{"id":2654,"date":"2026-09-30T08:42:40","date_gmt":"2026-09-30T06:42:40","guid":{"rendered":"https:\/\/au2mator.com\/?p=2654"},"modified":"2026-10-23T15:53:10","modified_gmt":"2026-10-23T13:53:10","slug":"active-directory-delegation","status":"publish","type":"post","link":"https:\/\/au2mator.com\/de\/blog\/active-directory-delegation\/","title":{"rendered":"Active Directory Delegation: AD-Aufgaben sicher an Nicht-Administratoren delegieren"},"content":{"rendered":"\n<style>\n@import url('https:\/\/fonts.googleapis.com\/css2?family=Montserrat:wght@400;500;600;700;800&display=swap');\n.au2-article{--green:#8bc34a;--dark:#29292a;--grey:#54595f;max-width:800px;margin:0 auto;padding:0 24px 40px;font-family:Montserrat,Arial,sans-serif;color:var(--dark);line-height:1.7}\n.au2-article h2{font-weight:700;font-size:24px;line-height:1.2;margin:10px 0 18px;color:var(--dark)}\n.au2-article h3{font-weight:600;font-size:18px;margin:28px 0 10px;color:var(--dark)}\n.au2-article p{font-size:16px;margin:0 0 18px}\n.au2-article ul{margin:0 0 18px;padding-left:24px}\n.au2-article li{font-size:16px;margin-bottom:8px}\n.au2-article hr.wp-block-separator{border:0;height:2px;background:var(--green);margin:40px 0}\n.au2-article figure{margin:24px 0 34px;text-align:center}\n.au2-article figure svg{display:block;max-width:100%;height:auto;margin:0 auto}\n.au2-article figcaption{font-size:13px;color:var(--grey);margin-top:8px}\n.au2-article .wp-block-table{overflow-x:auto}\n.au2-article .wp-block-table table{border-collapse:collapse;width:100%;font-size:14.5px}\n.au2-article .wp-block-table th{background:var(--dark);color:#fff;text-align:left;padding:10px 12px;font-weight:600}\n.au2-article .wp-block-table td{padding:10px 12px;border-bottom:1px solid #e8e8e8;vertical-align:top}\n.au2-article .wp-block-table tr:nth-child(even) td{background:#f7f8f6}\n.au2-article code{font-family:Consolas,Menlo,monospace}\n.au2-article p code,.au2-article li code{background:#f2f7ea;color:var(--dark);padding:2px 6px;border-radius:4px;font-size:.9em}\n.au2-article .schema-faq-section{padding:16px 0;border-bottom:1px solid #eee}\n.au2-article .schema-faq-question{display:block;font-size:17px;margin-bottom:6px;font-weight:600}\n.au2-article .schema-faq-answer{margin:0}\n.au2-article a{color:var(--dark);text-decoration:underline;text-decoration-color:var(--green);text-underline-offset:3px}\n<\/style>\n<div class=\"au2-article\">\n<h2 class=\"wp-block-heading\">Was Active-Directory-Delegation wirklich bedeutet<\/h2>\n<p class=\"wp-block-paragraph\">Mit <strong>Active-Directory-Delegation<\/strong> erh\u00e4lt eine Person oder ein Team die M\u00f6glichkeit, bestimmte Verwaltungsaufgaben in AD auszuf\u00fchren, ohne Mitglied der Domain Admins oder einer anderen privilegierten Gruppe zu sein. Wenn die Aufgabe eng begrenzt ist, sollten es auch die damit verbundenen Rechte sein. Daf\u00fcr gibt es zwei Wege.<\/p>\n<p class=\"wp-block-paragraph\"><strong>Berechtigungen delegieren<\/strong> bedeutet, auf einer Organisationseinheit (OU) einen Zugriffssteuerungseintrag (Access Control Entry, ACE) einzurichten. Dieser gew\u00e4hrt einer Sicherheitsgruppe bestimmte Rechte f\u00fcr bestimmte Objekttypen. Der Helpdesk arbeitet anschlie\u00dfend direkt in \u201eActive Directory-Benutzer und -Computer\u201c oder mit PowerShell. AD pr\u00fcft bei jeder \u00c4nderung die Zugriffskontrollliste (ACL). Genau solche Eintr\u00e4ge erstellt der <a href=\"https:\/\/learn.microsoft.com\/en-us\/windows-server\/identity\/ad-ds\/manage\/delegation-control-wizard\">Assistent zum Zuweisen der Objektverwaltung von Microsoft<\/a>.<\/p>\n<p class=\"wp-block-paragraph\"><strong>Aufgaben delegieren<\/strong> bedeutet dagegen, dass der Helpdesk selbst \u00fcberhaupt keine zus\u00e4tzlichen AD-Rechte erh\u00e4lt. Stattdessen verwendet er ein Formular: Welcher Benutzer? Welche Gruppe? Bis wann? Ein Servicekonto mit den erforderlichen Berechtigungen f\u00fchrt die \u00c4nderung aus; die Anfrage wird einschlie\u00dflich aller Parameter protokolliert. Das ist delegierte Administration ohne delegierte Benutzerrechte \u2013 und das Grundprinzip vieler Active-Directory-Automatisierungen.<\/p>\n<p class=\"wp-block-paragraph\">Beide Ans\u00e4tze sind sinnvoll. Problematisch wird es, wenn der erste f\u00fcr jede Aufgabe eingesetzt wird.<\/p>\n<hr class=\"wp-block-separator has-text-color has-alpha-channel-opacity has-background\" style=\"margin-top:40px;margin-bottom:40px;background-color:#8bc34a;color:#8bc34a\"\/>\n<h2 class=\"wp-block-heading\">Der klassische Weg: der Assistent zum Zuweisen der Objektverwaltung<\/h2>\n<p class=\"wp-block-paragraph\">Klicke in \u201eActive Directory-Benutzer und -Computer\u201c mit der rechten Maustaste auf eine OU, w\u00e4hle \u201eObjektverwaltung zuweisen\u201c, anschlie\u00dfend eine Gruppe und eine Aufgabe. Der Assistent bietet typische T\u00e4tigkeiten des First-Level-Supports an:<\/p>\n<ul class=\"wp-block-list\">\n<li>Benutzerkonten erstellen, l\u00f6schen und verwalten<\/li>\n<li>Benutzerpassw\u00f6rter zur\u00fccksetzen und Passwort\u00e4nderung bei der n\u00e4chsten Anmeldung erzwingen<\/li>\n<li>Alle Benutzerinformationen lesen<\/li>\n<li>Gruppenmitgliedschaften \u00e4ndern<\/li>\n<li>Computer einer Dom\u00e4ne hinzuf\u00fcgen<\/li>\n<li>Gruppenrichtlinienverkn\u00fcpfungen verwalten<\/li>\n<\/ul>\n<p class=\"wp-block-paragraph\">Das Ergebnis sind ein oder mehrere ACEs auf der OU. H\u00e4ufig untersch\u00e4tzt wird ihre Reichweite: Jeder passende Eintrag in dieser OU und allen untergeordneten OUs erbt die Berechtigung \u2013 heute und ebenso bei Objekten, die erst k\u00fcnftig angelegt werden.<\/p>\n<figure class=\"wp-block-image size-large\">\n<svg aria-labelledby=\"au2f1-t\" role=\"img\" viewbox=\"0 0 1200 440\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\"><title id=\"au2f1-t\">Berechtigungsdelegation: Ein ACE f\u00fcr die gesamte Unterstruktur<\/title><rect fill=\"#FFFFFF\" height=\"440\" width=\"1200\"><\/rect><defs><marker id=\"au2f1-ar\" markerheight=\"10\" markerwidth=\"10\" orient=\"auto\" refx=\"9\" refy=\"5\"><path d=\"M0,0 L10,5 L0,10 z\" fill=\"#29292A\"><\/path><\/marker><marker id=\"au2f1-arg\" markerheight=\"10\" markerwidth=\"10\" orient=\"auto\" refx=\"9\" refy=\"5\"><path d=\"M0,0 L10,5 L0,10 z\" fill=\"#8BC34A\"><\/path><\/marker><\/defs><text fill=\"#29292A\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"22\" font-weight=\"bold\" text-anchor=\"middle\" x=\"600.0\" y=\"40\">Berechtigungsdelegation: Ein ACE f\u00fcr die gesamte Unterstruktur<\/text><rect fill=\"#FFFFFF\" height=\"54\" rx=\"12\" stroke=\"#29292A\" stroke-width=\"2\" width=\"220\" x=\"90\" y=\"90\"><\/rect><text fill=\"#29292A\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"15.5\" font-weight=\"normal\" text-anchor=\"middle\" x=\"200\" y=\"123\">corp.local (Dom\u00e4ne)<\/text><rect fill=\"#FFFFFF\" height=\"54\" rx=\"12\" stroke=\"#29292A\" stroke-width=\"2\" width=\"220\" x=\"150\" y=\"180\"><\/rect><text fill=\"#29292A\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"15.5\" font-weight=\"normal\" text-anchor=\"middle\" x=\"260\" y=\"213\">OU=Users<\/text><rect fill=\"#F2F7EA\" height=\"54\" rx=\"12\" stroke=\"#8BC34A\" stroke-width=\"2\" width=\"220\" x=\"210\" y=\"270\"><\/rect><text fill=\"#29292A\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"15.5\" font-weight=\"bold\" text-anchor=\"middle\" x=\"320\" y=\"296\">OU=Vienna<\/text><text fill=\"#54595F\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"12.5\" font-weight=\"normal\" text-anchor=\"middle\" x=\"320\" y=\"313\">ACE hier zugewiesen<\/text><rect fill=\"#FFFFFF\" height=\"54\" rx=\"12\" stroke=\"#8BC34A\" stroke-width=\"2\" width=\"220\" x=\"270\" y=\"360\"><\/rect><text