Kerberos ist das Standard-Authentifizierungsprotokoll in Windows-Domänen: Es weist Nutzer über verschlüsselte Tickets aus, statt Passwörter über das Netz zu senden.
Kerberos ist das zentrale Authentifizierungsprotokoll in Windows-Domänen und löst das ältere NTLM ab. Der Grundgedanke: Nutzer weisen sich nicht bei jedem Dienst erneut mit ihrem Passwort aus, sondern erhalten von einer vertrauenswürdigen Stelle zeitlich begrenzte, verschlüsselte Tickets. Das Passwort selbst verlässt den Arbeitsplatz nach der ersten Anmeldung nicht mehr.
Die vertrauenswürdige Stelle ist das Key Distribution Center (KDC) auf jedem Domänencontroller im Active Directory. Es verwaltet die Schlüssel aller Konten und stellt die Tickets aus.
So funktioniert der Ablauf
Die Anmeldung läuft in zwei Schritten ab:
- Der Client fordert beim KDC ein Ticket-Granting-Ticket (TGT) an und beweist dabei den Besitz des Passworts.
- Mit dem TGT fordert er für jeden Zieldienst ein Service-Ticket an, das er dem Dienst vorlegt.
Das Service-Ticket ist mit dem Passwort-Hash des Zielkontos verschlüsselt. Genau dieser Umstand lässt sich missbrauchen, wenn ein Konto ein schwaches Passwort besitzt.
Bedeutung für Unternehmen
Kerberos ist robust konstruiert, doch seine Sicherheit hängt an der Stärke der Konto-Passwörter und an der Geheimhaltung der Schlüssel auf den Domänencontrollern. Wird der Schlüssel des Sonderkontos krbtgt kompromittiert, kann ein Angreifer beliebige Tickets fälschen (Golden Ticket) und sich dauerhaft Zugang verschaffen. Die CISA-Fallstudie AA23-059A nennt ein über zehn Jahre unverändertes krbtgt-Passwort ausdrücklich als Kernproblem. Wer diesen zentralen Schlüssel besitzt, kann sich dauerhaft und unauffällig Zugang verschaffen, ohne je ein Passwort zu kennen.
Härtung und Prüfung aus Red-Team-Sicht
In Red-Team-Einsätzen gehört Kerberos zu den am häufigsten geprüften Komponenten. Typische Angriffspfade – auf konzeptioneller Ebene, nicht als Anleitung – sind:
- Kerberoasting: Service-Tickets schwacher Dienstkonten werden offline auf das Passwort geprüft,
- Golden Ticket und Silver Ticket durch gestohlene Schlüssel,
- Missbrauch unsicherer Delegation.
Zur Härtung empfehlen wir: starke, zufällige Passwörter für Dienstkonten (oder Group Managed Service Accounts), zweifache Rotation des krbtgt-Kontos, Deaktivierung schwacher Verschlüsselung (RC4) und Monitoring auf ungewöhnliche Ticketanforderungen. Wir prüfen diese Pfade im Rahmen unserer Active-Directory-Leistung; wiederkehrende Fehler beschreibt der Ratgeber Active Directory: typische Fehler.