Lokale beheerdersrechten op laptops: waarom het MKB die weghaalt

Waarom “iedereen beheerder” zo vaak blijft hangen

Het begint praktisch: de laptop komt binnen, er moet snel een printerstuurprogramma of een boekhoudtool op, en de makkelijkste weg is de medewerker beheerder maken. Daarna denkt niemand er nog aan. Het resultaat is een kantoor waarin iedere gebruiker software kan installeren, de virusscanner kan pauzeren en lokale accounts kan aanmaken.

Dat is niet alleen een risico bij kwade opzet. Een phishingbijlage of nep-update draait met de rechten van wie hem opent. Is dat een standaardgebruiker, dan stuit veel schadelijke software op een muur. Is dat een beheerder, dan heeft de aanvaller meteen de hele laptop — inclusief opgeslagen sessies, lokale bestanden en de mogelijkheid om sporen te wissen.

Wat u ermee wint

Standaardgebruikers maken drie dingen beter. Malware krijgt minder grip. Laptops blijven gelijk ingericht, waardoor support sneller helpt en apparaatnaleving en BitLocker niet stilletjes door een gebruiker worden uitgezet. En u weet welke software er echt draait, wat telt bij licenties en bij vragen uit de keten, zoals NIS2.

De angst is altijd dezelfde: “dan kan niemand meer werken.” In de praktijk installeren de meeste medewerkers zelden iets. Wat ze nodig hebben, kan via een vaste softwarelijst of een korte ticketroute binnen dezelfde dag.

Wat u deze maand regelt

Houd de eerste stap klein genoeg om echt uit te voeren:

• inventariseer wie nu lokale beheerder is, per laptop;
• maak een vaste lijst met standaardsoftware die via Microsoft Intune of de beheerder wordt uitgerold;
• zet nieuwe en heringerichte laptops standaard op een gebruiker zonder beheerdersrechten;
• zet Windows LAPS aan, zodat het lokale beheerdersaccount per apparaat een uniek wachtwoord krijgt dat in de tenant wordt bewaard en automatisch wisselt;
• spreek een uitzonderingsroute af: wie mag tijdelijk beheerdersrechten krijgen, voor hoe lang, en wie keurt dat goed.

Wat u niet op dag één doet: alle bestaande laptops tegelijk omzetten zonder softwarelijst, of ontwikkelaars en technici dezelfde regels opleggen als de administratie zonder te praten over hun werk. Begin met een pilotgroep, los de eerste verzoeken op, en rol dan breder uit.

Windows LAPS: geen gedeeld beheerderswachtwoord meer

Veel MKB-omgevingen hebben één lokaal beheerderswachtwoord dat op alle laptops hetzelfde is, soms al jaren. Lekt dat wachtwoord uit op één apparaat, dan werkt het op alle apparaten. Windows LAPS lost dat op: elk apparaat krijgt een eigen wachtwoord, dat wordt opgeslagen in Microsoft Entra ID (voorheen Azure Active Directory) en na gebruik of op een vast moment wisselt. Support haalt het op wanneer het echt nodig is, en dat inzien wordt gelogd.

Dit hoort bij hetzelfde verhaal als wachtwoordmanagers en passkeys: geen gedeelde geheimen op briefjes of in een spreadsheet, wel een vast pad als iemand vertrekt of een apparaat uitvalt.

Hoe Floor ICT dit uitrolt — en wat u beslist

Floor ICT inventariseert de huidige beheerdersrechten, richt de softwarelijst en uitrol via Microsoft Intune in, zet Windows LAPS aan, en zet laptops in fases om naar standaardgebruikers. Softwareverzoeken lopen daarna via het ticketportaal, zodat er een spoor is van wat waarom is geïnstalleerd.

U beslist welke functies een uitzondering krijgen, hoe snel een softwareverzoek moet worden opgepakt, en of tijdelijke beheerdersrechten mogen. Techniek zonder afspraken levert boze medewerkers op; afspraken zonder techniek blijven een voornemen.