fill=\"#29292A\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"14.5\" font-weight=\"normal\" text-anchor=\"middle\" x=\"380\" y=\"386\">OU=Vienna \/ Praktikanten<\/text><text fill=\"#54595F\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"12.5\" font-weight=\"normal\" text-anchor=\"middle\" x=\"380\" y=\"402\">erbt den ACE<\/text><path d=\"M200,144 L200,162 L260,162 L260,180\" fill=\"none\" stroke=\"#54595F\" stroke-width=\"1.5\"><\/path><path d=\"M260,234 L260,252 L320,252 L320,270\" fill=\"none\" stroke=\"#54595F\" stroke-width=\"1.5\"><\/path><path d=\"M320,324 L320,342 L380,342 L380,360\" fill=\"none\" stroke=\"#54595F\" stroke-width=\"1.5\"><\/path><rect fill=\"#FFFFFF\" height=\"130\" rx=\"12\" stroke=\"#29292A\" stroke-width=\"2\" width=\"250\" x=\"560\" y=\"200\"><\/rect><text fill=\"#29292A\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"15.5\" font-weight=\"bold\" text-anchor=\"middle\" x=\"685\" y=\"230\">Zugriffssteuerungseintrag<\/text><text fill=\"#29292A\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"13.5\" font-weight=\"normal\" text-anchor=\"middle\" x=\"685\" y=\"256\">Gruppe: DLG-Vienna-PwReset<\/text><text fill=\"#29292A\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"13.5\" font-weight=\"normal\" text-anchor=\"middle\" x=\"685\" y=\"276\">Recht: Passwort-Reset<\/text><text fill=\"#29292A\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"13.5\" font-weight=\"normal\" text-anchor=\"middle\" x=\"685\" y=\"296\">Gilt f\u00fcr: Benutzerobjekte<\/text><text fill=\"#8BC34A\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"13.5\" font-weight=\"bold\" text-anchor=\"middle\" x=\"685\" y=\"316\">Umfang: OU und darunter<\/text><line marker-end=\"url(#au2f1-arg)\" stroke=\"#8BC34A\" stroke-width=\"2\" x1=\"555\" x2=\"435\" y1=\"265\" y2=\"297\"><\/line><rect fill=\"#F2F7EA\" height=\"60\" rx=\"12\" stroke=\"#8BC34A\" stroke-width=\"2\" width=\"240\" x=\"900\" y=\"120\"><\/rect><text fill=\"#29292A\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"14.5\" font-weight=\"normal\" text-anchor=\"middle\" x=\"1020\" y=\"148\">alle Benutzer in Wien<\/text><text fill=\"#54595F\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"13.5\" font-weight=\"normal\" text-anchor=\"middle\" x=\"1020\" y=\"166\">Passwort \u00e4nderbar<\/text><rect fill=\"#F2F7EA\" height=\"60\" rx=\"12\" stroke=\"#8BC34A\" stroke-width=\"2\" width=\"240\" x=\"900\" y=\"210\"><\/rect><text fill=\"#29292A\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"14.5\" font-weight=\"normal\" text-anchor=\"middle\" x=\"1020\" y=\"238\">alle Praktikantenkonten<\/text><text fill=\"#54595F\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"13.5\" font-weight=\"normal\" text-anchor=\"middle\" x=\"1020\" y=\"256\">Passwort \u00e4nderbar<\/text><rect fill=\"#FFFFFF\" height=\"60\" rx=\"12\" stroke=\"#54595F\" stroke-dasharray=\"6 4\" stroke-width=\"1.5\" width=\"240\" x=\"900\" y=\"300\"><\/rect><text fill=\"#29292A\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"14.5\" font-weight=\"normal\" text-anchor=\"middle\" x=\"1020\" y=\"328\">die Abteilungsleitung<\/text><text fill=\"#54595F\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"13.5\" font-weight=\"normal\" text-anchor=\"middle\" x=\"1020\" y=\"346\">liegt ebenfalls in der OU<\/text><line marker-end=\"url(#au2f1-ar)\" stroke=\"#54595F\" stroke-width=\"1.5\" x1=\"815\" x2=\"895\" y1=\"245\" y2=\"150\"><\/line><line marker-end=\"url(#au2f1-ar)\" stroke=\"#54595F\" stroke-width=\"1.5\" x1=\"815\" x2=\"895\" y1=\"255\" y2=\"240\"><\/line><line marker-end=\"url(#au2f1-ar)\" stroke=\"#54595F\" stroke-width=\"1.5\" x1=\"815\" x2=\"895\" y1=\"275\" y2=\"330\"><\/line><\/svg>\n<figcaption>Ein ACE wird an alle darunterliegenden passenden Objekte vererbt \u2013 auch an solche, die niemand ber\u00fccksichtigt hat.<\/figcaption>\n<\/figure>\n<p class=\"wp-block-paragraph\">Der Assistent besitzt keine R\u00fcckg\u00e4ngig-Funktion. Er f\u00fcgt Rechte hinzu, entfernt sie aber nicht. Um eine Delegation zur\u00fcckzunehmen, musst du die ACL auf der Registerkarte \u201eSicherheit\u201c bearbeiten oder <code>dsacls<\/code> beziehungsweise <code>Set-Acl<\/code> verwenden \u2013 und den richtigen ACE identifizieren.<\/p>\n<p class=\"wp-block-paragraph\"><strong>Gesch\u00fctzte Konten sind von deiner Delegation ausgenommen.<\/strong> F\u00fcr Mitglieder der Domain Admins, Account Operators und anderer privilegierter Gruppen wird die ACL regelm\u00e4\u00dfig anhand des <a href=\"https:\/\/learn.microsoft.com\/en-us\/windows-server\/identity\/ad-ds\/plan\/security-best-practices\/appendix-c--protected-accounts-and-groups-in-active-directory\">AdminSDHolder-Objekts<\/a> wiederhergestellt. Der Helpdesk kann deshalb die Passw\u00f6rter gew\u00f6hnlicher Benutzer in der OU zur\u00fccksetzen, nicht aber jene privilegierter Konten. Das ist beabsichtigt, wirkt in der Praxis aber oft wie ein Fehler.<\/p>\n<p class=\"wp-block-paragraph\"><strong>Integrierte Gruppen sind zu weitreichend.<\/strong> Wenn du den Helpdesk zu den Account Operators hinzuf\u00fcgst, erh\u00e4lt er Rechte \u00fcber einen Gro\u00dfteil der Benutzer und Gruppen der Dom\u00e4ne und kann sich lokal an Dom\u00e4nencontrollern anmelden.<\/p>\n<hr class=\"wp-block-separator has-text-color has-alpha-channel-opacity has-background\" style=\"margin-top:40px;margin-bottom:40px;background-color:#8bc34a;color:#8bc34a\"\/>\n<h2 class=\"wp-block-heading\">Vier Schwachstellen der Berechtigungsdelegation<\/h2>\n<p class=\"wp-block-paragraph\">F\u00fcr offene Verwaltungsaufgaben durch geschulte Personen ist die Berechtigungsdelegation geeignet. Bei h\u00e4ufigen, standardisierten Helpdesk-Tickets st\u00f6\u00dft sie jedoch aus vier Gr\u00fcnden an Grenzen.<\/p>\n<p class=\"wp-block-paragraph\"><strong>Der Geltungsbereich folgt der OU-Struktur, nicht dem Unternehmen.<\/strong> \u201ePassw\u00f6rter f\u00fcr den Standort Wien zur\u00fccksetzen\u201c bedeutet technisch \u201ePassw\u00f6rter aller passenden Konten unter OU=Vienna zur\u00fccksetzen\u201c. Dazu k\u00f6nnen auch F\u00fchrungskr\u00e4fte, dort abgelegte Servicekonten und sp\u00e4ter erstellte Unter-OUs geh\u00f6ren. Jede Ausnahme macht die n\u00e4chste Pr\u00fcfung komplizierter.<\/p>\n<p class=\"wp-block-paragraph\"><strong>Ein Recht kennt keine Bedingungen.<\/strong> Ein ACE kann \u201ePasswort zur\u00fccksetzen\u201c erlauben, aber nicht \u201eerst nach Identit\u00e4tspr\u00fcfung\u201c, \u201enicht f\u00fcr Servicekonten\u201c oder \u201eVorgesetzten benachrichtigen\u201c. Solche Regeln stehen dann in Dokumenten, die neue Mitarbeitende m\u00f6glicherweise nicht gelesen haben.<\/p>\n<p class=\"wp-block-paragraph\"><strong>Die Verwaltungskonsole bleibt die Oberfl\u00e4che.<\/strong> Die berechtigte Person ben\u00f6tigt weiterhin ADUC oder das Active-Directory-PowerShell-Modul, RSAT und Kenntnisse der Objektstruktur. Das Risiko, das falsche Objekt zu bearbeiten, bleibt bestehen.<\/p>\n<p class=\"wp-block-paragraph\"><strong>Die Berechtigung gilt dauerhaft.<\/strong> Der ACE ist auch sonntags um drei Uhr nachts aktiv \u2013 unabh\u00e4ngig davon, ob ein Ticket existiert. Im von Microsoft beschriebenen <a href=\"https:\/\/learn.microsoft.com\/en-us\/windows-server\/identity\/ad-ds\/tier-model\">Tier-Modell f\u00fcr AD DS<\/a> geh\u00f6ren Helpdesk-Konten zu Tier 2 und d\u00fcrfen keine Rechte erhalten, die auf Tier 0 oder Tier 1 reichen. Wird ein Helpdesk-Konto mit geerbten ACEs kompromittiert, sind potenziell alle passenden Objekte der Unterstruktur betroffen.