Active Directory ist in den meisten Unternehmen das Herzstück der Identitäten — und genau deshalb das Lieblingsziel von Angreifern. Die gute Nachricht: Ein Großteil der real ausgenutzten Schwächen lässt sich mit überschaubarem Aufwand beseitigen. Hier sind die zehn Maßnahmen, die in der Praxis den größten Unterschied machen — sortiert nach Wirkung.
1. Die Zahl der Domänen-Admins radikal reduzieren
Jedes Konto in „Domänen-Admins" ist ein Generalschlüssel. In gewachsenen Umgebungen sammeln sich dort über die Jahre Dienstkonten, Ex-Kollegen und „vorübergehende" Ausnahmen. Faustregel: so wenige wie möglich, idealerweise unter fünf — und keine Dienstkonten. Wer administriert, braucht ein separates Admin-Konto, nicht Domänen-Admin-Rechte auf dem Alltagskonto, mit dem auch E-Mail und Browser laufen.
2. Kerberoasting-Ziele entschärfen
Jedes Benutzerkonto mit einem servicePrincipalName (SPN) kann von jedem
Domänen-Benutzer als Ticket angefordert und offline geknackt werden. Ist das Passwort schwach,
ist das Dienstkonto verloren. Gegenmittel:
- SPN-Konten inventarisieren (welche gibt es überhaupt noch?)
- Passwörter auf 25+ zufällige Zeichen setzen — Dienstkonten tippt niemand
- wo möglich auf Group Managed Service Accounts (gMSA) umstellen, die ihre Passwörter selbst rotieren
- hochprivilegierte Konten dürfen nie einen SPN tragen
3. AS-REP-Roasting: „Kerberos-Vorauthentifizierung" niemals deaktivieren
Konten mit deaktivierter Vorauthentifizierung lassen sich ohne jede Anmeldung angreifen. Es gibt heute praktisch keinen legitimen Grund mehr für diese Einstellung. Suchen, verstehen, warum sie gesetzt wurde — und abschalten.
4. Das krbtgt-Passwort regelmäßig rotieren
Mit dem Hash des krbtgt-Kontos stellen Angreifer „Golden Tickets" aus — dauerhafte,
kaum erkennbare Generalschlüssel. Wurde das Passwort seit Jahren nicht geändert (der Klassiker),
bleibt ein alter Einbruch ewig verwertbar. Empfehlung: zweimal hintereinander ändern
(mit mindestens 10 Stunden Abstand, wegen der Ticket-Lebensdauer) und das jährlich
wiederholen.
5. Delegierung in den Griff bekommen
„Uneingeschränkte Delegierung" bedeutet: Dieser Server darf sich gegenüber allen Diensten als beliebiger Benutzer ausgeben — inklusive Domänen-Admins, die sich dort anmelden. Das ist ein eingebauter Privilegien-Aufzug. Maßnahmen:
- Uneingeschränkte Delegierung finden und auf ressourcenbasierte / eingeschränkte Delegierung umstellen
- Privilegierte Konten als „Konto ist vertraulich und kann nicht delegiert werden" markieren
- Admins in die Gruppe „Protected Users" aufnehmen (erzwingt u. a. Kerberos und verhindert Delegation)
6. LAPS: kein gemeinsames lokales Admin-Passwort
Wenn das lokale Administrator-Passwort auf allen Clients gleich ist, wird aus einem kompromittierten PC sofort das ganze Netz (Pass-the-Hash, Lateral Movement). Windows LAPS vergibt pro Maschine ein eigenes, rotierendes Passwort und legt es geschützt im AD ab. Kostenlos, bewährt, ein Nachmittag Arbeit — kaum eine Maßnahme bringt mehr pro investierter Stunde.
7. Veraltete Protokolle abschalten: NTLMv1, SMBv1, LLMNR
Die alten Zöpfe sind das Buffet für Angreifer im internen Netz: LLMNR/NBT-NS-Spoofing liefert Hashes frei Haus, NTLMv1 ist trivial knackbar, SMBv1 war die Eintrittstür für WannaCry & Co. Vorgehen: erst auditieren (wer nutzt es noch?), dann per GPO deaktivieren. Meist stellt sich heraus: Es war nur der eine alte Drucker-Server.
8. Inaktive Konten und Alt-Systeme ausmisten
Jedes vergessene Konto ist eine Tür ohne Türsteher: Ex-Mitarbeiter, Testkonten, Computerkonten von verschrotteten Maschinen, Server mit einem Betriebssystem außerhalb des Supports. Ein vierteljährlicher Aufräum-Lauf (Konten > 90 Tage inaktiv → deaktivieren, nach Frist → löschen) hält die Angriffsfläche klein — und macht nebenbei jedes Audit entspannter.
9. Ein Tier-Modell für administrative Anmeldungen
Der häufigste Weg zum Domänen-Admin führt nicht über eine Schwachstelle im DC, sondern über dessen Anmeldedaten auf einem gewöhnlichen PC: Admin meldet sich am verseuchten Client an, Angreifer greift die Credentials aus dem Speicher ab. Das Gegenmittel ist Trennung:
- Tier 0 (DCs, AD, PKI): Anmeldung nur von dedizierten Admin-Arbeitsplätzen
- Tier 1 (Server): eigene Admin-Konten, die sich nicht an Clients anmelden
- Tier 2 (Clients): Support-Konten ohne Server-Rechte
Schon die einfachste Ausbaustufe — Domänen-Admins per GPO die Anmeldung an normalen Clients zu verbieten — entwertet den beliebtesten Angriffspfad.
10. AD-Papierkorb aktivieren und Wiederherstellung testen
Härtung schützt nicht vor dem versehentlich gelöschten OU-Ast oder einem Verschlüsselungsangriff. Der AD-Papierkorb (einmalig aktivieren, kostet nichts) macht gelöschte Objekte samt Attributen wiederherstellbar. Und: Ein Backup, dessen Wiederherstellung nie geprobt wurde, ist nur eine Hoffnung. Einmal im Jahr eine DC-Wiederherstellung im Testnetz durchspielen.
Wie anfangen? Erst messen, dann härten
Bevor du Maßnahmen umsetzt, lohnt der Blick auf den Ist-Zustand: Wie viele Konten mit SPN gibt es?
Wo ist Delegierung aktiv? Wie alt ist das krbtgt-Passwort? All das lässt sich mit Bordmitteln
(PowerShell, Get-ADUser/Get-ADComputer) oder mit Audit-Werkzeugen
read-only erheben. Aus dem Ergebnis wird automatisch deine priorisierte Aufgabenliste — und in
drei Monaten zeigt die zweite Messung, was du geschafft hast.
Fazit
AD-Härtung ist kein Projekt mit Enddatum, sondern Pflege. Aber sie ist auch kein Hexenwerk: Die zehn Punkte oben decken die Wege ab, über die reale Angriffe in realen Netzen laufen — nicht theoretische Exoten. Wer sie abarbeitet, macht aus dem weichsten Ziel im Netz eines der härtesten. Und das Beste: Fast alles davon kostet nur Zeit, kein Budget.
Passend dazu im Werkzeugkasten: der Passwort-Generator für 25+-Zeichen-Dienstkonten-Passwörter und der Passwort-Stärke-Prüfer.