Ein Golden Ticket ist ein gefälschtes Kerberos-Ticket, mit dem ein Angreifer nach Diebstahl des krbtgt-Schlüssels beliebige Identitäten annimmt und dauerhaft volle Domänenrechte behält.
Ein Golden Ticket ist ein vom Angreifer selbst erzeugtes, gefälschtes Kerberos-Ticket, das volle Domänenrechte verleiht. Möglich wird es, wenn der Angreifer an den geheimen Schlüssel des Kontos krbtgt gelangt – jenes Konto, mit dem ein Domänencontroller alle Kerberos-Tickets signiert. Wer diesen Schlüssel besitzt, kann sich Tickets für jede beliebige Identität ausstellen, inklusive nicht existierender Konten und beliebiger Gruppenmitgliedschaften. Der Domänencontroller akzeptiert sie, weil sie korrekt signiert sind. Das Golden Ticket ist damit kein Diebstahl eines Zugangs, sondern die Fähigkeit, Zugänge nach Belieben zu erschaffen.
In MITRE ATT&CK ist die Technik als „Steal or Forge Kerberos Tickets: Golden Ticket“ (T1558.001) erfasst. Die verwandte Variante Silver Ticket fälscht Tickets für einen einzelnen Dienst und ist dadurch begrenzter, aber ähnlich schwer zu erkennen. Ein Golden Ticket setzt voraus, dass die Domäne bereits vollständig kompromittiert ist – es ist kein Einstiegs-, sondern ein Persistence-Werkzeug.
So funktioniert es
- Vollständige Kompromittierung: Der Angreifer erlangt zunächst Domänen-Admin-Rechte oder direkten Zugriff auf einen Domänencontroller.
- krbtgt-Schlüssel stehlen: Über Techniken wie das Replizieren von Verzeichnisdaten (DCSync) extrahiert er den Hash des krbtgt-Kontos.
- Ticket fälschen: Mit dem Schlüssel erzeugt er offline ein Ticket, das ihn etwa als Domänen-Admin ausweist – mit frei wählbarer, oft sehr langer Gültigkeit.
- Dauerhaft zurückkehren: Solange der krbtgt-Schlüssel gültig ist, kann der Angreifer sich jederzeit neue Tickets ausstellen – auch nachdem einzelne Konten zurückgesetzt und Rechner neu aufgesetzt wurden.
Das macht das Golden Ticket zu einem der hartnäckigsten Persistence-Mechanismen überhaupt: Es überlebt gewöhnliche Bereinigungsmaßnahmen vollständig.
Bedeutung für Unternehmen
Für die Incident Response ist das Golden Ticket ein Albtraum, weil es die übliche Annahme untergräbt, nach dem Zurücksetzen der betroffenen Konten sei der Angreifer draußen. Entscheidend ist das Detail der Bereinigung: Der krbtgt-Schlüssel muss zweimal zurückgesetzt werden – ein einmaliges Zurücksetzen lässt aus technischen Gründen alte Tickets gültig. Die CISA-Red-Team-Advisory AA23-059A beschreibt, dass das krbtgt-Passwort in einer untersuchten Organisation über zehn Jahre unverändert war – ein Idealfall für diese Technik.
Für Entscheider bedeutet das: Die Wiederherstellung nach einer Domänenkompromittierung ist ein eigenes, anspruchsvolles Projekt. In unseren Active-Directory-Einsätzen zeigen wir kontrolliert, welche Konsequenzen ein kompromittierter krbtgt-Schlüssel hat und wie eine saubere Wiederherstellung aussieht.
Schutz und Prüfung
- krbtgt regelmäßig rotieren: Das krbtgt-Passwort planmäßig und nach jedem Verdacht einer Domänenkompromittierung zweimal im korrekten Abstand zurücksetzen.
- Domänencontroller besonders schützen: Minimale Administratorenzahl, getrennte Admin-Arbeitsplätze, strenge Überwachung – die Kompromittierung eines DC ist die Voraussetzung für das Golden Ticket.
- DCSync erkennen: Replikationsanfragen von Konten, die keine Domänencontroller sind, als hochpriorisierten Alarm im SIEM hinterlegen.
- Tickets prüfen: Ungewöhnlich lange Ticket-Laufzeiten und Tickets ohne zugehörige Anmeldung als Indikatoren überwachen.
- Wiederherstellung planen: Einen getesteten Plan für die Wiederherstellung des Active Directory vorhalten – mehr zu den zugrunde liegenden Fehlern im Ratgeber zu typischen AD-Fehlern.