Windows 11 Administrator Protection aktivieren: Was steckt dahinter?

Windows 11 Administrator Protection aktivieren klang für mich zunächst nach einem weiteren Häkchen in den Sicherheitseinstellungen, das kaum jemand anfasst. Nach drei Wochen Testbetrieb auf zwei Notebooks und einem Desktop-PC sehe ich das differenzierter. Das Feature greift tief in die Art ein, wie Windows Administratorrechte vergibt, und genau deshalb lohnt sich ein Blick darauf, was hinter der neuen Funktion wirklich steckt, bevor Sie sie einschalten.

Mich hat überrascht, wie unterschiedlich die Funktion je nach System reagiert. Auf einem Rechner lief die Aktivierung über die Windows-Sicherheits-App beim ersten Versuch glatt durch, auf einem zweiten musste ich den Umweg über die Gruppenrichtlinie nehmen, weil der Schalter in den Einstellungen schlicht fehlte.

Genau diese Unterschiede, dazu die Hintergründe zur Technik und ein Blick auf die Kritik von Sicherheitsforschern, sind Thema dieses Artikels.

Was ist Administrator Protection wirklich?

Administrator Protection ist ein Plattform-Sicherheitsfeature von Windows 11, das Nutzer standardmäßig im Modus geringster Rechte hält und Administratorrechte nur für den Moment einer einzelnen Aktion gewährt.

Vorgestellt hat Microsoft das Konzept im Mai 2025 auf der Build-Konferenz, technisch dokumentiert ist es im Windows-IT-Pro-Blog von Microsoft. Wichtig ist die Abgrenzung, die Microsoft selbst zieht: Administrator Protection ist nicht einfach eine schärfere Variante der Benutzerkontensteuerung, sondern eine grundsätzlich andere Architektur.

Bemerkenswert an der Ankündigung fand ich die Wortwahl des zuständigen Microsoft-Teams selbst: Sicherheit sei ein Mannschaftssport, man werde auch nach dem Release konsequent hinter der Funktion stehen und gemeldete Sicherheitsprobleme aktiv beheben.

Diese Selbstverpflichtung ist keine reine Marketingfloskel, denn genau während dieser offenen Insider-Testphase nahmen sich unabhängige Sicherheitsforscher wie Google Project Zero das Feature intensiv vor und meldeten mehrere Schwachstellen, bevor diese in freier Wildbahn ausgenutzt werden konnten.

Im Kern funktioniert das Feature über sogenannte Just-in-Time-Token. Meldet sich ein Nutzer an, erhält er ausschließlich einen Standardbenutzer-Token ohne Administratorrechte. Erst wenn eine Aktion tatsächlich erhöhte Rechte benötigt, etwa die Installation einer Software oder eine Änderung an Systemdateien, erzeugt Windows für genau diesen einen Vorgang ein temporäres Admin-Token.

Sobald der zugehörige Prozess endet, wird dieses Token vernichtet. Beim nächsten Bedarf entsteht ein komplett neues.

Wichtig: Administrator Protection ist auf einem Standard-Windows-11-System Stand September 2026 nicht automatisch eingeschaltet. Sie müssen es selbst aktivieren, und zwar erst, nachdem Windows Hello eingerichtet ist.

Ausgeliefert wird die Funktion über das optionale Vorschau-Update KB5067036 vom 28. Oktober 2025 sowie das nachfolgende Update KB5120998, beide für Windows 11 24H2 und 25H2. Bis zum aktuellen Stand bleibt Administrator Protection dabei ausdrücklich deaktiviert, Microsoft plant laut eigener Aussage, die Funktion mittelfristig standardmäßig einzuschalten, ein festes Datum dafür gibt es bislang nicht.

Die Wurzeln reichen weiter zurück, als der Name vermuten lässt. Erste Vorüberlegungen zu einer strikteren Rechtetrennung zeigte Microsoft bereits auf der Ignite 2024. Konkret vorgestellt und für Insider geöffnet wurde Administrator Protection dann im Januar 2025, öffentlich kommuniziert folgte die Ankündigung im Windows Developer Blog im Mai 2025.

Dazwischen liegen mehrere Monate interner Tests, in denen laut Microsoft gezielt nach Schwachstellen gesucht wurde, bevor die Funktion überhaupt an reguläre Nutzer ausgeliefert wurde.

