Bei Pass-the-Hash nutzt ein Angreifer den gestohlenen Passwort-Hash eines Kontos direkt zur Anmeldung – ganz ohne das Klartext-Passwort zu kennen oder zu knacken.
Pass-the-Hash nutzt eine Eigenheit der Windows-Authentifizierung aus: Bei NTLM weist sich ein Konto nicht mit dem Klartext-Passwort aus, sondern mit dessen kryptografischem Hash. Für das anmeldende System ist der Hash damit das eigentliche Geheimnis. Gelangt ein Angreifer an diesen Hash – etwa aus dem Speicher eines kompromittierten Rechners –, kann er sich damit an anderen Systemen anmelden, ohne das Passwort zu kennen oder knacken zu müssen. Er „reicht den Hash weiter“, daher der Name.
Die verwandte Technik Pass-the-Ticket überträgt dasselbe Prinzip auf Kerberos: Statt eines Hashes wird ein gültiges Ticket gestohlen und wiederverwendet. In MITRE ATT&CK sind beide unter „Use Alternate Authentication Material“ (T1550) erfasst, Pass-the-Hash als T1550.002. Die Technik ist seit über zwei Jahrzehnten bekannt und bleibt wirksam, weil sie ein Konstruktionsmerkmal des Protokolls nutzt, keinen Fehler.
So funktioniert es
- Zugang zu einem System: Der Angreifer verfügt über administrative Rechte auf einem Rechner – etwa durch Rechteausweitung nach dem Erstzugriff.
- Hashes auslesen: Aus dem Speicher des Anmeldedienstes oder aus zwischengespeicherten Anmeldedaten werden die Hashes aller Konten extrahiert, die sich am System angemeldet haben – besonders wertvoll sind Spuren privilegierter Konten.
- Weiterreichen: Mit dem Hash meldet sich der Angreifer an weiteren Systemen an, auf denen dasselbe Konto Rechte hat – der Kern des Lateral Movement.
- Eskalieren: Findet sich der Hash eines Administrators oder Domänen-Admins, ist die Übernahme großer Teile des Netzes nur noch eine Frage weniger Schritte.
Begünstigt wird die Technik durch identische lokale Administrator-Passwörter auf vielen Rechnern: Ein einziger ausgelesener Hash öffnet dann hunderte Systeme gleichzeitig.
Bedeutung für Unternehmen
Pass-the-Hash ist einer der Gründe, warum die Übernahme eines einzigen Arbeitsplatzes zur Übernahme der ganzen Domäne führen kann. Die CISA-Red-Team-Advisory AA23-059A nennt wiederkehrende Begünstiger: lokale Admin-Rechte in der Fläche, privilegierte Anmeldungen an Arbeitsplätzen und fehlende Trennung der Rechteebenen. Der verbreitete Irrtum, ein starkes Passwort schütze davor, geht ins Leere – Pass-the-Hash braucht das Passwort gar nicht.
In unseren Assumed-Breach-Einsätzen gehört Pass-the-Hash zum Standardrepertoire, um reale Bewegungspfade durch das Netz aufzuzeigen. Fast immer liegt das Problem nicht in der Technik selbst, sondern in der Architektur: zu viele privilegierte Sitzungen an den falschen Stellen.
Schutz und Prüfung
- Rechteebenen trennen (Tiering): Domänen- und Server-Admins melden sich nie an Arbeitsplätzen an, damit ihre Hashes dort gar nicht erst anfallen.
- Lokale Admin-Passwörter individualisieren: Pro Gerät zufällige Passwörter (z. B. per LAPS) verhindern, dass ein Hash viele Systeme öffnet.
- Least Privilege: Weniger privilegierte Konten bedeuten weniger lohnende Hashes.
- Schutzfunktionen nutzen: Credential Guard, geschützte Nutzer-Gruppen und moderne Windows-Schutzmechanismen erschweren das Auslesen aus dem Speicher.
- Erkennung und Test: Ungewöhnliche Anmeldemuster überwachen und die tatsächlichen Pfade in einem Assumed-Breach-Einsatz prüfen – mehr dazu im Ratgeber zu typischen AD-Fehlern.