Local Security Authority Protection in Windows 11 aktivieren oder deaktivieren

Local Security Authority (LSA) Protection in Windows 11 spielt eine zentrale Rolle bei der Authentifizierung, der Durchsetzung von Sicherheitsrichtlinien und der Speicherung geschützter Anmeldeinformationen, allesamt kritische Aufgaben in der heutigen Bedrohungslandschaft. Um die Sicherheitslage dieses Subsystems zu verbessern, bietet Microsoft die LSA-Protection an. Sie verhindert, dass Benutzer:innen die LSA manipulieren, und wehrt schwerwiegende Angriffe auf das System ab.

Wenn Sie als IT-Administrator:in arbeiten, zeigt Ihnen dieser Leitfaden, wie Sie die Local Security Authority (LSA) Protection über die Windows-Sicherheit, den Registrierungs-Editor, PowerShell und Gruppenrichtlinien aktivieren oder deaktivieren. So stellen Sie Sicherheit sicher, wenn Sie Geräte verwalten und Konfigurationen in großem Umfang bereitstellen.

Eine visuelle Anleitung finden Sie in unserem Video So aktivieren oder deaktivieren Sie die Local Security Authority Protection in Windows 11.

Was ist Local Security Authority Protection?

Die Local Security Authority (LSA) ist eine zentrale Windows-Komponente, die für Authentifizierung, Sicherheitsrichtlinien und die Speicherung von Anmeldeinformationen zuständig ist. Sie ist die Torwächterin des Computers: Sie überprüft Anmeldeinformationen, verwaltet Kennwortänderungen und erstellt Zugriffstoken, wenn Benutzer:innen sich am System anmelden möchten. Das LSA-Subsystem (LSASS) ist der ausführbare Prozess, der die LSA betreibt und ihre Funktionalität umsetzt.

Die LSA-Protection macht LSASS sicherer. Diese Sicherheitsfunktion führt LSASS als geschützten Prozess (PPL) aus und verhindert so, dass nicht vertrauenswürdiger Code selbst mit Administratorrechten Code in den Prozess einschleust. Dadurch werden ausschließlich vertrauenswürdige Dienste und Prozesse geladen, und bösartige oder weniger privilegierte Prozesse können sie nicht ohne Weiteres beeinflussen. Genau solche Prozesse öffnen dem Diebstahl von Anmeldeinformationen und der Ausführung von Malware sonst Tür und Tor.

Methoden zum Aktivieren oder Deaktivieren der Local Security Authority Protection

Die Verwaltung der LSA-Protection lässt sich nicht nach Schema F erledigen. Welche Methode die richtige ist, hängt von Ihrer Umgebung (privat oder Unternehmen), dem Umfang der Bereitstellung, Ihren Anforderungen an die Automatisierung sowie den Sicherheits- und Compliance-Vorgaben ab. (Prüfen Sie vor dem Start, ob Sie die Voraussetzungen erfüllen.)

Methode 1: Local Security Authority Protection über die grafische Oberfläche der Windows-Sicherheit aktivieren oder deaktivieren

Dies ist die einfachste und benutzerfreundlichste Methode, denn sie zeigt den LSA-Status direkt an und erfordert weder Skripting-Kenntnisse noch fortgeschrittenes Fachwissen. Sie eignet sich am besten für Privatanwender:innen und IT-Support-Teams, die einzelne Geräte einmalig manuell konfigurieren. Allerdings funktioniert diese Methode nur auf Geräten, die Konfigurationen für virtualisierungsbasierte Sicherheit (VBS) unterstützen.

1. Öffnen Sie Einstellungen > Datenschutz & Sicherheit > Windows-Sicherheit > Gerätesicherheit.
2. Klicken Sie im Abschnitt Kernisolierung auf Details zur Kernisolierung.
3. Suchen Sie den Abschnitt Local Security Authority-Schutz und schalten Sie die Einstellung ein oder aus.
4. Starten Sie Ihr Gerät neu, damit die Änderungen wirksam werden.

Methode 2: LSA-Protection über den Registrierungs-Editor aktivieren oder deaktivieren

Diese Methode eignet sich am besten für fortgeschrittene Anwender:innen, IT-Admins und Techniker:innen, die das LSA-Verhalten auf Gerätegruppen manuell anpassen möchten. Empfohlen wird sie für Szenarien rund um Automatisierung, Provisionierung und Bereitstellung.

⚠️Hinweis: Fehlerhafte Änderungen an der Registrierung können schwerwiegende Systemprobleme verursachen. Erstellen Sie deshalb vorab eine Sicherung der Registrierung. Für Änderungen in der Registrierung sind Administratorrechte erforderlich.

