Microsoft lijkt Administrator Protection eindelijk klaar te maken voor Windows 11 26H2

Microsoft lijkt opnieuw stappen te zetten richting de definitieve introductie van Administrator Protection in Windows 11. De beveiligingsfunctie moet gebruikers beter beschermen tegen aanvallen waarbij aanvallers proberen misbruik te maken van beheerdersrechten. Volgens de huidige ontwikkelingen ligt een introductie met Windows 11 versie 26H2 later dit jaar voor de hand.

Administrator Protection is overigens geen volledig nieuw concept binnen Windows 11. Microsoft experimenteerde al vanaf eind 2024 met de functie en bracht deze vervolgens geleidelijk naar verschillende Insider Preview-versies. In de maanden daarna werd de werking verder uitgebreid en verfijnd.

De introductie verliep echter allesbehalve soepel. Microsoft besloot eerder om de functie niet langer mee te leveren met Windows 11 25H2, terwijl beveiligingsonderzoekers bovendien verschillende zwakke punten in de toenmalige implementatie aan het licht brachten. De ontwikkeling werd daardoor tijdelijk teruggeschroefd.

Nu lijkt Microsoft opnieuw vertrouwen te hebben in Administrator Protection. Recente testversies van Windows 11 bevatten de functie weer, waardoor een definitieve release met versie 26H2 steeds waarschijnlijker wordt.

Wat is Administrator Protection precies?

Administrator Protection is bedoeld om een veelvoorkomend beveiligingsprobleem binnen Windows aan te pakken: gebruikers die normaal gesproken geen volledige beheerdersrechten nodig hebben, maar voor bepaalde handelingen tijdelijk wel verhoogde rechten moeten krijgen.

In veel Windows-omgevingen werken gebruikers bijvoorbeeld met een standaardaccount. Dat is vanuit beveiligingsoogpunt verstandig, omdat malware of een kwaadaardig programma daarmee niet automatisch volledige toegang tot het systeem krijgt.

In de praktijk hebben sommige programma's echter incidenteel administratorrechten nodig. Denk bijvoorbeeld aan bepaalde installatieprogramma's, systeemconfiguraties of applicaties die wijzigingen aanbrengen die alleen met verhoogde rechten kunnen worden uitgevoerd.

Daar ontstaat een dilemma.

Geef je een gebruiker permanent administratorrechten, dan wordt het systeem aanzienlijk kwetsbaarder. Een kwaadaardig programma dat onder die gebruikerscontext draait, kan dan mogelijk veel grotere schade aanrichten.

Houd je de gebruiker volledig beperkt, dan kunnen legitieme werkzaamheden juist onnodig ingewikkeld worden en moet een IT-beheerder regelmatig handmatig ingrijpen.

Administrator Protection probeert precies tussen die twee situaties in te gaan zitten.

Tijdelijk administratorrechten in plaats van permanent

Het belangrijkste uitgangspunt van Administrator Protection is dat verhoogde rechten alleen worden verstrekt wanneer ze daadwerkelijk nodig zijn.

Microsoft omschrijft dit als just-in-time privilege elevation. Een gebruiker krijgt dus niet permanent een administratorprofiel waarmee alle processen onbeperkt verhoogde rechten kunnen gebruiken.

Wanneer een toepassing administratorrechten nodig heeft, moet de gebruiker zich bovendien opnieuw authenticeren met Windows Hello.

Dat kan bijvoorbeeld via een pincode, biometrische authenticatie of een andere Windows Hello-methode, afhankelijk van de configuratie van het apparaat.

Het idee daarachter is belangrijk: het feit dat een programma om administratorrechten vraagt, is op zichzelf niet voldoende. De gebruiker moet expliciet bevestigen dat de verhoging mag plaatsvinden.

Een afzonderlijk, tijdelijk beveiligingsmechanisme

De werking van Administrator Protection gaat verder dan alleen het tonen van een UAC-melding.

Wanneer de gebruiker de benodigde authenticatie succesvol uitvoert, gebruikt Windows een verborgen, door het systeem gegenereerd en van het normale gebruikersprofiel gescheiden accountmechanisme om een geïsoleerde administrator-token te creëren.

