Windows LAPS mit Entra ID und Intune einrichten (2026): Runbook für Sysadmins

Aktualisiert: 25. Juli 2026

Windows LAPS (Local Administrator Password Solution) ist die in das Betriebssystem integrierte Microsoft-Funktion, die das Passwort eines lokalen Administratorkontos automatisch generiert, rotiert und verschlüsselt in Microsoft Entra ID oder Active Directory sichert. Mit dem April-2023-Update wurde der alte MSI-Client abgelöst und Cloud-Backup nativ eingeführt. In diesem Runbook zeige ich Ihnen Schritt für Schritt, wie Sie Windows LAPS mit Entra ID und Microsoft Intune 2026 sauber ausrollen, Legacy LAPS ablösen und Passwörter per PowerShell abrufen. Erwartetes Ergebnis: verschlüsselte, rotierbare Admin-Passwörter auf jedem verwalteten Windows-Endgerät.

• Windows LAPS ist seit dem April-2023-Update Bestandteil von Windows 10/11 und Windows Server 2019/2022/2025 – ein separater MSI-Client ist nicht mehr nötig.
• Für Entra-ID-Backup sind Entra ID (Free reicht), Intune Plan 1, Entra-joined oder Hybrid-joined Endgeräte und die Aktivierung im Entra Admin Center erforderlich.
• Die Konfiguration erfolgt über eine Intune-Sicherheitsrichtlinie vom Typ „Local admin password solution (Windows LAPS)" und nutzt intern den Windows-LAPS-CSP.
• Passwortabruf erfolgt per Get-LapsAADPassword (Cloud) oder Get-LapsADPassword (on-prem); Sofortrotation per Reset-LapsPassword oder Intune-Portal.
• Legacy Microsoft LAPS (MSI) speichert Passwörter im Klartext im Attribut ms-Mcs-AdmPwd – ab 2026 ein aktives Sicherheitsrisiko, das migriert gehört.
• Post-Authentifizierungsaktionen (Passwortrotation nach jeder Anmeldung, Reboot, Logoff) sind ein exklusives Feature von Windows LAPS und schließen die Zeitfenster für Lateral-Movement-Angriffe.

Was ist Windows LAPS?

Windows LAPS ist eine Funktion des Windows-Betriebssystems, die das Passwort eines konfigurierten lokalen Administratorkontos in regelmäßigen Abständen (standardmäßig alle 30 Tage) rotiert und das neue Passwort verschlüsselt an ein Backend-Verzeichnis überträgt – wahlweise Microsoft Entra ID oder Windows Server Active Directory. Damit löst Microsoft ein Problem, das mich als Sysadmin seit Jahren beschäftigt: einheitliche, statische Admin-Passwörter auf hunderten Endgeräten. Wenn ein solches Passwort in einem einzigen Notebook kompromittiert wird, hat der Angreifer sofort Zugriff auf jeden anderen Client mit demselben Kennwort – klassisches Lateral Movement.

Die Lösung setzt genau hier an: Jedes Gerät bekommt sein eigenes, zufällig generiertes Admin-Passwort, das nur zentral im Verzeichnis liegt und rollenbasiert von berechtigten Helpdesk-Mitarbeitern abgerufen werden kann. Die Umsetzung erfolgt über den Windows LAPS Configuration Service Provider (CSP), den Intune für die Richtlinienzustellung nutzt. Wichtig: Windows LAPS ist keine App und keine Feature-Installation – die Binärdateien sind bereits im OS enthalten. Wer heute ein aktuelles Windows 11 24H2 oder Windows Server 2025 im Einsatz hat, muss nichts nachinstallieren, sondern nur konfigurieren.

Windows LAPS vs. Legacy LAPS: Was hat sich geändert?

Der klassische Unterschied liegt bei Sicherheit, Backend-Optionen und Integration. Legacy Microsoft LAPS (der MSI-Installer, in vielen Umgebungen seit 2015 im Einsatz) speicherte das Klartextpasswort im AD-Attribut ms-Mcs-AdmPwd. Jeder Account mit Leseberechtigung auf dem Computerobjekt konnte es einsehen – häufig war das breiter berechtigt, als es das Design vorsah. Windows LAPS verschlüsselt Passwörter im Attribut msLAPS-EncryptedPassword, und das Cloud-Backup nach Entra ID war beim Legacy-Produkt schlichtweg nicht existent.