1. Öffnen Sie den Registrierungs-Editor als Administrator:in. Drücken Sie Win + R, geben Sie „regedit“ ein und drücken Sie Strg + Umschalt + Eingabetaste.
2. Folgen Sie im linken Bereich des Registrierungs-Editors diesem Pfad: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
3. Im rechten Bereich des Schlüssels Lsa:
   • Doppelklicken Sie auf RunAsPPL und ändern Sie den Wert auf 1 (LSA-Protection aktivieren) oder 0 (deaktivieren).
   • Optional können Sie zusätzlich den Wert von RunAsPPLBoot auf 1 setzen, damit die LSA bereits beim Systemstart geschützt ist.
     Hinweis: Falls diese DWORD-Werte nicht vorhanden sind, legen Sie sie an. Klicken Sie mit der rechten Maustaste auf eine freie Stelle im rechten Bereich des Schlüssels LSA , zeigen Sie auf Neu, wählen Sie DWORD-Wert (32-Bit) und benennen Sie ihn „RunAsPPL“ oder „RunAsPPLBoot“.
4. Starten Sie den Computer neu, damit die Änderungen wirksam werden.

Methode 3: LSA-Protection mit PowerShell aktivieren oder deaktivieren

PowerShell ist oft die beste Wahl für Systemadministrator:innen, die Geräte in großer Zahl über Remote-Skripte oder Bereitstellungstools konfigurieren. Dieser Weg unterstützt konsistente, skalierbare und nachvollziehbare Bereitstellungen und lässt sich problemlos in Provisionierungsskripte, Intune-Skripte oder SCCM einbinden.

Hinweis: Erfordert Administratorrechte

LSA-Protection aktivieren:

1. Öffnen Sie eine PowerShell mit erhöhten Rechten. Drücken Sie Win + R, geben Sie „powershell“ ein und drücken Sie Strg + Umschalt + Eingabetaste.
2. Kopieren Sie diesen Befehl, fügen Sie ihn ein und drücken Sie dann die Eingabetaste:
   Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "RunAsPPL" -Value 1 -Type DWord
   Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "RunAsPPLBoot" -Value 1 -Type DWord
3. Starten Sie Ihr Gerät neu, damit die Änderungen wirksam werden.

LSA-Protection deaktivieren:

1. Öffnen Sie eine PowerShell mit erhöhten Rechten. Drücken Sie Win + R, geben Sie „powershell“ ein und drücken Sie Strg + Umschalt + Eingabetaste.
2. Kopieren Sie diesen Befehl, fügen Sie ihn ein und drücken Sie dann die Eingabetaste:
   Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "RunAsPPL" -Value 0 -Type DWord
3. Starten Sie Ihr Gerät neu, damit die Änderungen wirksam werden.

Methode 4: Konfiguration über Gruppenrichtlinien oder Enterprise-Management-Tools

Diese Methode richtet sich an Unternehmensumgebungen, in denen die Verwaltung von Hunderten oder Tausenden Geräten zentrale Steuerung, Konsistenz und Nachvollziehbarkeit erfordert. Beachten Sie: Für die LSA-Protection in Windows 11 (Stand Version 22H2+) gibt es keine breit verfügbaren nativen GPO-Vorlagen. Konfigurieren können Sie sie dennoch, und zwar mit:

• Gruppenrichtlinieneinstellungen (für die Bereitstellung von Registrierungsschlüsseln)
• Intune (über OMA-URI oder PowerShell-Skripte)

Unabhängig vom Verteilungsmechanismus stellen Sie die Schlüssel RunAsPPL und RunAsPPLBoot unter HKLM\SYSTEM\CurrentControlSet\Control\Lsa für alle Benutzer:innen bereit.

Voraussetzungen vorab

Bevor Sie mit der Konfiguration der LSA-Protection beginnen, müssen bestimmte system- und sicherheitsseitige Voraussetzungen erfüllt sein, damit die Funktionen korrekt und zuverlässig arbeiten.

• Windows 11-System: Die LSA wird ab Windows 8.1 vollständig unterstützt, ist in Windows 11 jedoch enger integriert und wird dort empfohlen.
• Administratorrechte: Sie müssen PowerShell oder den Registrierungs-Editor als Administrator:in ausführen. Auch Änderungen über die grafische Oberfläche lösen die Benutzerkontensteuerung (UAC) aus.
• Virtualisierungsbasierte Sicherheit (VBS): VBS ermöglicht die Isolierung sicherer Prozesse, darunter LSASS, mithilfe von Hardware-Virtualisierung. Die LSA-Protection ist auf dieses Modell ausgelegt. Wird VBS nicht unterstützt, kann die Aktivierung des Schutzes deshalb stillschweigend fehlschlagen.
• UEFI Secure Boot: Secure Boot zu aktivieren ist nicht zwingend erforderlich, wird aber dringend empfohlen, damit die LSA-Protection wirksamer greift.

Darum lohnt sich die Verwaltung der Local Security Authority Protection

Die Verwaltung der LSA-Protection ist entscheidend für die Aufrechterhaltung der Sicherheit. Ob Sie sie aktivieren oder deaktivieren, hängt daher von Ihrer Windows-Umgebung und der jeweiligen Situation ab.

