Administratorrettigheder
Rettigheder til at ændre opsætning, installere software og styre brugere – på en pc, en server eller i fx Microsoft 365.
Kort svar
Administratorrettigheder giver en bruger lov til at ændre opsætning, installere programmer, oprette brugere og se andres data – på en pc, en server eller i en cloudtjeneste som Microsoft 365. Kommer en angriber eller malware ind på en konto med administratorrettigheder, får de samme kontrol. Derfor anbefaler myndighederne, at rettighederne kun gives efter behov, beskyttes ekstra med MFA og ligger på separate konti, der ikke bruges til daglig mail og browsing.
- Global administratorNæsten fuld kontrol over hele Microsoft 365. Så få som muligt.
- Afgrænsede adminrollerFx kun brugeradministration eller kun Exchange.
- Lokal administratorFuld kontrol over én pc – installere, ændre, slå beskyttelse fra.
- Almindelig brugerKan arbejde, men ikke ændre systemets opsætning.
Hvorfor rettighederne skal begrænses
Sikkerdigital.dk anbefaler at kortlægge, hvem der har administratorrettigheder – også eksterne konsulenter og leverandører – og at begrænse dem så meget som muligt. Rettighederne bør kun tildeles brugere, der har behov for dem, fordi det mindsker risikoen for, at malware inficerer virksomhedens systemer.
Styrelsen for Samfundssikkerhed (SAMSIK) går et skridt videre i Cyberforsvar der virker: Privilegerede rettigheder må kun tildeles konti, der udelukkende bruges til opgaver, som kræver dem. I vejledningen om ransomware står, at administrative konti aldrig skal bruges til dagligdags kontoropgaver, skal være personlige og beskyttes med fx skærpede krav til adgangskoder og flerfaktorgodkendelse.
Separate administratorkonti
Det betyder i praksis, at den, der administrerer, har to konti: én almindelig til mail, Teams og internet og én administratorkonto, der kun bruges, når der skal administreres. Åbner man en phishingmail med sin almindelige konto, får angriberen ikke samtidig adgang til hele virksomhedens opsætning.
Eksempel: Ejeren af et konsulentfirma har hidtil været global administrator på sin egen daglige konto. Efter en gennemgang får hun en almindelig konto til dagligt brug og en separat administratorkonto med MFA, som kun bruges, når der skal oprettes nye medarbejdere.
I Microsoft 365 og Entra ID
Microsoft anbefaler bl.a. følgende for administratorroller i Microsoft Entra ID:
- Mindste rettighed: Giv den mest afgrænsede rolle, der løser opgaven – Microsoft har over 65 indbyggede roller.
- Færre end fem globale administratorer. Rollen giver næsten ubegrænset adgang.
- To nødadgangskonti (“break glass”), der kun bruges, hvis alle andre administratorer er låst ude.
- MFA på alle administratorkonti.
- Regelmæssig gennemgang af, hvem der har roller, så rettigheder ikke hober sig op.
- Tidsbegrænset adgang med Privileged Identity Management (PIM), hvor rollen kun aktiveres efter behov. PIM kræver Microsoft Entra ID P2 eller Entra ID Governance.
Godt at vide: Den, der opretter et nyt Microsoft 365-abonnement, bliver automatisk global administrator. Tjek, om den konto stadig bruges til dagligt.
Lokale administratorrettigheder på pc'en
Mange små virksomheder giver medarbejderne lokale administratorrettigheder, så de selv kan installere programmer. Det er praktisk, men betyder, at alt, hvad brugeren klikker på, kan ændre pc’en. SAMSIK anbefaler, at lokale administratorkonti begrænses og altid har individuelle adgangskoder.
Et alternativ er, at software installeres centralt, fx via Intune, eller at IT giver midlertidig adgang efter behov.
Typiske misforståelser
- “Vi er så få, at alle kan være administrator.” Risikoen afhænger ikke af antal ansatte, men af antal konti, der kan misbruges.
- “Leverandøren skal have fuld adgang altid.” Leverandørkonti bør også kortlægges, beskyttes med MFA og gennemgås – se adgangsstyring.
- “Det er det samme som adgangsrettigheder.” Adgangsrettigheder styrer, hvilke data man må se. Administratorrettigheder styrer, hvem der kan ændre systemet.
Spørgsmål I kan stille
- Hvem har globale administratorrettigheder i vores Microsoft 365 – og hvorfor?
- Bruger administratorerne separate konti, og er de beskyttet med MFA?
- Har medarbejderne lokale administratorrettigheder på deres pc'er?
- Hvilke eksterne leverandører har administrativ adgang, og hvornår blev det sidst gennemgået?
- Fjernes rettighederne, når en medarbejder eller leverandør stopper?
Hvornår giver det mening at få hjælp?
Furesø Data kan gennemgå, hvem der har administratorrettigheder i jeres Microsoft 365 og på jeres pc’er, og hjælpe med at indføre separate konti og MFA. Se Microsoft 365 governance.
Spørgsmål og svar
Hvor ofte skal vi gennemgå administratorrettigheder?
Sikkerdigital.dk anbefaler at gennemgå adgangsrettigheder mindst én gang om året og efter organisationsændringer eller skift af leverandør. Administratorrettigheder bør med fordel gennemgås oftere.
Kilder (tjekket 31. oktober 2026)