Diese Vorlaufzeit erklärt auch, warum die im weiteren Verlauf dieses Artikels beschriebenen Sicherheitslücken bereits vor dem Release gefunden und größtenteils geschlossen werden konnten.

Der Unterschied zu UAC: Warum die alte Benutzerkontensteuerung nicht mehr reicht

Die Benutzerkontensteuerung, kurz UAC, kennt praktisch jeder Windows-Nutzer als das Fenster, das sich beim Start bestimmter Programme dunkel abblendet und nach Bestätigung fragt.

Technisch arbeitet UAC dabei mit einem einzigen Benutzerkonto, dessen Token bei Bedarf angehoben wird. Genau darin liegt die Schwäche: Der erhöhte und der normale Token gehören zur selben Sitzung, zum selben Profil, zum selben Speicherbereich.

Sicherheitsforscher dokumentieren seit über zehn Jahren sogenannte UAC-Bypass-Methoden, bei denen Schadsoftware genau diese Nähe zwischen Standard- und erhöhtem Token ausnutzt, etwa über Token-Impersonation oder das automatische Erhöhen signierter Systemprogramme ohne Rückfrage.

Administrator Protection setzt hier bewusst anders an. Statt denselben Nutzer-Token anzuheben, entsteht ein komplett getrenntes, verstecktes Administratorkonto mit eigenem Profil. Wer sich für verwandte Rechteverwaltung interessiert, findet in unserem Beitrag zum Sudo für Windows 11 aktivieren ein weiteres neues Werkzeug, mit dem Microsoft Admin-Rechte gezielter dosieren will.

• UAC: ein Token pro Nutzer, Erhöhung im selben Profil, teils automatische Freigaben für signierte Programme
• Administrator Protection: zwei vollständig getrennte Konten, Erhöhung ausschließlich im isolierten Profil, keine automatische Freigabe ohne Windows Hello

In der Praxis bedeutet das: Eine Anwendung, die früher stillschweigend mit Administratorrechten startete, weil sie signiert und als vertrauenswürdig markiert war, muss unter Administrator Protection jedes Mal eine echte, interaktive Bestätigung durchlaufen. Für Alltagsnutzer ist das spürbar mehr Aufwand, für die Sicherheit ist es der eigentliche Kern des neuen Konzepts.

Ein zweiter Schwachpunkt der klassischen UAC betrifft die sogenannte Auto-Elevation-Liste. Windows führt intern eine Liste vertrauenswürdiger Microsoft-Binärdateien, die sich ohne jede Nachfrage selbst erhöhen dürfen, etwa bestimmte Systemwerkzeuge.

Genau diese Liste wurde in der Vergangenheit wiederholt für Angriffe missbraucht, indem Schadcode in einen dieser vertrauenswürdigen Prozesse eingeschleust wurde, um von dessen automatischer Rechteerhöhung zu profitieren.

Administrator Protection unterbindet diesen Trick strukturell, weil selbst ein vertrauenswürdiger Prozess niemals automatisch auf das isolierte Admin-Token zugreifen kann, jede Erhöhung verlangt die Windows-Hello-Bestätigung des Menschen vor dem Bildschirm.

Administrator Protection im Vergleich: UAC, Administrator Protection und Sudo für Windows 11

Mit Sudo für Windows 11 und Administrator Protection bringt Microsoft aktuell gleich zwei neue Werkzeuge zur Rechteverwaltung parallel an den Start, was bei vielen Lesern für Verwirrung sorgt. Die folgende Übersicht zeigt, wofür welches Werkzeug gedacht ist und wo sich beide sinnvoll ergänzen.

Mechanismus	Zweck	Authentifizierung
UAC (klassisch)	Bestätigungsdialog für grafische Programme mit Admin-Bedarf	einfacher Klick auf Ja, teils Passwort
Administrator Protection	isoliertes, temporäres Admin-Token für grafische und viele systemnahe Aktionen	Windows Hello, PIN oder Biometrie
Sudo für Windows 11	gezielte, befehlsbasierte Rechteerhöhung in der Kommandozeile, ähnlich wie unter Linux	je nach Modus mit oder ohne erneute Bestätigung

Für die tägliche Arbeit am Desktop ist Administrator Protection das relevantere der beiden neuen Features, weil es die grafische Oberfläche und die meisten Installationsroutinen abdeckt.

