Veraltete Admin-Konten in Active Directory tenant-übergreifend prüfen und entfernen

Veraltete Admin-Konten sind stille Sicherheitsschwachstellen: Sie wirken wie unverschlossene Hintertüren für Angreifer in Ihrem Microsoft 365 Tenant oder Ihrer Hybrid-Umgebung. Diese vergessenen privilegierten Konten entgehen der Überwachung häufig und bergen dabei erhebliche Compliance- und Sicherheitsrisiken.

In diesem Leitfaden erfahren Sie genau, wie Sie veraltete Konten in Active Directory finden, effizient prüfen und eine automatisierte Bereinigung mit PowerShell, Microsoft Graph und RMM-Tools umsetzen, damit Ihre Umgebung sicher bleibt.

So finden und bereinigen Sie veraltete Konten in Active Directory

Ein veraltetes Admin-Konto ist jede privilegierte Identität ohne aktuelle Aktivität. Dazu zählen globale Administrator:innen oder privilegierte Rollen in Microsoft 365, die sich seit mehr als 30 Tagen nicht angemeldet haben, lokale Administrator-Konten unter Windows 11 auf Geräten ohne kürzliche Nutzung sowie Dienstkonten ohne interaktive Anmeldungen oder ohne klar dokumentierte Verantwortlichkeit.

Auch Konten ehemaliger Mitarbeiter:innen, die nicht vollständig deprovisioniert wurden, gelten als veraltet. Wer diese Konten in Active Directory proaktiv aufspürt und bereinigt, beugt Sicherheitsvorfällen vor und hält die Umgebung Compliance-konform.

📌 Anwendungsfall: Führen Sie diese Bereinigung bei vierteljährlichen Sicherheitsaudits durch, nach dem Austritt von Mitarbeiter:innen oder bei der Vorbereitung von Compliance-Berichten wie einer 30-Tage-Auswertung inaktiver Office-365-Konten. Monatliche Prüfungen sind ideal, um Risiken früh zu erkennen, vor allem beim Erstellen von Berichten zu inaktiven Benutzer:innen.

📌 Voraussetzungen: Stellen Sie vorab sicher, dass Sie über Administratorzugriff auf alle Microsoft 365 Tenants, die nötigen PowerShell-Module (etwa Microsoft Graph und AzureAD/MSOnline), aktivierte Microsoft Entra Audit-Logs sowie lokale Admin-Tools für Endpunktprüfungen verfügen. Für die Automatisierung nutzen Sie Ihre RMM-Plattform (zum Beispiel NinjaOne), um Scans zu zentralisieren und Richtlinien durchzusetzen.

Wir empfehlen, vorab den Abschnitt ⚠️ Worauf Sie achten sollten zu lesen.

📌 Empfohlene Vorgehensweisen:

Methode 1: Cloud-Administrator:innen mit Microsoft Graph oder AzureAD PowerShell prüfen

PowerShell liefert Ihnen direkten Zugriff auf die Aktivitätsdaten der Cloud und ist damit der schnellste Weg, veraltete Admin-Konten zu finden.

📌 Anwendungsfälle: Führen Sie dieses Audit vierteljährlich für Compliance-Prüfungen durch, direkt nach dem Offboarding von Mitarbeiter:innen oder beim Erstellen monatlicher Sicherheitsberichte. Besonders wertvoll ist es, wenn Sie individuelle 30-Tage-Berichte zu inaktiven Office-365-Konten benötigen, die native Tools nicht erzeugen können.

Schritt-für-Schritt-Anleitung:

1. Öffnen Sie PowerShell als Administrator:in.
   • Drücken Sie Win + X und wählen Sie Windows Terminal (Administrator).
2. Führen Sie dieses Skript aus, um eine Verbindung zu Microsoft Graph herzustellen.

Connect-MgGraph -Scopes "Directory.Read.All", "AuditLog.Read.All"

• • Authentifizieren Sie sich, wenn Sie dazu aufgefordert werden.

