NTLM ist das ältere Windows-Authentifizierungsverfahren. Es gilt als unsicher, lebt aber in vielen Netzen weiter und ist Grundlage von Angriffen wie Pass-the-Hash.
NTLM (NT LAN Manager) ist das ältere Challenge-Response-Authentifizierungsverfahren von Windows, Vorgänger des heutigen Kerberos. Statt eines Tickets beweist der Client den Besitz eines Passwort-Hashes, indem er eine vom Server gestellte Aufgabe löst. Das Passwort selbst wird dabei nicht übertragen, der zugrunde liegende Hash bleibt jedoch dauerhaft gültig.
Microsoft stuft NTLM seit Jahren als veraltet ein und arbeitet an der schrittweisen Abschaltung. In der Praxis ist es in vielen gewachsenen Netzen trotzdem noch aktiv – als Fallback, für Altanwendungen oder beim Zugriff über IP-Adressen statt Hostnamen.
Funktionsweise und Schwächen
Der zentrale Schwachpunkt: Weil der Hash das eigentliche Geheimnis ist und nicht abläuft, genügt sein Besitz für eine Anmeldung – das Klartext-Passwort wird gar nicht benötigt. Daraus ergeben sich mehrere Problemfelder:
- der Hash kann aus dem Speicher kompromittierter Systeme ausgelesen werden,
- NTLM bietet keine gegenseitige Authentifizierung des Servers,
- ältere Varianten (NTLMv1) sind kryptografisch besonders schwach.
Bedeutung für Unternehmen
NTLM ist einer der zuverlässigsten Hebel in Angriffen auf Windows-Netze. Solange es aktiv ist, lassen sich Hashes wiederverwenden oder über manipulierte Anfragen weiterleiten. Für Entscheider heißt das: Jede verbleibende NTLM-Nutzung ist ein offener Pfad für Lateral Movement. Viele Organisationen wissen gar nicht, wo NTLM noch verwendet wird, weil es unauffällig im Hintergrund als Fallback greift. Erst eine gezielte Protokollierung macht sichtbar, welche Systeme und Anwendungen es tatsächlich noch verwenden.
Härtung und Prüfung aus Red-Team-Sicht
Ein Red Team nutzt NTLM-Schwächen konzeptionell über zwei Wege: Pass-the-Hash, bei dem ein erbeuteter Hash direkt für weitere Anmeldungen dient, und Relay-Angriffe, bei denen eine NTLM-Authentifizierung als Man-in-the-Middle an ein anderes System weitergereicht wird. Empfohlene Maßnahmen:
- NTLM-Nutzung per Audit-Richtlinie sichtbar machen und schrittweise abschalten,
- NTLMv1 vollständig deaktivieren,
- SMB-Signierung und LDAP-Channel-Binding erzwingen, um Relay zu verhindern,
- privilegierte Konten über die Protected-Users-Gruppe vor Hash-Diebstahl schützen,
- Umstieg auf Kerberos und moderne Authentifizierung konsequent vorantreiben.
Wir prüfen verbleibende NTLM-Pfade im Rahmen unserer Active-Directory-Leistung und im Assumed-Breach-Einsatz. Siehe auch Active Directory: typische Fehler.