Sudo für Windows 11 richtet sich dagegen in erster Linie an Nutzer, die regelmäßig über die Kommandozeile oder PowerShell arbeiten und dort gezielt einzelne Befehle statt ganzer Programme erhöhen möchten. Beide Mechanismen lassen sich parallel aktivieren, ohne einander zu stören.

Ein Beispiel aus meinem eigenen Testbetrieb macht den Unterschied greifbar: Installiere ich über die grafische Oberfläche ein neues Programm, greift Administrator Protection mit der Windows-Hello-Abfrage.

Öffne ich dagegen ein PowerShell-Fenster, um dort ein einzelnes Cmdlet mit erhöhten Rechten auszuführen, ist Sudo für Windows 11 das passendere Werkzeug, weil es genau diesen einen Befehl erhöht, statt gleich die ganze Konsole administrativ neu zu starten.

So funktioniert der isolierte Admin-Account im Hintergrund

Aktivieren Sie Administrator Protection, legt Windows automatisch ein verstecktes, systemverwaltetes Benutzerkonto an, in der Microsoft-Dokumentation als profilgetrenntes Konto beschrieben. Sichtbar wird das unter anderem an einem neuen Ordner mit dem Namensmuster ADMIN_<Benutzername>, den Windows im Hintergrund für dieses Schattenprofil anlegt.

[BILD: Schema-Darstellung des isolierten Admin-Tokens im Vergleich zum klassischen UAC-Modell, mit getrenntem Benutzer- und Admin-Profil]

Dieses Schattenkonto besitzt keine eigene Anmeldung im klassischen Sinn, Sie sehen es nicht auf dem Sperrbildschirm und können sich nicht direkt damit anmelden. Es existiert ausschließlich, um im Hintergrund die temporären Admin-Token zu erzeugen, während Ihr eigentliches Benutzerkonto durchgehend mit Standardrechten arbeitet.

Praktisch gemerkt habe ich mir das so: Mein normales Konto ist der Gast im eigenen Haus, das Schattenkonto ist der Hausmeister, der nur kurz kommt, wenn wirklich etwas repariert werden muss, und danach sofort wieder geht.

Wer im Unternehmen mehrere Administratorkonten pflegt oder Rechte gezielt vergeben möchte, findet ergänzend in unserer Anleitung zum Administratorkonto bearbeiten, hinzufügen und löschen die klassischen Verwaltungsschritte, die von Administrator Protection unberührt bleiben, da beide Mechanismen parallel existieren.

Technisch entscheidend ist dabei die Sitzungsgrenze. Standardkonto und Schattenkonto laufen zwar auf demselben physischen PC, aber in getrennten Sicherheitskontexten, vergleichbar mit zwei Räumen, zwischen denen nur eine einzige, streng kontrollierte Tür existiert. Schadsoftware, die es schafft, sich im Standardprofil einzunisten, kann diese Tür nicht einfach aufstemmen.

Sie müsste die Windows-Hello-Prüfung selbst durchlaufen, und genau das soll durch die Hardware-Bindung der Anmeldedaten praktisch ausgeschlossen sein.

Voraussetzungen für Windows 11 Administrator Protection aktivieren

Bevor Sie loslegen, brauchen Sie drei Dinge: die passende Windows-Version, das richtige Update und ein eingerichtetes Windows Hello. Ohne diese Basis lässt sich das Feature zwar oft trotzdem einschalten, funktioniert dann aber nicht zuverlässig. In Foren-Berichten ist die Rede davon, dass die Gruppenrichtlinie zwar greift, aber nie nach PIN oder biometrischer Bestätigung fragt.

Voraussetzung	Details
Windows-Edition	Home, Pro, Enterprise und Education
Windows-Version	Windows 11, Version 24H2 oder 25H2
Update	KB5067036 oder neuer, KB5120998 setzt den Rollout fort
Authentifizierung	Windows Hello eingerichtet, PIN, Fingerabdruck oder Gesichtserkennung
Neustart	Nach jeder Aktivierungsmethode erforderlich

Laut Bleeping Computer lief der erste Rollout über KB5067036 als optionales Vorschau-Update, entsprechend uneinheitlich kam die Funktion zunächst bei den Nutzern an. Wenn Sie prüfen möchten, welche Version und welche Einstellungen Ihr System aktuell mitbringt, hilft ein Blick in unsere Übersicht zu Windows 11 25H2 Einstellungen ändern.

