Administratorrechte für ein Programm. Nie für den Benutzer.
Mit AdminExplorer führen Standardbenutzer die Programme aus, die Administratorrechte benötigen, ohne jemals lokale Administratoren zu werden. Sie legen die Richtlinie im Portal fest, und jeder Versuch wird protokolliert.
Portal und Dokumentation sind auf Englisch.
Das Problem
Lokale Administratorrechte geben Benutzern, und allem, was sie ausführen, die volle Kontrolle über das Gerät. Entzieht man sie, wird jedes Installationsprogramm und jedes Treiberupdate zu einem Helpdesk-Ticket.
So funktioniert es
-
Ein MSI mit Intune verteilen
Laden Sie den für Ihren Mandanten konfigurierten Client im Portal herunter und verteilen Sie ihn als Win32-App. Das Gerät registriert sich mit dem Schlüssel aus Ihrem Paket; derselbe Client dient beiden Editionen.
-
Richtlinie im Portal festlegen
Legen Sie fest, welche Programme mit erhöhten Rechten laufen dürfen, ob Benutzer eine Begründung angeben und wie die Mitgliedschaft in der lokalen Administratorengruppe behandelt wird. Die Geräte übernehmen Änderungen aus dem Portal.
-
Benutzer erhöhen ein einzelnes Programm
Vorab genehmigte Programme starten wie gewohnt mit erhöhten Rechten, oder Benutzer klicken mit der rechten Maustaste und wählen „Run with AdminExplorer“. Nur dieses Programm erhält erhöhte Rechte, und jeder Versuch wird protokolliert.
Was Sie erhalten
-
Entschieden auf dem Gerät
Der AdminExplorer-Dienst trifft jede Entscheidung anhand Ihrer Richtlinie und Lizenz. Der Benutzer ist nie lokaler Administrator, und es wird kein dauerhaftes Administratorkonto angelegt.
-
Vorab genehmigt oder bei Bedarf
Genehmigte Programme starten ohne Abfrage. Andere genehmigte Dateien werden bei Bedarf mit Abfrage einer Begründung gestartet und, in der Enterprise-Edition, nach manueller Genehmigung durch einen Genehmiger.
-
Entfernung lokaler Administratoren
Dauerhafte Mitgliedschaften in der lokalen Gruppe Administratoren werden entfernt und bleiben entfernt, mit Berichts- und Erzwingungsmodus, Voreinstellungen, Ausnahmen, einer Vorschau und einem Schutz vor Aussperrung.
-
Jeder Versuch protokolliert
Gerät, Benutzer, Datei, SHA-256, Herausgeber, Entscheidung, Begründung und Genehmiger werden im Windows-Anwendungsprotokoll und im Portal erfasst, mit Filtern, Zusammenfassungen und CSV-Export.
-
Übersicht über installierte Software
Sehen Sie jedes Produkt mit der Anzahl der Geräte pro Version und einen Verlauf der Änderungen, einschließlich der Installationen mit einer AdminExplorer-Erhöhung.
-
Ausführen in der Sandbox
Benutzer können ein unbekanntes Installationsprogramm oder Tool in Windows Sandbox öffnen, einer virtuellen Maschine, die danach verworfen wird, ohne Administratorrechte auf dem Gerät selbst.
Standard und Enterprise
| Funktion | Standard | Enterprise |
|---|---|---|
| Vorab genehmigte Programme (ohne Abfrage) | Ja | Ja |
| Erhöhung genehmigter Programme bei Bedarf, Abfrage einer Begründung, Protokoll im Portal | Ja | Ja |
| Entfernung und Schutz lokaler Administratoren | Ja | Ja |
| Übersicht über installierte Software | Ja | Ja |
| Ausführen in der Sandbox | Ja | Ja, auch auf Entra-Gruppen beschränkbar |
| Regeln (Pfad, Herausgeber, Hash) | Nein | Ja |
| Manuelle Genehmigung durch einen Genehmiger | Nein | Ja |
| Beliebige Anwendung bei Bedarf mit Bestätigung auf dem sicheren Desktop | Nein | Ja |
| Erhöhung von Kindprozessen pro Eintrag oder Regel | Nein | Ja |
| Zuweisung über Entra-Gruppen | Nein | Ja |
Die Edition ergibt sich aus Ihrer Lizenz; für beide wird derselbe Client installiert.
NIS2 und das Prinzip der geringsten Rechte
NIS2 verlangt in Artikel 21 Absatz 2 Buchstabe i Konzepte für die Zugriffskontrolle, ohne lokale Administratorrechte ausdrücklich zu nennen; auch die CIS Controls (Safeguard 5.4), die ASD Essential Eight und UK Cyber Essentials fordern, Administratorrechte zu beschränken. AdminExplorer hilft Ihnen, das Prinzip der geringsten Rechte auf Windows-Geräten umzusetzen: Dauerhafte lokale Administratorrechte werden entfernt, Programme werden einzeln nach Ihrer Richtlinie mit erhöhten Rechten gestartet, und jeder Versuch wird protokolliert. AdminExplorer allein macht eine Organisation nicht konform mit einem Regelwerk.
In zwei Minuten erklärt
Loslegen
Der Leitfaden Getting started (Englisch) führt Sie von einem neuen Mandanten bis zum ersten registrierten Gerät. Voraussetzung: Windows 10 22H2 oder Windows 11, x64.
Portal und Dokumentation sind auf Englisch.