Gründe für die Aktivierung der LSA-Protection

In den meisten modernen Windows-Umgebungen ist die LSA-Protection wegen ihrer zahlreichen Sicherheitsvorteile dringend zu empfehlen, zum Beispiel:

• Verhindert Credential Dumping und Process Injection
• Unterstützt Secure Boot, VBS und Credential Guard
• Erfüllt die Sicherheitsbaselines von Windows 11
• Stärkt die Zero-Trust-Architektur

Gründe für die Deaktivierung der LSA-Protection

Ist die Local Security Authority Protection deaktiviert, wird Ihr System anfälliger für Sicherheitsverletzungen. In bestimmten Szenarien kann eine zumindest vorübergehende Deaktivierung dennoch gerechtfertigt sein:

• Bei Kompatibilitätsproblemen mit Legacy-Software oder -Treibern
• Bei der Fehlersuche zu Systeminstabilität oder fehlgeschlagenen Anmeldungen
• Wenn LSA-Plug-ins oder Anmeldeinformationsanbieter falsch signiert sind, Metadaten fehlen oder sie für die Kompatibilität mit geschützten Prozessen falsch konfiguriert sind
• Bei Tests in einem Labor oder einer Nicht-Produktionsumgebung

Weitere Aspekte bei der Verwaltung der Local Security Authority Protection

Die Einführung der LSA-Protection ist mehr als das Umlegen eines Schalters. Einige technische und organisatorische Punkte sollten Sie berücksichtigen, damit die Bereitstellung reibungslos verläuft.

• Warnungen der Windows-Sicherheit: Möglicherweise erscheint die Meldung „Der Local Security Authority-Schutz ist aktiviert, aber nicht richtig konfiguriert.“ Das bedeutet, dass Ihr System weiterhin anfällig für Sicherheitsbedrohungen ist. Prüfen Sie dann, ob alle Komponenten (einschließlich LSA-Plug-ins von Drittanbietern) signiert sind. Zur Untersuchung können Sie die Ereignisanzeige nutzen, LSA-Erweiterungen oder Anmeldeinformationsanbieter überprüfen oder Drittanbietersoftware aktualisieren bzw. ersetzen, die die Signaturanforderung nicht erfüllt.
• Ereignisprotokolle: Ereignisse der LSA-Protection werden in der Ereignisanzeige protokolliert. Das hilft, die korrekte Konfiguration zu bestätigen und Probleme zu diagnostizieren. Um sicherzugehen, dass die LSA-Protection aktiv ist und keine Fehlkonfigurationen oder unsignierten Module vorliegen, prüfen Sie unter Ereignisanzeige > Windows-Protokolle > System die folgenden Ereignis-IDs zu LSA-Aktivitäten:
  • 1. 3065: Zeigt an, dass die LSA als geschützter Prozess gestartet wurde
    2. 3089: Warnt, dass ein Plug-in mangels gültiger Signatur blockiert wurde
• Kompatibilität: Manche ältere Anwendungen wie Anmeldeinformationsanbieter, Smartcard-Treiber oder Antiviren-Plug-ins sind unter Umständen nicht mit der LSA-Protection kompatibel und können stillschweigend fehlschlagen oder abstürzen. Führen Sie deshalb unbedingt Kompatibilitätstests in einer Staging-Umgebung durch, bevor Sie ausrollen.
• Sicherheitsbaselines: Die Windows 11-Sicherheitsbaselines von Microsoft empfehlen, die LSA-Protection auf allen unternehmensverwalteten Endpunkten, auf Geräten mit privilegiertem Benutzerzugriff sowie auf Systemen mit kennwortloser, biometrischer oder Single-Sign-On (SSO)-Authentifizierung zu aktivieren.

Mit Local Security Authority Protection zu einer sichereren Windows-Umgebung

Die LSA-Protection in Windows 11 zu aktivieren, ist entscheidend, um die Systemauthentifizierung zu härten, den Diebstahl von Anmeldeinformationen zu verhindern und modernen Sicherheits-Best-Practices zu entsprechen. Ebenso wichtig ist jedoch das Bewusstsein dafür, dass die LSA-Protection in bestimmten Fällen vorübergehend deaktiviert werden muss, etwa bei Kompatibilitätstests, im Umgang mit Legacy-Treibern oder bei der Fehlersuche zu Authentifizierungsproblemen.

Dank mehrerer Bereitstellungswege, von der Konfiguration über die grafische Oberfläche bis zu skalierbaren Unternehmenswerkzeugen wie Gruppenrichtlinien und Intune, können IT-Administrator:innen Sicherheit und Betriebsstabilität in Einklang bringen und die LSA-Protection zu einem verlässlichen Baustein ihrer Hardening-Strategie machen.