Die Windows-Hello-Voraussetzung wird in der Praxis am häufigsten übersehen. Ohne eingerichtete PIN oder Biometrie bleibt der Bestätigungsdialog bei jeder administrativen Aktion entweder aus oder hängt sich auf. Richten Sie Windows Hello daher zuerst ein, eine Schritt-für-Schritt-Anleitung dazu finden Sie in unserem Beitrag Windows Hello einrichten, bevor Sie sich an Administrator Protection wagen.

Ein weiterer Punkt betrifft den Auslieferungskanal. Auf dem Release Preview Channel und im Stable-Kanal war die Funktion zum Zeitpunkt dieses Artikels teils nur nach manueller Suche nach Updates sichtbar, während Insider im Dev- und Beta-Channel den Schalter meist schon länger sehen. Prüfen Sie deshalb zunächst unter „Einstellungen“, „Windows Update“, „Nach Updates suchen, ob KB5120998 oder ein neueres kumulatives Update bereits installiert ist, bevor Sie eine der folgenden vier Methoden ausprobieren.

Windows 11 Administrator Protection aktivieren über die Windows-Sicherheit-App

Der bequemste Weg führt über die grafische Oberfläche, sofern Ihr System den Schalter bereits anzeigt. Diese Methode eignet sich für alle Windows-11-Editionen, auch für Home, wo Gruppenrichtlinien fehlen.

1. Öffnen Sie Windows-Sicherheit über das Startmenü oder die Suche.
2. Wechseln Sie in den Bereich Kontoschutz.
3. Scrollen Sie zum Abschnitt Administrator Protection und öffnen Sie ihn.
4. Aktivieren Sie den Schalter.
5. Starten Sie den PC neu, damit die Änderung wirksam wird.

Ob die Aktivierung erfolgreich war, merken Sie beim nächsten administrativen Vorgang. Statt des gewohnten UAC-Fensters erscheint nun eine Windows-Hello-Abfrage, meist mit PIN- oder Fingerabdruck-Eingabe. Bei mir dauerte dieser erste Test kaum zehn Sekunden länger als die klassische UAC‑Bestätigung. Spürbar war eher die Umstellung, dass jetzt wirklich jede administrative Aktion diese Hürde nimmt, auch bei Programmen, die vorher automatisch durchgewinkt wurden.

Fehlt der Schalter in Ihrer Windows-Sicherheits-App komplett, liegt das meist daran, dass die Vorschau-Funktion auf Ihrem Build noch nicht freigeschaltet ist. In diesem Fall führt der zuverlässigere Weg über die Gruppenrichtlinie oder die Registry, beide mit exaktem Pfad und exaktem Wert.

Windows 11 Administrator Protection aktivieren per Gruppenrichtlinie

Die Gruppenrichtlinie funktioniert auf Windows 11 Pro, Enterprise und Education zuverlässiger als der Schalter in der Sicherheits-App, weil sie direkt die zugrundeliegende Systemrichtlinie setzt, unabhängig davon, ob die grafische Oberfläche das Feature schon anzeigt.

1. Öffnen Sie mit Win + R den Befehl gpedit.msc.
2. Navigieren Sie zu Computerkonfiguration > Windows-Einstellungen > Sicherheitseinstellungen > Lokale Richtlinien > Sicherheitsoptionen.
3. Suchen Sie den Eintrag Benutzerkontensteuerung: Typ des Administratorbestätigungsmodus konfigurieren.
4. Wählen Sie die Option Administratorbestätigungsmodus mit Administrator Protection.
5. Übernehmen Sie die Einstellung mit OK und starten Sie den PC neu.

Zusätzlich lässt sich über eine zweite Richtlinie festlegen, wie die Bestätigungsabfrage genau aussieht. Diese trägt den Namen Benutzerkontensteuerung: Verhalten der Eingabeaufforderung für Rechteerhöhung für Administrator Protection und liegt im selben Richtlinienordner.

