Wer in ein Firmennetz eindringt, will fast immer an dieselbe Stelle: die Rechte eines Domänen-Administrators. Wer sein Active Directory absichern will, also das zentrale Verzeichnis für Benutzer, Computer und Berechtigungen in Windows-Netzen, muss deshalb vor allem die wenigen Wege kennen, die dorthin führen. Dieser Beitrag erklärt die häufigsten davon so, dass auch Geschäftsführer und Büroleitungen die Prioritäten nachvollziehen können, und zeigt, in welcher Reihenfolge Sie sie schließen.
Das Aufräumen verwaister Konten und alter Gruppen behandeln wir in Active Directory aufräumen. Hier geht es um die konkreten Sicherheitslücken, die ein Angreifer danach ausnutzt.
Active Directory absichern: warum das Verzeichnis so attraktiv ist
Ein Angreifer startet selten als Administrator, sondern mit einem einfachen Benutzerkonto, oft erbeutet per Phishing. Von dort sucht er Wege nach oben: ein Konto mit zu vielen Rechten, ein knackbares Passwort, ein Protokoll, das Anmeldedaten preisgibt. Das AD macht diese Suche leicht, weil jeder angemeldete Benutzer standardmäßig sehr viel über die Struktur lesen darf. Active Directory Sicherheit heißt deshalb vor allem: diese Wege verschließen.
Angriffsweg 1: zu viele Domänen-Admins
In gewachsenen Umgebungen sind oft deutlich mehr Konten in der Gruppe „Domänen-Admins“ als nötig: der frühere Dienstleister, ein Dienstkonto für die Backup-Software, der persönliche Alltags-Account des IT-Leiters. Jedes dieser Konten ist ein Ziel. Besonders gefährlich ist es, wenn sich ein Domänen-Admin an normalen Arbeitsplätzen anmeldet. Dann liegen seine Anmeldedaten im Speicher dieses Rechners, und wer den Rechner kompromittiert, kann sie abgreifen.
Was hilft:
- Getrennte Konten: ein normales Konto für E-Mail und Office, ein separates Admin-Konto nur für Verwaltungsaufgaben.
- Domänen-Admin-Rechte nur für die Verwaltung von Domänencontrollern, nicht für Alltagsaufgaben. Für Server- oder Arbeitsplatzverwaltung eigene, enger gefasste Gruppen.
- Admin-Konten in die Gruppe „Protected Users“ aufnehmen, sofern keine Altanwendungen dagegensprechen. Das unterbindet unter anderem schwächere Anmeldeverfahren für diese Konten.
- Anmeldung von Domänen-Admins an Arbeitsplätzen per Gruppenrichtlinie verbieten.
Wie Sie Rollen und Adminkonten grundsätzlich aufteilen, beschreiben wir unter Rollen und Adminkonten.
Angriffsweg 2: Kerberoasting und schwache Dienstkonten
Kerberos ist das Anmeldeverfahren im AD. Jeder angemeldete Benutzer darf für Dienste, etwa einen SQL-Server, ein sogenanntes Dienstticket anfordern. Dieses Ticket ist mit dem Passwort des Dienstkontos verschlüsselt. Ein Angreifer kann solche Tickets sammeln und das Passwort offline, ohne weitere Spuren im Netz, durchprobieren. Das nennt man Kerberoasting.
Gefährlich wird das, wenn Dienstkonten kurze oder seit Jahren unveränderte Passwörter und zugleich weitreichende Rechte haben. In vielen Umgebungen ist das der Normalfall.
Microsoft hat 2026 mit Sicherheitsupdates für Domänencontroller in mehreren Stufen begonnen, das veraltete Verschlüsselungsverfahren RC4 für Kerberos-Tickets standardmäßig zurückzudrängen. Das erschwert das Knacken, löst aber das Grundproblem nicht: Ein schwaches Passwort bleibt schwach.
Was hilft:
- Alle Konten mit Dienstprinzipalnamen (SPN) auflisten. Das ist das Merkmal, an dem Angreifer sie finden.
- Wo möglich, auf gruppenverwaltete Dienstkonten (gMSA) umstellen. Deren Passwörter sind lang, zufällig und werden automatisch gewechselt.
- Wo das nicht geht: lange, zufällige Passwörter (25 Zeichen und mehr) und ein dokumentierter Wechselrhythmus.
- Dienstkonten aus privilegierten Gruppen entfernen. Ein Backup-Dienst braucht selten Domänen-Admin-Rechte.
Angriffsweg 3: alte Protokolle wie NTLMv1 und SMBv1
NTLMv1 ist ein veraltetes Anmeldeverfahren, dessen Antworten sich mit überschaubarem Aufwand knacken oder weiterreichen lassen. SMBv1 ist die erste Version des Windows-Dateifreigabeprotokolls und war Einfallstor großer Schadsoftwarewellen. Beide sind in aktuellen Windows-Versionen standardmäßig nicht mehr aktiv, werden aber in gewachsenen Netzen oft wegen eines alten Scanners, Kopierers oder einer Maschinensteuerung wieder eingeschaltet.
