Kerberoasting

Kerberoasting erlaubt es, mit einem normalen Domänenkonto Tickets für Dienstkonten anzufordern und deren Passwörter offline zu knacken – eine häufige Abkürzung zu höheren Rechten.

Kerberoasting ist eine Angriffstechnik gegen das Kerberos-Protokoll im Active Directory. Sie nutzt eine Eigenschaft aus, die für den normalen Betrieb gedacht ist: Jedes authentifizierte Domänenkonto darf ein Service-Ticket für einen Dienst anfordern, der über einen sogenannten Service Principal Name (SPN) registriert ist. Dieses Ticket ist mit dem Passwort-Hash des zugehörigen Dienstkontos verschlüsselt. Der Angreifer fordert das Ticket an, nimmt es mit und versucht offline – also ohne weitere Interaktion mit der Domäne und ohne Sperren auszulösen –, das Passwort zu knacken.

Der entscheidende Punkt: Für den ersten Schritt genügt ein ganz normales, nicht privilegiertes Konto. Damit ist Kerberoasting eine der beliebtesten Techniken zur Rechteausweitung. In MITRE ATT&CK ist sie unter „Steal or Forge Kerberos Tickets: Kerberoasting“ (T1558.003) in der Taktik Credential Access erfasst.

So funktioniert es

1. Dienstkonten finden: Mit einem Standardkonto lassen sich alle Konten mit einem SPN abfragen – oft eine überschaubare, aber lohnende Liste.
2. Tickets anfordern: Für die interessanten Konten werden Service-Tickets angefordert. Dieser Vorgang ist im Protokoll völlig regulär und fällt ohne gezielte Überwachung nicht auf.
3. Offline knacken: Die mit dem Konto-Passwort verschlüsselten Tickets werden auf der Hardware des Angreifers angegriffen. Schwache oder selten geänderte Passwörter fallen schnell.
4. Verwerten: Dienstkonten haben häufig weitreichende Rechte – lokaler Admin auf vielen Servern, teils sogar Domänen-Admin. Ein geknacktes Passwort wird so zur Abkürzung an die Spitze.

Die Technik ist besonders wirksam, weil Dienstkonten oft Passwörter haben, die seit Jahren unverändert sind und aus der Zeit stammen, als sie manuell vergeben wurden. Genau diese Konten sind zugleich die mit den meisten Rechten.

Bedeutung für Unternehmen

Kerberoasting zeigt beispielhaft, wie legitime Funktionen zu Angriffswegen werden. Das Problem ist keine Schwachstelle im klassischen Sinn, sondern eine gefährliche Kombination aus schwachen Dienstkonto-Passwörtern und zu weiten Rechten. Die CISA-Red-Team-Advisory AA23-059A nennt überprivilegierte und selten rotierte Dienstkonten als wiederkehrenden Befund. Da der Offline-Angriff beim Angreifer stattfindet, gibt es keine fehlgeschlagenen Anmeldungen, die auffallen könnten – erkennbar ist nur die auffällige Häufung von Ticket-Anforderungen.

In unseren Assumed-Breach-Einsätzen ist Kerberoasting oft einer der ersten Schritte nach dem Zugang mit einem Standardkonto – und erschreckend häufig erfolgreich.

Schutz und Prüfung

• Starke Dienstkonto-Passwörter: Mindestens 25 Zeichen, zufällig erzeugt; am besten Managed Service Accounts, deren Passwörter automatisch rotiert werden und für Menschen gar nicht sichtbar sind.
• Rechte der Dienstkonten begrenzen: Least Privilege konsequent anwenden – kein Dienstkonto gehört ohne zwingenden Grund in privilegierte Gruppen.
• SPNs aufräumen: Nicht mehr benötigte Service Principal Names entfernen, um die Angriffsfläche zu verkleinern.
• Erkennung einrichten: Ungewöhnlich viele Service-Ticket-Anforderungen durch ein einzelnes Konto und schwache Verschlüsselungstypen als Alarm im SIEM hinterlegen.
• Regelmäßig prüfen: Active-Directory-Angriffspfade analysieren und in einem Test validieren – unser Ratgeber zu typischen AD-Fehlern ordnet Kerberoasting ein.