Was ist Active Directory?

Active Directory einfach erklärt

Stellen Sie sich ein großes Bürogebäude vor. Am Empfang sitzt ein Pförtner mit einem dicken Verzeichnis: Darin stehen alle Beschäftigten, alle Räume und alle Schlüssel. Er prüft jeden Ausweis und gibt nur die Schlüssel heraus, die der jeweiligen Person zustehen. Diese Rolle übernimmt das Active Directory im Firmennetzwerk – daher der Begriff Verzeichnisdienst.

Wenn Sie sich morgens an Ihrem Rechner anmelden, prüft im Hintergrund das AD Ihr Passwort. Es legt fest, welche Laufwerke, Drucker und Programme Sie nutzen dürfen. Für die IT ist das praktisch: Sie verwaltet alles zentral, statt jeden Rechner einzeln einzurichten.

Die Kehrseite: Wer das AD kontrolliert, hält den Generalschlüssel für das gesamte Unternehmen in der Hand – ein lohnendes Ziel für Angreifer.

So funktioniert Active Directory

Microsoft hat das Active Directory mit Windows 2000 Server eingeführt; heute ist es in Firmennetzen weit verbreitet. Die wichtigsten Bestandteile:

1. Domänencontroller: Server, auf denen die AD-Datenbank liegt und die alle Anmeldungen prüfen. Meist gibt es mehrere, falls einer ausfällt.
2. Domäne: der gemeinsame Verwaltungsbereich, etwa für alle Konten und Rechner eines Unternehmens.
3. Benutzer und Gruppen: Konten werden in Gruppen wie „Buchhaltung“ zusammengefasst. Rechte vergibt die IT idealerweise an Gruppen statt an einzelne Personen. Neben persönlichen Konten gibt es Dienstkonten: technische Konten, unter denen Programme laufen.
4. Gruppenrichtlinien: Damit verteilt die IT Einstellungen und Software automatisch auf alle Rechner, etwa Bildschirmsperren oder Sicherheitsvorgaben.
5. Anmeldeverfahren: Das AD nutzt vor allem Kerberos. Nach der Anmeldung erhalten Nutzende digitale „Eintrittskarten“ (Tickets), mit denen sie sich bei weiteren Diensten ausweisen, ohne ihr Passwort erneut einzugeben. Oft ist zusätzlich noch das ältere Verfahren NTLM aktiv.
6. Privilegierte Konten: Mitglieder der Gruppe „Domänen-Admins“ dürfen praktisch alles – Konten anlegen, Passwörter zurücksetzen, Richtlinien ändern.

Nicht zu verwechseln ist das klassische AD mit Entra ID, Microsofts Cloud-Identitätsdienst, der bis 2023 Azure Active Directory hieß. Viele Unternehmen nutzen beides und synchronisieren die Konten. Schwächen im einen System können sich dann auf das andere auswirken.

Ein Beispiel aus der Praxis

Ein mittelständischer Maschinenbauer lässt sein über viele Jahre gewachsenes Active Directory prüfen. Das Prüfteam startet wie ein Angreifer nach einer erfolgreichen Phishing-Mail: mit dem gewöhnlichen Konto einer Sachbearbeiterin. Schnell fällt ein altes Dienstkonto für die Datensicherung auf. Es hat Domänen-Admin-Rechte, „damit es keine Probleme gibt“, und sein Passwort wurde seit Jahren nicht geändert.

Für Dienstkonten, unter denen ein Netzwerkdienst registriert ist, darf jedes normale Konto ein Kerberos-Ticket anfordern. Ein Teil dieses Tickets ist – vereinfacht gesagt – mit dem Passwort des Dienstkontos verschlüsselt. Deshalb lässt sich das Passwort offline knacken, also auf einem eigenen Rechner, ohne dass Fehlversuche auffallen. Die Technik heißt Kerberoasting. Weil das Passwort kurz und simpel ist, gelingt das schnell – und das Prüfteam kontrolliert die gesamte Domäne. Die Lösung ist überschaubar: Das Dienstkonto erhält nur noch die Rechte, die es braucht, und ein langes, automatisch verwaltetes Passwort.

Warum ist das für Unternehmen wichtig?

Das Active Directory ist das Herzstück Ihrer IT. Wer dort Domänen-Admin-Rechte erlangt, kann Daten auf allen Servern lesen, Schutzsoftware abschalten und Schadsoftware per Gruppenrichtlinie auf alle Rechner verteilen. Bei Angriffen mit Ransomware – Erpressungssoftware, die Daten verschlüsselt – ist die Übernahme des AD deshalb häufig der entscheidende Schritt.

Das Tückische: Schwachstellen entstehen meist schleichend. Zuständigkeiten wechseln, Dienstkonten bleiben bestehen, Rechte werden „vorübergehend“ vergeben und nie entzogen. Jede Einstellung wirkt harmlos, erst in Kombination entsteht ein Angriffspfad.

Auch Regelwerke greifen das Thema auf. Die NIS2-Richtlinie zählt etwa Konzepte für die Zugriffskontrolle und Lösungen zur Multi-Faktor-Authentifizierung zu den Mindestmaßnahmen. Das IT-Grundschutz-Kompendium des BSI enthält einen eigenen Baustein zum Active Directory.

So schützen Sie sich

• Admin-Konten trennen: Administratoren nutzen für E-Mail und Internet ein normales Konto, das privilegierte Konto nur für Verwaltungsaufgaben – idealerweise auf eigenen Admin-Rechnern.
• Rechte ausmisten: Prüfen Sie regelmäßig die Mitglieder privilegierter Gruppen und entfernen Sie alte Konten und überflüssige Berechtigungen.
• Dienstkonten absichern: Vergeben Sie lange, zufällige Passwörter oder nutzen Sie gruppenverwaltete Dienstkonten (gMSA), deren Passwörter das AD automatisch wechselt.
• Lokale Admin-Passwörter individualisieren: Das Administratorkonto jedes einzelnen Rechners braucht ein eigenes Passwort. Die in Windows integrierte Lösung LAPS vergibt und wechselt diese Passwörter automatisch. Das erschwert Techniken wie Pass-the-Hash.
• Veraltete Verfahren abschalten: Deaktivieren Sie alte Anmelde- und Verschlüsselungsverfahren wie NTLMv1 oder RC4, soweit möglich.
• Zugänge zusätzlich sichern: Setzen Sie MFA – eine Anmeldung mit zweitem Faktor – für Fernzugänge, Cloud-Dienste und, wo möglich, administrative Zugriffe ein.
• Überwachen und prüfen: Protokollieren Sie kritische Änderungen, etwa an Admin-Gruppen, und lassen Sie Ihr AD regelmäßig aus Angreifersicht prüfen.

Wie Rootsektor unterstützt

In unserer Active-Directory-Analyse decken wir aus Angreifersicht Angriffspfade, riskante Berechtigungen und veraltete Einstellungen auf und zeigen, wo Sie diese am wirksamsten schließen. Interne Tests führen wir wahlweise vor Ort oder remote durch. Ein Festpreisangebot erhalten Sie innerhalb von 24 Stunden (an Werktagen) nach dem Scoping – anfragen können Sie es über die Seite Pentest-Angebot.