Die token wordt vervolgens beschikbaar gesteld aan het proces dat de verhoogde rechten nodig heeft.

Het belangrijke verschil met traditioneel werken met een administratoraccount is dat deze verhoogde rechten niet simpelweg permanent aan de gebruiker worden gekoppeld.

Zodra het betreffende proces wordt beëindigd, wordt de tijdelijke administrator-token vernietigd.

Daarmee probeert Microsoft het tijdsvenster waarin verhoogde rechten beschikbaar zijn zo klein mogelijk te houden.

Waarom is dat belangrijk?

Stel dat een gebruiker een programma start dat administratorrechten nodig heeft. Bij een traditioneel administratoraccount kan het proces gedurende de hele sessie onder een krachtige beveiligingscontext draaien.

Dat vergroot de mogelijke impact van een kwetsbaarheid.

Bij Administrator Protection is het uitgangspunt anders:

normale werkzaamheden → geen administratorrechten

legitieme verhoging nodig → Windows Hello-authenticatie

tijdelijke administrator-token → proces kan verhoogde handeling uitvoeren

proces beëindigd → tijdelijke token verdwijnt

Het is daarmee vooral een poging om het principe van minimale rechten praktisch toepasbaar te maken zonder gebruikers volledig te blokkeren.

Niet iedere applicatie zal hiermee probleemloos werken

Die aanpak heeft echter ook consequenties.

Programma's die ervan uitgaan dat ze permanent toegang hebben tot een verhoogde administratoromgeving, kunnen onverwacht gedrag vertonen.

Een applicatie die bijvoorbeeld voortdurend afhankelijk is van administratorrechten en die rechten gedurende een volledige sessie nodig heeft, past minder goed bij het model van tijdelijke privilege elevation.

Administrator Protection is daarom niet simpelweg een vervanging voor ieder bestaand administratoraccount. Organisaties zullen moeten beoordelen welke applicaties en workflows daadwerkelijk geschikt zijn voor deze beveiligingsmethode.

Dat is vooral relevant voor bedrijven met oudere software of gespecialiseerde applicaties die historisch gezien met ruime Windows-rechten zijn ontwikkeld.

Microsoft trok de introductie eerder terug

Dat Administrator Protection nu opnieuw in testversies verschijnt, betekent niet dat Microsoft het oorspronkelijke ontwerp zonder wijzigingen heeft voortgezet.

De functie werd eerder nadrukkelijk getest binnen Windows Insider-builds. Microsoft werkte daarbij aan verschillende onderdelen van de gebruikerservaring en het beveiligingsmodel.

Toch besloot het bedrijf uiteindelijk om Administrator Protection niet als onderdeel van Windows 11 25H2 uit te rollen.

Daarmee werd de geplande introductie uitgesteld.

Een belangrijke reden om voorzichtig te zijn, is dat beveiligingsfuncties van dit type zelf zeer zorgvuldig moeten worden geïmplementeerd. Een mechanisme dat bedoeld is om privilege escalation te beperken, mag niet tegelijkertijd nieuwe mogelijkheden creëren waarmee een aanvaller die beveiliging kan omzeilen.

Beveiligingsonderzoekers van Google Project Zero wezen eerder op problemen in de implementatie. Dat maakte duidelijk dat Microsoft nog werk te verrichten had voordat Administrator Protection breed beschikbaar kon worden gesteld.

Nieuwe ontwikkelingen wijzen opnieuw op een release

Inmiddels lijkt de situatie veranderd.

Microsoft heeft Administrator Protection opnieuw opgenomen in recente Windows 11-testversies. De functie kwam onder meer terug in de optionele preview-update van augustus 2026 en is vervolgens ook opgedoken in een nieuwere Release Preview-update, gekoppeld aan build 28000.3079.

Dat is een belangrijk signaal.

Een functie die de Release Preview-fase bereikt, bevindt zich doorgaans aanzienlijk dichter bij een daadwerkelijke publieke release dan functionaliteit die uitsluitend in vroege Insider-builds wordt getest.

