Dienstkonten sind technische Konten, unter denen Anwendungen und Dienste laufen. Oft mit hohen Rechten und schwachen Passwörtern ausgestattet, sind sie ein beliebtes Angriffsziel.
Ein Service Account oder Dienstkonto ist ein technisches Benutzerkonto, unter dem eine Anwendung, ein Datenbankdienst oder ein geplanter Task läuft – nicht ein Mensch. Weil Dienste ununterbrochen laufen sollen, sind diese Konten oft so konfiguriert, dass ihr Passwort nicht abläuft und sie sich automatisch anmelden.
Gerade diese Bequemlichkeit macht Dienstkonten riskant: Sie tragen häufig mehr Rechte, als sie bräuchten, ihre Passwörter sind über Jahre unverändert und oft schwach, und sie sind in Active Directory leicht aufzuspüren.
Warum Dienstkonten angreifbar sind
Viele Dienstkonten besitzen einen sogenannten Service Principal Name (SPN), über den Kerberos den Dienst anspricht. Jeder angemeldete Benutzer kann für ein solches Konto ein Service-Ticket anfordern. Weil das Ticket mit dem Passwort-Hash des Dienstkontos verschlüsselt ist, lässt es sich offline auf schwache Passwörter prüfen. Typische Problemfelder:
- Dienstkonten als Mitglied hochprivilegierter Gruppen bis hin zum Domain Admin,
- seit Jahren unveränderte, erratbare Passwörter,
- Mehrfachnutzung desselben Kontos über viele Systeme,
- im Klartext hinterlegte Zugangsdaten in Skripten oder Konfigurationsdateien.
Bedeutung für Unternehmen
Dienstkonten sind einer der häufigsten Startpunkte für die Eskalation im Netz. Ein einziges überprivilegiertes Konto mit schwachem Passwort kann einem Angreifer den Sprung von einem gewöhnlichen Benutzer bis zur Domänenkontrolle ermöglichen. Für Entscheider ist das ein typisches Beispiel dafür, wie organisatorische Bequemlichkeit zu einem systemischen Risiko wird. Oft sind diese Konten zudem so alt, dass niemand mehr genau weiß, welche Anwendung sie eigentlich noch benötigt.
Härtung und Prüfung aus Red-Team-Sicht
Der klassische Angriff ist Kerberoasting: Ein Red Team identifiziert Konten mit SPN und prüft die zugehörigen Tickets offline auf schwache Passwörter. Zur Härtung empfehlen wir:
- Group Managed Service Accounts (gMSA) mit automatisch rotierten, langen Passwörtern,
- wo gMSA nicht möglich ist: Passwörter mit 25+ zufälligen Zeichen,
- konsequentes Least Privilege statt pauschaler Hochrechte,
- keine Klartext-Zugangsdaten in Skripten; Einsatz eines Secret-Managements,
- Monitoring auf ungewöhnlich viele Service-Ticket-Anforderungen.
Wir decken diese Schwächen in der Active-Directory-Prüfung auf. Mehr dazu im Ratgeber Active Directory: typische Fehler.