Active-Directory-Sicherheit für Domänen und Entra ID

Ein interner Penetrationstest prüft das gesamte interne Netz – Systeme, Dienste und Segmentierung – und folgt dabei oft dem ersten gangbaren Weg zum Domänen-Admin. Die Active-Directory-Analyse konzentriert sich auf das Verzeichnis selbst und arbeitet es systematisch durch: alle Angriffspfade, alle riskanten Berechtigungen, alle Kerberos- und ADCS-Konfigurationen. Beide Leistungen ergänzen sich ideal.

Für die meisten Prüfungen genügt ein normales Domänenkonto ohne Adminrechte, dazu ein Netzwerkzugang zu Ihrer Domäne – wahlweise vor Ort oder remote, per VPN oder über ein bereitgestelltes Testsystem. Für einzelne Prüfungen, etwa ein Passwort-Audit oder lokale Einstellungen der Domain Controller, stimmen wir erweiterte Rechte gezielt mit Ihnen ab.

In aller Regel nicht. Die Datenerhebung besteht im Wesentlichen aus lesenden Abfragen, etwa per LDAP, die Domain Controller und Systeme kaum belasten, und wir verändern keine Objekte im Verzeichnis. Aktive Validierungen wie das Anfordern eines Testzertifikats führen wir nur nach Absprache durch und machen sie anschließend rückgängig.

Ja. In hybriden Umgebungen gehört Entra Connect zu den kritischsten Systemen überhaupt, denn wer es kontrolliert, kann sowohl das lokale AD als auch den Cloud-Tenant gefährden. Wir prüfen Synchronisation, Authentifizierungsmethode, privilegierte Rollen und Conditional Access. Für eine umfassende Prüfung Ihres Tenants empfehlen wir zusätzlich unser Microsoft 365 & Azure Review.

Beim Kerberoasting fordert ein Angreifer mit einem beliebigen Domänenkonto Kerberos-Tickets für Dienstkonten an. Diese Tickets sind mit einem aus dem Passwort des Dienstkontos abgeleiteten Schlüssel verschlüsselt und lassen sich offline durchprobieren – ohne Kontosperrung und für viele Überwachungslösungen unauffällig. Weil Dienstkonten oft schwache, nie geänderte Passwörter und hohe Rechte haben, führt der Angriff häufig direkt zu privilegierten Zugängen. Abhilfe schaffen Group Managed Service Accounts (gMSA), lange Zufallspasswörter und der Verzicht auf RC4.

Die Zertifikatsdienste sind eng mit dem AD verzahnt: Ein Zertifikat kann zur Anmeldung genutzt werden wie ein Passwort. Mit der Forschungsarbeit „Certified Pre-Owned“ (2021) rückten zahlreiche Angriffstechniken in den Fokus, die als ESC1, ESC2 und folgende katalogisiert sind – und die Liste wächst weiter. Schon eine falsch konfigurierte Vorlage kann jedem Benutzerkonto erlauben, sich ein Zertifikat für einen Domänen-Admin auszustellen. Deshalb behandeln wir ADCS als Tier-0-System und prüfen es besonders gründlich.

Wir empfehlen eine umfassende Analyse etwa einmal jährlich sowie nach größeren Veränderungen, etwa Migrationen, Fusionen, der Einführung von Entra ID oder einem Wechsel des IT-Dienstleisters. Auch nach einem Sicherheitsvorfall ist eine AD-Analyse sinnvoll, um verbliebene Hintertüren und Persistenzmechanismen aufzuspüren – ergänzend zur IT-Forensik.

Das hängt vor allem von der Zahl der Domänen und Forests, der Größe des Verzeichnisses und der gewählten Variante ab. Die Datenerhebung selbst ist meist schnell erledigt; den Großteil des Aufwands machen Analyse, Validierung und ein verständlicher Bericht aus. Den Zeitrahmen stimmen wir im Scoping ab – er ist Bestandteil Ihres Festpreisangebots.