Merkmal	Legacy Microsoft LAPS (MSI)	Windows LAPS (2026)
Installation	Separater MSI-Client und CSE erforderlich	Nativ im Betriebssystem enthalten
Passwortspeicherung	Klartext im Attribut ms-Mcs-AdmPwd	Verschlüsselt (DPAPI-NG) in msLAPS-EncryptedPassword
Backend-Verzeichnisse	Nur on-prem Active Directory	Entra ID, on-prem AD oder beides
Passwortverlauf	Nicht unterstützt	Bis zu 12 verschlüsselte historische Passwörter
Post-Authentifizierungsaktionen	Nicht vorhanden	Reset nach Anmeldung, Logoff oder Reboot
Verwaltung	Nur GPO	GPO, Intune, CSP, PowerShell
Roadmap	Keine neuen Features (End of Life)	Aktive Weiterentwicklung

In der Praxis heißt das: Wer 2026 noch Legacy LAPS betreibt, führt eine Software mit einer bekannten Klartext-Angriffsfläche. Für Umgebungen ohne Entra ID gibt es weiterhin die On-Prem-Variante mit Verschlüsselung – dazu muss das AD-Schema mit dem offiziellen Update-Schema-LapsADSchema-Cmdlet aktualisiert und das April-2023-Update ausgerollt sein.

Voraussetzungen für Windows LAPS mit Entra ID

Bevor Sie eine einzige Richtlinie erstellen, prüfen Sie die Voraussetzungen. Ich habe in mehreren Rollouts erlebt, dass Wochen zwischen „Richtlinie zugewiesen" und „Passwort erscheint im Portal" verstreichen, weil eines dieser Puzzleteile fehlte:

• Lizenzen: Microsoft Entra ID Free reicht für das Backup selbst. Für die Intune-Steuerung benötigen Sie Intune Plan 1 (Bestandteil von Microsoft 365 E3/E5 oder EMS E3/E5).
• Betriebssystem: Windows 11 22H2 oder neuer, Windows 10 20H2/21H2/22H2 mit April-2023-Kumulativupdate oder neuer, Windows Server 2019/2022 mit April-2023-Update oder Windows Server 2025.
• Join-Typ: Das Gerät muss Entra-joined oder Hybrid-Entra-joined sein. Reines Entra-registered (Workplace Join) reicht nicht – Intune kann in diesem Fall keine LAPS-Richtlinie zustellen.
• Intune-Enrollment: Das Endgerät muss aktiv in Intune eingeschrieben und synchronisiert sein.
• Konten: Das lokale Administratorkonto, das LAPS verwalten soll, muss existieren – Windows LAPS erstellt es nicht automatisch. Für neue Deployments empfehle ich, das Konto per Intune-Konfigurationsprofil oder Skript vorab anzulegen.

Schritt 1: LAPS im Entra Admin Center aktivieren

Der erste Schritt ist tenantweit und muss nur einmal erledigt werden. Ohne diesen Schritt akzeptiert Entra ID keine LAPS-Passwörter von Endgeräten – die Richtlinie kann perfekt sein, das Passwort erscheint trotzdem nirgends.

1. Öffnen Sie das Microsoft Entra Admin Center (entra.microsoft.com) und melden Sie sich mit einem Konto an, das mindestens die Rolle Global Administrator oder Cloud Device Administrator hat.
2. Navigieren Sie zu Identität → Geräte → Übersicht → Geräteeinstellungen.
3. Suchen Sie die Option „Lokale Administratorkennwort-Lösung (LAPS) aktivieren" und setzen Sie sie auf Ja.
4. Klicken Sie auf Speichern.

Erwartetes Ergebnis: Das Entra-Backend akzeptiert nun eingehende Windows-LAPS-Passwortsicherungen und speichert sie am Geräteobjekt. Passwörter werden dadurch nicht automatisch generiert oder rotiert – dafür brauchen Sie die Intune-Richtlinie im nächsten Schritt.

Schritt 2: Intune-Richtlinie für Windows LAPS erstellen

Jetzt kommt der Teil, den die meisten Anleitungen zu kurz behandeln: Die richtigen Einstellungen für Ihre Umgebung. Ich orientiere mich am gut dokumentierten Microsoft-Learn-Leitfaden und ergänze die Werte, die ich in Produktionsumgebungen tatsächlich einsetze.