3. Lassen Sie alle Admin-Konten auflisten:

$admins = Get-MgRoleManagementDirectoryRoleAssignment |
Where-Object { (Get-MgDirectoryRole -DirectoryRoleId $_.RoleDefinitionId).DisplayName -match "Admin" } |
ForEach-Object { Get-MgUser -UserId $_.PrincipalId }

4. Prüfen Sie das Datum der letzten Anmeldung.

$results = @()
foreach ($admin in $admins) {
$lastSignIn = Get-MgUserSignIn -UserId $admin.Id -All |
Sort-Object CreatedDateTime -Descending |
Select-Object -First 1
$daysInactive = if ($lastSignIn) { (New-TimeSpan $lastSignIn.CreatedDateTime).Days } else { 999 }
$results += [PSCustomObject]@{
User = $admin.UserPrincipalName
LastSignIn = if ($lastSignIn) { $lastSignIn.CreatedDateTime } else { "Never" }
DaysInactive= $daysInactive
RiskStatus = if ($daysInactive -ge 30) { "STALE" } else { "Active" }
}
}

• • Ein Konto gilt als veraltet, wenn die letzte Anmeldung 30 Tage oder länger zurückliegt.

5. Exportieren Sie die markierten Konten:

$results | Where-Object { $_.RiskStatus -eq "STALE" } |
Export-Csv "C:\Audit\Stale_Admins_$(Get-Date -Format 'yyyyMMdd').csv" -NoTypeInformation

Nach dem Audit liegt Ihnen eine CSV-Datei mit allen veralteten Benutzerkonten mit Administratorrechten vor, die seit 30 Tagen oder länger inaktiv sind. Deaktivieren Sie Konten mit hohem Risiko umgehend per PowerShell oder über das Microsoft Admin Center, entziehen Sie den markierten Benutzer:innen die Admin-Rollen, dokumentieren Sie die Ergebnisse in Ihrer RMM-Plattform und planen Sie wiederkehrende Audits ein.

Methode 2: Lokale Admin-Konten auf Windows-Geräten per PowerShell ermitteln

Nicht überwachte lokale Admin-Konten auf Windows-Geräten sind ein bevorzugtes Ziel für Angreifer. Mit dieser Methode richten Sie direkte Abfragen an die Windows-SAM-Datenbank ein, ganz ohne Cloud-Abhängigkeiten.

📌 Anwendungsfälle: Führen Sie dieses Audit monatlich auf allen Endpunkten durch, insbesondere nach dem Austritt von Mitarbeiter:innen oder im Rahmen von Schwachstellen-Scans. Entscheidend, um veraltete Konten mit dauerhaftem lokalem Zugriff zu erkennen, die die Cloud-Überwachung umgehen.

Schritt-für-Schritt-Anleitung:

1. Führen Sie in PowerShell (als Administrator:in) dieses Skript aus, um die lokalen Administrator:innen eines Windows-11-Geräts aufzulisten:

Get-LocalGroupMember -Group "Administrators" |
Select-Object Name, PrincipalSource

• • Die Ausgabe sollte Domänen-/Cloud-Konten (AzureAD) von lokalen Konten unterscheiden.

2. Prüfen Sie den Zeitpunkt der letzten Anmeldung:

Get-LocalUser |
Where-Object {$_.Enabled -eq $true} |
Select-Object Name, LastLogon

3. Deaktivieren oder entfernen Sie veraltete Konten (seit mehr als 30 Tagen inaktiv):

Disable-LocalUser -Name "LegacyAdmin" # First disable
Remove-LocalUser -Name "LegacyAdmin" # Then delete permanently

4. Skalieren Sie auf alle Geräte mit dem RMM-Skript (etwa in NinjaOne):

$computers = Get-ADComputer -Filter * | Select-Object -ExpandProperty Name
Invoke-Command -ComputerName $computers -ScriptBlock {
Get-LocalUser | Where-Object {
($_.LastLogon -lt (Get-Date).AddDays(-30)) -and
($_.Name -ne "Administrator")
} | Disable-LocalUser
}

Nach dem Audit können Sie veraltete lokale Benutzerkonten mit Administratorrechten identifizieren. Deaktivieren Sie Konten mit hohem Risiko sofort, rotieren Sie Passwörter mit LAPS (Local Administrator Password Solution), dokumentieren Sie alles mit Risikomarkierungen in Ihrer RMM-Plattform und planen Sie wiederkehrende Scans, damit keine neuen veralteten Konten entstehen.

