Windows 11 26H2: Administrator Protection soll endlich kommen
Microsoft bereitet offenbar die Veröffentlichung einer Sicherheitsfunktion vor, die schon seit längerer Zeit für Windows 11 geplant ist: Administrator Protection.
Die Funktion soll Administratorrechte stärker absichern und Programme nur dann mit erhöhten Rechten starten lassen, wenn diese tatsächlich benötigt werden. Nach mehreren Tests, Verzögerungen und zwischenzeitlichen Problemen deutet inzwischen einiges darauf hin, dass Administrator Protection mit Windows 11 26H2 breiter eingeführt werden könnte.
Ganz fest steht das allerdings noch nicht.
Administratorrechte nur dann, wenn sie wirklich gebraucht werden
Das Grundprinzip von Administrator Protection ist recht interessant.
Statt einem Benutzer dauerhaft weitreichende Administratorrechte zu geben, stellt Windows diese nur für den jeweiligen Vorgang und für kurze Zeit zur Verfügung.
Möchte beispielsweise ein Programm eine Aktion durchführen, für die Administratorrechte notwendig sind, verlangt Windows zunächst eine Bestätigung über Windows Hello.
Das kann beispielsweise erfolgen über:
PIN
Fingerabdruck
Gesichtserkennung
Erst nach erfolgreicher Authentifizierung bekommt der entsprechende Prozess die benötigten erhöhten Rechte.
Windows erstellt dafür einen getrennten Administrator-Token
Technisch geht Microsoft noch einen Schritt weiter.
Windows verwendet für die Rechteerhöhung einen versteckten und vom normalen Benutzerprofil getrennten Systemaccount. Darüber wird ein isolierter Administrator-Token erzeugt.
Dieser Token steht nur dem Prozess zur Verfügung, der die Rechte tatsächlich benötigt.
Wird das Programm beendet, verschwindet auch der Administrator-Token wieder.
Das ist ein deutlicher Unterschied zu einem Benutzerkonto, das dauerhaft mit Administratorrechten arbeitet.
Warum das sicherer sein soll
Dauerhafte Administratorrechte sind aus Sicherheitssicht problematisch.
Schadsoftware, manipulierte Programme oder ausgenutzte Sicherheitslücken können versuchen, genau diese Rechte zu übernehmen und anschließend tiefgreifende Änderungen am System vorzunehmen.
Administrator Protection soll dieses Risiko reduzieren.
Selbst wenn ein Programm versucht, höhere Rechte anzufordern, reicht das allein nicht aus. Der Nutzer muss die Aktion zusätzlich über Windows Hello bestätigen.
Microsoft setzt damit stärker auf das Prinzip:
Administratorrechte nur dann, wenn sie tatsächlich benötigt werden.
Ähnlich wie UAC – aber konsequenter
Auf den ersten Blick erinnert das natürlich an die bekannte Benutzerkontensteuerung (UAC).
Der Unterschied liegt vor allem darin, wie die erhöhten Rechte technisch bereitgestellt werden.
Administrator Protection arbeitet stärker mit getrennten Profilen und kurzlebigen Administrator-Tokens.
Dadurch soll verhindert werden, dass erhöhte Rechte unnötig lange bestehen bleiben oder von anderen Prozessen übernommen werden.
Funktion wurde schon länger getestet
Ganz neu ist Administrator Protection nicht.
Microsoft begann bereits Ende 2024 damit, die Funktion in Windows-11-Testversionen auszuprobieren. Danach wurde sie mehrfach erweitert und an Windows Insider verteilt.
Für Windows 11 25H2 war eine Veröffentlichung ebenfalls im Gespräch, Microsoft zog die Funktion allerdings wieder zurück.
Zwischendurch wurden auch Sicherheitsprobleme bei der Umsetzung entdeckt, die offenbar weitere Nacharbeiten notwendig machten.
Jetzt taucht Administrator Protection wieder verstärkt in aktuellen Builds auf.