1. Öffnen Sie das Microsoft Intune Admin Center (intune.microsoft.com).
2. Navigieren Sie zu Endpunktsicherheit → Kontoschutz → Richtlinie erstellen.
3. Wählen Sie Plattform: Windows, Profil: Local admin password solution (Windows LAPS) und klicken Sie auf Erstellen.
4. Vergeben Sie einen sprechenden Namen, zum Beispiel WIN-LAPS-Prod-EntraID-Managed. Ich packe Umgebung und Backup-Ziel in den Namen, damit man in einer Liste mit 50 Richtlinien nicht raten muss.
5. Konfigurieren Sie die Einstellungen wie folgt:

Einstellung	Empfohlener Wert	Begründung
Backup Directory	Backup the password to Azure AD only	Cloud-first, ermöglicht Passwortanzeige direkt im Intune-Portal
Password Age Days	30	Standard und guter Kompromiss zwischen Sicherheit und Rotation-Load
Administrator Account Name	leer (nutzt das Built-in-Konto RID 500) oder eigener Name	Wenn Sie das Built-in Admin-Konto deaktiviert haben, tragen Sie hier Ihren Custom-Namen ein
Password Complexity	Large letters + small letters + numbers + special (4)	Maximale Entropie
Password Length	20	NIST-konform und deutlich über dem Default von 14
Post Authentication Actions	Reset the password and logoff the managed account (3)	Schließt Zeitfenster für Persistenz nach jeder interaktiven Nutzung
Post Authentication Reset Delay	8 (Stunden)	Genug Zeit für einen legitimen Support-Case, kurz genug für Sicherheit

Weisen Sie die Richtlinie einer Gerätegruppe zu – idealerweise beginnen Sie mit einer Pilotgruppe von 5–10 Testgeräten. Nach dem nächsten Intune-Sync (per Sync im Firmenportal oder dsregcmd /forcerecovery) rollt die Konfiguration aus. Erwartetes Ergebnis auf dem Endgerät: Ein neuer Task „LAPS" unter Eventvwr → Anwendungs- und Dienstprotokolle → Microsoft → Windows → LAPS → Operational mit Event ID 10018 („Successfully finished password update process") innerhalb weniger Stunden.

Wie kann ich das Windows LAPS Passwort abrufen?

Es gibt drei Wege, das aktuelle Passwort zu bekommen: das Intune-Portal, das Entra Admin Center und PowerShell. Für die tägliche Helpdesk-Arbeit empfehle ich das Portal, für Automatisierung und Reporting PowerShell.

Über das Intune-Portal

1. Öffnen Sie Intune Admin Center → Geräte → Alle Geräte.
2. Wählen Sie das Zielgerät und im Blade Überwachen → Lokales Admin-Passwort.
3. Klicken Sie auf Passwort anzeigen – der Abruf wird ins Audit-Log geschrieben.

Über PowerShell mit Get-LapsAADPassword

Für automatisierte Abfragen (etwa aus einem PSA/RMM-Tool) nutzen Sie das LAPS-PowerShell-Modul. Es ist ein Wrapper um Microsoft Graph, deshalb muss das Graph-SDK installiert sein und die App-Registrierung entsprechende Berechtigungen (DeviceLocalCredential.Read.All) besitzen.

# Voraussetzung: Graph-SDK installieren (einmalig)
Install-Module Microsoft.Graph -Scope CurrentUser

# An Graph anmelden mit den benoetigten Scopes
Connect-MgGraph -Scopes "DeviceLocalCredential.Read.All","Device.Read.All"

# Nur Metadaten (kein Passwort) - guter Health-Check
Get-LapsAADPassword -DeviceIds "DESKTOP-A1B2C3"

# Passwort im Klartext inkl. Verlauf
Get-LapsAADPassword -DeviceIds "DESKTOP-A1B2C3" `
                    -IncludePasswords `
                    -AsPlainText `
                    -IncludeHistory

# Erwartete Ausgabe:
# DeviceName        : DESKTOP-A1B2C3
# Account           : Administrator
# Password          : Xn7$kQ9!wPzR4mT2vLbY
# PasswordUpdateTime: 2026-07-20 14:32:11
# PasswordExpireTime: 2026-08-19 14:32:11

Über PowerShell mit Get-LapsADPassword (on-prem)