Microsoft verschärft hier weiter: Mit dem Sicherheitsupdate vom Oktober 2026 blockieren Windows 11 ab 24H2 und Windows Server 2025 standardmäßig die automatische Anmeldung mit NTLMv1-abgeleiteten Anmeldedaten, etwa bei WLAN- oder VPN-Anmeldungen per MS-CHAPv2, sofern der dafür vorgesehene Registrierungswert nicht anders gesetzt ist. Wer davon betroffen ist, merkt es jetzt.
Was hilft:
- NTLM-Nutzung zunächst überwachen (Ereignisprotokolle auf Domänencontrollern), nicht sofort abschalten.
- NTLMv1 per Richtlinie verbieten („LAN Manager-Authentifizierungsebene“ auf „Nur NTLMv2-Antworten senden. LM & NTLM verweigern“).
- SMBv1 auf allen Servern und Clients entfernen, Geräte, die es noch brauchen, ersetzen oder in ein abgetrenntes Netz verschieben.
- SMB-Signierung erzwingen, damit abgefangene Anmeldungen nicht an andere Server weitergereicht werden können.
Angriffsweg 4: kein Windows LAPS für lokale Administratoren
Wenn alle Rechner dasselbe Passwort für das lokale Administratorkonto haben, genügt ein einziger kompromittierter Rechner, um sich auf allen anderen anzumelden. Dieses seitliche Weiterwandern gehört zu den häufigsten Schritten in echten Angriffen.
Die Lösung heißt LAPS (Local Administrator Password Solution). Windows LAPS ist seit den Updates vom 11. April 2023 in Windows 10, Windows 11 sowie Windows Server 2019 und 2022 eingebaut, bei neueren Versionen von Haus aus. Es vergibt jedem Rechner ein eigenes, regelmäßig wechselndes Passwort und speichert es im AD oder in Microsoft Entra ID. Das ältere, separat installierte „Legacy LAPS“ gilt ab Windows 11 23H2 als abgekündigt. Wer es noch nutzt, sollte auf Windows LAPS umsteigen.
Angriffsweg 5: gefährliche Delegierungen
Delegierung erlaubt einem Server, im Namen eines Benutzers auf andere Dienste zuzugreifen. Die älteste Form, die „uneingeschränkte Delegierung“, ist besonders riskant: Ein so konfigurierter Server speichert Tickets jedes Benutzers, der sich bei ihm anmeldet, auch die von Administratoren. Wer diesen Server übernimmt, hat sie.
Was hilft: Uneingeschränkte Delegierung auf allen Systemen außer Domänencontrollern entfernen. Wo Delegierung gebraucht wird, die eingeschränkte oder ressourcenbasierte Variante nutzen. Admin-Konten zusätzlich als „vertraulich, kann nicht delegiert werden“ markieren.
Ähnlich riskant sind falsch gesetzte Berechtigungen im Verzeichnis, etwa wenn eine Helpdesk-Gruppe Passwörter von Admin-Konten zurücksetzen darf. Solche Pfade finden Prüfwerkzeuge, von Hand kaum jemand.
Angriffsweg 6: unsichere Zertifikatsdienste (AD CS)
Viele Firmen betreiben eine eigene Zertifizierungsstelle mit den Active Directory Certificate Services (AD CS), etwa für WLAN-Anmeldung oder VPN. Seit Sicherheitsforscher 2021 eine Reihe von Fehlkonfigurationen systematisch beschrieben haben, sind sie ein beliebtes Ziel. Der bekannteste Fall: Eine Zertifikatvorlage erlaubt es dem Antragsteller, selbst anzugeben, für wen das Zertifikat ausgestellt wird. Dann kann ein normaler Benutzer ein Zertifikat für einen Domänen-Admin beantragen und sich damit anmelden.
Was hilft:
- Alle veröffentlichten Zertifikatvorlagen prüfen: Wer darf sie beantragen, darf der Antragsteller den Namen selbst angeben, ist eine Genehmigung erforderlich?
- Nicht genutzte Vorlagen zurückziehen.
- Die Web-Registrierung der Zertifizierungsstelle nur mit HTTPS und erweitertem Schutz betreiben oder abschalten, wenn sie niemand braucht.
