Active Directory absichern: Warum die Sicherheit des Unternehmens bei der Benutzerverwaltung beginnt

Active Directory ist das Rückgrat vieler Unternehmensnetzwerke. Doch gerade seine zentrale Bedeutung macht den Verzeichnisdienst zu einem besonders kritischen Angriffsziel. Wer die eigene IT-Infrastruktur wirksam schützen möchte, muss deshalb weit über sichere Passwörter und regelmäßige Updates hinausdenken. Entscheidend sind kontrollierte Berechtigungen, gehärtete Domänencontroller, nachvollziehbare Änderungen und eine kontinuierliche Sicherheitsüberwachung.

In zahlreichen Unternehmen bildet Microsoft Active Directory (AD) fast schon Jahrzehnte die technische Grundlage für die Verwaltung von Benutzerkonten, Computern, Gruppenrichtlinien und Zugriffsberechtigungen. Was für den IT-Betrieb unverzichtbar ist, kann bei unzureichender Absicherung zu einem erheblichen Sicherheitsrisiko werden.
Erlangen Angreifer weitreichende Berechtigungen innerhalb einer Active-Directory-Umgebung, können sie unter Umständen auf zahlreiche Systeme und Informationen zugreifen, Sicherheitsmechanismen verändern oder die weitere Ausbreitung innerhalb des Netzwerks vorbereiten.
Die Absicherung des Verzeichnisdienstes ist deshalb keine isolierte Administrationsaufgabe. Sie gehört zu den wesentlichen Bestandteilen eines wirksamen Informationssicherheitsmanagements.

1. Domänencontroller besonders schützen
Domänencontroller übernehmen zentrale Aufgaben bei der Authentifizierung und Verwaltung einer Windows-Domäne. Ihre Kompromittierung kann erhebliche Auswirkungen auf die gesamte IT-Infrastruktur haben.
Daher sollte die Anmeldung an diesen Systemen ausschließlich ausdrücklich autorisierten Administrationskonten gestattet werden.
Ebenso wichtig ist die Trennung unterschiedlicher administrativer Sicherheitsbereiche. Besonders privilegierte Zugangsdaten dürfen nicht auf gewöhnlichen Arbeitsplatzrechnern oder weniger vertrauenswürdigen Servern verwendet werden.
Ein abgestuftes Administrationsmodell verhindert, dass die Kompromittierung eines Arbeitsplatzes unmittelbar auch hochprivilegierte Zugangsdaten gefährdet.
Darüber hinaus sollten auf Domänencontrollern nur tatsächlich erforderliche Dienste und Serverfunktionen betrieben werden. Jede zusätzliche Komponente vergrößert potenziell die Angriffsfläche.
Grundsatz: Je weniger administrative Zugänge, Dienste und unnötige Funktionen vorhanden sind, desto überschaubarer bleibt das Sicherheitsrisiko.

2. Unsichere Protokolle und Konfigurationen beseitigen
Viele Sicherheitsprobleme entstehen nicht durch völlig neue Angriffstechniken, sondern durch historisch gewachsene Einstellungen.
In älteren IT-Umgebungen finden sich mitunter noch Protokolle und Funktionen, die heutigen Sicherheitsanforderungen nicht mehr entsprechen.
Dazu gehören beispielsweise:

• NTLMv1 als veraltetes Authentifizierungsverfahren
• SMBv1 als überholte Version des Netzwerkdateiprotokolls
• LLMNR als Namensauflösungsverfahren mit möglichen Missbrauchsszenarien
• Unbeschränkte Kerberos-Delegierung, durch die zusätzliche Angriffsmöglichkeiten entstehen können

Solche Funktionen sollten systematisch identifiziert und deaktiviert werden, sofern keine zwingenden technischen Abhängigkeiten bestehen.
Besondere Bedeutung haben dabei die Gruppenrichtlinien (Group Policy Objects, GPOs). Sie ermöglichen eine zentrale Durchsetzung von Sicherheitskonfigurationen.
Allerdings genügt es nicht, eine Sicherheitsrichtlinie lediglich zu definieren. Unternehmen müssen regelmäßig überprüfen, ob die vorgesehenen Einstellungen tatsächlich auf allen relevanten Systemen angewendet werden.
Eine dokumentierte Sicherheitskonfiguration verliert ihren praktischen Wert, wenn einzelne Domänencontroller dauerhaft davon abweichen.

