Domain Admins sind die höchste Verwaltungsgruppe einer Windows-Domäne. Wer dieses Recht erlangt, kontrolliert faktisch das gesamte Netz – deshalb ist es das klassische Red-Team-Flag.
Domain Admins sind die Mitglieder der gleichnamigen Sicherheitsgruppe im Active Directory. Sie dürfen praktisch jedes Objekt der Domäne verwalten: Konten anlegen und löschen, Richtlinien ändern, sich auf allen Mitgliedsservern anmelden und auf Domänencontrollern administrieren. In der Praxis bedeutet die Mitgliedschaft die vollständige Kontrolle über das Windows-Netz.
Genau deshalb ist das Erreichen von Domain-Admin-Rechten in fast jedem Red-Team-Einsatz ein zentrales Zwischenziel, oft als eine der vereinbarten Flags. Von hier aus lassen sich die eigentlichen Ziele – etwa Zugriff auf Finanz- oder Backup-Systeme – meist in kurzer Zeit erreichen.
Rolle und verwandte Hochrechte-Gruppen
Neben Domain Admins gibt es weitere hochprivilegierte Gruppen, die oft übersehen werden:
- Enterprise Admins mit Rechten über den gesamten Forest,
- Schema Admins, die das Verzeichnisschema ändern können,
- Backup Operators und Account Operators mit indirekten Wegen zu voller Kontrolle,
- Konten mit lokalen Admin-Rechten auf Domänencontrollern.
Für die Risikobewertung zählt nicht nur die direkte Mitgliedschaft, sondern auch jeder Pfad, der mittelbar dorthin führt.
Bedeutung für Unternehmen
In vielen Organisationen ist die Zahl der Domain Admins über Jahre gewachsen: Dienstleister, Altkonten, als bequem empfundene Dauerberechtigungen. Die CISA-Fallstudie AA23-059A beschreibt, wie ein Red Team bei einer reifen Organisation Domain-Admin-Rechte erreichte, während EDR-Alarme zwar auslösten, aber unbeachtet blieben. Jedes zusätzliche privilegierte Konto vergrößert die Angriffsfläche und den möglichen Schaden eines einzelnen kompromittierten Passworts. Je weniger Konten dieses Recht tragen, desto kleiner ist die Fläche, die ein Angreifer überhaupt ins Visier nehmen kann.
Härtung und Prüfung aus Red-Team-Sicht
Ein Red Team sucht gezielt den kürzesten Weg zu Domain-Admin-Rechten – über Privilege Escalation, Kerberoasting schwacher Dienstkonten oder falsch gesetzte Berechtigungen. Zur Härtung gehören:
- konsequentes Least-Privilege-Prinzip und drastische Reduktion der Domain Admins,
- Tiered-Administration mit getrennten Konten je Schutzebene,
- Privileged Access Workstations für administrative Tätigkeiten,
- keine Anmeldung privilegierter Konten auf gewöhnlichen Arbeitsplätzen,
- engmaschiges Monitoring auf Gruppenänderungen und Anmeldungen privilegierter Konten.
Diese Pfade prüfen wir in unserer Active-Directory-Leistung; wiederkehrende Fehler erklärt der Ratgeber Active Directory: typische Fehler.