewiesen, wenn sie gebraucht werden, mit Begründung und auf Wunsch mit Freigabe.
4. Ein festgelegter Arbeitsplatz. Administration findet nur auf der PAW statt, physisch oder virtuell.
5. Durchsetzung. Conditional Access in Entra ID und Anmeldebeschränkungen im Active Directory sorgen dafür, dass Admin-Konten an keinem anderen Gerät funktionieren.

Variante 1: die physische PAW

Die klassische Umsetzung ist ein eigenes Notebook, das über Windows Autopilot direkt aus der Verpackung in Intune aufgenommen und nach dem PAW-Profil gehärtet wird. Auf dem Gerät meldet sich die Person mit dem Admin-Konto an, eine Anmeldung mit dem normalen Konto ist nicht vorgesehen.

Die physische PAW bietet den höchsten Schutz, weil zwischen Administrator und Ziel kein weniger vertrauenswürdiges Gerät liegt. Sie ist der Maßstab für Konten mit Zugriff auf alles: Global Administrator, Domänenadministratoren, Administratoren von Entra Connect, Zertifikatsdiensten und Backup.

Der Preis ist ein zweites Gerät pro Person und etwas Disziplin im Alltag. Für ein kleines Team mit wenigen Tier-0-Administratoren ist das gut machbar.

Variante 2: die PAW in Azure Virtual Desktop

Bei der virtuellen Variante läuft der Admin-Arbeitsplatz als Desktop in Azure Virtual Desktop (AVD) oder als Cloud-PC mit Windows 365. Der Sitzungshost wird gehärtet wie eine physische PAW: kein Postfach, kein freies Surfen, Anwendungssteuerung, Defender for Endpoint. Die Admin-Konten dürfen sich nur dort anmelden.

Das hat handfeste Vorteile. Es braucht keine zusätzliche Hardware, neue Administratoren und externe Dienstleister sind schnell eingerichtet, und alle Admin-Sitzungen laufen über einen zentralen, überwachten Punkt. Zwischenablage und Laufwerksumleitung lassen sich für den Admin-Hostpool abschalten, damit keine Dateien vom normalen Gerät in die Admin-Sitzung gelangen.

Die Grenze ist das Clean-Source-Prinzip. Der Desktop in AVD ist nur so sicher wie das Gerät, von dem aus Sie sich verbinden. Läuft auf dem normalen Notebook Schadsoftware, kann sie Tastatureingaben und Bildschirminhalt der Admin-Sitzung mitlesen. Microsoft rät deshalb davon ab, privilegierte Zugriffe von Geräten der normalen Unternehmensstufe aus zuzulassen.

Daraus folgt eine pragmatische Aufteilung:

• Für Administratoren einzelner Dienste wie Intune, Exchange Online oder Teams ist eine PAW in AVD, erreichbar nur von einem verwalteten und konformen Gerät mit phishing-resistenter Anmeldung, ein großer Fortschritt gegenüber dem heutigen Zustand in vielen Unternehmen.
• Für Tier 0, also Global Administrator, Domänenadministratoren und vergleichbare Rollen, sollte das Gerät, von dem aus verbunden wird, selbst gehärtet sein. Das kann eine physische PAW sein oder ein reduziertes Gerät, das nur den AVD-Client ausführt.

Physisch oder virtuell: welche Variante passt?

In der Praxis kombinieren viele Unternehmen beides: physische PAWs für die wenigen Personen mit Tier-0-Rechten, AVD für alle anderen Admin-Rollen.

Wie setzen Sie die Nutzung mit Conditional Access durch?

Eine PAW, die man umgehen kann, wird umgangen. Die Durchsetzung in Entra ID besteht aus zwei Richtlinien für alle Konten mit Adminrollen:

• Phishing-resistente Anmeldung verlangen. Zielgruppe sind die Verzeichnisrollen, die Gewährungssteuerung ist die Authentifizierungsstärke „Phishing-resistente MFA“.
• Zugriff nur von der PAW. Dieselbe Zielgruppe, Ziel sind die Microsoft-Admin-Portale und die Azure-Verwaltung. Die Richtlinie blockiert den Zugriff von allen Geräten, die nicht über den Gerätefilter als PAW erkannt werden, zum Beispiel über ein Geräteattribut, das nur PAWs und AVD-Sitzungshosts tragen. Microsoft nennt genau diesen Anwendungsfall in der Dokumentation zu Gerätefiltern.

Beide Richtlinien laufen zuerst im Report-only-Modus. Die Anmeldeprotokolle zeigen dann, wer heute noch von welchem Gerät administriert. Die Notfallkonten bleiben ausgenommen und werden mit FIDO2-Schlüsseln gesondert geschützt. Wie Sie Richtlinien ohne Aussperren einführen, beschreiben wir in Conditional Access einführen, ohne Mitarbeitende auszusperren.

Was gilt im lokalen Active Directory?