Option	Verhalten
Anmeldeinformationen anfordern (Standard)	Windows verlangt bei jeder Rechteerhöhung erneut die Windows-Hello-Authentifizierung
Zustimmung anfordern	ein einfacher Bestätigungsklick genügt, ohne erneute biometrische Prüfung
Automatisch ablehnen	jede Rechteerhöhung wird ohne Rückfrage blockiert, nur für streng verwaltete Geräte sinnvoll

Für Privatanwender empfiehlt sich die Standardeinstellung mit erneuter Windows-Hello-Prüfung, weil sie den eigentlichen Sicherheitsgewinn der Funktion ausmacht. Die offizielle, ständig aktualisierte Referenz zu allen Richtlinien und CSP-Namen führt Microsoft in der Dokumentation zu Administrator Protection.

Windows 11 Administrator Protection aktivieren über die Registry

Der Registry-Weg funktioniert auf jeder Windows-11-Edition, auch auf Home, und ist damit die universellste Methode, wenn weder die Sicherheits-App noch der Gruppenrichtlinien-Editor zur Verfügung stehen.

⚠️ Achtung: Eingriffe in die Registry können bei falscher Anwendung Systemfunktionen beeinträchtigen. Legen Sie vorher eine Sicherung an, eine Anleitung dazu finden Sie in unserem Beitrag zum Windows 11 Registry sichern.

1. Öffnen Sie mit Win + R den Befehl regedit.
2. Navigieren Sie zu HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionPoliciesSystem.
3. Suchen oder erstellen Sie den DWORD-Wert TypeOfAdminApprovalMode.
4. Setzen Sie den Wert auf 2, was dem Administratorbestätigungsmodus mit Administrator Protection entspricht.
5. Schließen Sie den Registry-Editor und starten Sie den PC neu.

Diesen exakten Registry-Pfad sucht man in vielen Anleitungen vergeblich, weil Microsoft ihn in der offiziellen Dokumentation nicht direkt nennt. Getestet habe ich den Wert auf einem Windows 11 25H2 System. Die Umstellung griff nach dem Neustart zuverlässig, erkennbar an der neuen Windows-Hello-Abfrage bei der nächsten Rechteanforderung.

Status prüfen: So erkennen Sie, ob Administrator Protection bereits aktiv ist

Nachdem Sie Windows 11 Administrator Protection aktivieren über eine der drei bisherigen Methoden angestoßen haben, lohnt sich eine kurze Kontrolle, bevor Sie sich auf die neue Absicherung verlassen. Am zuverlässigsten funktioniert das über die Eingabeaufforderung.

1. Öffnen Sie die Eingabeaufforderung, ein Administratorstart ist hierfür nicht nötig.
2. Führen Sie den Befehl reg query "HKLMSOFTWAREMicrosoftWindowsCurrentVersionPoliciesSystem" /v TypeOfAdminApprovalMode aus.
3. Zeigt der zurückgegebene Wert eine 2, ist Administrator Protection aktiv.

Alternativ genügt in der Praxis auch der einfache Test: Starten Sie ein Programm, das Administratorrechte benötigt, etwa die Datenträgerverwaltung. Erscheint statt des klassischen dunklen UAC-Fensters eine Windows-Hello-Abfrage mit PIN- oder Fingerabdruck-Symbol, läuft Administrator Protection bereits im Hintergrund.

Aktivierung im Unternehmen: Intune, MDM und zentrale Verwaltung

Für IT-Abteilungen bietet sich die zentrale Steuerung über Intune an, aktuell noch als Vorschau-Funktion im Einstellungskatalog geführt. Relevant sind dabei zwei CSP-Namen aus der Kategorie „Lokale Richtlinien“ → „Sicherheitsoptionen“: UserAccountControl_TypeOfAdminApprovalMode zum Einschalten der Funktion und UserAccountControl_BehaviorOfTheElevationPromptForAdministratorProtection zur Steuerung des Bestätigungsverhaltens.

Nicht jedes Unternehmensszenario unterstützt Administrator Protection bislang. Vier Umgebungen sind ausdrücklich ausgenommen, das sollten Sie vor einer Flächenausrollung kennen.

Umgebung	Status
Windows 365 Cloud PC	nicht unterstützt
Azure Virtual Desktop Session Hosts	nicht unterstützt
Hyper-V-Gastsysteme	nicht unterstützt
WSL-Umgebungen	nicht unterstützt

Zusätzlich berichten Administratoren von Konflikten, wenn parallel eine Endpoint-Privilege-Management-Lösung wie Intune EPM im Einsatz ist. Die Kombination beider Mechanismen kann zu unerwarteten Fehlermeldungen oder blockierten Rechteerhöhungen führen, testen Sie das Zusammenspiel daher zunächst in einer kleinen Pilotgruppe, bevor Sie unternehmensweit ausrollen.