3. Administrative Berechtigungen konsequent begrenzen
Nicht jeder Administrator benötigt jederzeit sämtliche Rechte.
Dennoch sind historisch gewachsene Berechtigungsstrukturen in vielen Organisationen anzutreffen. Frühere Projektverantwortliche, technische Dienstkonten oder längst nicht mehr benötigte Administratoren können weiterhin über weitreichende Zugriffsrechte verfügen.
Besonders kritisch sind die privilegierten Active-Directory-Gruppen:

• Domänen-Admins (Domain Admins)
• Organisations-Admins (Enterprise Admins)
• Schema-Admins (Schema Admins)

Die Mitgliedschaften dieser Gruppen sollten regelmäßig überprüft und auf den tatsächlich erforderlichen Personenkreis reduziert werden.
Für administrative Tätigkeiten empfiehlt sich außerdem die Verwendung separater Konten. Ein Benutzerkonto für E-Mail, Internetzugriff und tägliche Büroarbeit sollte nicht gleichzeitig über umfassende Domänenadministrationsrechte verfügen.
Zusätzliche Schutzmaßnahmen betreffen insbesondere die Kerberos-Authentifizierung. Hochprivilegierte Konten sollten gegen unzulässige Delegierung abgesichert werden.
Auch das Kerberos-Konto krbtgt benötigt besondere Aufmerksamkeit. Für den Fall einer vermuteten Kompromittierung muss ein dokumentiertes und fachlich abgestimmtes Verfahren zum Zurücksetzen seines Kennworts vorhanden sein.
Das übergeordnete Prinzip lautet Least Privilege: Jeder Benutzer und jeder technische Dienst erhält nur diejenigen Berechtigungen, die für die jeweilige Aufgabe erforderlich sind.

4. Gruppenrichtlinien und Systemdateien überwachen
Gruppenrichtlinien sind ein leistungsfähiges Werkzeug der zentralen Administration. Gleichzeitig können unberechtigte Veränderungen weitreichende Folgen haben.
Wird beispielsweise ein Anmeldeskript manipuliert, kann dies dazu führen, dass unerwünschte Befehle auf zahlreichen angebundenen Arbeitsplätzen ausgeführt werden.
Deshalb müssen insbesondere folgende Bereiche geschützt und überwacht werden:
SYSVOL-Replikation: Die Verteilung zentraler Richtlinien und Skripte zwischen Domänencontrollern muss zuverlässig funktionieren.
Berechtigungen für Gruppenrichtlinien: Änderungen dürfen ausschließlich durch ausdrücklich autorisierte Personen erfolgen.
Anmeldeskripte: Veränderungen an Skripten und ausführbaren Dateien müssen nachvollziehbar sein.
Dateiintegrität: Kritische Systemdateien sollten auf unberechtigte Veränderungen überprüft werden.
Eine Möglichkeit hierfür ist die kryptografische Hashwertprüfung. Sie ermöglicht es, Inhaltsveränderungen zu erkennen, selbst wenn Dateinamen oder Zeitstempel unverändert erscheinen.
Eine solche Integritätsüberwachung ergänzt die klassische Protokollierung und erleichtert die Erkennung unerwünschter Konfigurationsänderungen.