<\/p>\n<hr class=\"wp-block-separator has-text-color has-alpha-channel-opacity has-background\" style=\"margin-top:40px;margin-bottom:40px;background-color:#8bc34a;color:#8bc34a\"\/>\n<h2 class=\"wp-block-heading\">Aufgaben statt Berechtigungen delegieren<\/h2>\n<p class=\"wp-block-paragraph\">Das zweite Modell fragt nicht \u201eWelche Rechte braucht der Helpdesk?\u201c, sondern \u201eWelche Aufgabe soll er ausl\u00f6sen d\u00fcrfen?\u201c. Diese Aufgabe wird als Service bereitgestellt.<\/p>\n<p class=\"wp-block-paragraph\">Ein Service besteht aus einem Skript oder Runbook mit Parametern: beispielsweise einem PowerShell-Skript f\u00fcr lokales AD, einem Azure-Automation-Runbook f\u00fcr Entra ID und Microsoft 365 oder einem System-Center-Orchestrator-Runbook. Ein Self-Service-Portal macht daraus ein gef\u00fchrtes Formular, steuert die Sichtbarkeit, erg\u00e4nzt bei Bedarf eine Genehmigung und startet das Skript \u00fcber ein gesch\u00fctztes Servicekonto. Der Helpdesk-Benutzer ben\u00f6tigt keine AD-Rechte; das Servicekonto erh\u00e4lt nur die notwendigen.<\/p>\n<figure class=\"wp-block-image size-large\">\n<svg aria-labelledby=\"au2f2-t\" role=\"img\" viewbox=\"0 0 1300 490\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\"><title id=\"au2f2-t\">Zwei Modelle der AD-Delegation<\/title><rect fill=\"#FFFFFF\" height=\"490\" width=\"1300\"><\/rect><defs><marker id=\"au2f2-ar\" markerheight=\"10\" markerwidth=\"10\" orient=\"auto\" refx=\"9\" refy=\"5\"><path d=\"M0,0 L10,5 L0,10 z\" fill=\"#29292A\"><\/path><\/marker><marker id=\"au2f2-arg\" markerheight=\"10\" markerwidth=\"10\" orient=\"auto\" refx=\"9\" refy=\"5\"><path d=\"M0,0 L10,5 L0,10 z\" fill=\"#8BC34A\"><\/path><\/marker><\/defs><text fill=\"#29292A\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"22\" font-weight=\"bold\" text-anchor=\"middle\" x=\"650.0\" y=\"40\">Zwei Modelle der AD-Delegation<\/text><text fill=\"#29292A\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"16\" font-weight=\"bold\" text-anchor=\"middle\" x=\"330\" y=\"90\">Modell A: Berechtigung delegieren<\/text><rect fill=\"#FFFFFF\" height=\"330\" rx=\"16\" stroke=\"#54595F\" stroke-dasharray=\"8 5\" stroke-width=\"1.5\" width=\"540\" x=\"60\" y=\"130\"><\/rect><rect fill=\"#F2F7EA\" height=\"80\" rx=\"12\" stroke=\"#8BC34A\" stroke-width=\"2\" width=\"200\" x=\"100\" y=\"170\"><\/rect><text fill=\"#29292A\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"15.5\" font-weight=\"bold\" text-anchor=\"middle\" x=\"200\" y=\"204\">Helpdesk-Konto<\/text><text fill=\"#54595F\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"13.5\" font-weight=\"normal\" text-anchor=\"middle\" x=\"200\" y=\"226\">besitzt selbst den ACE<\/text><line marker-end=\"url(#au2f2-ar)\" stroke=\"#29292A\" stroke-width=\"2\" x1=\"305\" x2=\"395\" y1=\"210\" y2=\"210\"><\/line><text fill=\"#54595F\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"12.5\" font-weight=\"normal\" text-anchor=\"middle\" x=\"350\" y=\"198\">\u00f6ffnet<\/text><rect fill=\"#FFFFFF\" height=\"80\" rx=\"12\" stroke=\"#29292A\" stroke-width=\"2\" width=\"160\" x=\"400\" y=\"170\"><\/rect><text fill=\"#29292A\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"15.5\" font-weight=\"normal\" text-anchor=\"middle\" x=\"480\" y=\"204\">ADUC-Konsole<\/text><text fill=\"#54595F\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"13.5\" font-weight=\"normal\" text-anchor=\"middle\" x=\"480\" y=\"226\">alle Objekte im Umfang<\/text><line marker-end=\"url(#au2f2-ar)\" stroke=\"#29292A\" stroke-width=\"2\" x1=\"480\" x2=\"480\" y1=\"255\" y2=\"335\"><\/line><text fill=\"#54595F\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"12.5\" font-weight=\"normal\" text-anchor=\"start\" x=\"510\" y=\"300\">schreibt in<\/text><rect fill=\"#29292A\" height=\"70\" rx=\"12\" stroke=\"#29292A\" stroke-width=\"2\" width=\"160\" x=\"400\" y=\"340\"><\/rect><text fill=\"#FFFFFF\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"15.5\" font-weight=\"normal\" text-anchor=\"middle\" x=\"480\" y=\"371\">Active Directory<\/text><text fill=\"#DDDDDD\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"12.5\" font-weight=\"normal\" text-anchor=\"middle\" x=\"480\" y=\"391\">Nur Sicherheitsprotokoll<\/text><text fill=\"#54595F\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"13.5\" font-weight=\"normal\" text-anchor=\"middle\" x=\"330\" y=\"440\">Dauerrecht. Keine Freigabe. Keine Parameterpr\u00fcfung.<\/text><text fill=\"#29292A\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"16\" font-weight=\"bold\" text-anchor=\"middle\" x=\"970\" y=\"90\">Modell B: Aufgabe delegieren<\/text><rect fill=\"#FFFFFF\" height=\"330\" rx=\"16\" stroke=\"#8BC34A\" stroke-dasharray=\"8 5\" stroke-width=\"2\" width=\"540\" x=\"700\" y=\"130\"><\/rect><text fill=\"#8BC34A\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"14.5\" font-weight=\"bold\" text-anchor=\"middle\" x=\"970\" y=\"155\">au2mator Self-Service Portal<\/text><rect fill=\"#F2F7EA\" height=\"70\" rx=\"12\" stroke=\"#8BC34A\" stroke-width=\"2\" width=\"150\" x=\"730\" y=\"180\"><\/rect><text fill=\"#29292A\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"14.5\" font-weight=\"bold\" text-anchor=\"middle\" x=\"805\" y=\"210\">Helpdesk-Benutzer<\/text><text fill=\"#54595F\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"12.5\" font-weight=\"normal\" text-anchor=\"middle\" x=\"805\" y=\"230\">ohne AD-Rechte<\/text><line marker-end=\"url(#au2f2-ar)\" stroke=\"#29292A\" stroke-width=\"2\" x1=\"885\" x2=\"915\" y1=\"215\" y2=\"215\"><\/line><rect fill=\"#FFFFFF\" height=\"70\" rx=\"12\" stroke=\"#8BC34A\" stroke-width=\"2\" width=\"140\" x=\"920\" y=\"180\"><\/rect><text fill=\"#29292A\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"14.5\" font-weight=\"normal\" text-anchor=\"middle\" x=\"990\" y=\"210\">Gef\u00fchrtes Formular<\/text><text fill=\"#54595F\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"12.5\" font-weight=\"normal\" text-anchor=\"middle\" x=\"990\" y=\"230\">gepr\u00fcfte Eingaben<\/text><line marker-end=\"url(#au2f2-ar)\" stroke=\"#29292A\" stroke-width=\"2\" x1=\"1065\" x2=\"1095\" y1=\"215\" y2=\"215\"><\/line><rect fill=\"#FFFFFF\" height=\"70\" rx=\"12\" stroke=\"#8BC34A\" stroke-width=\"2\" width=\"110\" x=\"1100\" y=\"180\"><\/rect><text fill=\"#29292A\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"14.5\" font-weight=\"normal\" text-anchor=\"middle\" x=\"1155\" y=\"210\">Genehmigung<\/text><text fill=\"#54595F\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"12.5\" font-weight=\"normal\" text-anchor=\"middle\" x=\"1155\" y=\"230\">bei Bedarf<\/text><path d=\"M1155,255 L1155,290 L990,290 L990,335\" fill=\"none\" marker-end=\"url(#au2f2-ar)\" stroke=\"#29292A\" stroke-width=\"2\"><\/path><rect fill=\"#29292A\" height=\"70\" rx=\"12\" stroke=\"#29292A\" stroke-width=\"2\" width=\"180\" x=\"900\" y=\"340\"><\/rect><text fill=\"#FFFFFF\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"14.5\" font-weight=\"bold\" text-anchor=\"middle\" x=\"990\" y=\"366\">Servicekonto<\/text><text fill=\"#DDDDDD\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"12.5\" font-weight=\"normal\" text-anchor=\"middle\" x=\"990\" y=\"386\">f\u00fchrt Skript aus<\/text><line marker-end=\"url(#au2f2-ar)\" stroke=\"#54595F\" stroke-width=\"1.5\" x1=\"895\" x2=\"800\" y1=\"375\" y2=\"375\"><\/line><rect fill=\"#FFFFFF\" height=\"60\" rx=\"12\" stroke=\"#54595F\" stroke-width=\"1.5\" width=\"60\" x=\"730\" y=\"345\"><\/rect><text fill=\"#29292A\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"14.5\" font-weight=\"normal\" text-anchor=\"middle\" x=\"760\" y=\"372\">AD<\/text><text fill=\"#54595F\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"10\" font-weight=\"normal\" text-anchor=\"middle\" x=\"760\" y=\"390\">\u00c4nderung<\/text><line marker-end=\"url(#au2f2-arg)\" stroke=\"#8BC34A\" stroke-width=\"2\" x1=\"1085\" x2=\"1140\" y1=\"375\" y2=\"375\"><\/line><rect fill=\"#F2F7EA\" height=\"60\" rx=\"12\" stroke=\"#8BC34A\" stroke-width=\"1.5\" width=\"80\" x=\"1145\" y=\"345\"><\/rect><text fill=\"#29292A\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"14.5\" font-weight=\"normal\" text-anchor=\"middle\" x=\"1185\" y=\"372\">Protokoll<\/text><text fill=\"#54595F\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"10\" font-weight=\"normal\" text-anchor=\"middle\" x=\"1185\" y=\"390\">wer, was<\/text><text fill=\"#54595F\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"13.5\" font-weight=\"normal\" text-anchor=\"middle\" x=\"970\" y=\"440\">Rechte bleiben beim Servicekonto. Jede Anfrage wird protokolliert.