# Passwort fuer einen Client aus on-prem AD lesen
Get-LapsADPassword -Identity LAPSCLIENT01 -AsPlainText

# Warnung: -AsPlainText zeigt das Passwort im Terminal.
# Fuer Skripte, die es weiterreichen, besser SecureString beibehalten:
$laps = Get-LapsADPassword -Identity LAPSCLIENT01
$laps.Password | ConvertFrom-SecureString -AsPlainText

Post-Authentifizierungsaktionen und Passwortrotation

Die Post-Authentifizierungsaktion (PAA) ist das Feature, wegen dem viele Kunden überhaupt migrieren. Sie definiert, was passieren soll, nachdem sich jemand mit dem verwalteten lokalen Administratorkonto interaktiv angemeldet hat. Es gibt drei Werte, die Sie in der Intune-Richtlinie setzen können:

• 1 – Reset password: Nach Ablauf der PAA-Grace-Periode wird das Passwort rotiert. Die Session läuft weiter.
• 2 – Reset the password and logoff the managed account: Passwort wird rotiert und der lokale Admin abgemeldet.
• 3 – Reset the password and reboot: Passwort wird rotiert und das Gerät neu gestartet.

Die Grace-Periode (Post Authentication Reset Delay) bestimmt, wie lange die interaktive Session weiterlaufen darf, bevor die Aktion greift. Wert 0 deaktiviert die Aktion vollständig – tun Sie das nicht ohne guten Grund. In meiner Erfahrung sind 8 Stunden ein solider Standard: Ein Helpdesk-Kollege bekommt genug Zeit für Diagnose und Reparatur, aber ein vergessener Session bleibt nicht tagelang mit gültigem Passwort offen.

Für die regulären Rotationen gilt: Windows LAPS erneuert das Passwort automatisch nach Ablauf der Password Age Days (Default 30, Minimum 1, Maximum 365). Voraussetzung ist Konnektivität zum Backend – ist ein Notebook offline, wartet LAPS mit der Rotation, bis Entra ID oder ein Domain Controller wieder erreichbar sind. Das bestehende Passwort bleibt in dieser Zeit gültig. Für Notfall-Rotationen (etwa nach einer bekannten Kompromittierung) triggern Sie manuell:

# Lokal auf dem betroffenen Geraet mit Admin-Rechten
Reset-LapsPassword

# Erwartetes Ergebnis:
# Event ID 10018 im LAPS Operational Log
# Neues Passwort in Entra ID sichtbar innerhalb weniger Minuten

# Alternativ per Intune-Portal:
# Geraete -> Zielgeraet -> ... -> "Rotate local admin password"

Migration von Legacy LAPS zu Windows LAPS

Wenn Sie noch den alten Microsoft-LAPS-Client (die MSI-Version) betreiben, planen Sie die Migration in drei Phasen: Vorbereitung, Side-by-Side-Betrieb, Bereinigung. Die offiziellen Details finden Sie im Migration-Szenarios-Guide von Microsoft; hier meine Kurzfassung aus der Praxis.

Phase 1: Vorbereitung

1. Aktualisieren Sie das AD-Schema mit den neuen Windows-LAPS-Attributen: Update-LapsADSchema von einer Maschine mit installiertem LAPS-PowerShell-Modul.
2. Stellen Sie sicher, dass alle Zielsysteme das kumulative April-2023-Update oder neuer installiert haben.
3. Delegieren Sie die notwendigen Rechte für Windows LAPS auf die Ziel-OUs: Set-LapsADComputerSelfPermission.

Phase 2: Side-by-Side

Microsoft unterstützt den parallelen Betrieb ausdrücklich – aber beide Lösungen dürfen nicht dasselbe lokale Konto verwalten. Konfigurieren Sie Windows LAPS für ein anderes Konto (z.B. ein neu angelegtes svc-laps) oder migrieren Sie in Gruppen und deaktivieren die Legacy-GPO gerätescharf. Windows LAPS ignoriert die Legacy-Attribute standardmäßig, sodass eine überlappende Konfiguration keine Doppel-Rotation auslöst, aber unklare Zuständigkeiten sind Grund für die meisten Migrationsvorfälle, die ich gesehen habe.

Phase 3: Bereinigung

1. Deaktivieren oder löschen Sie die alte LAPS-GPO.
2. Deinstallieren Sie den Legacy-MSI-Client per Software-Deployment-Tool oder Skript.
3. Prüfen Sie, dass die Registry unter HKLM\Software\Policies\Microsoft Services\AdmPwd und geplante Aufgaben mit LAPS-Bezug entfernt sind.
4. Führen Sie gpupdate /force aus und prüfen im Event Viewer unter Applications and Services Logs → Microsoft → Windows → LAPS, ob die neue Rotation greift.
5. Optional: Bereinigen Sie das AD-Attribut ms-Mcs-AdmPwd, damit keine Klartextpasswörter mehr im Verzeichnis liegen.

