Checkliste für Administratorkonten im Rahmen von Cyber Essentials für britische Unternehmen
17. August 2026
Ein praktischer Leitfaden für das Vereinigte Königreich zur Erfüllung der Cyber-Essentials-Anforderungen an Administratorkonten. So kontrollieren, prüfen und sichern Sie den Administratorzugriff im Jahr 2026.
Warum Administratorkonten bei Cyber Essentials wichtig sind
Im britischen Cyber Essentials-Programm stehen Administratorkonten im Mittelpunkt, da sie über erweiterte Rechte verfügen. Wenn ein Angreifer ein Administratorkonto kompromittiert, kann er Sicherheitskontrollen umgehen, Schadsoftware installieren und auf sensible Daten zugreifen. Das NCSC und IASME verlangen, dass Sie nachweisen, dass Sie die Kontrolle über diese Konten haben. Das bedeutet, genau zu wissen, wer über Administratorrechte verfügt, warum diese vergeben wurden, und sicherzustellen, dass sie nicht für alltägliches Surfen oder E-Mails genutzt werden. Eine ordnungsgemäße Checkliste für Administratorkonten hilft Ihnen, die Bewertung zu bestehen und reduziert Ihr reales Cyber-Risiko – genau darum geht es bei dieser Zertifizierung.
Die vollständige Checkliste für Admin-Konten
Arbeiten Sie diese Checkliste durch, um die Cyber Essentials-Anforderungen zu erfüllen. Erfassen Sie jedes Administratorkonto – ob auf Laptops, Servern oder in Cloud-Diensten. Stellen Sie sicher, dass jedes Administratorkonto einer namentlich bekannten Person zugeordnet ist und niemals geteilt wird. Richten Sie separate Standard-Benutzerkonten für die tägliche Arbeit ein. Erzwingen Sie starke, eindeutige Passwörter und ändern Sie diese sofort, wenn sie kompromittiert wurden. Aktivieren Sie nach Möglichkeit die Multi-Faktor-Authentifizierung. Deaktivieren oder löschen Sie standardmäßige lokale Konten wie „Administrator“ unter Windows. Wenden Sie das Prinzip der geringsten Rechte an – geben Sie Benutzern nur die Berechtigungen, die sie tatsächlich benötigen. Erfassen Sie abschließend Zugriffe in einem Audit-Log und überprüfen Sie regelmäßig aktive Administratorkonten.
So implementieren Sie Administrator-Kontosteuerungen unter Windows
Bei den meisten kleinen britischen Unternehmen mit Windows legen Sie zunächst in „Einstellungen > Konten" Standardbenutzerkonten für alle Mitarbeiter an. Erhöhen Sie dann nur unbedingt erforderliche Benutzer über „Lokale Benutzer und Gruppen" (lusrmgr.msc) oder Active Directory auf „Administrator". Benennen Sie das integrierte Administratorkonto um und deaktivieren Sie es. Stellen Sie außerdem sicher, dass die Benutzerkontensteuerung (UAC) auf „Immer benachrichtigen" eingestellt ist. Verwenden Sie einen Passwort-Manager, um komplexe Administratorkennwörter zu generieren und sicher zu speichern. Nutzen Sie für Cloud-Dienste wie Microsoft 365 Richtlinien für bedingten Zugriff, um MFA für Administratoren zu verlangen. Exportieren Sie regelmäßig eine Liste der Administratoren aus Azure AD oder Ihrem Domänencontroller und überprüfen Sie diese. Dieses praktische Setup erfüllt die Anforderungen von Cyber Essentials.
Häufige Fehler bei Admin-Konten, die Cyber Essentials scheitern lassen
Viele britische Unternehmen scheitern bei technischen Kontrollen, weil sie für Verwaltungsaufgaben und alltägliche Tätigkeiten wie das Abrufen von E-Mails dasselbe Konto verwenden. Ein weiteres häufiges Problem ist die Vergabe leicht zu erratender Passwörter wie „Password1" oder das aktive Lassen des standardmäßigen Kontos „Administrator". Die gemeinsame Nutzung eines einzigen Admin-Logins wirkt sich nachteilig auf das Prüfprotokoll aus, das Cyber Essentials verlangt. Auch das Vergessen, das Admin-Konto eines ehemaligen Mitarbeiters zu deaktivieren, ist ein direkter Fehler. Schließlich übersehen einige Unternehmen die Benutzerzugriffskontrolle bei Tablets und Cloud-Apps – nicht nur bei PCs. Wenn Sie diese Fehler vermeiden, sind Sie typischen Bewerbern weit voraus und stellen sicher, dass Ihre Bewertung reibungslos verläuft.
Wahrung der Compliance und Dokumentation
Um die Konformität mit Cyber Essentials zu wahren, erstellen Sie eine einfache Zugriffskontrollrichtlinie, die dokumentiert, wer für jedes System die Administration übernimmt. Überprüfen Sie Administratorkonten mindestens alle 30 Tage und aktualisieren Sie Ihre Aufzeichnungen immer dann, wenn Mitarbeiter eingestellt werden oder das Unternehmen verlassen. Planen Sie vierteljährliche Audits ein, bei denen Sie aktive Benutzer, Berechtigungsstufen und kürzlich erfolgte Passwortänderungen prüfen. Für die IASME-Bewertung müssen Sie möglicherweise Screenshots oder Protokolle vorlegen, die belegen, dass nur autorisierte Benutzer über Administratorrechte verfügen. Pflegen Sie eine Tabellenkalkulation oder ein IT-Tool, in dem das Datum jeder Überprüfung sowie alle vorgenommenen Änderungen festgehalten werden. Diese Dokumentation ist unerlässlich und hilft Ihnen außerdem dabei, ausscheidende Mitarbeiter zeitnah zu verwalten.
FAQ
Cyber Essentials verlangt, dass Sie Administratorrechte nur auf diejenigen Benutzer beschränken, deren Rollen diese tatsächlich benötigen. Sie müssen sicherstellen, dass Administratorkonten unter Ihrer Kontrolle stehen, über eine starke Authentifizierung verfügen und nicht für allgemeine Aktivitäten genutzt werden. Während der Bewertung müssen Sie Ihre Kontokontrollen nachweisen, z. B. Benutzerlisten und Berechtigungen.