In fast jedem Windows-basierten Unternehmensnetzwerk steckt er im Kern: das Active Directory. Es verwaltet Benutzerkonten, Zugriffsrechte, Gruppen und Richtlinien und ist damit der Schlüssel zu so gut wie allem in Ihrer IT-Infrastruktur. Wer das Active Directory kontrolliert, kontrolliert das Netzwerk. Genau deshalb ist es eines der beliebtesten Angriffsziele für Hacker. Und genau deshalb sollte ein Active Directory Audit fester Bestandteil jeder IT-Sicherheitsstrategie sein.
Was ist Active Directory?
Kurzgefasst:
Was ist ein Active Directory Audit?
| Was ein AD-Audit prüft | Warum das wichtig ist |
|---|---|
| Inaktive und verwaiste Benutzerkonten | Ehemalige Mitarbeiter können sich noch anmelden |
| Konten mit zu weit gefassten Rechten | Privilege Escalation durch Angreifer oder interne Täter |
| Schwache oder nie abgelaufene Passwörter | Einfaches Ziel für Brute-Force-Angriffe |
| Fehlerhafte Gruppenrichtlinien (GPOs) | Sicherheitslücken in der gesamten Domainstruktur |
| Privilegierte Konten ohne MFA | Administrator-Accounts ohne zweiten Schutzfaktor |
| Altlasten aus Migrationen und Projekten | Unnötige Angriffsvektoren durch vergessene Konten |
Warum ist Active Directory das bevorzugte Ziel von Angreifern?
Cyberkriminelle und Ransomware-Gruppen haben Active Directory längst als strategisches Ziel identifiziert und das aus gutem Grund. Wer Domain-Admin-Rechte im AD erlangt, hat freie Hand im gesamten Netzwerk. Er kann Daten stehlen, Backups löschen, Ransomware ausrollen und alle anderen Benutzer aussperren.
Die häufigsten Angriffsmethoden auf Active Directory
- Pass-the-Hash / Pass-the-Ticket: Gestohlene Authentifizierungs-Tokens werden wiederverwendet, ohne das eigentliche Passwort zu kennen
- Kerberoasting: Angreifer extrahieren Service-Account-Hashes und knacken diese offline
- BloodHound / AD-Graphen-Angriffe: Angreifer kartieren das gesamte AD und finden automatisch den kürzesten Weg zu Domain-Admin-Rechten
- Golden Ticket Attacks: Mit kompromittierten Kerberos-Keys werden gefälschte Tickets erstellt, die unbegrenzten Zugriff ermöglichen
- Missbrauch von inaktiven Konten: Schlafende Konten ehemaliger Mitarbeiter werden als Einstiegspunkt genutzt
Praxis-Beispiel:
Typische Schwachstellen die ein Active Directory Audit aufdeckt
| Schwachstelle | Beschreibung | Risiko |
|---|---|---|
| Inaktive Benutzerkonten | Konten ehemaliger Mitarbeiter, Praktikanten oder Projekte sind noch aktiv | Kritisch |
| Zu viele Admins | Zu viele Konten mit Domain-Admin-Rechten, oft historisch gewachsen | Kritisch |
| Passwort nie abgelaufen | Service-Accounts und alte Konten mit Passwort-Ablauf-Deaktivierung | Hoch |
| Schwache Passwortrichtlinien | Keine Komplexitätsanforderungen oder zu kurze Mindestlänge | Hoch |
| Kein MFA auf privilegierten Konten | Admin-Accounts ohne zweiten Faktor sind leichte Beute | Kritisch |
| Veraltete Betriebssysteme im AD | Windows Server 2008/2012 ohne Sicherheitsupdates noch aktiv | Hoch |
| Unsichere GPO-Konfigurationen | Gruppenrichtlinien mit Sicherheitslücken oder Widersprüchen | Mittel |
| Ungenutzte Service-Accounts | Technische Accounts mit zu weit gefassten Rechten | Hoch |
Wie läuft ein professionelles Active Directory Audit ab?
- Bestandsaufnahme: Vollständige Erfassung aller AD-Objekte, Benutzer, Gruppen, Computer, GPOs, Vertrauensstellungen und Berechtigungen. Keine Annahmen, nur Fakten.
