EmovatorJamf Partner

Ratgeber

Admin-Rechte auf dem Mac: nur bei Bedarf und nur auf Zeit

Wer auf dem Mac Administrator ist, darf alles: Software installieren, Schutzfunktionen abschalten, Einstellungen ändern. Das ist bequem – und ein Risiko. So nehmen Sie die Rechte weg, ohne dass die Arbeit stockt.

Stand: 23. Oktober 2026 · 7 Min. Lesezeit · Emovator-Team (Jamf Certified Expert)

Die Kurzfassung

  • Standardkonto für alle, ein verwaltetes Administratorkonto nur für die IT.
  • Software kommt aus dem Self Service – dafür braucht niemand Admin-Rechte.
  • Für Ausnahmen gibt es Admin-Rechte auf Zeit: wenige Minuten, mit Begründung und Protokoll.
  • Ab macOS 27 legen Sie zusätzlich fest, welche Programme überhaupt starten dürfen.

Warum dauerhafte Admin-Rechte ein Risiko sind

  • Schadsoftware hat leichtes Spiel: Was mit Admin-Rechten startet, kann sich tief im System einnisten.
  • Schutz lässt sich abschalten: Firewall, Verschlüsselung oder Sicherheitssoftware sind nur so lange sicher, wie niemand sie ausschaltet.
  • Ungeprüfte Software: Programme ohne Freigabe oder Lizenz landen unbemerkt auf dem Mac.
  • Vorgaben werden zur Bitte: Was die IT einstellt, kann ein Admin wieder ändern.

Das Prinzip dahinter heißt minimale Rechte: Jede Person bekommt die Rechte, die sie für ihre Arbeit braucht – nicht mehr. Es gehört zu den Maßnahmen, mit denen Sie personenbezogene Daten angemessen schützen; mehr dazu im Ratgeber Macs DSGVO-konform verwalten.

Was ohne Admin-Rechte weiter geht

Die meisten Admin-Rechte werden für eine einzige Sache gebraucht: Software installieren. Genau das übernimmt die Geräteverwaltung.

  • Freigegebene Apps installieren Mitarbeitende selbst über den Self Service – mit einem Klick.
  • Updates für macOS und verbreitete Programme verteilt die IT automatisch.
  • Drucker, WLAN, VPN und Zertifikate kommen fertig eingerichtet auf den Mac.
  • Fehlt eine App, nimmt die IT sie einmal in den Self Service auf – dann steht sie allen zur Verfügung.

Admin-Rechte auf Zeit

Für seltene Ausnahmen, etwa einen Treiber oder ein Werkzeug für die Entwicklung, gibt es Admin-Rechte auf Zeit. Mit Jamf geht das über Self Service+: Ein Standardkonto wird auf Wunsch kurz zum Administrator, ein Timer läuft in der Menüleiste, danach ist es automatisch wieder ein Standardkonto. Die Funktion gehört zu Jamf Connect und ist damit in Jamf for Mac enthalten. Laut Jamf lässt sich unter anderem festlegen:

  • wie lange die Rechte gelten – voreingestellt sind 5 Minuten
  • wie oft jemand sie pro Monat anfordern darf
  • dass eine Begründung nötig ist, frei oder aus einer Liste; die Begründungen werden auf dem Mac protokolliert
  • wer die Rechte bekommt – nach Gruppen aus dem Identitätsanbieter, etwa Microsoft Entra ID oder Okta
  • wie sich die Person bestätigt: mit dem Firmenkonto, einem Sicherheitsschlüssel oder Touch ID

Eine kostenlose Alternative ist Privileges, eine quelloffene App von SAP: Auch sie vergibt Admin-Rechte auf Zeit und lässt sich über die Geräteverwaltung steuern.

Ab macOS 27: Programme gezielt erlauben

Mit macOS Golden Gate 27 kann die Geräteverwaltung festlegen, welche Apps und Programme – auch Werkzeuge für die Kommandozeile – starten dürfen. Alles andere blockiert macOS selbst. Zusammen mit Standardkonten wird daraus ein wirksamer Schutz: Selbst wenn etwas auf den Mac gelangt, startet es nicht. Mehr dazu im Ratgeber macOS 27 und iOS 27 im Unternehmen.

So stellen Sie um

  1. Bestandsaufnahme

    Wer hat heute Admin-Rechte, und wofür werden sie wirklich gebraucht? Meist bleiben wenige Sonderfälle übrig, etwa in der Entwicklung.

  2. Self Service füllen

    Alle Programme, die bisher selbst installiert wurden, als Apps im Self Service bereitstellen.

  3. Neue Macs als Standardkonto einrichten

    In der automatischen Einrichtung legt Jamf ein verwaltetes Administratorkonto für die IT an; die Mitarbeitenden bekommen Standardkonten.

  4. Bestehende Konten umstellen

    Vorhandene Admin-Konten per Richtlinie zu Standardkonten machen – mit Ankündigung und einem Termin.

  5. Ausnahmen regeln

    Admin-Rechte auf Zeit für die Gruppen freischalten, die sie brauchen, und die Begründungen regelmäßig ansehen.

Tipp: Mit den Mitarbeitenden reden

Die Umstellung klappt am besten, wenn alle wissen, warum sie kommt und wie es danach weitergeht – etwa mit einer kurzen Mail und einem Link zum Self Service.

Häufige Fragen

Können Mitarbeitende ohne Admin-Rechte noch Software installieren?

Ja, alles, was die IT im Self Service freigibt – ohne Admin-Rechte und ohne Ticket.

Brauchen wir dafür ein zusätzliches Produkt?

Nein. Admin-Rechte auf Zeit gehören zu Jamf Connect, und das ist in Jamf for Mac enthalten.

Was ist mit Entwicklern, die ständig Admin-Rechte brauchen?

Für solche Gruppen lassen sich längere Zeiten oder mehr Anfragen pro Monat erlauben. Wichtig ist, dass die Ausnahme bewusst entschieden und dokumentiert ist.

Bremst das die Arbeit aus?

Kaum, wenn der Self Service gut gefüllt ist. Die meisten Mitarbeitenden merken die Umstellung im Alltag gar nicht.

Quellen