Endpoint Privilege Management: Netzwerkeinstellungen ändern ohne lokale Adminrechte

• Mit Microsoft Intune Endpoint Privilege Management (EPM) arbeiten Mitarbeitende als Standardbenutzer und erledigen trotzdem einzelne Aufgaben, die sonst Administratorrechte brauchen.
• Neu ist die Richtlinie für Systemeinstellungen: Standardbenutzer dürfen IPv4-, IPv6- und DNS-Werte ihrer Netzwerkadapter über das Unternehmensportal ändern, auch ohne Netzwerkverbindung.
• Die IT kann dafür eine Begründung, eine Windows-Anmeldung oder beides verlangen, die Begründung erscheint im Reporting.
• Laut Microsoft wird die Funktion schrittweise ausgerollt und ist noch nicht in jedem Mandanten verfügbar.
• Seit Juli 2026 ist Endpoint Privilege Management laut Microsoft in Microsoft 365 E5 und E7 enthalten, für andere Pläne gibt es die Intune Suite als eigenes Abonnement.

Wer auf seinem Firmenlaptop lokaler Administrator ist, kann Software installieren, Sicherheitseinstellungen ändern und Schutzprogramme abschalten. Gelangt Schadsoftware auf ein solches Gerät, hat sie dieselben Rechte. Deshalb gehört der Entzug lokaler Adminrechte zu den wirksamsten Maßnahmen für sichere Endgeräte, und genau dafür hat Microsoft mit Endpoint Privilege Management in Intune ein eigenes Werkzeug.

In der Praxis scheitert der Entzug oft an Kleinigkeiten. Ein Mitarbeiter im Außendienst muss beim Kunden eine feste IP-Adresse oder einen anderen DNS-Server eintragen, und Windows verlangt dafür Administratorrechte. Also behält er sie dauerhaft. Für genau diesen Fall gibt es jetzt eine neue Richtlinie.

Microsoft Intune Endpoint Privilege Management (EPM) lässt Mitarbeitende als Standardbenutzer arbeiten und erlaubt trotzdem einzelne Aufgaben, die erhöhte Rechte brauchen. Die IT legt in Regeln fest, welche Programme oder Einstellungen erhöht ausgeführt werden dürfen und unter welchen Bedingungen. Jede Erhöhung lässt sich im Intune Admin Center auswerten.

Laut der Übersicht „What's new in Microsoft Security: November 2026“ und der Microsoft-Dokumentation gibt es einen neuen Richtlinientyp, die Richtlinie für Systemeinstellungen (Elevation system settings policy). Als erste Kategorie unterstützt sie Netzwerkeinstellungen:

• Standardbenutzer ändern IPv4-, IPv6- und DNS-Werte ihrer Netzwerkadapter, ohne Administrator zu sein.
• Die Änderung erfolgt im Windows-Unternehmensportal unter Hilfe und Support im Bereich Systemeinstellungen. Angezeigt werden nur die Kategorien, für die das Gerät eine Richtlinie hat.
• Als Erhöhungsart steht vom Benutzer bestätigt (User confirmed) zur Verfügung: Der Benutzer bestätigt die Änderung, bevor sie greift.
• Zusätzlich kann die IT eine geschäftliche Begründung, eine Windows-Anmeldung oder beides verlangen. Die Begründung wird gespeichert und erscheint im Reporting.
• Die Änderung funktioniert laut Microsoft auch, wenn das Gerät gerade offline ist, etwa wenn erst eine feste IP-Adresse eingetragen werden muss, damit es überhaupt online kommt.

Microsoft rollt die Funktion schrittweise aus, sie ist daher noch nicht in jedem Mandanten sichtbar. Damit sie wirkt, braucht das Gerät zusätzlich eine Richtlinie für Erhöhungseinstellungen, die EPM aktiviert.

Laut Microsoft-Dokumentation werden die Funktionen der Intune Suite seit Juli 2026 auf die Microsoft 365 Lizenzstufen verteilt:

• Microsoft 365 E5 und E7 enthalten Endpoint Privilege Management, außerdem Microsoft Cloud PKI und Enterprise Application Management.
• Microsoft 365 E3 enthält Intune Plan 2, Remote Help und Advanced Analytics, aber kein EPM.
• Für andere Pläne, etwa Microsoft 365 Business Premium, gibt es die Intune Suite als eigenes Abonnement.

Viele Unternehmen mit E5 haben EPM damit bereits bezahlt, ohne es zu nutzen. Für einen Test bietet Microsoft eine kostenlose Testphase über 90 Tage für bis zu 250 Benutzer an. Welche Lizenz zu Ihnen passt, klären wir gern als Direct CSP.

Laut Microsoft-Dokumentation:

• Windows 11 ab Version 21H2 mit den jeweils genannten Updates, außerdem Windows 10 22H2 und 21H2 mit Update (Windows 10 ist seit Oktober 2025 ohne Support, die Funktion ist dort nicht garantiert)
• nur 64-Bit-Systeme, einschließlich Arm64
• Geräte mit Entra Join oder Hybrid Join, die in Intune registriert oder mit Configuration Manager co-verwaltet sind
• freie Verbindung zu den EPM-Endpunkten, ohne SSL-Inspektion
• unterstützt auch auf Windows 365 und Azure Virtual Desktop mit Einzelsitzung

1. Im Intune Admin Center unter Endpunktsicherheit > Endpoint Privilege Management auf dem Reiter Richtlinien eine neue Richtlinie erstellen.
2. Plattform Windows, Profil Elevation system settings policy wählen.
3. Eine Regel anlegen: Systemeinstellung Network settings, Erhöhungsart User confirmed.
4. Unter Validierung festlegen, ob eine Begründung, eine Windows-Anmeldung oder beides nötig ist.
5. Die Richtlinie den passenden Gruppen zuweisen, zum Beispiel dem Außendienst.
6. Den Benutzern kurz erklären, wo sie die Einstellung im Unternehmensportal finden.

• Lizenz prüfen: Haben Sie Microsoft 365 E5 oder E7? Dann ist EPM bereits enthalten.
• Adminrechte erfassen: Wer hat heute noch lokale Adminrechte, und warum? Häufig sind es genau solche Einzelaufgaben wie Netzwerkeinstellungen.
• Schrittweise umstellen: Erst die Gründe für Adminrechte mit EPM-Regeln abdecken, dann die Rechte entziehen.
• Admin-Konten schützen: Wie wichtig das ist, zeigt unsere Seite zum Stryker Hack und Multi-Admin Approval.

Die InSys AG^® ist Microsoft Solutions Partner für Security und Direct CSP. Wir prüfen, welche Lizenzen Sie bereits haben, erfassen die lokalen Adminrechte in Ihrer Umgebung, richten Endpoint Privilege Management in Microsoft Intune ein und begleiten den Entzug der Adminrechte. Einen schnellen Überblick über Ihre Umgebung gibt der Microsoft Tenant Sicherheitscheck. Alle Leistungen finden Sie unter Microsoft 365 Security.

Rufen Sie uns an unter +49 (521) 260105-0 oder nutzen Sie das Kontaktformular am Ende dieser Seite.