Für Fernzugriffe auf Domänenrechner mit erhöhten Rechten hält Microsoft zwei ergänzende Richtlinien bereit: Benutzerkontensteuerung: Remoteanmeldung mit erhöhten Rechten für Domänenbenutzer zulassen sowie die feiner abgestufte Variante für einzelne Benutzer und Gruppen.

Ohne eine dieser Richtlinien kann es vorkommen, dass sich Domänenadministratoren per Remotedesktop zwar anmelden, aber keine administrativen Aktionen mehr auf dem Zielrechner ausführen können, sobald Administrator Protection dort aktiv ist. Planen Sie diesen Schritt daher als festen Bestandteil jeder Unternehmens-Ausrollung ein, nicht als nachträgliche Fehlerbehebung.

Für die praktische Ausrollung hat sich in Community-Berichten ein dreistufiges Vorgehen bewährt: zunächst eine kleine Pilotgruppe von fünf bis zehn Geräten über mehrere Wochen beobachten, anschließend eine Abteilung mit unterschiedlicher Software-Landschaft einbeziehen, und erst danach die Ausrollung auf die gesamte Organisation ausweiten. Gerade der MUI-Datei-Fehler und die EPM-Konflikte zeigen sich häufig erst nach einigen Tagen im produktiven Einsatz, nicht sofort beim ersten Test.

Bekannte Probleme und Einschränkungen

Administrator Protection ist Stand September 2026 noch eine Vorschau-Funktion, entsprechend tauchen einige Kinderkrankheiten auf, die Sie vor der Aktivierung kennen sollten.

Offiziell hält sich Microsoft dabei auffällig zurück, in den Versionshinweisen zu KB5067036 heißt es lediglich, es gebe derzeit keine bekannten Probleme mit diesem Update. Nutzerberichte in Foren und Kommentarspalten zeichnen ein etwas anderes Bild, das die folgenden Punkte zusammenfasst.

Der aus meiner Sicht relevanteste Punkt für deutschsprachige Nutzer betrifft einen dokumentierten MUI-Datei-Fehler. Auf Windows-Installationen, die nicht auf Englisch US eingerichtet sind, also auch auf deutschsprachigen Systemen, kann beim Aktivieren die Meldung Failed to find MUI file erscheinen. Im ungünstigsten Fall verhindert dieser Fehler anschließend die lokale Administrator-Anmeldung. Bevor Sie Administrator Protection auf einem Produktivsystem einschalten, sollten Sie daher zwingend einen Wiederherstellungspunkt anlegen und den ersten Test auf einem unkritischen Gerät durchführen.

• Consent-Storms: Nutzer berichten von gehäuften Bestätigungsabfragen direkt nach dem Start, wenn mehrere Autostart-Programme gleichzeitig Admin-Rechte anfordern, in Einzelfällen bis zum kurzzeitigen Einfrieren des Desktops
• Ältere Software: Programme, die fest mit dauerhaften Administratorrechten rechnen, etwa manche Legacy-Installer, können unter der isolierten Token-Architektur hängen bleiben
• Fehlender Schalter: Auf nicht vollständig aktualisierten Systemen taucht der Umschalter in der Windows-Sicherheit-App schlicht nicht auf, unabhängig vom installierten Update
• Kein SSO zwischen den Profilen: Angemeldete Sitzungen aus dem Standardkonto lassen sich nicht in das isolierte Admin-Profil übernehmen, Netzlaufwerke und Edge-Erweiterungen bleiben dort unter Umständen unzugänglich

Weiterhin listet Microsoft eine Reihe konkreter Funktionsszenarien auf, die unter Administrator Protection derzeit nicht wie gewohnt funktionieren. Die folgende Tabelle fasst die wichtigsten davon zusammen, damit Sie vor der Aktivierung einschätzen können, ob eines Ihrer Alltagsszenarien betroffen ist.