Mit PingCastle prüfen, wo Sie stehen
Für eine erste Bestandsaufnahme gibt es frei verfügbare Prüfwerkzeuge. PingCastle (heute bei Netwrix, mit kostenloser Basisversion) wird ohne Installation gestartet, liest das AD mit normalen Benutzerrechten aus und erzeugt einen Bericht mit Risikobewertung, gegliedert nach Bereichen wie veralteten Objekten, privilegierten Konten, Vertrauensstellungen und Auffälligkeiten. Purple Knight von Semperis arbeitet ähnlich. Beide finden die oben beschriebenen Punkte zuverlässig. Prüfen Sie vor dem Einsatz die jeweiligen Lizenzbedingungen, insbesondere wenn ein Dienstleister das Werkzeug für Sie ausführt.
Ein Bericht mit hundert Befunden hilft allerdings nur, wenn jemand ihn nach Risiko sortiert. Manche Änderung, etwa das Abschalten von NTLM, kann ohne Vorbereitung den Betrieb stören.
Checkliste: was Sie zuerst schließen
- Mitglieder der Gruppen „Domänen-Admins“, „Organisations-Admins“ und „Administratoren“ auflisten und auf das Nötige reduzieren.
- Getrennte Admin-Konten einführen und deren Anmeldung an Arbeitsplätzen unterbinden.
- Windows LAPS auf allen Clients und Mitgliedsservern ausrollen.
- Dienstkonten mit SPN prüfen, Passwörter verlängern oder auf gMSA umstellen, privilegierte Gruppenmitgliedschaften entfernen.
- SMBv1 entfernen, NTLM überwachen und NTLMv1 abschalten.
- Uneingeschränkte Delegierung außerhalb der Domänencontroller entfernen.
- Zertifikatvorlagen der AD CS prüfen und nicht genutzte zurückziehen.
- Die Prüfung nach drei bis sechs Monaten wiederholen, um Rückfälle zu erkennen.
Wie DAVINCI unterstützt
Wir prüfen Ihr Active Directory mit etablierten Werkzeugen, ordnen die Befunde nach Risiko und setzen die Maßnahmen in einer abgestimmten Reihenfolge um, ohne den laufenden Betrieb zu gefährden. Für die laufende Überwachung verdächtiger Anmeldungen bieten wir MXDR mit SOC an. Mehr zu sicheren Anmeldungen finden Sie unter Zugangssicherheit. Sprechen Sie uns über die Kontaktseite an.
Häufige Fragen
Reicht es nicht, wenn wir eine gute Firewall und einen Virenschutz haben?
Nein. Firewall und Virenschutz sollen den Einstieg verhindern. Die hier beschriebenen Wege nutzt ein Angreifer, nachdem er schon ein Benutzerkonto hat, etwa durch Phishing. Dagegen hilft nur eine sauber konfigurierte Verzeichnisstruktur, ergänzt durch Angriffserkennung.
Wir haben Microsoft 365. Betrifft uns das trotzdem?
Ja, sobald Sie noch einen lokalen Domänencontroller betreiben, und das ist im Mittelstand die Regel. Häufig werden Konten zusätzlich mit Microsoft Entra ID synchronisiert. Eine Schwäche im lokalen AD kann sich dann auf die Cloud-Identitäten auswirken.
Wie kann ich mein Active Directory absichern, ohne den Betrieb zu stören?
In Stufen: erst beobachten, dann abschalten. Beginnen Sie mit den privilegierten Gruppen und Windows LAPS, denn beides stört laufende Anwendungen in der Regel nicht und ist meist in wenigen Tagen umgestellt. Protokolle wie NTLMv1 und SMBv1 kündigen Sie an, prüfen die Ereignisprotokolle auf verbleibende Nutzer und schalten erst nach Wochen der Beobachtung ab.
PingCastle oder Purple Knight: welches Werkzeug ist das richtige?
Für die erste Bestandsaufnahme sind beide geeignet, viele Administratoren lassen beide laufen, weil sich die Befunde ergänzen. PingCastle eignet sich gut, um den Fortschritt über mehrere Durchläufe zu vergleichen. Wichtiger als das Werkzeug ist, wer die Befunde nach Risiko sortiert und abarbeitet.
Wie lange dauert es, die wichtigsten Lücken zu schließen?
Die Analyse ist mit einem Prüfwerkzeug in wenigen Stunden erledigt. Die Umsetzung hängt davon ab, wie viele Altgeräte und Altanwendungen noch alte Protokolle brauchen.
Verwandte Themen: Wer hier weiterdenkt, liest bei Active Directory, Windows Server 2025 und Microsoft 365 weiter.
Im Text erwähnt
Quellen
- Windows LAPS overview · Microsoft Learn
- Upcoming changes to NTLMv1 in Windows 11, version 24H2 and Windows Server 2025 · Microsoft Support
- How to manage Kerberos KDC usage of RC4 (CVE-2026-20833) · Microsoft Support
- Credential Guard considerations · Microsoft Learn
- Certify-Dokumentation, ESC1 (fehlkonfigurierte Zertifikatvorlagen) · SpecterOps
- PingCastle · Netwrix