<\/text><\/svg>\n<figcaption>Modell A gibt einer Person ein Recht. Modell B bietet eine Schaltfl\u00e4che und bel\u00e4sst die Berechtigung beim Servicekonto.<\/figcaption>\n<\/figure>\n<figure class=\"wp-block-table is-style-stripes\"><table>\n<thead><tr><th><\/th><th>Berechtigung delegieren (ACE auf OU)<\/th><th>Aufgabe delegieren (Portal + Servicekonto)<\/th><\/tr><\/thead>\n<tbody>\n<tr><td>Wer besitzt das AD-Recht<\/td><td>Die Helpdesk-Gruppe<\/td><td>Ein Servicekonto je Aufgabe<\/td><\/tr>\n<tr><td>Geltungsbereich<\/td><td>OU-Unterstruktur, vererbt<\/td><td>Im Skript festgelegt: Filter, Ausnahmen und Pr\u00fcfungen<\/td><\/tr>\n<tr><td>Oberfl\u00e4che<\/td><td>ADUC, PowerShell, RSAT<\/td><td>Webformular mit validierten Feldern<\/td><\/tr>\n<tr><td>Genehmigung<\/td><td>Nicht vorgesehen<\/td><td>Optional je Service durch Verantwortliche<\/td><\/tr>\n<tr><td>Nachvollziehbarkeit<\/td><td>Sicherheitsprotokoll: wer, was, wann<\/td><td>Anfrageprotokoll: wer, was, Parameter, Genehmiger, Ergebnis<\/td><\/tr>\n<tr><td>Widerruf<\/td><td>ACL manuell bearbeiten<\/td><td>Benutzerzugriff auf den Service entfernen<\/td><\/tr>\n<tr><td>Geeignet f\u00fcr<\/td><td>Offene T\u00e4tigkeiten geschulter Mitarbeitender<\/td><td>H\u00e4ufige, wiederholbare Aufgaben mit klaren Parametern<\/td><\/tr>\n<\/tbody>\n<\/table><\/figure>\n<p class=\"wp-block-paragraph\">Das ver\u00e4ndert auch das Tier-Modell: Der Helpdesk bleibt mit einem normalen Konto in Tier 2. Nur das Servicekonto besitzt das erforderliche AD-Recht. Es meldet sich nicht interaktiv an, und seine Zugangsdaten sind in der Automatisierungsumgebung gesch\u00fctzt. Ein kompromittiertes First-Level-Konto hat damit keinen direkten Zugriff auf die AD-Objekte.<\/p>\n<p class=\"wp-block-paragraph\">Genau f\u00fcr dieses Modell wurde das <a href=\"https:\/\/au2mator.com\/de\/helpdesk\/\">au2mator Self-Service Portal f\u00fcr Helpdesk-Teams<\/a> entwickelt. Es verwendet vorhandene Automatisierungsplattformen wie PowerShell, Azure Automation und System Center Orchestrator.<\/p>\n<hr class=\"wp-block-separator has-text-color has-alpha-channel-opacity has-background\" style=\"margin-top:40px;margin-bottom:40px;background-color:#8bc34a;color:#8bc34a\"\/>\n<h2 class=\"wp-block-heading\">In f\u00fcnf Schritten zum AD-Delegationsmodell<\/h2>\n<figure class=\"wp-block-image size-large\">\n<svg aria-labelledby=\"au2f3-t\" role=\"img\" viewbox=\"0 0 1300 245\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\"><title id=\"au2f3-t\">F\u00fcnf Schritte zu einem guten AD-Delegationsmodell<\/title><rect fill=\"#FFFFFF\" height=\"245\" width=\"1300\"><\/rect><defs><marker id=\"au2f3-ar\" markerheight=\"10\" markerwidth=\"10\" orient=\"auto\" refx=\"9\" refy=\"5\"><path d=\"M0,0 L10,5 L0,10 z\" fill=\"#29292A\"><\/path><\/marker><marker id=\"au2f3-arg\" markerheight=\"10\" markerwidth=\"10\" orient=\"auto\" refx=\"9\" refy=\"5\"><path d=\"M0,0 L10,5 L0,10 z\" fill=\"#8BC34A\"><\/path><\/marker><\/defs><text fill=\"#29292A\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"22\" font-weight=\"bold\" text-anchor=\"middle\" x=\"650.0\" y=\"40\">F\u00fcnf Schritte zu einem guten AD-Delegationsmodell<\/text><rect fill=\"#F2F7EA\" height=\"130\" rx=\"12\" stroke=\"#8BC34A\" stroke-width=\"2\" width=\"210\" x=\"60\" y=\"90\"><\/rect><text fill=\"#29292A\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"17\" font-weight=\"bold\" text-anchor=\"middle\" x=\"165\" y=\"128\">1. Erfassen<\/text><text fill=\"#29292A\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"13.5\" font-weight=\"normal\" text-anchor=\"middle\" x=\"165\" y=\"160\">Welche AD-Aufgaben<\/text><text fill=\"#54595F\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"13.5\" font-weight=\"normal\" text-anchor=\"middle\" x=\"165\" y=\"178\">erledigt wer?<\/text><line marker-end=\"url(#au2f3-ar)\" stroke=\"#29292A\" stroke-width=\"2\" x1=\"274\" x2=\"300\" y1=\"155\" y2=\"155\"><\/line><rect fill=\"#F2F7EA\" height=\"130\" rx=\"12\" stroke=\"#8BC34A\" stroke-width=\"2\" width=\"210\" x=\"305\" y=\"90\"><\/rect><text fill=\"#29292A\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"17\" font-weight=\"bold\" text-anchor=\"middle\" x=\"410\" y=\"128\">2. Tier zuordnen<\/text><text fill=\"#29292A\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"13.5\" font-weight=\"normal\" text-anchor=\"middle\" x=\"410\" y=\"160\">Tier 0 \/ 1 \/ 2<\/text><text fill=\"#54595F\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"13.5\" font-weight=\"normal\" text-anchor=\"middle\" x=\"410\" y=\"178\">je Aufgabe und Rolle<\/text><line marker-end=\"url(#au2f3-ar)\" stroke=\"#29292A\" stroke-width=\"2\" x1=\"519\" x2=\"545\" y1=\"155\" y2=\"155\"><\/line><rect fill=\"#29292A\" height=\"130\" rx=\"12\" stroke=\"#29292A\" stroke-width=\"2\" width=\"210\" x=\"550\" y=\"90\"><\/rect><text fill=\"#FFFFFF\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"17\" font-weight=\"bold\" text-anchor=\"middle\" x=\"655\" y=\"128\">3. Aufteilen<\/text><text fill=\"#FFFFFF\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"13.5\" font-weight=\"normal\" text-anchor=\"middle\" x=\"655\" y=\"160\">Berechtigung oder<\/text><text fill=\"#DDDDDD\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"13.5\" font-weight=\"normal\" text-anchor=\"middle\" x=\"655\" y=\"178\">Aufgabendelegation?<\/text><line marker-end=\"url(#au2f3-ar)\" stroke=\"#29292A\" stroke-width=\"2\" x1=\"764\" x2=\"790\" y1=\"155\" y2=\"155\"><\/line><rect fill=\"#F2F7EA\" height=\"130\" rx=\"12\" stroke=\"#8BC34A\" stroke-width=\"2\" width=\"210\" x=\"795\" y=\"90\"><\/rect><text fill=\"#29292A\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"17\" font-weight=\"bold\" text-anchor=\"middle\" x=\"900\" y=\"128\">4. Umsetzen<\/text><text fill=\"#29292A\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"13.5\" font-weight=\"normal\" text-anchor=\"middle\" x=\"900\" y=\"160\">Gruppen, OUs, Services,<\/text><text fill=\"#54595F\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"13.5\" font-weight=\"normal\" text-anchor=\"middle\" x=\"900\" y=\"178\">je ein Servicekonto<\/text><line marker-end=\"url(#au2f3-ar)\" stroke=\"#29292A\" stroke-width=\"2\" x1=\"1009\" x2=\"1035\" y1=\"155\" y2=\"155\"><\/line><rect fill=\"#F2F7EA\" height=\"130\" rx=\"12\" stroke=\"#8BC34A\" stroke-width=\"2\" width=\"210\" x=\"1040\" y=\"90\"><\/rect><text fill=\"#29292A\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"17\" font-weight=\"bold\" text-anchor=\"middle\" x=\"1145\" y=\"128\">5. Pr\u00fcfen<\/text><text fill=\"#29292A\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"13.5\" font-weight=\"normal\" text-anchor=\"middle\" x=\"1145\" y=\"160\">ACLs, Logs, Anfragen,<\/text><text fill=\"#54595F\" font-family=\"Montserrat, Segoe UI, Arial, sans-serif\" font-size=\"13.5\" font-weight=\"normal\" text-anchor=\"middle\" x=\"1145\" y=\"178\">jedes Quartal<\/text><\/svg>\n<figcaption>Schritt 3 ist die Entscheidung: Standardaufgaben mit Parametern ins Portal, freie Konsolenarbeit \u00fcber eng begrenzte ACEs.