Leistung · Active Directory und Cloud
Active Directory und Cloud: Die Identität ist der neue Perimeter
Fast jeder erfolgreiche Angriff endet in der Identitätsinfrastruktur: Active Directory, Entra ID, Cloud-Rollen. Wir analysieren Ihre Berechtigungspfade so, wie Angreifer es tun – vom Standardnutzer zum Domänen- oder Global Administrator – und liefern einen priorisierten Härtungsplan, der die gefährlichsten Pfade zuerst schließt.
Worum es geht
Berechtigungen sind Angriffspfade
Laut CrowdStrike Global Threat Report 2026 sind 82 Prozent der erkannten Angriffe malware-frei: Angreifer nutzen legitime Konten und Bordmittel. Staatsnahe Cloud-Intrusions stiegen um 266 Prozent. Wer Identitäten kontrolliert, kontrolliert das Unternehmen – ganz ohne Exploit.
Active Directory wächst über Jahre: verschachtelte Gruppen, Dienstkonten mit ewigen Passwörtern, Delegationen, lokale Administratorrechte, Gruppenrichtlinien mit Zugangsdaten. In der Cloud kommen überprivilegierte Rollen, fehlendes Conditional Access, App-Registrierungen mit weitreichenden Rechten und exponierte Schlüssel hinzu. Jedes einzelne Detail wirkt harmlos. In Kombination ergeben sie den Pfad vom Standardnutzer zum Administrator – oft in weniger als einer Stunde.
Wir machen diese Pfade sichtbar, prüfen sie praktisch und priorisieren die Härtung so, dass mit wenigen Maßnahmen die meisten Pfade verschwinden.
Prüfbereiche
- Active DirectoryBerechtigungspfade, Kerberoasting-anfällige Dienstkonten, Delegationen, krbtgt-Rotation, Tiering, lokale Admin-Rechte, Protokolle (NTLM, LLMNR), Zertifikatsdienste (AD CS).
- Microsoft 365 und Entra IDRollen, Conditional Access, MFA-Abdeckung, Legacy-Authentifizierung, App-Registrierungen und Consent, Gastkonten, Hybrid-Verbindungen.
- Azure und AWSIAM-Rollen und Richtlinien, exponierte Schlüssel und Speicher, Netzwerk-Exposition, Logging, Übergänge zwischen Cloud und On-Premises.
- AdministrationswegeJump-Hosts, privilegierte Arbeitsplätze, PAM-Lösungen, Notfallkonten, Fernwartungszugänge von Dienstleistern.
- ErkennungWelche der gefundenen Angriffspfade würde Ihr SIEM oder EDR bemerken?
Typische Funde
Die sieben Fehler, die fast jedes Red Team findet
Keine Exoten, sondern gewachsene Realität – in Unternehmen jeder Größe.
krbtgt nie rotiert
Das Schlüsselkonto der Domäne mit jahrealtem Passwort ermöglicht dauerhafte Golden Tickets – auch nach einem Vorfall.
Gleiche lokale Admin-Passwörter
Ein kompromittierter Rechner öffnet alle anderen. Ohne LAPS ist Lateral Movement trivial.
Dienstkonten mit SPN und Domänenrechten
Kerberoasting liefert Hashes, die offline geknackt werden – häufig mit Administratorrechten als Beute.
Uneingeschränkte Delegation
Server, die im Namen beliebiger Nutzer handeln dürfen, werden zur Abkürzung zum Domänen-Administrator.
Zugangsdaten in Skripten und Freigaben
Installationsskripte, Gruppenrichtlinien, SYSVOL, Wikis: Passwörter im Klartext, für jeden Nutzer lesbar.
Kein Tiering
Domänen-Administratoren melden sich an normalen Arbeitsplätzen an – ihre Zugangsdaten liegen dort im Speicher.
Cloud ohne Conditional Access
MFA nur „empfohlen“, Legacy-Protokolle offen, App-Consent für alle: Ein Passwort genügt für Microsoft 365.