Im Active Directory heißt das Prinzip Tiering. Konten mit Tier-0-Rechten, etwa Domänenadministratoren, dürfen sich nur an Domänencontrollern, anderen Tier-0-Systemen und an PAWs anmelden, nie an normalen Clients oder Mitgliedsservern. Sonst bleiben ihre Anmeldedaten im Speicher eines Geräts zurück, das ein Angreifer leichter erreicht.

Technisch setzen Sie das über Gruppenrichtlinien mit Anmeldeverboten, die Gruppe „Protected Users“ und Authentifizierungsrichtlinien mit Silos um. Der Server mit Entra Connect gehört ebenfalls zu Tier 0, weil er Identitäten zwischen Active Directory und Entra ID abgleicht. Wie es um Tiering, Delegierungen und Dienstkonten in Ihrer Domäne steht, zeigt das Active Directory Security Assessment.

Welche Fehler sehen wir häufig?

• Der Jump-Server gilt als PAW. Wer sich vom normalen Notebook per RDP auf einen Admin-Server verbindet, hat das Problem nur verschoben.
• Admin-Konten haben ein Postfach und eine Office-Lizenz. Damit sind sie über Phishing direkt erreichbar.
• Ausnahmen „nur für heute“. Eine Conditional-Access-Ausnahme für eine Person, die gerade unterwegs ist, bleibt oft über Monate bestehen.
• Dienstleister administrieren von eigenen Geräten. Für externe Administratoren gelten dieselben Regeln, die AVD-Variante macht das handhabbar.
• Die PAW hat einen normalen Browser ohne Einschränkung. Dann ist sie ein zweites Arbeitsgerät, keine PAW.

In welcher Reihenfolge gehen Sie vor?

1. Bestand erheben. Wer hat welche Adminrolle in Entra ID, Azure und Active Directory, und von welchen Geräten wird heute administriert?
2. Admin-Konten trennen. Eigene Cloud-Konten ohne Postfach, Notfallkonten mit FIDO2-Schlüsseln.
3. Anmeldung härten. Phishing-resistente MFA für alle Admin-Konten und Adminrollen über PIM nur auf Zeit.
4. PAWs für Tier 0. Physische Geräte für die wenigen Personen mit den höchsten Rechten.
5. AVD für weitere Admin-Rollen. Admin-Hostpool aufbauen, auch für Dienstleister.
6. Durchsetzen. Conditional Access im Report-only-Modus prüfen, dann scharf schalten; im Active Directory die Anmeldebeschränkungen aktivieren.

Häufig gestellte Fragen

Welche Lizenzen braucht ein PAW-Konzept?

Für Conditional Access mit Gerätefiltern brauchen Sie Entra ID P1, für Privileged Identity Management Entra ID P2 oder Entra ID Governance. Die Geräteverwaltung läuft über Intune. Für Azure Virtual Desktop kommen Azure-Rechenleistung und eine berechtigte Windows-Lizenz hinzu, wie sie in Microsoft 365 E3, E5 oder Business Premium enthalten ist. Windows 365 wird je Benutzer lizenziert.

Lohnt sich eine PAW auch für ein kleines IT-Team?

Gerade dort. In kleinen Teams haben oft zwei oder drei Personen alle Rechte, und diese Personen erledigen nebenbei auch normale Büroarbeit. Zwei physische PAWs für die Tier-0-Konten sind ein überschaubarer Aufwand im Verhältnis zum Schaden, den ein übernommenes Global-Administrator-Konto anrichten kann.

Reicht nicht ein separates Admin-Konto ohne eigenes Gerät?

Das getrennte Konto ist ein wichtiger erster Schritt, weil es nicht über E-Mail erreichbar ist. Wird es aber auf demselben Gerät verwendet, auf dem das normale Konto E-Mails öffnet, kann Schadsoftware auf diesem Gerät die Admin-Sitzung trotzdem übernehmen.

Was zeigen wir dem Prüfer?

Das schriftliche Konzept mit Rollen und Tiers, den Export der Conditional-Access-Richtlinien, die PIM-Zuweisungen und Auszüge aus den Anmeldeprotokollen, die zeigen, dass Adminrollen nur von PAWs aus genutzt werden. Leiten Sie die Protokolle in einen Log Analytics Workspace oder Microsoft Sentinel weiter, damit sie länger als 30 Tage verfügbar sind.

Der nächste Schritt

Im Security Assessment prüfen wir zum Festpreis, welche Konten Adminrollen haben, wie sie sich anmelden und von welchen Geräten aus administriert wird. Im Penetrationstest zeigen wir, wie weit ein Angreifer mit einem gewöhnlichen Konto bis zu diesen Rechten käme. Das PAW-Konzept setzen wir anschließend mit Ihrer IT um und übergeben es dokumentiert oder betreiben es im Rahmen von Managed Security.

Erstgespräch vereinbaren