- Schwachstellenanalyse: Automatisierte und manuelle Prüfung auf bekannte Angriffsvektoren, unsichere Konfigurationen und Compliance-Abweichungen (NIS-2, BSI IT-Grundschutz).
- Berechtigungsanalyse: Wer hat Zugriff auf was? Sind Berechtigungen dem Prinzip der minimalen Rechtevergabe (Least Privilege) entsprechend vergeben?
- Risikobewertung: Alle Befunde werden priorisiert, von kritisch bis niedrig, damit klar ist, was zuerst angegangen werden muss.
- Abschlussbericht: Verständlicher Bericht mit Executive Summary für die Geschäftsführung und technischen Details für die IT-Abteilung. Inklusive priorisierter Maßnahmen Planung.
- Unterstützung bei der Umsetzung: Auf Wunsch begleitet CompiPower die Härtung des Active Directory Schritt für Schritt.
Active Directory absichern: Die wichtigsten Sofortmaßnahmen
- Alle inaktiven Konten deaktivieren, insbesondere ausgeschiedener Mitarbeiter
- Anzahl der Domain-Admin-Konten auf das absolut notwendige Minimum reduzieren
- Multi-Faktor-Authentifizierung (MFA) für alle privilegierten Accounts einrichten
- Passwörter regelmäßig erneuern und Komplexitätsanforderungen erhöhen
- Gruppenrichtlinien auf Konsistenz und Sicherheit prüfen
- Protokollierung und Monitoring von AD-Änderungen aktivieren
- Veraltete Systeme aus der Domain entfernen oder isolieren
Active Directory Härtung ist ein kontinuierlicher Prozess:
Active Directory Audit von CompiPower: Klarheit über Ihr größtes Sicherheitsrisiko
Active Directory ist Ihr Sicherheitsfundament und Ihr größtes Risiko
Häufig gestellte Fragen (FAQ)
Ein Active Directory Audit (AD Audit) ist eine systematische Sicherheitsüberprüfung der gesamten Active Directory-Infrastruktur eines Unternehmens. Dabei werden Benutzerkonten, Gruppen, Berechtigungen, Gruppenrichtlinien und Konfigurationen analysiert, um Schwachstellen, Fehlkonfigurationen und riskante Zugriffsrechte zu identifizieren. Das Ergebnis ist ein priorisierter Maßnahmen Plan zur Verbesserung der AD-Sicherheit.
Active Directory steuert in Windows-Netzwerken, wer sich anmelden darf und auf welche Ressourcen er Zugriff hat. Wer Domain-Admin-Rechte im AD erlangt, kontrolliert das gesamte Netzwerk. Das macht es zum attraktivsten Ziel für Angreifer. Mehr als 95 % aller Ransomware-Angriffe nutzen Schwachstellen im Active Directory, um sich im Netzwerk auszubreiten und maximalen Schaden anzurichten.
Mindestens einmal jährlich. Zusätzlich empfiehlt sich ein AD Audit nach größeren Veränderungen in der IT-Infrastruktur: bei Cloud-Migrationen, Unternehmensfusionen, dem Ausscheiden von IT-Administratoren oder nach einem Sicherheitsvorfall. Da sich Berechtigungen und Konten ständig verändern, ist ein regelmäßiges Audit keine Einmalaufgabe, sondern ein kontinuierlicher Prozess.
Ein Active Directory Audit analysiert die Konfiguration, Berechtigungen und Struktur des AD auf Schwachstellen und Fehlkonfigurationen, ohne diese aktiv auszunutzen. Ein Penetrationstest geht einen Schritt weiter: Er versucht aktiv, Schwachstellen auszunutzen, um den realen Schaden eines Angriffs zu demonstrieren. Beide Maßnahmen ergänzen sich optimal: Das AD Audit zeigt wo Lücken sind, der Pentest zeigt was ein Angreifer damit anstellen könnte.
Im schlimmsten Fall hat ein Angreifer die vollständige Kontrolle über das gesamte Netzwerk. Er kann Daten stehlen, Backups löschen, Ransomware auf allen Systemen ausrollen, alle Benutzer aussperren und sich dauerhaft Zugänge sichern. Die Wiederherstellung eines kompromittierten Active Directory ist extrem aufwändig und teuer und dauert oft Tage bis Wochen. Präventive Maßnahmen wie ein regelmäßiges AD Audit sind dagegen verhältnismäßig günstig und schnell umzusetzen.