Dat betekent nog steeds niet dat een definitieve release gegarandeerd is. Microsoft kan functies op het laatste moment aanpassen, uitstellen of opnieuw uitschakelen wanneer tijdens de laatste testfase problemen worden gevonden.

Maar als de ontwikkeling zonder nieuwe grote problemen verloopt, lijkt Windows 11 26H2 momenteel een logische kandidaat voor de definitieve introductie.

Administrator Protection staat nog niet standaard aan

Een belangrijk detail is dat Administrator Protection in de huidige testimplementaties niet automatisch voor iedereen wordt ingeschakeld.

De functie moet momenteel door een beheerder worden geactiveerd.

Dat is begrijpelijk, aangezien Microsoft de technologie nog verder test en organisaties eerst moeten kunnen bepalen of de nieuwe beveiligingsaanpak geschikt is voor hun omgeving.

Er zijn verschillende manieren om Administrator Protection binnen beheerde Windows-omgevingen te configureren. Daarbij wordt onder meer gebruikgemaakt van beheermechanismen zoals Microsoft Intune, OMA-URI, Configuration Service Providers (CSP) en Group Policy.

Ook worden er configuratiemogelijkheden via de Windows-instellingen getest.

Voor zakelijke omgevingen betekent dit dat systeembeheerders Administrator Protection gecontroleerd kunnen invoeren in plaats van de functie zonder voorbereiding op alle apparaten te activeren.

Vooral interessant voor zakelijke Windows-omgevingen

Administrator Protection is in het bijzonder interessant voor organisaties die gebruikers met standaardrechten willen laten werken.

Dat beveiligingsmodel wordt steeds belangrijker. Een aanvaller die erin slaagt malware op een computer uit te voeren, heeft aanzienlijk minder mogelijkheden wanneer die malware slechts over de rechten van een standaardgebruiker beschikt.

Het verkrijgen van administratorrechten kan vervolgens een belangrijke stap zijn in een aanval.

Door dergelijke rechten niet permanent beschikbaar te maken, probeert Microsoft de mogelijkheden voor privilege-escalatie te beperken.

Daarmee kan Administrator Protection een aanvulling worden op andere beveiligingsmaatregelen zoals Microsoft Defender, Windows Hello, applicatiebeheer, endpoint security en centrale apparaatbeheersystemen.

Het is dus nadrukkelijk geen afzonderlijke oplossing die alle Windows-beveiligingsproblemen wegneemt.

Geen formele security boundary

Microsoft benadrukt bovendien een belangrijk technisch onderscheid: Administrator Protection moet niet worden beschouwd als een formele beveiligingsgrens.

Dat betekent dat de functie niet moet worden geïnterpreteerd alsof zij een absoluut ondoordringbare scheiding creëert tussen twee volledig onafhankelijke beveiligingsomgevingen.

Het doel is vooral om de beveiligingsarchitectuur van Windows verder te verharden.

De scheiding tussen het normale gebruikersprofiel en de tijdelijke verhoogde administratorcontext moet het voor aanvallers moeilijker maken om misbruik te maken van administratorrechten.

Dat is een subtiel maar belangrijk verschil.

Administrator Protection is dus vooral een verdedigingslaag tegen aanvallen waarbij misbruik wordt gemaakt van verhoogde rechten, en geen garantie dat een systeem onmogelijk kan worden gecompromitteerd.

Waarom Microsoft hier zoveel tijd voor nodig heeft

De lange ontwikkeltijd van Administrator Protection is vanuit beveiligingsperspectief goed te verklaren.

Het veranderen van de manier waarop Windows administratorrechten uitgeeft, raakt namelijk een groot aantal onderdelen van het besturingssysteem.

