Privilege Escalation ist die Ausweitung von Rechten: Ein Angreifer erhöht die Berechtigungen eines übernommenen Zugangs – vom einfachen Nutzer bis zum Administrator oder Domänen-Admin.
Privilege Escalation – die Ausweitung von Rechten – beschreibt den Schritt, mit dem ein Angreifer aus einem begrenzten Zugang mehr Berechtigungen gewinnt. Der Erstzugriff liefert meist nur die Rechte eines normalen Nutzers. Für die eigentlichen Ziele – Zugriff auf Server, Auslesen von Zugangsdaten, Verschlüsselung ganzer Netze – braucht der Angreifer administrative Rechte. Man unterscheidet zwei Richtungen: vertikale Eskalation (von Nutzer zu Administrator auf demselben System) und horizontale Eskalation (Übernahme eines gleichrangigen, aber interessanteren Kontos).
In MITRE ATT&CK ist Privilege Escalation eine eigene Taktik (TA0004). Sie ist eng mit Persistence verknüpft, weil viele Mechanismen beides zugleich leisten, und sie ist Voraussetzung für die meisten Formen des Lateral Movement. Im Active Directory ist das Ziel fast immer dasselbe: ein Konto mit domänenweiten Rechten.
So funktioniert es
Die häufigsten Wege, die wir in Einsätzen nutzen, beruhen selten auf exotischen Exploits, sondern auf Konfigurationsfehlern:
- Fehlkonfigurationen am System: Dienste, die als System laufen, aber von Nutzern verändert werden können; Aufgaben mit zu weiten Rechten; schreibbare Programmpfade.
- Zugangsdaten im Klartext: Passwörter in Skripten, Konfigurationsdateien, Gruppenrichtlinien oder der Zwischenablage – laut CISA-Advisory AA23-059A ein wiederkehrender Befund.
- Active-Directory-Schwächen: Kerberoasting gegen Dienstkonten mit schwachen Passwörtern, unsichere Delegationen, fehlerhafte Zugriffsrechte auf Objekte.
- Ungepatchte Schwachstellen: Lokale Privilege-Escalation-Exploits, wenn Systeme nicht aktuell gehalten werden.
Oft genügt die Kombination kleiner Nachlässigkeiten. Ein Dienstkonto mit schwachem Passwort, das zugleich lokaler Admin auf vielen Systemen ist, verwandelt einen Standardnutzer in wenigen Schritten in einen Administrator mit breitem Zugriff.
Bedeutung für Unternehmen
Privilege Escalation entscheidet darüber, ob ein einzelner kompromittierter Arbeitsplatz ein beherrschbarer Vorfall bleibt oder zur Übernahme der gesamten Domäne führt. Der zentrale Fehler in vielen Organisationen ist das Prinzip „Rechte sammeln sich an“: Mitarbeitende behalten Berechtigungen aus früheren Rollen, Dienstkonten bekommen zur Sicherheit mehr Rechte als nötig, und lokale Admin-Rechte werden großzügig vergeben. Jedes dieser Rechte ist eine Abkürzung für den Angreifer.
In unseren Einsätzen ist die Rechteausweitung selten der schwierigste Teil – die Pfade sind meist vorhanden. Entscheidender ist, ob der Weg dorthin bemerkt wird. Ein Assumed-Breach-Test macht sichtbar, wie viele Eskalationspfade existieren und welche davon Ihr SOC erkennt.
Schutz und Prüfung
- Least Privilege konsequent umsetzen: Rechte an die Rolle binden, regelmäßig rezertifizieren, lokale Admin-Rechte entziehen.
- Privilegierte Konten schützen: Tiering-Modell, getrennte Admin-Arbeitsplätze, zeitlich begrenzte Rechte (Just-in-Time-Administration).
- Keine Klartext-Zugangsdaten: Passwort-Tresore statt Skripten und Gruppenrichtlinien; Dienstkonten als Managed Service Accounts mit starken, automatisch rotierten Passwörtern.
- Patchen und härten: Lokale Eskalations-Exploits durch aktuelle Systeme und Härtung schließen.
- Pfade sichtbar machen: Active-Directory-Angriffspfade mit geeigneten Werkzeugen analysieren und im Rahmen eines Tests validieren – unser Ratgeber zu typischen AD-Fehlern fasst die häufigsten zusammen.