Methode 3: Eingabeaufforderung und Registry-Auditing gegen dauerhafte lokale Admin-Rechte

Wenn PowerShell nicht zur Verfügung steht, bringen diese manuellen Methoden versteckte veraltete Konten ans Licht.

📌 Anwendungsfälle: Nutzen Sie dies für schnelle Prüfungen einzelner Windows-11-Geräte bei der Incident Response oder wenn der PowerShell-Zugriff eingeschränkt ist. Ideal, um veraltete Konten aufzuspüren, die automatisierten Tools entgehen.

Schritt-für-Schritt-Anleitung:

1. Listen Sie lokale Administrator:innen über die Eingabeaufforderung (als Administrator:in) auf.
   • Suchen Sie über die Suche in der Taskleiste nach Eingabeaufforderung (als Administrator:in).
   • Führen Sie diesen Befehl aus:

net localgroup administrators

• • Die Ausgabe sollte alle Benutzer:innen mit Administratorrechten auf dem aktuellen Gerät zeigen.

2. Prüfen Sie die letzte Anmeldung eines bestimmten Kontos über dieses Sicherheits-Ereignisprotokoll:

wevtutil qe Security "/q:*[System[(EventID=4624)] and EventData[Data[@Name='TargetUserName']='oldadmin']" /f:text /c:1

• • Ersetzen Sie oldadmin durch den verdächtigen Benutzernamen. Das Skript zeigt die letzte erfolgreiche Anmeldung.

3. Manuelle Registry-Prüfung (fortgeschrittene Rückfalloption):

reg save HKLM\SAM sam.bak
reg save HKLM\SYSTEM system.bak

• • Nutzen Sie Offline-SAM-Viewer (z. B. SAMInsight), um \SAM\Domains\Account\Users\Names auszuwerten.

⚠️ Warnung: Fehlerhafte Änderungen an der Registry können das System ernsthaft destabilisieren. Sichern Sie die Registry immer oder legen Sie vorher einen Systemwiederherstellungspunkt an. Mehr dazu im Abschnitt ⚠️Worauf Sie achten sollten.

Methode 4: Dauerhafte lokale Admin-Rechte per GPO verhindern

GPOs geben Ihnen die zentrale Kontrolle, um zu verhindern, dass Angreifer veraltete lokale Admin-Konten missbrauchen.

📌 Anwendungsfall: Setzen Sie dies beim initialen Hardening der Umgebung ein, nachdem Sie veraltete Konten identifiziert haben, oder zur Vorbereitung von Compliance-Audits (z. B. SOC 2). Entscheidend, um Minimalprivilegien im großen Maßstab durchzusetzen.

Schritt-für-Schritt-Anleitung:

1. Beschränken Sie die Mitgliedschaft in der lokalen Gruppe „Administratoren“.
   • Öffnen Sie den Gruppenrichtlinienverwaltungs-Editor (gpedit.msc).
   • Wechseln Sie zu Computerkonfiguration > Richtlinien > Windows-Einstellungen > Sicherheitseinstellungen > Eingeschränkte Gruppen.
   • Fügen Sie die Gruppe Administratoren hinzu und legen Sie die zulässigen Mitglieder fest über:

DOMAIN\SecuredAdmins (Allowed admin group)

• • • So können unbefugte Benutzer:innen ihre Rechte nicht ausweiten.

2. Verweigern Sie die Anmeldung für veraltete oder riskante Konten.
   • Öffnen Sie dasselbe GPO und wechseln Sie zu: Computerkonfiguration > Richtlinien > Windows-Einstellungen > Sicherheitseinstellungen > Lokale Richtlinien > Zuweisen von Benutzerrechten.
   • Ändern Sie Lokal anmelden verweigern:

DOMAIN\OldAdmin
DOMAIN\Contractor_2020

• • • Damit wird die interaktive Anmeldung der angegebenen Konten blockiert.