Hinweise bereits im August-Update
Microsoft hatte Bestandteile der Funktion bereits wieder über das optionale Windows-11-Update KB5120998 vom August 2026 verteilt.
Nun ist Administrator Protection auch in einer aktuellen Windows 11 26H2 Release Preview enthalten.
Das ist zumindest ein deutlicher Hinweis darauf, dass Microsoft die Funktion inzwischen für einen breiteren Einsatz vorbereitet.
Sollten bei den letzten Tests keine größeren Probleme mehr auftreten, könnte sie im Laufe der Veröffentlichung von Windows 11 26H2 tatsächlich bei normalen Nutzern beziehungsweise Unternehmen ankommen.
Noch standardmäßig deaktiviert
Wer jetzt allerdings in den Windows-Einstellungen danach sucht, wird die Funktion nicht unbedingt finden.
Administrator Protection ist derzeit standardmäßig deaktiviert.
In Unternehmensumgebungen kann die Funktion unter anderem über Verwaltungsrichtlinien aktiviert werden. Microsoft nennt dafür beispielsweise:
Intune
Gruppenrichtlinien
CSP
OMA-URI
Auch eine Integration in die normalen Windows-Einstellungen wird getestet beziehungsweise vorbereitet.
Für Privatanwender dürfte die Funktion erst wirklich interessant werden, wenn Microsoft sie regulär und einfach zugänglich freischaltet.
Manche Programme könnten Schwierigkeiten bekommen
Das neue Sicherheitsmodell hat allerdings auch eine mögliche Schattenseite.
Programme, die ständig erhöhte Administratorrechte benötigen oder dauerhaft auf ein administratives Benutzerprofil zugreifen wollen, könnten mit Administrator Protection Probleme bekommen.
Gerade ältere Programme oder spezielle Verwaltungssoftware sind häufig noch darauf ausgelegt, dauerhaft mit Administratorrechten zu laufen.
Hier wird sich zeigen müssen, wie gut Microsoft die Kompatibilität in der Praxis hinbekommt.
Kein vollständiger Schutz vor Angriffen
Microsoft weist selbst darauf hin, dass Administrator Protection keine formale Sicherheitsgrenze darstellt.
Die Funktion macht Angriffe auf Administratorrechte schwieriger, kann aber nicht garantieren, dass eine Rechteausweitung unter allen Umständen verhindert wird.
Sie ist also eine zusätzliche Schutzschicht – kein Ersatz für aktuelle Sicherheitsupdates, vernünftige Benutzerrechte und eine saubere Systemkonfiguration.
Besonders interessant für Unternehmensrechner
Für Unternehmen könnte Administrator Protection durchaus spannend werden.
IT-Abteilungen müssen heute häufig entscheiden, ob Benutzer lokale Administratorrechte erhalten oder für bestimmte Aufgaben jedes Mal Unterstützung benötigen.
Mit dem neuen Modell könnten Benutzer bestimmte vertrauenswürdige Programme selbst mit erhöhten Rechten starten, ohne dauerhaft Administrator zu sein.
Das reduziert einerseits das Risiko und könnte andererseits den Aufwand für Administratoren verringern.
Fazit
Administrator Protection gehört zu den interessanteren Sicherheitsfunktionen, die Microsoft derzeit für Windows 11 vorbereitet.
Die Idee dahinter ist sinnvoll: Administratorrechte werden nicht dauerhaft vergeben, sondern nur für einen bestimmten Prozess und nach einer zusätzlichen Windows-Hello-Bestätigung bereitgestellt.
Nach mehreren Verzögerungen sieht es nun danach aus, als könnte die Funktion mit Windows 11 26H2 endlich breiter verfügbar werden.
Noch sollte man allerdings vorsichtig formulieren: Microsoft hat die Funktion schon einmal zurückgezogen, und aktuell ist sie weiterhin standardmäßig deaktiviert.
Wenn sie diesmal tatsächlich fertig wird, könnte Administrator Protection aber eine der sinnvolleren Sicherheitsverbesserungen von Windows 11 26H2 werden.