Effektiv wohl gar nicht. Der (Domänen-)admin hat immer die Möglichkeit den Besitz von Objekten zu übernehmen. Was ich nicht weiß ist, ob sich hier eventuell mit Verschlüsselung etwas realisieren lässt.
Da bietet sich eine Liveverschlüsselung wie LanCrypt oder Boxcryptor an.
Die Zertifikate müssen dann vom IT-Sicherheitsbeauftragen verwaltet werden.
Viel Aufwand, einiges wird dadurch schwieriger, aber manchmal gefordert und wohl die einzige Lösung.