Ergebnis
Ein Härtungsplan, der Pfade schließt statt Symptome
Statt hunderter Einzelfindings erhalten Sie die Angriffspfade – und die wenigen Maßnahmen, die die meisten davon unterbrechen.
- Angriffspfad-KarteVom Standardnutzer zu den privilegierten Rollen, mit jedem Zwischenschritt und der Zahl betroffener Konten.
- Praktischer NachweisDie kritischsten Pfade werden tatsächlich begangen – nicht nur aus der Konfiguration abgeleitet.
- Priorisierte HärtungSortiert nach „Welche Maßnahme unterbricht die meisten Pfade?“ – mit Aufwandsschätzung und Reihenfolge.
- ErkennungsempfehlungenWelche Ereignisse Ihr SIEM für die gefundenen Pfade überwachen sollte.
- RetestNach Umsetzung prüfen wir, ob die Pfade geschlossen sind.
Was unterscheidet das Assessment von einem Pentest?
Ein Penetrationstest sucht Schwachstellen in einzelnen Systemen. Das Identitäts-Assessment analysiert die Beziehungen: Wer darf was, über welche Pfade, und wie gelangt ein Angreifer von einem Standardkonto zum Domänen-Administrator oder Global Administrator? Dafür kombinieren wir Konfigurationsanalyse mit praktischer Prüfung der gefundenen Pfade.
Brauchen Sie dafür Administratorrechte?
Für die Analyse genügt in der Regel ein Standard-Nutzerkonto – genau das, was ein Angreifer nach Phishing hätte. Für die Konfigurationsprüfung in Entra ID, AWS oder Azure bitten wir um ein lesendes Konto (zum Beispiel Global Reader oder Security Audit), damit wir Richtlinien und Rollen vollständig bewerten können.
Wie lange dauert ein Assessment?
Active Directory: fünf bis acht Testtage. Microsoft 365 und Entra ID: drei bis fünf Testtage. AWS oder Azure je nach Größe drei bis zehn Testtage. Kombinierte Assessments planen wir zwei bis drei Wochen.
Finden Sie wirklich immer etwas?
In gewachsenen Umgebungen fast immer – nicht, weil Administratoren schlecht arbeiten, sondern weil Berechtigungen über Jahre entstehen und niemand sie als Angriffspfad betrachtet. Die CISA hat 2023 dokumentiert, wie ein Red Team in einer reifen Organisation über ein seit über zehn Jahren unverändertes krbtgt-Passwort, lokale Administratorrechte und Delegationen zum Domänen-Administrator wurde. Das sind keine Exoten, sondern Alltag.
Weitere Leistungen
Passende Ergänzungen
Red Teaming
Realistische Angriffssimulation gegen Ihr gesamtes Unternehmen – Technik, Menschen und Gebäude.
02Penetrationstest
Systematische Schwachstellenprüfung für Netzwerke, Webanwendungen, APIs und Cloud.
03Assumed Breach
Der Angreifer ist schon drin: Wie weit kommt er von einem kompromittierten Arbeitsplatz?
04Purple Teaming
Angriff und Verteidigung am selben Tisch – Erkennung messbar verbessern.
05Social Engineering & Phishing
Phishing, Vishing, Pretexting: Wie widerstandsfähig sind Ihre Mitarbeitenden?
06Physical Red Teaming
Zutritt, Zugang, Zugriff: Wir testen Gebäude, Schleusen und Empfang.
07TIBER-EU & DORA TLPT
Bedrohungsgeleitete Tests nach TIBER-EU und DORA für Finanzunternehmen.
08Ransomware-Simulation
Wie weit käme eine Ransomware-Gruppe? Vom Erstzugang bis zur Verschlüsselung – ohne Schaden.
Unverbindliches Erstgespräch
Wie würde ein Angreifer bei Ihnen vorgehen?
In 30 Minuten klären wir Ziel, Reifegrad und das passende Format – vertraulich, ohne Verkaufsdruck, mit einer ehrlichen Einschätzung, ob Red Teaming für Sie schon der richtige Schritt ist.