Administrator protection en de Windows 11-baselines

Veel organisaties willen dat beheerders op hun eigen laptop niet de hele dag met volledige rechten werken, maar lopen vast op de vraag hoe je dat regelt. Windows 11 heeft daarvoor Administrator protection. Microsoft meldde op 13 oktober 2026 dat de functie standaard aangaat met de beveiligingsupdate van oktober 2026 voor organisaties die de Windows security baselines gebruiken: de baselines uit de Security Compliance Toolkit, en niet als je het beleid zelf anders hebt ingesteld. De functie werkt pas na een herstart van het apparaat.

In deze blogpost lees je hoe je bepaalt waar Administrator protection hoort: wat de functie doet, wat de baseline verandert, op welke apparaten je hem beter uitlaat, en hoe je hem met een settings catalog-beleid in Intune aan- of uitzet.

Wat is Administrator protection?

Administrator protection is een beveiligingsfunctie van Windows 11 die een beheerder standaard zonder beheerdersrechten laat werken. Pas wanneer een handeling die rechten nodig heeft, zoals software installeren of een systeeminstelling wijzigen, vraagt Windows de gebruiker om toestemming met Windows Hello.

Na die bevestiging maakt Windows met een verborgen, door het systeem beheerd account met een eigen profiel een apart beheerderstoken. Dat token krijgt alleen het proces dat erom vroeg, en het verdwijnt zodra dat proces stopt. Automatische elevatie bestaat niet meer: elke beheerdershandeling moet de gebruiker zelf goedkeuren. Dat maakt het malware moeilijker om stilletjes beheerdersrechten te krijgen; Microsoft noemt de functie wel geen formele beveiligingsgrens.

De functie kwam voor 24H2 en 25H2 beschikbaar met KB5120998, de niet-beveiligingsupdate van augustus 2026. Volgens het Windows message center is hij sinds de preview-update van september 2026 algemeen beschikbaar, met beheerinstellingen voor organisaties. Standaard staat hij uit.

Wat verandert er in oktober 2026?

De security baselines voor Windows 11, versie 24H2, 25H2 en 26H2, zetten twee instellingen:

Voor 26H2 verscheen daarvoor een bijgewerkt v2-pakket in de Microsoft Security Compliance Toolkit. Volgens de bekende problemen van 26H2 gaat het om de baselines uit die toolkit, en geldt de nieuwe standaard niet als je organisatie het beleid anders heeft ingesteld.

💡 Let op: de Intune-referentie van de security baseline voor Windows 26H2 noemt deze twee instellingen niet (stand 28 oktober 2026). Beheer je met Intune, dan kun je de instellingen zelf vastleggen met een settings catalog-beleid, zoals hieronder.

Wanneer laat je het beter uit?

Microsoft noemt onder meer deze situaties waarin je Administrator protection niet moet inschakelen:

• Windows 365 Cloud PC’s en Azure Virtual Desktop session hosts. Daar wordt de functie nog niet ondersteund.
• Apparaten die Hyper-V nodig hebben.
• Apparaten met apps die bestanden delen tussen profielen.
• Apparaten die met Windows LAPS worden beheerd.

Ook roaming profiles en back-up-beheerders worden niet ondersteund.

Daarnaast is er een bekend probleem: na de preview-update van september 2026 (KB5124010) kunnen gebruikers zonder beheerdersrechten mogelijk geen Remote Desktop-verbinding meer maken met een apparaat dat als Remote Desktop-host dient en waarop Administrator protection aanstaat. De verbinding kan falen met fout 0xC000000D. Microsoft heeft dit op 28 oktober 2026 opgelost met KB5127936 en latere updates. Installeer de nieuwste update dus op Remote Desktop-hosts waarop je Administrator protection wilt gebruiken.

Wat heb je nodig?

• Windows 11, versie 24H2 of 25H2 met KB5120998 (augustus 2026) of later, of versie 26H2 met de niet-beveiligingsupdate van augustus 2026 of later.
• Een editie die het beleid ondersteunt: Pro, Enterprise of Education.
• Een account met minimaal de Intune-rol Policy and Profile Manager.
• Handig: een beveiligingsgroep met de apparaten die de functie krijgen, en een met de apparaten uit de lijst hierboven.