Fehlerbehebung: Wenn LAPS nicht wie erwartet läuft

Meine Standard-Reihenfolge bei „Warum sehe ich kein Passwort in Entra ID?":

1. Ist LAPS im Entra Admin Center aktiviert? Klingt trivial, ist der häufigste Fehler bei Ersteinrichtungen.
2. Kommt die Richtlinie an? Prüfen unter Einstellungen → Konten → Zugriff auf Arbeits- oder Schulkonto → Info, Bereich Über MDM verwaltete Richtlinien. Der Zweig ./Device/Vendor/MSFT/LAPS/Policies muss existieren.
3. Ist der Join-Typ korrekt? dsregcmd /status muss AzureAdJoined : YES oder DomainJoined : YES + AzureAdJoined : YES zeigen. Ein reines WorkplaceJoined : YES reicht nicht.
4. Was sagt das Event Log? Applications and Services Logs → Microsoft → Windows → LAPS → Operational. Häufige IDs: 10003 (keine Policy anwendbar), 10032 (verwaltetes Konto existiert nicht), 10046 (Passwort-Upload zu Entra ID fehlgeschlagen – oft Netzwerkproblem).
5. Rotation manuell triggern: Invoke-LapsPolicyProcessing oder Reset-LapsPassword, dann Log nochmal prüfen.
6. Diagnose sammeln: Get-LapsDiagnostics -OutputFolder C:\Temp\LAPS erzeugt ein ZIP mit Konfiguration, Events und Registry-Werten – der schnellste Weg zu einem Microsoft-Support-Case oder einem Kollegen im Sicherheitsteam.

Für Umgebungen, in denen Sie zusätzlich passwortlose Authentifizierung ausrollen, verweise ich gerne auf die Vorgehensweise für Passkeys in Microsoft Entra ID – LAPS und Passkeys ergänzen sich hervorragend: LAPS schützt das Break-Glass-Konto, Passkeys ersetzen das reguläre Cloud-Passwort.

Häufig gestellte Fragen

Wie oft rotiert Windows LAPS das Passwort?

Standardmäßig alle 30 Tage. Sie können den Wert in der Intune-Richtlinie über Password Age Days zwischen 1 und 365 Tagen setzen. Zusätzlich kann eine Post-Authentifizierungsaktion nach jeder interaktiven Anmeldung eine Rotation auslösen, sobald die Grace-Periode abgelaufen ist.

Kann Windows LAPS und Legacy Microsoft LAPS parallel laufen?

Ja, Microsoft unterstützt Side-by-Side-Betrieb explizit. Voraussetzung ist, dass beide Lösungen unterschiedliche lokale Konten verwalten. Windows LAPS ignoriert die alten Attribute ms-Mcs-AdmPwd standardmäßig, aber der langfristige Zielzustand sollte die vollständige Ablösung des Legacy-Clients sein.

Funktioniert Windows LAPS auch offline?

Das bestehende Passwort funktioniert offline uneingeschränkt. Die Rotation selbst benötigt Konnektivität zum Backend (Entra ID oder Domain Controller). Ist ein Gerät zum geplanten Rotationszeitpunkt offline, wartet LAPS, bis die Verbindung wiederhergestellt ist, und rotiert dann.

Welche Rollen dürfen Windows-LAPS-Passwörter aus Entra ID abrufen?

Standardmäßig können Global Administrator, Cloud Device Administrator, Intune Administrator und Helpdesk Administrator Passwörter lesen. Für Passwortrotationen ist zusätzlich die Rolle Cloud Device Administrator erforderlich. Jeder Abruf wird im Entra-Audit-Log protokolliert – konfigurieren Sie hier zwingend Alerts.

Braucht Windows LAPS eine separate Lizenz?

Nein. Die Windows-Komponente ist im OS enthalten. Für Entra-ID-Backup reicht Entra ID Free. Wenn Sie die Richtlinie über Intune verteilen möchten, benötigen Sie Intune Plan 1, das in Microsoft 365 E3/E5, Business Premium und den EMS-Suites enthalten ist.