5. Sicherheitsereignisse zentral protokollieren
Ein wirksames Sicherheitskonzept muss nicht nur Angriffe erschweren, sondern auch ungewöhnliche Vorgänge erkennbar machen.
Dafür ist eine nachvollziehbare Protokollierung administrativer und sicherheitsrelevanter Ereignisse erforderlich.
Hierzu zählen insbesondere:

• Erfolgreiche und fehlgeschlagene Anmeldeversuche
• Veränderungen an Benutzerkonten und Gruppenmitgliedschaften
• Nutzung privilegierter Berechtigungen
• Zugriffe und Änderungen innerhalb des Verzeichnisdienstes
• Veränderungen an sicherheitskritischen Konfigurationen

Die Protokolle sollten möglichst nicht ausschließlich auf den jeweiligen Domänencontrollern gespeichert werden.
Bei einer erfolgreichen Kompromittierung könnten Angreifer versuchen, lokale Protokolle zu manipulieren oder zu löschen.
Eine zentrale Protokollverwaltung, gegebenenfalls ergänzt durch ein Security Information and Event Management (SIEM), verbessert die Möglichkeiten zur Erkennung, Untersuchung und Dokumentation von Sicherheitsvorfällen.
Dabei müssen die Aufbewahrungsdauer, die Zugriffsbeschränkungen und die Auswertung der Protokolle dem tatsächlichen Schutzbedarf entsprechen.
Entscheidend ist nicht allein, möglichst viele Ereignisse aufzuzeichnen, sondern sicherheitsrelevante Abweichungen zeitnah zu erkennen und angemessen darauf zu reagieren.

6. Änderungen kontrollieren und dokumentieren
Auch reguläre Administrationsarbeiten können Sicherheitsrisiken verursachen.
Eine geänderte Gruppenrichtlinie, eine neue Vertrauensstellung zwischen Domänen oder eine Anpassung des Active-Directory-Schemas kann weitreichende Auswirkungen haben.
Deshalb empfiehlt sich ein verbindliches Änderungsmanagement.
Sicherheitsrelevante Änderungen sollten vor ihrer Umsetzung freigegeben, während der Durchführung dokumentiert und anschließend überprüft werden.
Ein funktionierendes Verfahren beantwortet mindestens vier Fragen:
1. Wer hat die Änderung beantragt?
2. Wer hat sie genehmigt?
3. Wer hat sie technisch umgesetzt?
4. Wer hat das Ergebnis überprüft?
Zusätzlich sollten tatsächlich festgestellte Konfigurationsänderungen mit den genehmigten Maßnahmen abgeglichen werden.
Auf diese Weise lassen sich nicht autorisierte Eingriffe und unbeabsichtigte Abweichungen von der vorgesehenen Sicherheitskonfiguration besser erkennen.

7. Schwachstellen und veraltete Systeme beseitigen
Die Härtung eines Domänencontrollers ist kein einmaliges Projekt.
Neue Schwachstellen, veränderte technische Anforderungen und zusätzliche Softwarekomponenten können den Sicherheitszustand kontinuierlich verändern.
Deshalb benötigen Domänencontroller ein strukturiertes Patch- und Schwachstellenmanagement.
Sicherheitsupdates sollten regelmäßig und risikoorientiert eingespielt werden. Besonders kritisch sind Schwachstellen, die unmittelbar Active Directory, Authentifizierungsverfahren oder privilegierte Zugriffe betreffen.
Ebenso wichtig ist der Umgang mit veralteten Betriebssystemversionen.
Server, deren reguläre Sicherheitsunterstützung ausgelaufen ist und für die keine wirksame anderweitige Absicherung besteht, stellen ein erhebliches Risiko dar. Für solche Systeme müssen zeitnah geeignete Migrations- oder Ablösungsmaßnahmen vorgesehen werden.
Ergänzend sollten regelmäßig offene Netzwerkports, aktive Dienste und Abweichungen von der festgelegten Sicherheitskonfiguration überprüft werden.
Updates sind vor der produktiven Einführung angemessen zu testen. Dabei muss insbesondere berücksichtigt werden, dass Domänencontroller zentrale Aufgaben übernehmen und Fehler weitreichende Betriebsstörungen verursachen können.