3. Erzwingen Sie LAPS für die Passwortrotation.
4. • Installieren Sie LAPS auf den Domänencontrollern:

Install-WindowsFeature -Name "RSAT-AD-PowerShell"
Install-Module LAPS -Force

• • Konfigurieren Sie die LAPS-Richtlinie:

Computerkonfiguration > Richtlinien > Administrative Vorlagen > LAPS
Enable "Password Settings" and "Local Account Password Management"

Nach der Implementierung verlieren veraltete Benutzerkonten innerhalb von 90 Minuten (mit der nächsten GPO-Aktualisierung) ihre Administratorrechte beziehungsweise ihren Anmeldezugriff, lokale Admin-Passwörter werden über LAPS alle 30 Tage automatisiert rotiert, und die Angriffsfläche schrumpft, weil Pass-the-Hash-Risiken blockiert werden.

Methode 5: Audit-Trail und Bereinigungsnachweis automatisieren und protokollieren

Durch Automatisierung wird aus der Verwaltung veralteter Konten statt einer reaktiven Pflichtaufgabe eine proaktive Sicherheitsmaßnahme.

📌 Anwendungsfälle: Setzen Sie dies für durchgängige Compliance in mandantenfähigen Umgebungen ein, insbesondere nach ersten Audits oder in monatlichen Sicherheitszyklen. Für MSPs mit mehr als 100 verwalteten Endpunkten unverzichtbar.

Schritt-für-Schritt-Anleitung:

1. Protokollieren Sie alle Aktionen mit PowerShell:

Start-Transcript -Path "C:\AuditLogs\$(Get-Date -Format 'yyyyMMdd').txt" -Append

• • Führen Sie Ihr Audit-Skript aus (z. B. aus Methode 1 oder 2)

Stop-Transcript

• • So entstehen manipulationssichere Nachweise für die Compliance.

2. Planen Sie die Ausführung in einer RMM-Plattform (z. B. NinjaOne):
   • Führen Sie monatliche Admin-Audits durch.
     • Nutzen Sie das PowerShell-Skript aus Methode 1, um veraltete Konten zu finden
   • Deaktivieren Sie Konten automatisiert, die seit 30 Tagen oder länger inaktiv sind:

$staleUsers = Import-Csv "C:\Audit\Stale_Admins.csv"
$staleUsers | ForEach-Object {
if ($_.DaysInactive -ge 30) {
Set-MgUser -UserId $_.User -AccountEnabled:$false
}
}

• • Exportieren und archivieren Sie die Berichte:

Compress-Archive -Path "C:\AuditLogs\*.txt" -DestinationPath "\\NAS\Archives\StaleAdmins_$(Get-Date -Format 'yyyyMM').zip"

3. Alarmierung bei Richtlinienverstößen:
   • Lösen Sie eine E-Mail aus, wenn außerhalb des IT-Teams ein neues Admin-Konto angelegt wird.

$newAdmin = Get-MgDirectoryRoleMember -DirectoryRoleId "role-id" |
Where-Object { $_.CreatedDateTime -gt (Get-Date).AddHours(-1) }
if ($newAdmin) {
Send-MailMessage -To "[email protected]" -Subject "ALERT: Unauthorized Admin Created" -Body $newAdmin.UserPrincipalName
}

Sobald alles automatisiert ist, markiert Ihr System veraltete Benutzerkonten monatlich, deaktiviert inaktive Konten nach 30 Tagen, archiviert verschlüsselte Protokolle für die Compliance, alarmiert in Echtzeit bei Richtlinienverstößen und erstellt Management-Berichte über RMM-Dashboards.

⚠️ Worauf Sie achten sollten

Dieser Abschnitt zeigt mögliche Stolpersteine, die Sie beim Durcharbeiten dieses Leitfadens im Blick behalten sollten.

Wichtige Punkte beim Audit veralteter Konten

Mit diesen zentralen Schutzmaßnahmen bringen Sie Sicherheit und Betriebskontinuität in Einklang.

Break-Glass-Konten

Nehmen Sie pro Tenant immer mindestens ein globales Admin-Konto von der automatisierten Bereinigung aus (z. B. [email protected]). Bewahren Sie die Anmeldeinformationen in einem versiegelten Umschlag oder einem Passwort-Tresor auf und prüfen Sie sie vierteljährlich mit:

Get-MgUser -UserId "[email protected]" | Select AccountEnabled

So verhindern Sie eine vollständige Aussperrung bei Fehlkonfigurationen oder Ransomware-Angriffen.

