Aktuell

Active Directory: Was Angreifer brauchen – und wie Sie es ihnen nehmen

Fünf Cyberbehörden beschreiben die häufigsten Angriffe auf Active Directory. Welche Lücken in gewachsenen Domänen typisch sind und wie Sie sie prüfen.

29. Oktober 2026

Security
Identität & Zugang
Server

Wer das Active Directory übernimmt, übernimmt das ganze Netz: alle Benutzer, alle Server, alle Freigaben. Genau deshalb steht es am Ende fast jedes ernsthaften Angriffs. Die gute Nachricht: Die Wege dorthin sind bekannt – und die meisten lassen sich mit Bordmitteln verbauen.

Kernaussage

Angreifer brauchen selten eine neue Lücke, um ein Active Directory zu übernehmen. Sie nutzen Standardeinstellungen, alte Dienstkonten und Rechte, die irgendwann vergeben und nie wieder entzogen wurden. Wer diese wenigen Punkte kennt und regelmäßig prüft, nimmt den meisten Angriffswegen die Grundlage.

Warum das gerade jetzt zählt

Neuer Leitfaden von fünf Cyberbehörden: Die australische ASD hat Mitte September gemeinsam mit CISA und NSA sowie den Behörden aus Kanada, Großbritannien und Neuseeland ihren Leitfaden zu Angriffen auf Active Directory aktualisiert – mit einer neuen Erkennungsmethode für DCSync und einem neuen Abschnitt zu Shadow Credentials. Als Ursache nennen die Behörden freizügige Standardeinstellungen, komplexe Berechtigungen, Altprotokolle und fehlende Werkzeuge zur Diagnose.
Ein aktueller Fall: Bei den ersten gemeldeten Einbrüchen über die PHP-Lücke PHP2Shell drangen Angreifer Ende Oktober über eine Firewall bis ins Active Directory einer Organisation mit Bezug zur US-Regierung vor. Geholfen haben ihnen ein LDAP-Dienstkonto, eine fehlende Kontosperre und die Standardeinstellung, nach der jeder Benutzer Computerkonten anlegen darf.
RC4 wird abgeschaltet: Microsoft entfernt die alte RC4-Verschlüsselung schrittweise aus Kerberos. Übrig bleiben Ausnahmen – und genau die nutzen Angreifer beim Kerberoasting.

Die Angriffstechniken im Überblick

Der Leitfaden beschreibt 17 Techniken, in der australischen Fassung 18. Sie lassen sich grob in drei Gruppen einteilen:

Gruppe	Techniken	Was sie ausnutzen
Kennwörter und Konten	Password Spraying, Kerberoasting, AS-REP-Roasting, Kennwörter in alten Gruppenrichtlinien, MachineAccountQuota	schwache oder alte Kennwörter, fehlende Kontosperre, Standardeinstellungen
Rechte und Vertrauensstellungen	uneingeschränkte Delegierung, SID History, einseitige Vertrauensstellungen, Shadow Credentials	zu weit gefasste Rechte und Altlasten aus Migrationen
Die Kronjuwelen	DCSync, Auslesen der ntds.dit, Golden und Silver Ticket, Skeleton Key, Zertifikatsdienste, Golden Certificate, Golden SAML, Entra Connect	Zugriff auf Domänencontroller, Zertifizierungsstelle, AD FS oder die Synchronisation mit Microsoft 365

Die dritte Gruppe ist das Ziel, die ersten beiden sind der Weg dorthin. Deshalb lohnt sich der Blick auf die einfachen Punkte zuerst: Sie sind in gewachsenen Domänen fast immer zu finden und schnell zu beheben.

Was wir in gewachsenen Domänen typischerweise finden

Keine Kontosperre: Ein Sperrschwellenwert von 0 erlaubt unbegrenzt viele Kennwortversuche. Password Spraying – ein häufiges Kennwort gegen alle Konten – fällt dann niemandem auf.
Jeder darf Computerkonten anlegen: Standardmäßig darf jeder Benutzer zehn Computerkonten in die Domäne aufnehmen. Angreifer nutzen das für eigene Konten und als Baustein für weitere Angriffe. Empfehlung: MachineAccountQuota auf 0.
Alte Dienstkonten mit Service Principal Name: Jeder angemeldete Benutzer kann für sie ein Kerberos-Ticket anfordern und das Kennwort offline knacken. Gefährlich sind kurze, alte Kennwörter und erlaubtes RC4. Besser: gruppenverwaltete Dienstkonten (gMSA), sonst lange Zufallskennwörter und nur AES.
Kennwörter in alten Gruppenrichtlinien: Früher ließen sich lokale Kennwörter per Gruppenrichtlinie verteilen. Der Schlüssel dafür ist öffentlich – wer die alten Dateien im SYSVOL findet, hat das Kennwort.
Uneingeschränkte Delegierung: Server mit dieser Einstellung erhalten die Anmeldetickets aller Benutzer, die sich bei ihnen anmelden – auch die von Administratoren. Außer auf Domänencontrollern ist sie fast nie nötig.
Administratoren ohne Trennung: Domänen-Admins, die sich mit demselben Konto an Arbeitsplätzen, Webservern oder Fachanwendungen anmelden, hinterlassen dort ihre Anmeldedaten.

