Was ist Pass-the-Hash?

Pass-the-Hash einfach erklärt

Windows speichert Passwörter nicht im Klartext, sondern als Hash. Ein Hash ist eine Art digitaler Fingerabdruck: Aus dem Passwort wird mit einem festen Rechenverfahren eine Zeichenkette erzeugt. Aus dieser Zeichenkette lässt sich das Passwort nicht einfach zurückrechnen.

Das Problem: Beim älteren Windows-Anmeldeverfahren NTLM genügt dieser Fingerabdruck, um sich anzumelden. Wer den Hash hat, braucht das Passwort nicht. Daher der Name: „Pass the Hash“ bedeutet „den Hash weiterreichen“.

Ein Vergleich: Stellen Sie sich einen Türsteher vor, der keine Eintrittskarten kontrolliert, sondern nur den Stempel auf dem Handrücken. Wer den Stempel kopieren kann, kommt hinein – ganz ohne Karte. Der Hash ist dieser Stempel. Weil die Anmeldung technisch korrekt aussieht, fällt der Missbrauch kaum auf.

So funktioniert Pass-the-Hash

1. Erster Zugang: Der Angreifer verschafft sich Zugriff auf einen Rechner im Netz, etwa über eine Phishing-Mail mit Schadsoftware.
2. Rechte ausweiten: Um Hashes auszulesen, braucht er lokale Administratorrechte. Die verschafft er sich, falls nötig, über eine Rechteausweitung.
3. Hashes auslesen: Mit frei verfügbaren Werkzeugen liest er Hashes aus der lokalen Benutzerdatenbank und aus dem Arbeitsspeicher. Dort liegen die Anmeldedaten der Personen, die gerade an diesem Rechner angemeldet sind – im ungünstigsten Fall die eines Domänen-Administrators, also eines Kontos mit Vollzugriff auf das gesamte Windows-Netz.
4. Weiterreichen: Mit dem Hash meldet er sich an anderen Rechnern und Servern an. Ist auf vielen Geräten dasselbe lokale Administratorpasswort gesetzt, öffnet ein einziger Hash viele Türen.
5. Ausbreiten: Schritt für Schritt bewegt er sich so durchs Netz (Lateral Movement), bis er ein Konto mit Domänen-Administratorrechten erbeutet. Damit kontrolliert er das Active Directory – den zentralen Verzeichnisdienst, der alle Konten und Rechte im Windows-Netz verwaltet.

Ein Beispiel aus der Praxis

Ein Ingenieurbüro hat alle Arbeitsplatzrechner aus einer gemeinsamen Vorlage installiert – mit demselben lokalen Administratorpasswort auf jedem Gerät. Bei einem internen Penetrationstest erhält das Prüfteam zunächst nur ein gewöhnliches Benutzerkonto.

Über eine veraltete Druckersoftware erlangt es Administratorrechte auf dem Testrechner und liest den Hash des lokalen Administratorkontos aus. Mit diesem Hash meldet es sich an weiteren Rechnern an. Auf einem davon ist noch ein Domänen-Administrator angemeldet, der dort per Fernzugriff ein Problem behoben und die Sitzung nicht beendet hat. Dessen Hash öffnet den Weg zum Domänencontroller, dem zentralen Server des Active Directory.

Keiner dieser Schritte löst einen Alarm aus. Der Bericht zeigt den gesamten Angriffspfad und die Stellen, an denen er sich unterbrechen lässt.

Warum ist das für Unternehmen wichtig?

Pass-the-Hash erklärt, warum aus einem einzelnen infizierten Rechner schnell ein unternehmensweiter Vorfall werden kann. Angreifergruppen nutzen solche Techniken, um sich im Netz auszubreiten, bevor sie etwa mit Ransomware, also Erpressungssoftware, Daten verschlüsseln.

Die Ursachen liegen meist in der Konfiguration: gleiche lokale Passwörter, hochprivilegierte Konten, mit denen sich das IT-Team an gewöhnlichen Arbeitsplätzen anmeldet, und NTLM, das in vielen Netzen noch aktiv ist. Weil die Anmeldungen legitim aussehen, erkennen klassische Schutzprogramme den Angriff oft nicht.

Die gute Nachricht: Die wirksamsten Gegenmaßnahmen lassen sich weitgehend mit Bordmitteln von Windows umsetzen.

So schützen Sie sich

• Einzigartige lokale Passwörter: Mit Windows LAPS (Local Administrator Password Solution), einer kostenlosen Windows-Funktion, erhält jeder Rechner ein eigenes, regelmäßig wechselndes Passwort für das lokale Administratorkonto.
• Stufenmodell für Administratorkonten: Trennen Sie Konten für Arbeitsplätze, Server und Domänencontroller strikt. Domänen-Administratorkonten werden nie an gewöhnlichen Arbeitsplatzrechnern verwendet.
• Anmeldedaten im Speicher schützen: Credential Guard schirmt den Bereich ab, in dem Windows Anmeldedaten vorhält. Die Gruppe „Protected Users“ verhindert für besonders schützenswerte Konten unter anderem die Anmeldung per NTLM.
• NTLM zurückdrängen: Nutzen Sie wo immer möglich das modernere Anmeldeverfahren Kerberos und schränken Sie NTLM schrittweise ein.
• Rechte reduzieren: Gewöhnliche Benutzerkonten brauchen keine Administratorrechte auf dem eigenen Rechner.
• Auffälligkeiten überwachen: Netzwerkanmeldungen mit lokalen Administratorkonten zwischen Arbeitsplatzrechnern sind ein deutliches Warnsignal.

Wie Rootsektor unterstützt

In unserer Active-Directory-Analyse prüfen wir, ob Pass-the-Hash und verwandte Techniken in Ihrem Netzwerk zum Ziel führen: Wir suchen nach gleichen lokalen Passwörtern, riskanten Anmeldungen privilegierter Konten und Angriffspfaden bis zum Domänen-Administrator. Interne Tests führen wir wahlweise vor Ort oder remote durch. Kritische Schwachstellen melden wir schon während des Tests sofort – telefonisch oder per E-Mail an die vereinbarte Ansprechperson.