Microsoft moet niet alleen zorgen dat de beveiligingsarchitectuur klopt, maar ook dat:

• bestaande Windows-applicaties blijven functioneren;
• installatieprogramma's correct blijven werken;
• bedrijfssoftware niet onverwacht wordt geblokkeerd;
• beheer op afstand mogelijk blijft;
• Windows Hello betrouwbaar kan worden gebruikt;
• privilege elevation niet eenvoudig kan worden misbruikt;
• gebruikers begrijpen wanneer en waarom authenticatie nodig is;
• beheerders de functie centraal kunnen configureren;
• en beveiligingsonderzoekers geen nieuwe eenvoudige omzeilingen kunnen aantonen.

Een fout in zo'n mechanisme kan immers grotere gevolgen hebben dan een gewone gebruikersinterfacebug.

Een belangrijke verandering in het Windows-beveiligingsmodel

Als Microsoft Administrator Protection uiteindelijk breed uitrolt, kan de functie een interessante verandering betekenen in de manier waarop Windows met administratorrechten omgaat.

Het traditionele model waarbij gebruikers óf standaardgebruiker óf administrator zijn, wordt daarmee verder aangevuld met een dynamischer model:

normaal gesproken beperkte rechten, maar tijdelijk verhoogde rechten wanneer daar een gerechtvaardigde reden voor bestaat.

Dat sluit goed aan bij het bredere beveiligingsprincipe van least privilege: geef gebruikers en processen niet meer rechten dan noodzakelijk is, en geef aanvullende rechten alleen wanneer dat nodig is.

Windows heeft al langer mechanismen om gebruikers tegen onbedoelde privilege elevation te beschermen, maar Administrator Protection probeert dat concept verder door te voeren met een aparte, tijdelijke administratorcontext en verplichte Windows Hello-authenticatie.

Wat betekent dit voor gewone Windows 11-gebruikers?

Voor thuisgebruikers zal de verandering waarschijnlijk minder spectaculair lijken dan voor zakelijke gebruikers.

Wanneer Administrator Protection eenmaal breed beschikbaar komt en door een gebruiker of beheerder wordt geactiveerd, kan het vooral betekenen dat Windows bij bepaalde acties explicieter om authenticatie vraagt.

Dat kan aanvankelijk zelfs als een extra stap worden ervaren.

Vanuit beveiligingsperspectief is dat echter juist de bedoeling. Een gebruiker moet bewust bevestigen dat een programma verhoogde rechten mag krijgen.

Voor organisaties kan het effect veel groter zijn, omdat IT-afdelingen hiermee een extra mogelijkheid krijgen om gebruikers zonder permanente administratorrechten te laten werken terwijl bepaalde vertrouwde taken toch uitvoerbaar blijven.

Voorzichtig optimisme richting Windows 11 26H2

De terugkeer van Administrator Protection naar recente preview-builds is in ieder geval een duidelijk teken dat Microsoft de ontwikkeling niet heeft opgegeven.

Integendeel: na het eerdere uitstel lijkt het bedrijf de functie opnieuw richting een daadwerkelijke release te bewegen.

De aanwezigheid in de Release Preview-fase maakt een introductie in Windows 11 26H2 aannemelijk, al blijft de uiteindelijke beslissing afhankelijk van de resultaten van de laatste tests.

Microsoft zal daarbij vooral moeten aantonen dat de huidige implementatie niet alleen praktisch bruikbaar is, maar ook bestand is tegen nieuwe pogingen om de beveiligingsmaatregelen te omzeilen.

Als dat lukt, kan Administrator Protection uitgroeien tot een belangrijke aanvullende beveiligingslaag voor Windows 11 — vooral in organisaties waar gebruikers dagelijks met standaardrechten werken, maar incidenteel toch verhoogde rechten nodig hebben.

De kern van het systeem is uiteindelijk eenvoudig: administratorrechten hoeven niet permanent aanwezig te zijn. Windows kan ze beschikbaar stellen op het moment dat ze nodig zijn, de gebruiker eerst opnieuw laten authenticeren en de verhoogde token daarna weer vernietigen.

Dat maakt Administrator Protection geen wondermiddel en ook geen volledige beveiligingsgrens, maar het kan wel een belangrijke stap zijn richting een Windows-omgeving waarin permanente administratorrechten steeds minder noodzakelijk worden.

Door: Drifter