Lokale beheerrechten op Windows-werkplekken zijn een van de meest misbruikte aanvalsvectoren bij ransomware en datalekken. Endpoint Privilege Management (EPM) in Intune lost het dilemma op: medewerkers draaien als standaardgebruiker maar kunnen specifieke taken verhoogd uitvoeren via een beheerd en volledig geaudit proces. Vanaf 1 juli 2026 zit EPM inbegrepen in Microsoft 365 E5.
Lokale beheerder. Het zijn twee woorden die in veel Windows-omgevingen synoniem staan met productiviteit en met het grootste aanvalsoppervlak op een werkplek. Wie lokale adminrechten heeft, kan software installeren, systeeminstellingen wijzigen, beveiligingssoftware uitschakelen en zich na een initiële compromittatie zijdelings door een netwerk bewegen. Toch geven veel IT-teams medewerkers nog steeds lokale beheerrechten, simpelweg omdat taken als het installeren van een driver, het updaten van zakelijke software of het uitvoeren van bepaalde diagnostieken anders niet werken.
Met Endpoint Privilege Management (EPM) in Microsoft Intune bestaat er een antwoord op dit dilemma. Gebruikers draaien als standaardgebruiker maar kunnen via een beheerd en volledig geaudit proces specifieke taken met beheerdersrechten uitvoeren. Geen permanente adminrechten, geen lokale beheerdersgroep, wel de operationele ruimte die medewerkers nodig hebben. Vanaf 1 juli 2026 zit EPM inbegrepen in Microsoft 365 E5, wat de drempel om het in te zetten aanzienlijk verlaagt.
De meeste succesvolle ransomware-aanvallen beginnen bij een gecompromitteerd endpoint. Zodra een aanvaller toegang heeft, bepaalt wat het account mag hoe groot de schade wordt. Met lokale adminrechten kan de aanvaller beveiligingssoftware uitschakelen, wachtwoord-hashes uit het geheugen halen, persistentie inbouwen via registersleutels en scheduled tasks, en bestanden versleutelen of exfiltreren zonder dat centraal beleid ingrijpt.
Het principe van minimale rechten schrijft voor dat iedere gebruiker uitsluitend de rechten heeft die nodig zijn voor de specifieke taak. In de praktijk schuurt dat principe tegen productiviteitseisen. Helpdesk-medewerkers werden lokale beheerder gemaakt omdat ze anders klant-software niet konden installeren. Financiële medewerkers kregen rechten omdat boekhoudpakketten bepaalde systeempaden moesten schrijven. Het resultaat is dat een groot deel van Windows-apparaten jarenlang met overbodige privileges heeft gedraaid, en dat risico is gecumuleerd.
EPM verplaatst de beslissing over elevated rights van het apparaat naar een centraal beleid in Intune. De IT-beheerder definieert elevatiebeleidsregels die vastleggen welke applicaties of processen mogen worden verhoogd, via welke modus dat gebeurt, en wie een verzoek mag indienen. De EPM-agent wordt automatisch geïnstalleerd op Windows-apparaten die een EPM-policy ontvangen vanuit Intune, zonder handmatige agent-uitrol.
Elke elevatie wordt vastgelegd: welk proces, welk account, op welk apparaat, op welk tijdstip, en of het een automatische verhoging was of op verzoek. Die auditdata is beschikbaar in het Intune Endpoint Analytics-dashboard en kan via Purview worden bewaard voor compliance-doeleinden. Organisaties die moeten voldoen aan ISO 27001, NEN 7510 of soortgelijke kaders hebben zo direct aantoonbare controle over privilege-gebruik.
EPM biedt drie manieren om elevatie te beheren, elk geschikt voor een andere situatie.
Automatische elevatie is de meest transparante modus voor eindgebruikers. U definieert een applicatie of proces in de elevatiebeleidsregel, en elke keer dat het wordt gestart, krijgt het automatisch verhoogde rechten zonder dat de gebruiker iets hoeft te doen. Dit is geschikt voor bekende zakelijke software die altijd adminrechten nodig heeft, zoals bepaalde netwerk-diagnostieken of configuratiescripts die vanuit de IT-afdeling worden beheerd. De gebruiker merkt er niets van; de controle ligt volledig bij de IT-beheerder.
Gebruikersverzoek-elevatie vereist dat de medewerker expliciet aangeeft dat hij een taak verhoogd wil uitvoeren. Via een rechtsklik of via de Windows Security Center-app vraagt de gebruiker een elevatie aan. Als het verzoek overeenkomt met een bestaande beleidsregel, wordt het direct toegestaan zonder goedkeuring van de helpdesk. De actie wordt volledig geaudit. Dit is de meest gebruikte modus voor eenmalige of onregelmatige taken.