Maak een settings catalog-beleid aan in Intune

1. Open het Microsoft Intune admin center.

2. Navigeer naar Devices > Manage devices > Configuration > Create > New policy.

3. Kies bij Platform voor Windows 10 and later en bij Profile type voor Settings catalog. Klik op Create.

4. Geef het beleid op het tabblad Basics een naam, bijvoorbeeld “Windows – Administrator protection – aan”.

5. Klik in Configuration settings op Add settings en open de categorie Local Policies Security Options.

6. Voeg deze twee instellingen toe:

   • User Account Control Type Of Admin Approval Mode: kies Admin Approval Mode with Administrator protection.
   • User Account Control Behavior Of The Elevation Prompt For Administrator Protection: kies Prompt for credentials on the secure desktop (de gebruiker meldt zich aan) of Prompt for consent on the secure desktop (de gebruiker geeft alleen toestemming).

   

7. Sla Scope tags over of kies een tag, en wijs het beleid op Assignments toe aan de groep met apparaten die de functie krijgen.

8. Controleer alles op Review + create en klik op Create.

De instelling werkt pas na een herstart van het apparaat. Plan dat in, bijvoorbeeld samen met de maandelijkse updates.

Wil je meer controle over het moment waarop elke groep de functie krijgt? Wijs het beleid eerst toe aan een testgroep en breid daarna pas uit.

Zet het uit waar het niet past

Maak een tweede settings catalog-beleid met dezelfde stappen, maar zet User Account Control Type Of Admin Approval Mode op Legacy Admin Approval Mode. Wijs dat toe aan de groep met de apparaten uit het lijstje hierboven. Ook hier is een herstart nodig. Voor Windows 365 en Azure Virtual Desktop raadt Microsoft daarnaast aan gebruikers daar als standaardgebruiker te laten werken. Voor Cloud PC’s adviseert Microsoft bovendien een assignment filter die ze uitsluit van elk Intune-beleid dat de functie aanzet.

De Intune-referentie van de baseline voor 26H2 noemt deze instellingen niet, dus het lijkt erop dat binnen Intune geen conflict met de baseline ontstaat. Die baseline zet wel User Account Control Behavior Of The Elevation Prompt For Administrators op Prompt for consent on the secure desktop; zodra Administrator protection aanstaat, gaat de prompt-instelling voor Administrator protection daarboven. Zet je de baseline uit de Security Compliance Toolkit met Group Policy neer, pas dan die baseline aan voor de apparaten die de functie niet mogen krijgen. Zet deze instelling liever niet zowel met Group Policy als met Intune: alleen voor instellingen die onder MDMWinsOverGP vallen, laat Microsoft Intune winnen; anders is niet gegarandeerd welke van de twee wint.

Gebruikerservaring

Met de baseline-instelling krijgt een beheerder bij elke handeling die beheerdersrechten nodig heeft een prompt op het secure desktop waarin die zich aanmeldt, bijvoorbeeld met Windows Hello. Daarnaast merkt de beheerder een paar verschillen:

• Instellingen van apps gaan niet mee tussen de gewone en de verhoogde sessie. Een app die je als beheerder start, ziet de instellingen uit je gewone sessie niet.
• Single sign-on uit de gewone sessie werkt niet in de verhoogde sessie. De gebruiker moet zich daar opnieuw aanmelden bij domein- of clouddiensten.
• Netwerkschijven zijn niet bereikbaar vanuit een verhoogde app. Kopieer een installatiebestand eerst naar een lokale schijf.
• Ontwikkeltools zoals Windows Subsystem for Linux (WSL) die je ook verhoogd moet gebruiken, moet je in het verhoogde profiel apart installeren en inrichten.

Tot slot

Administrator protection maakt van een beheerdersaccount een account dat alleen beheerdersrechten krijgt wanneer de gebruiker dat expliciet goedkeurt. Gebruik je de security baselines uit de Security Compliance Toolkit, dan gaat de functie met de oktober-update standaard aan, tenzij je het beleid zelf anders hebt ingesteld, en werkt hij na een herstart. Bepaal per groep apparaten of je dat wilt en leg die keuze vast in het middel waarmee je de baseline uitrolt: pas de baseline in Group Policy aan, of beheer de instelling in Intune als je de baseline niet uit de toolkit haalt.