Szenario	Auswirkung
Geplante Aufgaben mit höchsten Rechten	müssen für das isolierte Profil neu eingerichtet werden
Zugriff auf Netzlaufwerke aus erhöhten Programmen	oft nicht erreichbar, da das Schattenprofil keine eigene Laufwerkszuordnung besitzt
Übertragung von App-Einstellungen zwischen Standard- und Admin-Profil	nicht möglich, jedes Profil führt eigene Einstellungen
Remote-Anmeldung mit servergespeicherten Profilen (Roaming Profiles)	derzeit nicht unterstützt

[BILD: Windows-Hello-Bestätigungsdialog, der bei einer administrativen Aktion unter Administrator Protection erscheint]

Wer die Aktivierung technisch nachvollziehen oder in einer Testumgebung protokollieren möchte, kann auf die integrierte Ereignisverfolgung zurückgreifen. Der zuständige ETW-Anbieter heißt Microsoft-Windows-LUA, erkennbar an der GUID {93c05d69-51a3-485e-877f-1806a8731346}.

Genehmigte Rechteerhöhungen erscheinen dort unter der Ereignis-ID 15031, abgelehnte oder fehlgeschlagene unter 15032. Gestartet wird die Aufzeichnung über die Eingabeaufforderung, idealerweise als Administrator gestartet, mit dem Befehl logman start AdminProtectionTrace -p {93c05d69-51a3-485e-877f-1806a8731346} -ets.

Ist Administrator Protection wirklich sicher? Was Sicherheitsforscher gefunden haben

Genau hier wird es für mich als sicherheitsbewussten Nutzer erst richtig interessant, denn ein neues Feature ist nur so gut wie seine Praxistauglichkeit gegen echte Angriffe.

James Forshaw von Google Project Zero hat Administrator Protection bereits während der Insider-Vorschau intensiv geprüft und dabei neun eigenständige Schwachstellen gefunden, über die sich Rechte unter Umgehung der eigentlich vorgesehenen Bestätigung ausweiten ließen.

Alle neun Lücken wurden nach Angaben von Forshaw vor oder kurz nach dem offiziellen Release geschlossen, ein aktuelles Sicherheitsrisiko für Nutzer mit vollständig aktualisiertem System besteht dadurch nicht. Bemerkenswert ist trotzdem seine Einschätzung zur Architektur insgesamt: Administrator Protection verbessere die Sicherheitslage spürbar gegenüber der klassischen UAC, trage aber weiterhin gut zwanzig Jahre alte, nie vollständig behobene UAC-Bypass-Techniken mit sich. Aus seiner Sicht wären an mancher Stelle radikalere strukturelle Änderungen wünschenswert gewesen.

Technisch interessant an der komplexesten der neun gefundenen Lücken war, dass sie erst durch das Zusammenspiel mehrerer, für sich genommen harmloser Systemverhalten entstand, unter anderem durch neu erzeugte Anmeldesitzungen für jedes Schatten-Token, durch verzögert geladene Geräteverzeichnisse sowie durch eine bestimmte Zuordnung der Besitzerkennung beim primären Token.

Genau diese Art von Fehlern, die erst in der Kombination gefährlich werden, gilt unter Sicherheitsforschern als besonders schwer vollständig auszuschließen, weil einzelne Bausteine für sich betrachtet unauffällig wirken.

Auch aus der deutschsprachigen Community kommt Skepsis. Der bekannte Windows-Blogger Günter Born bezeichnete die Ankündigung sinngemäß als kosmetische Maßnahme und verwies darauf, dass Microsoft seit Jahren bekannte UAC-Umgehungsmethoden nicht konsequent schließt.

Meine eigene Einschätzung nach den Tests liegt dazwischen: Administrator Protection macht stille, automatische Rechteausweitung deutlich schwerer, ein Wundermittel gegen jede Art von Malware ist es aber nicht, und sollte es auch nie sein.

Für wen sich die Aktivierung jetzt schon lohnt

Nicht jeder Windows-11-Nutzer profitiert gleich stark davon, Windows 11 Administrator Protection aktivieren zu lassen, und nicht jeder sollte jetzt schon zugreifen. Nach meinen Tests auf unterschiedlichen Geräten hat sich für mich eine grobe Einteilung nach Nutzungsprofil bewährt.