<\/figcaption>\n<\/figure>\n<p class=\"wp-block-paragraph\"><strong>Schritt 1: Erfasse Aufgaben statt Gruppen.<\/strong> Liste auf, welche AD-Arbeiten au\u00dferhalb des Adminteams erledigt werden: Passwort-Resets, Konten entsperren, Gruppen\u00e4nderungen, Konten f\u00fcr externe Mitarbeitende und Dom\u00e4nenbeitritte. Oft zeigen bereits drei Monate Ticketdaten zehn bis f\u00fcnfzehn Aufgabentypen, die einen Gro\u00dfteil des Volumens abdecken.<\/p>\n<p class=\"wp-block-paragraph\"><strong>Schritt 2: Ordne jeder Aufgabe und Rolle ein Tier zu.<\/strong> T\u00e4tigkeiten an Tier-0-Objekten wie Dom\u00e4nencontrollern oder privilegierten Gruppen und deren Mitgliedern d\u00fcrfen nicht an den Helpdesk delegiert werden. F\u00fcr alle anderen Aufgaben werden die passende Sicherheitsstufe und ein Verantwortlicher festgelegt.<\/p>\n<p class=\"wp-block-paragraph\"><strong>Schritt 3: Trenne die Aufgaben.<\/strong> H\u00e4ufige, klar parametrisierte T\u00e4tigkeiten mit Pr\u00fcf- oder Genehmigungsbedarf geh\u00f6ren ins Portal. Offene Konsolenarbeit durch geschulte Personen kann \u00fcber eng begrenzte Berechtigungen erfolgen \u2013 etwa wenn ein Standortadministrator eine OU laufend verwaltet.<\/p>\n<p class=\"wp-block-paragraph\"><strong>Schritt 4: Setze beide Modelle sauber um.<\/strong> Bei Berechtigungen verwendest du pro Delegation eine eigene Sicherheitsgruppe mit sprechendem Namen, zum Beispiel <code>DLG-Vienna-PasswordReset<\/code>, und weist Rechte nur auf der kleinsten geeigneten OU zu. Vermeide integrierte Gruppen. Bei Services nutzt du ein Servicekonto je Aufgabenfamilie mit eng begrenztem ACE, ein Skript mit Eingabevalidierung und Schutz f\u00fcr privilegierte Objekte sowie ein Formular, das nur erlaubte Parameter anbietet.<\/p>\n<p class=\"wp-block-paragraph\"><strong>Schritt 5: \u00dcberpr\u00fcfe das Modell viertelj\u00e4hrlich.<\/strong> Exportiere die ACLs der \u00fcbergeordneten OUs und gleiche sie mit dem dokumentierten Modell ab. Pr\u00fcfe au\u00dferdem, welche Portal-Services nicht mehr genutzt werden, und entferne diese. Ohne regelm\u00e4\u00dfige Kontrolle entsteht erneut un\u00fcbersichtlicher Berechtigungswildwuchs.<\/p>\n<hr class=\"wp-block-separator has-text-color has-alpha-channel-opacity has-background\" style=\"margin-top:40px;margin-bottom:40px;background-color:#8bc34a;color:#8bc34a\"\/>\n<h2 class=\"wp-block-heading\">Praxisbeispiel: Passwort zur\u00fccksetzen und Gruppenmitgliedschaften verwalten<\/h2>\n<p class=\"wp-block-paragraph\"><strong>Vorher:<\/strong> Die Helpdesk-Gruppe darf auf <code>OU=Users<\/code> Benutzerpassw\u00f6rter zur\u00fccksetzen und Gruppenmitgliedschaften \u00e4ndern. Ein gesperrter Benutzer ruft an. Der Mitarbeiter \u00f6ffnet ADUC, findet zwei \u00e4hnlich benannte Konten und setzt erst das falsche, dann das richtige Passwort zur\u00fcck. Sp\u00e4ter f\u00fcgt er auf Zuruf jemanden zur Gruppe <code>FIN-SAP-Prod<\/code> hinzu \u2013 ohne Genehmigung. Das Sicherheitsprotokoll zeigt die \u00c4nderungen, aber weder Ticketnummern noch Identit\u00e4tspr\u00fcfungen oder den zust\u00e4ndigen Gruppenverantwortlichen.<\/p>\n<p class=\"wp-block-paragraph\"><strong>Nachher:<\/strong> Die Helpdesk-Gruppe hat keinen ACE mehr in AD. Im Portal stehen zwei Services bereit. \u201ePasswort zur\u00fccksetzen\u201c fragt nach dem Benutzer aus einer Liste ohne Service- und Adminkonten, der Ticketnummer und einer Best\u00e4tigung der Identit\u00e4tspr\u00fcfung. Ein Servicekonto mit dem entsprechenden Recht f\u00fchrt das Skript aus und sendet das tempor\u00e4re Passwort an die hinterlegte Mobilnummer. \u201eZur Gruppe hinzuf\u00fcgen\u201c bietet nur freigegebene Gruppen an; sensible Gruppen erfordern die Genehmigung des Gruppenverantwortlichen. Jede Anfrage wird mit Antragsteller, Parametern, Genehmiger und Ergebnis protokolliert. Der Helpdesk arbeitet schneller, die Revision erh\u00e4lt nachvollziehbare Daten und das Helpdesk-Konto bietet Angreifern weniger Angriffsfl\u00e4che.<\/p>\n<p class=\"wp-block-paragraph\">Wenn dein Ticketsystem die f\u00fchrende Dokumentation f\u00fcr diese Anfragen ist, kann das Portal das Ticket mit dem Ergebnis aktualisieren. Wie beide Systeme zusammenspielen, erl\u00e4utern wir im Artikel <a href=\"https:\/\/au2mator.com\/de\/blog\/service-desk-automation-itsm\/\">Service Desk Automation vs. ITSM-Ticketsysteme<\/a>.<\/p>\n<hr class=\"wp-block-separator has-text-color has-alpha-channel-opacity has-background\" style=\"margin-top:40px;margin-bottom:40px;background-color:#8bc34a;color:#8bc34a\"\/>\n<h2 class=\"wp-block-heading\">Delegierte Berechtigungen \u00fcberpr\u00fcfen<\/h2>\n<p class=\"wp-block-paragraph\">Unabh\u00e4ngig vom Modell solltest du zwei Fragen jederzeit beantworten k\u00f6nnen: Wer darf aktuell was in AD tun? Und wer hat im vergangenen Monat welche \u00c4nderungen vorgenommen?<\/p>\n<p class=\"wp-block-paragraph\">F\u00fcr die erste Frage exportierst du die ACLs. Der Befehl <code>Get-Acl \"AD:\\OU=Users,DC=corp,DC=local\" | Select-Object -ExpandProperty Access<\/code> listet alle ACEs einer OU auf, einschlie\u00dflich geerbter Eintr\u00e4ge und Angaben zu Identit\u00e4t, Recht, Objekttyp und Vererbung. Filtere die Standardeintr\u00e4ge heraus, um die tats\u00e4chlichen Delegationen zu sehen. Jeder ACE, der keiner dokumentierten DLG-Gruppe zugeordnet ist, sollte \u00fcberpr\u00fcft werden.<\/p>\n<p class=\"wp-block-paragraph\">F\u00fcr die zweite Frage liefert das Sicherheitsprotokoll der Dom\u00e4nencontroller die Ereignisse einer Berechtigungsdelegation: 4724 f\u00fcr Passwort-Resets, 4740 f\u00fcr Kontosperrungen, 4728 und 4729 f\u00fcr \u00c4nderungen an Sicherheitsgruppen sowie 4720 und 4726 f\u00fcr das Erstellen und L\u00f6schen von Benutzern. Bei der Aufgabendelegation erg\u00e4nzt das Anfrageprotokoll des Portals Informationen, die das Sicherheitsprotokoll nicht enth\u00e4lt: Antragsteller, Parameter, Genehmiger und Skriptausgabe.<\/p>\n<p class=\"wp-block-paragraph\">Ermittle schlie\u00dflich, wie viele Helpdesk-Konten direkte AD-Rechte besitzen. Diese Zahl sollte im Laufe der Zeit sinken.<\/p>\n<hr class=\"wp-block-separator has-text-color has-alpha-channel-opacity has-background\" style=\"margin-top:40px;margin-bottom:40px;background-color:#8bc34a;color:#8bc34a\"\/>\n<h2 class=\"wp-block-heading\">FAQ: Active-Directory-Delegation<\/h2>\n<div class=\"schema-faq wp-block-yoast-faq-block\">\n<div class=\"schema-faq-section\" id=\"faq-question-en-1\">\n<strong class=\"schema-faq-question\">Was bedeutet Active-Directory-Delegation?<\/strong> <p class=\"schema-faq-answer\">Active-Directory-Delegation bedeutet, Personen oder Teams bestimmte administrative Aufgaben zu erm\u00f6glichen \u2013 etwa das Zur\u00fccksetzen von Passw\u00f6rtern oder die Verwaltung von Gruppenmitgliedschaften innerhalb einer OU \u2013, ohne sie zu Domain Admins zu machen. Das funktioniert \u00fcber einen ACE auf einer OU oder durch einen Portal-Service, der die \u00c4nderung mit einem Servicekonto ausf\u00fchrt.<\/p> <\/div> <div class=\"schema-faq-section\" id=\"faq-question-en-2\">\n<strong class=\"schema-faq-question\">Wie kann ich die Verwaltung in Active Directory delegieren?<\/strong> <p class=\"schema-faq-answer\">Klicke in \u201eActive Directory-Benutzer und -Computer\u201c mit der rechten Maustaste auf die OU, w\u00e4hle \u201eObjektverwaltung zuweisen\u201c, anschlie\u00dfend die Sicherheitsgruppe und eine Aufgabe wie \u201eBenutzerkennw\u00f6rter zur\u00fccksetzen\u201c. Der Assistent erstellt die passenden ACEs auf der OU, die von untergeordneten Objekten geerbt werden.