Active Directory ist der zentrale Verzeichnisdienst in Windows-Netzen: Er verwaltet Benutzer, Computer und Rechte – und ist damit das bevorzugte Ziel fast jedes Angreifers.
Active Directory (AD) ist der Verzeichnisdienst von Microsoft, der in den meisten Unternehmensnetzen Identitäten, Computer, Gruppen und Berechtigungen zentral verwaltet. Wer sich morgens am Arbeitsplatz anmeldet, wird von einem Domänencontroller geprüft; welche Freigaben, Drucker und Anwendungen danach erreichbar sind, entscheidet die Mitgliedschaft in AD-Gruppen. Das Verzeichnis ist damit die Vertrauensbasis des gesamten Netzes.
Genau diese zentrale Rolle macht AD für Angreifer so attraktiv. Wer die Domäne kontrolliert, kontrolliert praktisch jedes angeschlossene System. In Red-Team-Einsätzen ist die Übernahme der Domäne deshalb fast immer ein Zwischenziel auf dem Weg zu den eigentlichen Zielen, den vereinbarten Flags.
Aufbau und Funktionsweise
AD gliedert eine Organisation in eine oder mehrere Domänen, die zu einem Forest (Gesamtstruktur) zusammengefasst sind. Herzstück sind die Domänencontroller, die die Datenbank mit allen Objekten halten und Anmeldungen über Kerberos und das ältere NTLM beantworten. Zentrale Bausteine:
- Organisationseinheiten (OUs) zur Strukturierung von Objekten,
- Gruppenrichtlinien zur zentralen Konfiguration von Rechnern und Konten,
- Sicherheitsgruppen wie Domain Admins oder Enterprise Admins mit weitreichenden Rechten,
- Dienstkonten für Anwendungen und Dienste.
Bedeutung für Unternehmen
Die meisten über Jahre gewachsenen AD-Umgebungen tragen Altlasten: verschachtelte Gruppen, vergessene Konten mit hohen Rechten, uneinheitliche Delegationen. Die CISA-Fallstudie AA23-059A beschreibt einen dreimonatigen Test bei einer als reif geltenden Organisation, bei dem das Red Team Domain-Admin-Rechte erreichte – unter anderem, weil das Passwort des zentralen krbtgt-Kontos über zehn Jahre nicht gewechselt worden war und lokale Admin-Rechte zu breit verteilt waren. Für Entscheider heißt das: AD ist kein einmaliges Projekt, sondern eine Umgebung, deren Angriffsfläche kontinuierlich gepflegt werden muss.
Härtung und Prüfung aus Red-Team-Sicht
Ein Red Team bewertet AD entlang typischer Angriffspfade – von einem einfachen Benutzerkonto bis zur Domänenübernahme. Geprüft werden unter anderem Kerberoasting auf schwache Dienstkonto-Passwörter, Pass-the-Hash, ungesicherte Delegationen und Fehlkonfigurationen in Gruppenrichtlinien. Zur Härtung gehören:
- regelmäßige Rotation des krbtgt-Kontos (zweifach, mit Pause) und starker Dienstkonto-Passwörter,
- Tiered-Administration: getrennte Konten für Arbeitsplatz-, Server- und Domänenebene,
- Entfernen lokaler Admin-Rechte und Einsatz von LAPS für lokale Administratorpasswörter,
- Monitoring auf verdächtige Kerberos-Tickets und Replikationsvorgänge,
- wiederkehrende Angriffssimulationen im Rahmen unserer Active-Directory-Prüfung oder eines Assumed-Breach-Einsatzes.
Mehr zu wiederkehrenden Schwachstellen lesen Sie im Ratgeber Active Directory: typische Fehler.