• Privatnutzer mit wenig Softwarewechsel: Wer selten neue Programme installiert und ohnehin schon mit PIN oder Fingerabdruck arbeitet, bemerkt im Alltag kaum einen Unterschied, gewinnt aber echten Schutz gegen automatische Rechteausweitung durch Schadsoftware. Für dieses Profil ist die Aktivierung schon jetzt empfehlenswert.
• Power-User mit vielen Tools und Skripten: Wer regelmäßig Kommandozeilen-Tools, Entwicklerumgebungen oder ältere Systemprogramme nutzt, sollte zunächst auf einem Zweitgerät testen, da genau hier die meisten Kompatibilitätsprobleme auftreten.
• Kleine Unternehmen ohne dedizierte IT: Die zusätzliche Sicherheitsstufe ist sinnvoll, sollte aber erst nach einem Test auf einzelnen Geräten und nach Prüfung geschäftskritischer Software ausgerollt werden.
• Unternehmen mit Cloud-PCs, AVD oder Hyper-V: Hier ist Administrator Protection aktuell schlicht nicht nutzbar, eine Aktivierung sollte frühestens nach offizieller Unterstützung dieser Umgebungen erfolgen.

Administrator Protection wieder deaktivieren

Falls sich die Umstellung im Alltag nicht bewährt, lässt sich Administrator Protection über denselben Weg rückgängig machen, über den Sie es eingeschaltet haben.

• Windows-Sicherheit-App: Kontoschutz öffnen, Schalter bei Administrator Protection ausschalten, PC neu starten
• Gruppenrichtlinie: denselben Richtlinienwert wieder auf Administratorbestätigungsmodus ohne Administrator Protection stellen
• Registry: den Wert TypeOfAdminApprovalMode zurück auf 1 setzen

Nach dem Neustart arbeitet Ihr System wieder mit der klassischen Benutzerkontensteuerung, das versteckte Schattenprofil bleibt dabei ungenutzt auf der Festplatte liegen und wird bei einer erneuten Aktivierung einfach wiederverwendet. Eine manuelle Löschung dieses Profils sieht Microsoft nicht vor.

Der belegte Speicherplatz ist verschwindend gering und fällt praktisch nicht ins Gewicht. Auch die über ETW protokollierten Ereignisse bleiben nach der Deaktivierung erhalten und lassen sich bei Bedarf weiterhin über die Ereignisanzeige auswerten.

Fazit

Wer Windows 11 Administrator Protection aktivieren möchte, bekommt kein Feature für nebenbei, sondern eine spürbare Umstellung im Umgang mit Adminrechten, mit echtem Sicherheitsgewinn gegen automatische, unbemerkte Rechteausweitung.

Für Nutzer, die ohnehin selten Software installieren und Windows Hello bereits eingerichtet haben, ist die Aktivierung nach meiner Erfahrung unkompliziert und im Alltag kaum störend. Wer dagegen viele ältere Programme oder Firmensoftware im Einsatz hat, sollte zunächst testen, am besten auf einem einzelnen Gerät, bevor die Umstellung flächendeckend erfolgt.

Was hinter der Funktion steckt, lässt sich damit in einem Satz zusammenfassen: ein architektonisch sauberer, aber bisher nicht perfekter Versuch, zwanzig Jahre alte Schwächen der Benutzerkontensteuerung zu schließen, ohne dabei die Bedienbarkeit komplett zu opfern.

Die neun bereits gefundenen und geschlossenen Schwachstellen zeigen, dass Microsoft die Funktion ernsthaft von unabhängiger Seite prüfen ließ. Der MUI‑Bug auf deutschsprachigen Systemen zeigt gleichzeitig, dass die internationale Reife noch nicht ganz erreicht ist.

Wenn Sie nach der Aktivierung tiefer einsteigen wollen, etwa in Troubleshooting-Szenarien oder die Enterprise-Ausrollung, finden Sie bei unseren Kollegen von winpower.de eine ausführliche Schritt-für-Schritt-Anleitung mit allen Aktivierungsmethoden und Praxistipps, die als Ergänzung zu diesem Hintergrundartikel gedacht ist. Testen Sie die Funktion, bilden Sie sich Ihre eigene Meinung, und schreiben Sie mir gerne, wie sie bei Ihnen läuft.

Häufig gestellte Fragen

Zuletzt aktualisiert: September 2026 | Getestet auf: Windows 11 25H2, September 2026 | Autor: Vangelis | 25+ Jahre IT-Erfahrung | Gründer von windowspower.de seit 2003