<\/p> <\/div> <div class=\"schema-faq-section\" id=\"faq-question-en-3\">\n<strong class=\"schema-faq-question\">Warum kann mein Helpdesk bei manchen Konten das Passwort nicht zur\u00fccksetzen?<\/strong> <p class=\"schema-faq-answer\">Diese Konten sind Mitglied gesch\u00fctzter Gruppen wie Domain Admins oder Account Operators. Der AdminSDHolder-Mechanismus \u00fcberschreibt ihre ACL regelm\u00e4\u00dfig. Deshalb gelten die auf der OU delegierten Rechte nicht f\u00fcr diese Konten. Das ist beabsichtigt.<\/p> <\/div> <div class=\"schema-faq-section\" id=\"faq-question-en-4\">\n<strong class=\"schema-faq-question\">Wie entferne ich eine Active-Directory-Delegation wieder?<\/strong> <p class=\"schema-faq-answer\">Der Assistent entfernt keine Berechtigungen. L\u00f6sche den betreffenden ACE auf der Registerkarte \u201eSicherheit\u201c der OU oder nutze <code>dsacls<\/code> beziehungsweise <code>Set-Acl<\/code>. Bei der Aufgabendelegation entfernst du die Freigabe des Portal-Services f\u00fcr den Benutzer; die technische Berechtigung verbleibt beim Servicekonto.<\/p> <\/div> <div class=\"schema-faq-section\" id=\"faq-question-en-5\">\n<strong class=\"schema-faq-question\">Ist es sicher, den Helpdesk zu Account Operators hinzuzuf\u00fcgen?<\/strong> <p class=\"schema-faq-answer\">Nein. Account Operators d\u00fcrfen einen Gro\u00dfteil der Benutzer- und Gruppenkonten in der Dom\u00e4ne verwalten und sich lokal an Dom\u00e4nencontrollern anmelden. Eng begrenzte OU-Rechte oder ein Service \u00fcber ein Servicekonto erf\u00fcllen die Anforderungen des Helpdesks mit deutlich geringerem Risiko.<\/p> <\/div> <div class=\"schema-faq-section\" id=\"faq-question-en-6\">\n<strong class=\"schema-faq-question\">Kann der Helpdesk AD-Aufgaben ohne delegierte Berechtigungen ausf\u00fchren?<\/strong> <p class=\"schema-faq-answer\">Ja. Helpdesk-Mitarbeitende starten einen vordefinierten Service im Self-Service-Portal. Ein gesch\u00fctztes Servicekonto mit minimalen Berechtigungen f\u00fchrt die \u00c4nderung aus, optional nach Freigabe. Die Anfrage einschlie\u00dflich ihrer Parameter wird protokolliert. Das pers\u00f6nliche Helpdesk-Konto erh\u00e4lt keine AD-Rechte.<\/p> <\/div> <div class=\"schema-faq-section\" id=\"faq-question-en-7\">\n<strong class=\"schema-faq-question\">Wie \u00fcberpr\u00fcfe ich delegierte Rechte in Active Directory?<\/strong> <p class=\"schema-faq-answer\">Exportiere die ACLs der \u00fcbergeordneten OUs mit <code>Get-Acl<\/code> oder <code>dsacls<\/code>, filtere Standardeintr\u00e4ge heraus und gleiche die \u00fcbrigen Berechtigungen mit den dokumentierten Delegationsgruppen ab. F\u00fcr ausgef\u00fchrte Aktionen sammelst du die Sicherheitsereignisse 4724, 4740, 4728 und 4729 der Dom\u00e4nencontroller sowie die Anfragenprotokolle des Portals.<\/p> <\/div><\/div>\n<hr class=\"wp-block-separator has-text-color has-alpha-channel-opacity has-background\" style=\"margin-top:40px;margin-bottom:40px;background-color:#8bc34a;color:#8bc34a\"\/>\n<h2 class=\"wp-block-heading\">Fazit: Aufgaben delegieren, Berechtigungen sch\u00fctzen<\/h2>\n<p class=\"wp-block-paragraph\">Active-Directory-Delegation ist mehr als ein Assistent. Entscheidend ist, wo Berechtigungen liegen. F\u00fcr offene Aufgaben geschulter Mitarbeitender eignet sich ein eng begrenzter ACE auf einer klar strukturierten OU. H\u00e4ufige, standardisierte und ticketgesteuerte T\u00e4tigkeiten werden dagegen als Service bereitgestellt: Formular f\u00fcr den Helpdesk, Servicekonto f\u00fcr die Ausf\u00fchrung und Protokoll f\u00fcr die Revision. So k\u00f6nnen mehr Anfragen beim ersten Kontakt erledigt werden, das Tier-Modell bleibt erhalten und Berechtigungspr\u00fcfungen werden einfacher.<\/p>\n<p class=\"wp-block-paragraph\">Wenn du deine Helpdesk-Aufgaben gemeinsam durchgehen und entscheiden m\u00f6chtest, welches Delegationsmodell jeweils passt, <strong>buche ein 30-min\u00fctiges Gespr\u00e4ch mit Michael Seidl<\/strong>, Microsoft MVP und Gr\u00fcnder von au2mator. Bring am besten die Ticketkategorien des letzten Quartals mit.<\/p>\n<\/div>\n<script type=\"application\/ld+json\">\n{\n \"@context\": \"https:\/\/schema.org\",\n \"@type\": \"FAQPage\",\n \"mainEntity\": [\n  {\n   \"@type\": \"Question\",\n   \"name\": \"What is Active Directory delegation?\",\n   \"acceptedAnswer\": {\n    \"@type\": \"Answer\",\n    \"text\": \"Giving a person or team the ability to perform specific administrative tasks in AD, such as resetting passwords or managing group membership in one OU, without adding them to Domain Admins. It can be done by delegating a permission (an ACE on an OU) or by delegating the task through a portal that runs the change with a service account.\"\n   }\n  },\n  {\n   \"@type\": \"Question\",\n   \"name\": \"How do I delegate control in Active Directory?\",\n   \"acceptedAnswer\": {\n    \"@type\": \"Answer\",\n    \"text\": \"In Active Directory Users and Computers, right-click the OU, choose Delegate Control, select the security group and pick a common task such as Reset user passwords. The wizard writes the matching access control entries on the OU, and they are inherited by all objects below it.\"\n   }\n  },\n  {\n   \"@type\": \"Question\",\n   \"name\": \"Why can't my help desk reset the password of some accounts?\",\n   \"acceptedAnswer\": {\n    \"@type\": \"Answer\",\n    \"text\": \"Those accounts are members of protected groups such as Domain Admins or Account Operators. The AdminSDHolder process overwrites their ACL every hour, so delegated permissions on the OU do not apply to them. This is by design.\"\n   }\n  },\n  {\n   \"@type\": \"Question\",\n   \"name\": \"How do I remove an Active Directory delegation again?\",\n   \"acceptedAnswer\": {\n    \"@type\": \"Answer\",\n    \"text\": \"The wizard cannot remove permissions. Delete the specific ACE on the Security tab of the OU, or use dsacls or Set-Acl in PowerShell. With task delegation you remove the user from the service in the portal; the permission stays with the service account.\"\n   }\n  },\n  {\n   \"@type\": \"Question\",\n   \"name\": \"Is it safe to put the help desk in Account Operators?\",\n   \"acceptedAnswer\": {\n    \"@type\": \"Answer\",\n    \"text\": \"No. Account Operators can manage almost all user and group accounts in the domain and log on locally to domain controllers. A specific right on a specific OU, or a task run by a service account, gives the help desk what it needs with a fraction of the exposure.\"\n   }\n  },\n  {\n   \"@type\": \"Question\",\n   \"name\": \"Can the help desk perform AD tasks without any delegated permissions?\",\n   \"acceptedAnswer\": {\n    \"@type\": \"Answer\",\n    \"text\": \"Yes. The help desk user triggers a predefined service in a self-service portal. A protected service account with a narrowly scoped permission executes the change, optionally after an approval, and the request is logged with its parameters. The help desk account holds no rights in the directory.\"\n   }\n  },\n  {\n   \"@type\": \"Question\",\n   \"name\": \"How do I audit who has delegated rights in Active Directory?\",\n   \"acceptedAnswer\": {\n    \"@type\": \"Answer\",\n    \"text\": \"Export the ACLs of your top-level OUs with Get-Acl or dsacls, filter out the defaults and compare the rest with your documented delegation groups. For activity, collect Security log events 4724, 4740, 4728 and 4729 from the domain controllers, plus the portal request log for task-based delegation.