Privilege Escalation einfach erklärt
Denken Sie an ein Hotel. Jeder Gast erhält eine Zimmerkarte, die nur die eigene Tür öffnet. Das Reinigungspersonal hat Karten für ein ganzes Stockwerk, die Hotelleitung eine Generalkarte für alle Räume. Findet ein Gast an der Rezeption eine liegen gelassene Generalkarte, kann er plötzlich jedes Zimmer betreten. Genau das ist eine Privilege Escalation: Jemand verschafft sich Zugriffsrechte, die ihm nicht zustehen.
In der IT funktioniert es ähnlich. Ein normales Benutzerkonto darf eigene Dateien öffnen und freigegebene Programme nutzen. Ein Administratorkonto darf dagegen fast alles: Software installieren, Schutzprogramme abschalten, neue Konten anlegen. Angreifer starten meist mit wenigen Rechten, etwa nachdem jemand auf eine Phishing-Mail hereingefallen ist. Ihr nächstes Ziel ist deshalb fast immer, an höhere Rechte zu kommen.
Fachleute unterscheiden zwei Richtungen:
- Vertikale Rechteausweitung: der Aufstieg nach oben, etwa vom normalen Benutzer zum Administrator.
- Horizontale Rechteausweitung: der Schritt zur Seite, also der Zugriff auf Daten anderer Konten derselben Stufe. Ein Beispiel: Ein Kunde eines Onlineportals sieht plötzlich die Rechnungen eines anderen Kunden. Fachleute sprechen dann oft von IDOR.
So funktioniert Privilege Escalation
Angreifer suchen gezielt nach Schwächen, die ihnen den Aufstieg ermöglichen. Typische Ursachen sind:
- Fehlende Updates: Fehler im Betriebssystem, in Treibern oder Programmen, für die es längst ein Update gibt. Oft existiert bereits ein öffentlicher Exploit, also fertiger Angriffscode.
- Falsch gesetzte Berechtigungen: Dürfen normale Benutzer eine Programmdatei verändern, die später mit Administratorrechten läuft, können sie dort eigenen Code einschleusen.
- Unsicher eingerichtete Dienste: Hintergrundprogramme oder geplante Aufgaben laufen mit hohen Rechten und lassen sich manipulieren.
- Passwörter im Klartext: Zugangsdaten stehen in Skripten, Konfigurationsdateien oder Notizen auf Netzlaufwerken – lesbar für jeden, der dort sucht.
- Schwächen im Verzeichnisdienst: In Windows-Netzwerken verwaltet das Active Directory alle Konten und Rechte. Mit Techniken wie Kerberoasting (dem Knacken von Passwörtern bestimmter Dienstkonten) oder Pass-the-Hash (der Anmeldung mit einem erbeuteten Passwort-Fingerabdruck statt mit dem Passwort selbst) arbeiten sich Angreifer dort bis zum Domänen-Administrator hoch. Dieses Konto kontrolliert praktisch das gesamte Netzwerk.
Eine Rechteausweitung kommt selten allein. Meist wechselt sie sich mit Lateral Movement ab, der Seitwärtsbewegung von Rechner zu Rechner. Zusammen ergeben beide einen Angriffspfad vom ersten Zugang bis zum Ziel.
Ein Beispiel aus der Praxis
Ein erfundenes, aber typisches Szenario: Bei einem Logistikunternehmen öffnet ein Mitarbeiter einen präparierten E-Mail-Anhang. Der Angreifer kontrolliert nun dessen Rechner, allerdings nur mit normalen Benutzerrechten. Auf einem Netzlaufwerk findet er ein altes Installationsskript, in dem das Passwort des lokalen Administratorkontos steht. Weil dieses Passwort auf allen Arbeitsplatzrechnern gleich ist, kann er sich damit an vielen Geräten anmelden.
Auf einem davon war kurz zuvor ein Domänen-Administrator angemeldet. Dessen Anmeldedaten liegen noch im Arbeitsspeicher, und der Angreifer kann sie auslesen. Wenige Schritte später kontrolliert er das gesamte Firmennetz. Jeder einzelne Fehler wirkt harmlos – erst die Kombination macht ihn gefährlich. Ein Penetrationstest deckt genau solche Ketten auf.
Warum ist das für Unternehmen wichtig?
Mit normalen Benutzerrechten richtet ein Angreifer meist nur begrenzten Schaden an. Mit Administratorrechten kann er Schutzprogramme abschalten, Datensicherungen löschen, Daten in großem Umfang abziehen und Schadsoftware auf alle Systeme verteilen. Ob eine Rechteausweitung gelingt, entscheidet deshalb oft darüber, ob ein Vorfall auf einen einzelnen Rechner begrenzt bleibt oder das ganze Unternehmen trifft.
Auch Normen greifen das Thema auf. Der Maßnahmenkatalog der Norm ISO/IEC 27001 sieht zum Beispiel vor, privilegierte Zugriffsrechte einzuschränken und zu steuern.
So schützen Sie sich
- Minimale Rechte: Jedes Konto erhält nur die Rechte, die es für seine Aufgaben wirklich braucht.
- Zeitnahe Updates: Ein geregeltes Patch-Management, also das planmäßige Einspielen von Sicherheitsupdates, schließt bekannte Lücken, bevor Angreifer sie nutzen.
- Getrennte Administratorkonten: Administratoren erledigen Alltagsaufgaben mit einem normalen Konto und nutzen privilegierte Konten nur für die Verwaltung – idealerweise nach einem Stufenmodell, das Arbeitsplatzrechner, Server und Domänencontroller – die zentralen Server des Active Directory – voneinander trennt.
- Einzigartige lokale Passwörter: Die in Windows integrierte Funktion LAPS vergibt für jedes Gerät ein eigenes, regelmäßig wechselndes Passwort für das lokale Administratorkonto.
- Keine Passwörter in Dateien: Zugangsdaten gehören in einen Passwortmanager oder Tresor, nicht in Skripte und Freigaben.
- Regelmäßige Kontrolle: Prüfen Sie Berechtigungen, Dienste und Gruppenmitgliedschaften. Lassen Sie sich alarmieren, wenn neue Administratorkonten entstehen.
Wie Rootsektor unterstützt
Im Penetrationstest für Netzwerk & Infrastruktur prüfen wir gezielt, wie weit ein Angreifer von einem gewöhnlichen Benutzerkonto aus kommt – bis hin zur Übernahme der Domäne, soweit es die vereinbarten Spielregeln erlauben. Interne Tests führen wir wahlweise vor Ort oder remote durch, per VPN oder über ein bereitgestelltes Testsystem. Die Rechtestruktur Ihres Verzeichnisdienstes nimmt zusätzlich unsere Active-Directory-Analyse unter die Lupe.