Kerberos-Delegation erlaubt einem Dienst, im Namen eines Nutzers auf weitere Dienste zuzugreifen. Falsch konfiguriert – besonders unconstrained – wird sie zum direkten Weg zur Domänenübernahme.
Kerberos-Delegation löst ein praktisches Problem: Ein Dienst – etwa ein Webserver – muss manchmal im Namen des angemeldeten Nutzers auf einen weiteren Dienst zugreifen, zum Beispiel eine Datenbank. Damit die Anmeldung des Nutzers über diese Kette hinweg gilt, darf der erste Dienst dessen Identität an den zweiten weiterreichen. Das ist Delegation.
So nützlich das ist, so gefährlich wird es bei falscher Konfiguration. Delegation betrifft Dienstkonten und Computerkonten im Active Directory und ist eine der am häufigsten übersehenen Fehlerquellen.
Die drei Varianten
- Unconstrained Delegation: Der Dienst darf die Identität des Nutzers an beliebige weitere Dienste weiterreichen. Dabei wird das Kerberos-TGT des Nutzers auf dem Dienstserver zwischengespeichert – ein erhebliches Risiko.
- Constrained Delegation: Die Weitergabe ist auf bestimmte Zieldienste beschränkt und damit deutlich sicherer.
- Resource-Based Constrained Delegation (RBCD): Das Zielobjekt legt selbst fest, wer in seinem Namen handeln darf.
Bedeutung für Unternehmen
Unconstrained Delegation ist besonders brisant: Meldet sich ein privilegierter Nutzer an einem solchen Server an, lässt sich dessen Ticket abgreifen und wiederverwenden. Die CISA-Fallstudie AA23-059A nennt unconstrained delegation ausdrücklich als einen der Fehler, die dem Red Team die Eskalation erleichterten. Für Entscheider ist Delegation ein gutes Beispiel für Risiken, die in Standard-Audits oft unsichtbar bleiben, weil sie tief in der AD-Konfiguration liegen. Anders als eine fehlende Patch-Version taucht eine riskante Delegation in keinem Schwachstellenscan auf; sie zeigt sich erst, wenn jemand die Berechtigungsstruktur gezielt analysiert.
Härtung und Prüfung aus Red-Team-Sicht
Ein Red Team sucht gezielt nach Objekten mit unconstrained delegation und nach Wegen, über Delegationsketten Rechte bis zum Domain Admin zu eskalieren. Empfohlene Maßnahmen:
- unconstrained delegation vermeiden und durch constrained delegation oder RBCD ersetzen,
- privilegierte Konten als „Account is sensitive and cannot be delegated“ markieren oder in die Protected-Users-Gruppe aufnehmen,
- regelmäßige Inventur aller delegationsfähigen Objekte,
- Domänencontroller niemals für Delegation freigeben,
- Monitoring auf verdächtige Ticketanforderungen.
Wir prüfen Delegationspfade in unserer Active-Directory-Leistung. Siehe auch Active Directory: typische Fehler.