\"\n   }\n  }\n ]\n}\n<\/script>\n","protected":false},"excerpt":{"rendered":"<p>Dein Helpdesk muss regelm\u00e4\u00dfig Passw\u00f6rter zur\u00fccksetzen und Gruppenmitgliedschaften \u00e4ndern. Doch daf\u00fcr Administratorrechte zu vergeben, birgt Sicherheitsrisiken. Active Directory Delegation erm\u00f6glicht es, solche Aufgaben gezielt und sicher zu \u00fcbertragen.<\/p>\n<p>Erfahre, wie du AD-Berechtigungen oder einzelne Aufgaben delegierst, welche Risiken dabei entstehen und wie dein Helpdesk ohne zus\u00e4tzliche Administratorrechte arbeiten kann.<\/p>\n","protected":false},"author":3,"featured_media":2659,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"inline_featured_image":false,"footnotes":""},"categories":[16],"tags":[],"class_list":["post-2654","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-allgemein"],"yoast_head":"<!-- This site is optimized with the Yoast SEO plugin v28.6 - https:\/\/yoast.com\/product\/yoast-seo-wordpress\/ -->\n<title>Active Directory Delegation: Aufgaben sicher delegieren | au2mator<\/title>\n<meta name=\"description\" content=\"Active Directory Delegation einfach erkl\u00e4rt: Erfahre, wie du AD-Aufgaben sicher delegierst, Berechtigungen einschr\u00e4nkst und deinen Helpdesk entlastest.\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/au2mator.com\/de\/blog\/active-directory-delegation\/\" \/>\n<meta property=\"og:locale\" content=\"de_DE\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"Active Directory Delegation: Aufgaben sicher delegieren | au2mator\" \/>\n<meta property=\"og:description\" content=\"Active Directory Delegation einfach erkl\u00e4rt: Erfahre, wie du AD-Aufgaben sicher delegierst, Berechtigungen einschr\u00e4nkst und deinen Helpdesk entlastest.\" \/>\n<meta property=\"og:url\" content=\"https:\/\/au2mator.com\/de\/blog\/active-directory-delegation\/\" \/>\n<meta property=\"og:site_name\" content=\"au2mator\" \/>\n<meta property=\"article:published_time\" content=\"2026-09-30T06:42:40+00:00\" \/>\n<meta property=\"article:modified_time\" content=\"2026-10-23T13:53:10+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/au2mator.com\/wp-content\/uploads\/2026\/09\/active-directory-delegation-cover.png\" \/>\n\t<meta property=\"og:image:width\" content=\"1800\" \/>\n\t<meta property=\"og:image:height\" content=\"1200\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/png\" \/>\n<meta name=\"author\" content=\"Michael Seidl\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:label1\" content=\"Verfasst von\" \/>\n\t<meta name=\"twitter:data1\" content=\"Michael Seidl\" \/>\n\t<meta name=\"twitter:label2\" content=\"Gesch\u00e4tzte Lesezeit\" \/>\n\t<meta name=\"twitter:data2\" content=\"10\u00a0Minuten\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\\\/\\\/schema.org\",\"@graph\":[{\"@type\":\"Article\",\"@id\":\"https:\\\/\\\/au2mator.com\\\/de\\\/blog\\\/active-directory-delegation\\\/#article\",\"isPartOf\":{\"@id\":\"https:\\\/\\\/au2mator.com\\\/de\\\/blog\\\/active-directory-delegation\\\/\"},\"author\":{\"name\":\"Michael Seidl\",\"@id\":\"https:\\\/\\\/au2mator.com\\\/de\\\/#\\\/schema\\\/person\\\/64bb27dd52011f02a51c74811b8981f3\"},\"headline\":\"Active Directory Delegation: AD-Aufgaben sicher an Nicht-Administratoren delegieren\",\"datePublished\":\"2026-09-30T06:42:40+00:00\",\"dateModified\":\"2026-10-23T13:53:10+00:00\",\"mainEntityOfPage\":{\"@id\":\"https:\\\/\\\/au2mator.com\\\/de\\\/blog\\\/active-directory-delegation\\\/\"},\"wordCount\":2243,\"commentCount\":0,\"publisher\":{\"@id\":\"https:\\\/\\\/au2mator.com\\\/de\\\/#organization\"},\"image\":{\"@id\":\"https:\\\/\\\/au2mator.com\\\/de\\\/blog\\\/active-directory-delegation\\\/#primaryimage\"},\"thumbnailUrl\":\"https:\\\/\\\/au2mator.com\\\/wp-content\\\/uploads\\\/2026\\\/09\\\/active-directory-delegation-cover.png\",\"inLanguage\":\"de\",\"potentialAction\":[{\"@type\":\"CommentAction\",\"name\":\"Comment\",\"target\":[\"https:\\\/\\\/au2mator.com\\\/de\\\/blog\\\/active-directory-delegation\\\/#respond\"]}]},{\"@type\":\"WebPage\",\"@id\":\"https:\\\/\\\/au2mator.com\\\/de\\\/blog\\\/active-directory-delegation\\\/\",\"url\":\"https:\\\/\\\/au2mator.com\\\/de\\\/blog\\\/active-directory-delegation\\\/\",\"name\":\"Active Directory Delegation: Aufgaben sicher delegieren | au2mator\",\"isPartOf\":{\"@id\":\"https:\\\/\\\/au2mator.com\\\/de\\\/#website\"},\"primaryImageOfPage\":{\"@id\":\"https:\\\/\\\/au2mator.com\\\/de\\\/blog\\\/active-directory-delegation\\\/#primaryimage\"},\"image\":{\"@id\":\"https:\\\/\\\/au2mator.com\\\/de\\\/blog\\\/active-directory-delegation\\\/#primaryimage\"},\"thumbnailUrl\":\"https:\\\/\\\/au2mator.com\\\/wp-content\\\/uploads\\\/2026\\\/09\\\/active-directory-delegation-cover.png\",\"datePublished\":\"2026-09-30T06:42:40+00:00\",\"dateModified\":\"2026-10-23T13:53:10+00:00\",\"description\":\"Active Directory Delegation einfach erkl\u00e4rt: Erfahre, wie du AD-Aufgaben sicher delegierst, Berechtigungen einschr\u00e4nkst und deinen Helpdesk entlastest.\",\"breadcrumb\":{\"@id\":\"https:\\\/\\\/au2mator.com\\\/de\\\/blog\\\/active-directory-delegation\\\/#breadcrumb\"},\"inLanguage\":\"de\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\\\/\\\/au2mator.com\\\/de\\\/blog\\\/active-directory-delegation\\\/\"]}]},{\"@type\":\"ImageObject\",\"inLanguage\":\"de\",\"@id\":\"https:\\\/\\\/au2mator.com\\\/de\\\/blog\\\/active-directory-delegation\\\/#primaryimage\",\"url\":\"https:\\\/\\\/au2mator.com\\\/wp-content\\\/uploads\\\/2026\\\/09\\\/active-directory-delegation-cover.png\",\"contentUrl\":\"https:\\\/\\\/au2mator.com\\\/wp-content\\\/uploads\\\/2026\\\/09\\\/active-directory-delegation-cover.png\",\"width\":1800,\"height\":1200,\"caption\":\"Active Directory delegation: a help desk form that resets a password via a service account instead of admin rights\"},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\\\/\\\/au2mator.com\\\/de\\\/blog\\\/active-directory-delegation\\\/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Startseite\",\"item\":\"https:\\\/\\\/au2mator.com\\\/de\\\/home\\\/\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"Active Directory Delegation: AD-Aufgaben sicher an Nicht-Administratoren delegieren\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\\\/\\\/au2mator.com\\\/de\\\/#website\",\"url\":\"https:\\\/\\\/au2mator.com\\\/de\\\/\",\"name\":\"au2mator\",\"description\":\"\",\"publisher\":{\"@id\":\"https:\\\/\\\/au2mator.com\\\/de\\\/#organization\"},\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\\\/\\\/au2mator.com\\\/de\\\/?s={search_term_string}\"},\"query-input\":{\"@type\":\"PropertyValueSpecification\",\"valueRequired\":true,\"valueName\":\"search_term_string\"}}],\"inLanguage\":\"de\"},{\"@type\":\"Organization\",\"@id\":\"https:\\\/\\\/au2mator.com\\\/de\\\/#organization\",\"name\":\"au2mator\",\"url\":\"https:\\\/\\\/au2mator.com\\\/de\\\/\",\"logo\":{\"@type\":\"ImageObject\",\"inLanguage\":\"de\",\"@id\":\"https:\\\/\\\/au2mator.com\\\/de\\\/#\\\/schema\\\/logo\\\/image\\\/\",\"url\":\"https:\\\/\\\/au2mator.com\\\/wp-content\\\/uploads\\\/2026\\\/01\\\/HPLogoau2mator-2.png\",\"contentUrl\":\"https:\\\/\\\/au2mator.com\\\/wp-content\\\/uploads\\\/2026\\\/01\\\/HPLogoau2mator-2.png\",\"width\":396,\"height\":86,\"caption\":\"au2mator\"},\"image\":{\"@id\":\"https:\\\/\\\/au2mator.com\\\/de\\\/#\\\/schema\\\/logo\\\/image\\\/\"},\"sameAs\":[\"https:\\\/\\\/www.youtube.com\\\/channel\\\/UCUdkfOxKtCj0_21WjRv5q-w\",\"https:\\\/\\\/www.linkedin.com\\\/company\\\/au2mator\\\/\"]},{\"@type\":\"Person\",\"@id\":\"https:\\\/\\\/au2mator.com\\\/de\\\/#\\\/schema\\\/person\\\/64bb27dd52011f02a51c74811b8981f3\",\"name\":\"Michael Seidl\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"de\",\"@id\":\"https:\\\/\\\/secure.gravatar.com\\\/avatar\\\/7bce6d4773dd6e107176aa71ea37cceab7e2f576f2fd6c7606893b0d3206d2e6?s=96&d=mm&r=g\",\"url\":\"https:\\\/\\\/secure.gravatar.com\\\/avatar\\\/7bce6d4773dd6e107176aa71ea37cceab7e2f576f2fd6c7606893b0d3206d2e6?s=96&d=mm&r=g\",\"contentUrl\":\"https:\\\/\\\/secure.gravatar.com\\\/avatar\\\/7bce6d4773dd6e107176aa71ea37cceab7e2f576f2fd6c7606893b0d3206d2e6?s=96&d=mm&r=g\",\"caption\":\"Michael Seidl\"},\"sameAs\":[\"https:\\\/\\\/au2mator.com\"],\"url\":\"https:\\\/\\\/au2mator.com\\\/de\\\/blog\\\/author\\\/michael-seidl\\\/\"}]}<\/script>\n<!