Privileged Identity Management (PIM)

Aktivieren Sie den Just-in-Time-Zugriff in Microsoft Entra ID, um dauerhaft zugewiesene Admin-Rollen zu vermeiden. Wechseln Sie dazu zu Entra ID > Identity Governance > Privilegierter Zugriff und wandeln Sie Administrator:innen in berechtigte Rollen um, deren Aktivierung MFA und ein Zeitlimit erfordert.

Anbindung der Alarmierung

Binden Sie Microsoft Sentinel beziehungsweise Defender for Cloud Apps an, um inaktive Konten zu erkennen. Erstellen Sie diese Analyseregeln:

SigninLogs
| where TimeGenerated > ago(90d)
| summarize LastLogin = max(TimeGenerated) by UserPrincipalName
| where LastLogin < ago(30d)

Alarmierungen per E-Mail oder SMS bei Verstößen gegen den 30-Tage-Bericht zu inaktiven Office-365-Konten.

Dienstkonten

Kennzeichnen Sie nicht interaktive Konten mit dem Präfix [SERVICE] und nehmen Sie sie von den Standardrichtlinien zur Inaktivität aus:

Set-MgUser -UserId "svc_sqlbackup" -Department "ServiceAccount-Exempt"

Das Audit erfolgt über:

Get-MgUser -Filter "startsWith(Department,'ServiceAccount')"

Aufbewahrung der Überwachungsprotokolle

Verlängern Sie die Aufbewahrung der einheitlichen Überwachungsprotokolle auf 365 Tage; dafür ist eine Entra ID P2 Lizenz erforderlich. Prüfen können Sie das unter Azure-Portal > Microsoft Entra ID > Überwachung > Diagnoseeinstellungen. Aktivieren Sie dort AuditLogs und SignInLogs mit einer Aufbewahrung von einem Jahr.

Compliance: Erfüllt die FINRA- und SOC-2-Anforderungen an das Auffinden inaktiver Benutzer:innen in O365.

Active Directory Management mit NinjaOne einfacher machen

NinjaOne vereinfacht das Audit veralteter Konten durch integrierte Automatisierung.

• Skript-Bereitstellung: Automatisieren Sie PowerShell-Audits (Methoden 1 und 2) über Tenants und Endpunkte hinweg.
• Erkennung lokaler Konten: Scannen Sie Windows-11-Geräte auf unbefugte Admin-Konten und markieren Sie veraltete Konten in Echtzeit.
• Geplante Berichte: Erstellen Sie monatliche 30-Tage-Berichte zu inaktiven Office-365-Konten und exportieren Sie sie mit einem Klick.
• Durchsetzung von Richtlinien: Wenden Sie GPO-äquivalente Einschränkungen an (Methode 4), um Minimalprivilegien durchzusetzen.
• Alarmierung: Lassen Sie sich über neue lokale Admin-Konten oder globale Admin-Konten informieren, die seit mehr als 30 Tagen inaktiv sind.
• Sicherheits-Baselines: Setzen Sie CIS-/NIST-Vorgaben durch, um Konten mit hohem Risiko automatisiert zu deaktivieren.

Umgebung absichern: veraltete Konten in Active Directory finden

Veraltete Admin-Konten zu prüfen und zu entfernen, ist die Grundlage jeder Identitätssicherheit. Dieser Leitfaden gibt Ihnen bewährte Methoden an die Hand, um diese verborgenen Risiken zu beseitigen.

Mit diesen Techniken schließen Sie vergessene Hintertüren, die Angreifer ausnutzen könnten, und erfüllen gleichzeitig Compliance-Anforderungen wie SOC 2 oder die Datenschutz-Grundverordnung. Starten Sie noch heute mit monatlichen Audits und halten Sie Ihre Umgebung sicher und auditbereit.

Verwandte Themen

• Active Directory bereinigen: Best Practices und Tipps
• So installieren und importieren Sie das PowerShell-Modul für Active Directory
• So stellen Sie remote eine Verbindung zu Active Directory her und verwalten Benutzer:innen
• Active Directory Backup: Übersicht mit Beispielen
• NinjaOne01 Überwachung von Benutzeränderungen in Active Directory