Support-goedgekeurde elevatie is de strengste variant en is bedoeld voor taken die buiten de standaardbeleidsregels vallen. De medewerker dient via de Windows Security Center-app een verzoek in, beschrijft waarvoor de elevatie nodig is, en een helpdeskmedewerker keurt het verzoek goed of af in het Intune-portaal. Pas na goedkeuring krijgt de gebruiker een tijdelijke verhoogde sessie. Dit schept een volledig traceerbaar goedkeuringsproces voor uitzonderingssituaties.
In juni 2026 zijn twee EPM-functies naar algemene beschikbaarheid gegaan die specifiek relevant zijn voor omgevingen met gedeelde Windows-apparaten. Ten eerste werkt support-goedgekeurde elevatie nu voor niet-primaire gebruikers. In situaties waar meerdere medewerkers hetzelfde apparaat gebruiken, zoals in de zorg, logistiek of retail, kon voorheen alleen de primaire gebruiker een goedkeuringsverzoek indienen. Nu kan elke ingelogde gebruiker een verzoek sturen dat via het normale goedkeuringsproces verloopt.
Ten tweede ondersteunt EPM nu volledig shared device-configuraties in Intune. Elevatiebeleidsregels zijn apparaatgebonden in plaats van gebruikersgebonden, en de goedkeuringsworkflow koppelt aan de gebruiker die op dat moment is ingelogd. Organisaties die één pool van Windows-apparaten beheren voor roulerende medewerkers, kunnen EPM nu inzetten zonder per-gebruiker policies op te bouwen.
Tot 1 juli 2026 was EPM onderdeel van de betaalde Intune Suite-add-on, een aanvulling die los moest worden afgenomen bovenop een bestaand Microsoft 365-abonnement. Vanaf die datum maakt EPM deel uit van Microsoft 365 E5 zonder meerkosten voor bestaande E5-klanten. E5-klanten die EPM nog niet hebben ingezet, kunnen direct aan de slag: er is geen nieuwe licentietoewijzing nodig. De EPM-functionaliteit is automatisch beschikbaar zodra u een EPM-policy aanmaakt in het Intune-portaal.
Voor organisaties op Microsoft 365 E3 blijft EPM beschikbaar via de Intune Suite-add-on, die naast EPM ook Remote Help, Advanced Analytics en Microsoft Tunnel for Mobile Application Management bevat. Wie de volledige Suite al heeft, heeft geen extra actie nodig. Wie uitsluitend EPM wil activeren zonder de overige Suite-functies, kan de add-on afnemen per gebruiker.
Een EPM-implementatie verloopt in vier stappen. Eerste stap: stel in het Intune-portaal de Windows elevation settings-policy in. Hierin bepaalt u of EPM actief is voor de geselecteerde apparaatgroepen en of standaard-elevatieverzoeken zijn toegestaan of uitgeschakeld. Wijs de policy toe aan de juiste Entra-apparaatgroepen.
Tweede stap: maak elevatiebeleidsregels aan. Een elevatiebeleidsregel koppelt een specifiek uitvoerbaar bestand aan een elevatiemodus en bevat authenticatiecriteria zoals de bestandshash of het certificaat van de applicatie. Zo kunt u uitsluitend de goedgekeurde versie van een tool verhogen, niet elke willekeurige executable.
Derde stap: wijs de policies toe aan apparaatgroepen. De EPM-agent installeert automatisch op Windows-apparaten die de policy ontvangen. Controleer via de Intune-console of de agent succesvol is geïnstalleerd en de policy is toegepast voordat u doorgaat.
Vierde stap: monitor via het Endpoint Analytics-dashboard welke elevatieverzoeken zijn ingediend, goedgekeurd of geweigerd. Die data helpt u het beleid te verfijnen. Veelvoorkomende verzoeken voor taken die nog niet zijn gedekt, kunnen snel worden omgezet naar een automatische elevatiebeleidsregel, waardoor de helpdeskdruk verder daalt.
Het is verstandig te beginnen met een pilotgroep, bij voorkeur het IT-team zelf, om de workflow te testen en de beleidsregels te kalibreren voordat u uitrolt naar de bredere organisatie. Wilt u hulp bij het ontwerpen van een EPM-implementatieplan, het opzetten van elevatiebeleidsregels of het migreren van lokale adminrechten naar een least-privilege model? Neem contact op met Zarioh voor een praktisch gesprek.
Was dit artikel nuttig?
Zarioh Digital Solutions
IT-specialisten uit Utrecht. Wij helpen bedrijven door heel Nederland met Microsoft 365, AI agents, hosting en telefonie — en delen hier wekelijks wat we in de praktijk tegenkomen. Volg ons op LinkedIn
Ontvang nieuwe artikelen direct in je inbox.
Geen spam. Afmelden kan altijd.
Security
Security
Security