-- \/ Yoast SEO plugin. -->","yoast_head_json":{"title":"Active Directory Delegation: Aufgaben sicher delegieren | au2mator","description":"Active Directory Delegation einfach erkl\u00e4rt: Erfahre, wie du AD-Aufgaben sicher delegierst, Berechtigungen einschr\u00e4nkst und deinen Helpdesk entlastest.","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/au2mator.com\/de\/blog\/active-directory-delegation\/","og_locale":"de_DE","og_type":"article","og_title":"Active Directory Delegation: Aufgaben sicher delegieren | au2mator","og_description":"Active Directory Delegation einfach erkl\u00e4rt: Erfahre, wie du AD-Aufgaben sicher delegierst, Berechtigungen einschr\u00e4nkst und deinen Helpdesk entlastest.","og_url":"https:\/\/au2mator.com\/de\/blog\/active-directory-delegation\/","og_site_name":"au2mator","article_published_time":"2026-09-30T06:42:40+00:00","article_modified_time":"2026-10-23T13:53:10+00:00","og_image":[{"width":1800,"height":1200,"url":"https:\/\/au2mator.com\/wp-content\/uploads\/2026\/09\/active-directory-delegation-cover.png","type":"image\/png"}],"author":"Michael Seidl","twitter_card":"summary_large_image","twitter_misc":{"Verfasst von":"Michael Seidl","Gesch\u00e4tzte Lesezeit":"10\u00a0Minuten"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"Article","@id":"https:\/\/au2mator.com\/de\/blog\/active-directory-delegation\/#article","isPartOf":{"@id":"https:\/\/au2mator.com\/de\/blog\/active-directory-delegation\/"},"author":{"name":"Michael Seidl","@id":"https:\/\/au2mator.com\/de\/#\/schema\/person\/64bb27dd52011f02a51c74811b8981f3"},"headline":"Active Directory Delegation: AD-Aufgaben sicher an Nicht-Administratoren delegieren","datePublished":"2026-09-30T06:42:40+00:00","dateModified":"2026-10-23T13:53:10+00:00","mainEntityOfPage":{"@id":"https:\/\/au2mator.com\/de\/blog\/active-directory-delegation\/"},"wordCount":2243,"commentCount":0,"publisher":{"@id":"https:\/\/au2mator.com\/de\/#organization"},"image":{"@id":"https:\/\/au2mator.com\/de\/blog\/active-directory-delegation\/#primaryimage"},"thumbnailUrl":"https:\/\/au2mator.com\/wp-content\/uploads\/2026\/09\/active-directory-delegation-cover.png","inLanguage":"de","potentialAction":[{"@type":"CommentAction","name":"Comment","target":["https:\/\/au2mator.com\/de\/blog\/active-directory-delegation\/#respond"]}]},{"@type":"WebPage","@id":"https:\/\/au2mator.com\/de\/blog\/active-directory-delegation\/","url":"https:\/\/au2mator.com\/de\/blog\/active-directory-delegation\/","name":"Active Directory Delegation: Aufgaben sicher delegieren | au2mator","isPartOf":{"@id":"https:\/\/au2mator.com\/de\/#website"},"primaryImageOfPage":{"@id":"https:\/\/au2mator.com\/de\/blog\/active-directory-delegation\/#primaryimage"},"image":{"@id":"https:\/\/au2mator.com\/de\/blog\/active-directory-delegation\/#primaryimage"},"thumbnailUrl":"https:\/\/au2mator.com\/wp-content\/uploads\/2026\/09\/active-directory-delegation-cover.png","datePublished":"2026-09-30T06:42:40+00:00","dateModified":"2026-10-23T13:53:10+00:00","description":"Active Directory Delegation einfach erkl\u00e4rt: Erfahre, wie du AD-Aufgaben sicher delegierst, Berechtigungen einschr\u00e4nkst und deinen Helpdesk entlastest.","breadcrumb":{"@id":"https:\/\/au2mator.com\/de\/blog\/active-directory-delegation\/#breadcrumb"},"inLanguage":"de","potentialAction":[{"@type":"ReadAction","target":["https:\/\/au2mator.com\/de\/blog\/active-directory-delegation\/"]}]},{"@type":"ImageObject","inLanguage":"de","@id":"https:\/\/au2mator.com\/de\/blog\/active-directory-delegation\/#primaryimage","url":"https:\/\/au2mator.com\/wp-content\/uploads\/2026\/09\/active-directory-delegation-cover.png","contentUrl":"https:\/\/au2mator.com\/wp-content\/uploads\/2026\/09\/active-directory-delegation-cover.png","width":1800,"height":1200,"caption":"Active Directory delegation: a help desk form that resets a password via a service account instead of admin rights"},{"@type":"BreadcrumbList","@id":"https:\/\/au2mator.com\/de\/blog\/active-directory-delegation\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Startseite","item":"https:\/\/au2mator.com\/de\/home\/"},{"@type":"ListItem","position":2,"name":"Active Directory Delegation: AD-Aufgaben sicher an Nicht-Administratoren delegieren"}]},{"@type":"WebSite","@id":"https:\/\/au2mator.com\/de\/#website","url":"https:\/\/au2mator.com\/de\/","name":"au2mator","description":"","publisher":{"@id":"https:\/\/au2mator.com\/de\/#organization"},"potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/au2mator.com\/de\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"de"},{"@type":"Organization","@id":"https:\/\/au2mator.com\/de\/#organization","name":"au2mator","url":"https:\/\/au2mator.com\/de\/","logo":{"@type":"ImageObject","inLanguage":"de","@id":"https:\/\/au2mator.com\/de\/#\/schema\/logo\/image\/","url":"https:\/\/au2mator.com\/wp-content\/uploads\/2026\/01\/HPLogoau2mator-2.png","contentUrl":"https:\/\/au2mator.com\/wp-content\/uploads\/2026\/01\/HPLogoau2mator-2.png","width":396,"height":86,"caption":"au2mator"},"image":{"@id":"https:\/\/au2mator.com\/de\/#\/schema\/logo\/image\/"},"sameAs":["https:\/\/www.youtube.com\/channel\/UCUdkfOxKtCj0_21WjRv5q-w","https:\/\/www.linkedin.com\/company\/au2mator\/"]},{"@type":"Person","@id":"https:\/\/au2mator.com\/de\/#\/schema\/person\/64bb27dd52011f02a51c74811b8981f3","name":"Michael Seidl","image":{"@type":"ImageObject","inLanguage":"de","@id":"https:\/\/secure.gravatar.com\/avatar\/7bce6d4773dd6e107176aa71ea37cceab7e2f576f2fd6c7606893b0d3206d2e6?s=96&d=mm&r=g","url":"https:\/\/secure.gravatar.com\/avatar\/7bce6d4773dd6e107176aa71ea37cceab7e2f576f2fd6c7606893b0d3206d2e6?s=96&d=mm&r=g","contentUrl":"https:\/\/secure.gravatar.com\/avatar\/7bce6d4773dd6e107176aa71ea37cceab7e2f576f2fd6c7606893b0d3206d2e6?s=96&d=mm&r=g","caption":"Michael Seidl"},"sameAs":["https:\/\/au2mator.com"],"url":"https:\/\/au2mator.com\/de\/blog\/author\/michael-seidl\/"}]}},"_links":{"self":[{"href":"https:\/\/au2mator.com\/de\/wp-json\/wp\/v2\/posts\/2654","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/au2mator.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/au2mator.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/au2mator.com\/de\/wp-json\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/au2mator.com\/de\/wp-json\/wp\/v2\/comments?post=2654"}],"version-history":[{"count":3,"href":"https:\/\/au2mator.com\/de\/wp-json\/wp\/v2\/posts\/2654\/revisions"}],"predecessor-version":[{"id":2676,"href":"https:\/\/au2mator.com\/de\/wp-json\/wp\/v2\/posts\/2654\/revisions\/2676"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/au2mator.com\/de\/wp-json\/wp\/v2\/media\/2659"}],"wp:attachment":[{"href":"https:\/\/au2mator.com\/de\/wp-json\/wp\/v2\/media?parent=2654"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/au2mator.com\/de\/wp-json\/wp\/v2\/categories?post=2654"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/au2mator.com\/de\/wp-json\/wp\/v2\/tags?post=2654"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}