Erkennen statt nur vorbeugen

Vorbeugen reicht nicht, wenn niemand merkt, dass jemand es versucht. Die wichtigsten Spuren liegen im Ereignisprotokoll der Domänencontroller: Kerberos-Tickets mit RC4-Verschlüsselung (Ereignis 4769), Replikationsanfragen von Rechnern, die keine Domänencontroller sind (DCSync), Änderungen am Attribut für Shadow Credentials (Ereignis 5136), neu angelegte Computerkonten durch normale Benutzer und gehäufte Fehlanmeldungen über viele Konten hinweg. Einzeln betrachtet gehen diese Ereignisse in der Masse unter – sie müssen zentral gesammelt und ausgewertet werden, etwa in einem SIEM. Gleiches gilt für Zertifizierungsstelle, AD FS und Entra Connect, die der Leitfaden ausdrücklich als besonders schützenswert behandelt.

Was zu tun ist

Kontosperre einrichten und MachineAccountQuota auf 0 setzen.
Dienstkonten aufräumen: nicht mehr benötigte entfernen, die übrigen auf gMSA umstellen oder mit langen Zufallskennwörtern und nur AES betreiben.
Altlasten entfernen: Kennwörter in alten Gruppenrichtlinien, uneingeschränkte Delegierung, Konten ohne Vorauthentifizierung, alte SID History.
Administratoren trennen: eigene Admin-Konten, die sich nur an Domänencontrollern und Verwaltungssystemen anmelden; Domänencontroller, Zertifizierungsstelle, AD FS und Entra Connect als höchste Schutzstufe behandeln.
Geräte und Webserver vom Domänencontroller fernhalten: Firewalls, VPN-Gateways und Webanwendungen brauchen selten mehr als ein Lesekonto – und keinen offenen Weg zu jedem Dienst. Mehr dazu in Wissen Sie eigentlich, welche Rechte Ihr Webserver hat?
Überwachen: die Ereignisse oben zentral sammeln und auf Muster prüfen.

Wie wir unterstützen

Active Directory, Zertifizierungsstellen und AD FS gehören seit vielen Jahren zu unseren Kernthemen – von der Migration bis zur Absicherung. Bei Prüfungen in gewachsenen Domänen finden wir die oben genannten Punkte fast immer, oft mehrere gleichzeitig.

AD-Sicherheitscheck

Wir prüfen Ihr Active Directory anhand der Techniken aus dem Leitfaden und liefern eine priorisierte Liste mit dem, was wirklich zählt.

Härtung

Kontosperre, Dienstkonten, Delegierung, RC4 und Altlasten – schrittweise und ohne Betriebsunterbrechung umgesetzt.

Admin-Modell und Überwachung

Ein Admin-Konzept mit getrennten Konten und eine zentrale Auswertung der wichtigen Ereignisse, damit Angriffsversuche auffallen.

Wie sicher ist Ihr Active Directory?

Wir prüfen Ihre Domäne und setzen die Härtung gemeinsam mit Ihnen um – abgestimmt auf Ihre Fachanwendungen.

Kontakt aufnehmen

Quellen & weiterführende Links

Häufige Fragen

Wir sind ein kleiner Betrieb – betrifft uns das?+

Gerade dann. Kleine Domänen sind oft über viele Jahre gewachsen, ohne dass jemand die Standardeinstellungen angefasst hat. Eine erste Prüfung der genannten Punkte ist in kurzer Zeit erledigt.

Kann die Härtung etwas kaputt machen?+

Einige Schritte, ja – etwa das Abschalten von RC4 oder der uneingeschränkten Delegierung, wenn eine alte Anwendung darauf angewiesen ist. Deshalb erst prüfen, dann gezielt und schrittweise umstellen.

Reicht unser Virenschutz nicht aus?+

Nein. Die meisten dieser Techniken nutzen erlaubte Funktionen von Windows und lösen keinen Alarm im Virenschutz aus. Entscheidend sind Konfiguration und Überwachung.