Kerberoasting einfach erklärt
In vielen Unternehmen regelt das Active Directory von Microsoft – die zentrale Benutzerverwaltung –, wer sich an welchem Rechner und bei welchem Dienst anmelden darf. Für die Anmeldung nutzt es ein Verfahren namens Kerberos. Es funktioniert ähnlich wie ein Ticketschalter: Wer einen Dienst nutzen möchte – etwa eine Datenbank oder eine Fachanwendung –, holt sich dort ein digitales Ticket.
Neben den Konten von Menschen gibt es Dienstkonten. Unter ihnen laufen Programme im Hintergrund, zum Beispiel ein Datenbankserver. Das Ticket für einen solchen Dienst ist mit einem Schlüssel verschlossen, der aus dem Passwort des Dienstkontos berechnet wird.
Stellen Sie sich einen Koffer mit Zahlenschloss vor, den jede Person im Unternehmen am Schalter abholen darf. Ein Angreifer nimmt den Koffer mit nach Hause und probiert dort in aller Ruhe Kombinationen aus. Niemand bemerkt es, denn er rüttelt nie an einer echten Tür. Ist die Kombination – also das Passwort – kurz oder leicht zu erraten, ist der Koffer schnell offen.
So funktioniert Kerberoasting
- Erster Zugang: Der Angreifer verschafft sich Zugriff auf irgendein Benutzerkonto im Netzwerk, etwa über eine Phishing-Mail.
- Dienstkonten finden: Er fragt im Active Directory ab, welche Konten einen Service Principal Name (SPN) besitzen. Diese Kennung verknüpft einen Dienst mit seinem Dienstkonto.
- Tickets anfordern: Für diese Dienste fordert er Kerberos-Tickets an. Das ist ein normaler Vorgang, den jedes Benutzerkonto ausführen darf.
- Offline knacken: Die Tickets überträgt er auf einen eigenen Rechner. Dort probieren Programme riesige Mengen möglicher Passwörter durch – ein Brute-Force-Angriff, der keine fehlgeschlagenen Anmeldungen im Netzwerk erzeugt. Besonders schnell geht das, wenn die Tickets noch mit der veralteten Verschlüsselung RC4 geschützt sind.
- Rechte ausnutzen: Mit dem geknackten Passwort meldet er sich als Dienstkonto an. Weil solche Konten oft weitreichende Rechte haben, kommt er dem Domänen-Administrator – dem Konto mit Vollzugriff auf das gesamte Netzwerk – ein großes Stück näher.
Ein Beispiel aus der Praxis
Ein Großhändler betreibt seit vielen Jahren eine Warenwirtschaft mit eigener Datenbank. Das zugehörige Dienstkonto wurde bei der Einführung angelegt, erhielt ein einprägsames Passwort und wurde – damit „alles läuft“ – in die Gruppe der Domänen-Administratoren aufgenommen. Ein Angreifer erbeutet per Phishing die Zugangsdaten einer Vertriebsmitarbeiterin. Mit ihrem Konto fordert er ein Ticket für die Datenbank an und knackt das Passwort über Nacht auf seinem eigenen Rechner. Am nächsten Morgen kontrolliert er das gesamte Netzwerk. Die Sicherheitssysteme schlagen nicht an, denn jeder einzelne Schritt sieht aus wie normaler Betrieb.
Warum ist das für Unternehmen wichtig?
Kerberoasting ist für Angreifer attraktiv, weil es wenig Aufwand erfordert und kaum Spuren hinterlässt. Es nutzt keine Programmierfehler aus, sondern eine reguläre Funktion von Kerberos. Gefährlich wird es durch typische Altlasten: Dienstkonten mit schwachen Passwörtern, die seit Jahren niemand geändert hat, und mit mehr Rechten als nötig.
Gelingt der Angriff, ist oft der Weg zum Domänen-Administrator frei – und damit zu allen Rechnern, Daten und Benutzerkonten. Genau diese Kontrolle nutzen Erpresser, um Ransomware im ganzen Unternehmen zu verteilen. Die öffentliche Wissensdatenbank MITRE ATT&CK, die Vorgehensweisen realer Angreifer sammelt, führt Kerberoasting ausdrücklich als Angriffstechnik auf.
So schützen Sie sich
- Lange, zufällige Passwörter: Geben Sie Dienstkonten sehr lange, zufällig erzeugte Passwörter – gängige Empfehlungen liegen bei 25 Zeichen und mehr. Damit wird das Knacken praktisch aussichtslos.
- Verwaltete Dienstkonten nutzen: Gruppenverwaltete Dienstkonten (gMSA) erhalten automatisch sehr lange Passwörter, die Windows regelmäßig selbst wechselt.
- RC4 abschalten: Erlauben Sie für Kerberos, wo immer möglich, nur die moderne AES-Verschlüsselung. Das bremst Angreifer deutlich aus, ersetzt aber kein starkes Passwort.
- Rechte begrenzen: Dienstkonten gehören nicht in die Gruppe der Domänen-Administratoren. Vergeben Sie nur die Rechte, die der Dienst wirklich braucht.
- Altlasten aufräumen: Prüfen Sie regelmäßig, welche Konten einen SPN haben, und entfernen Sie nicht mehr benötigte Einträge und Konten.
- Auffälligkeiten erkennen: Überwachen Sie ungewöhnlich viele Ticket-Anfragen und Anfragen mit RC4. Ein Köderkonto mit SPN, das im Alltag niemand nutzt, macht Angreifer sichtbar.
Wie Rootsektor unterstützt
In unserer Active-Directory-Analyse prüfen wir alle Konten mit SPN, ihre Verschlüsselungstypen und Berechtigungen und zeigen, ob über Kerberoasting ein Weg zu Ihren kritischsten Systemen führt. Die Analyse ist wahlweise vor Ort oder remote möglich. Kritische Schwachstellen melden wir sofort – noch während der Analyse, telefonisch oder per E-Mail an die vereinbarte Ansprechperson. Ihr Festpreisangebot erhalten Sie nach dem Scoping über unser Pentest-Angebot.