8. Datensicherung und Wiederherstellung regelmäßig überprüfen
Selbst umfangreiche Schutzmaßnahmen können Sicherheitsvorfälle nicht vollständig ausschließen.
Umso wichtiger ist die Fähigkeit, eine kompromittierte oder ausgefallene Active-Directory-Umgebung kontrolliert wiederherzustellen.
Dafür reichen vorhandene Datensicherungen allein nicht aus.
Unternehmen benötigen dokumentierte Wiederherstellungsverfahren, die regelmäßig unter geeigneten Bedingungen erprobt werden.
Besonders relevant sind dabei:

• Die Wiederherstellbarkeit der Domänencontroller
• Der Umgang mit kompromittierten Verzeichnisdiensten
• Die Verfügbarkeit geeigneter und vertrauenswürdiger Sicherungen
• Die Vergabe und sichere Verwahrung von Notfallzugängen
• Die personelle Vertretung bei Ausfall verantwortlicher Administratoren

Ein erfolgreicher Sicherungslauf ist noch kein Nachweis dafür, dass die gesamte Domänenumgebung im Ernstfall zuverlässig wiederhergestellt werden kann.
Erst ein getestetes Wiederherstellungsverfahren schafft die erforderliche Grundlage für eine belastbare Notfallvorsorge.

9. Active-Directory-Sicherheit als Bestandteil des ISMS
Die beschriebenen Maßnahmen haben nicht ausschließlich technische Bedeutung.
Sie betreffen zugleich zentrale Anforderungen an die Organisation und Überwachung der Informationssicherheit.
Ein Informationssicherheitsmanagementsystem nach ISO/IEC 27001 kann den organisatorischen Rahmen bieten, um entsprechende Maßnahmen systematisch zu planen, umzusetzen, zu überprüfen und kontinuierlich zu verbessern.
Relevant sind insbesondere die Regelungen zur Zugriffssteuerung, zum Identitätsmanagement, zur Verwaltung privilegierter Berechtigungen, zur Protokollierung, zum Änderungsmanagement, zur Behandlung technischer Schwachstellen und zur Sicherstellung der Betriebsfähigkeit.
Dabei genügt es nicht, Maßnahmen lediglich in Richtlinien oder Sicherheitskonzepten zu beschreiben.
Entscheidend sind nachvollziehbare Nachweise ihrer tatsächlichen Umsetzung und Wirksamkeit.
Hierzu können beispielsweise dokumentierte Berechtigungsprüfungen, Konfigurationskontrollen, Protokollauswertungen, Änderungsnachweise und Wiederherstellungstests gehören.
Eine regelmäßige Überprüfung dieser Nachweise trägt dazu bei, Abweichungen frühzeitig zu erkennen und angemessene Verbesserungsmaßnahmen einzuleiten.

Fazit: Active Directory benötigt dauerhafte Aufmerksamkeit
Die Sicherheit einer Active-Directory-Umgebung lässt sich nicht durch eine einzelne technische Maßnahme gewährleisten.
Erforderlich ist vielmehr das Zusammenspiel aus restriktiven Berechtigungen, sicheren Systemkonfigurationen, konsequenter Protokollierung, kontrollierten Änderungen und einer belastbaren Notfallvorsorge.
Besonders wichtig ist dabei die kontinuierliche Überprüfung.
Denn selbst eine ursprünglich sorgfältig abgesicherte Umgebung kann durch neue Benutzerkonten, geänderte Berechtigungen, zusätzliche Dienste oder unterlassene Updates schrittweise an Sicherheit verlieren.

Active-Directory-Sicherheit ist deshalb kein einmaliger Konfigurationszustand, sondern ein dauerhaft zu steuernder Prozess.
Unternehmen, die ihre Domäneninfrastruktur regelmäßig kontrollieren und die Ergebnisse nachvollziehbar dokumentieren, verbessern nicht nur ihre technischen Schutzmaßnahmen.
Sie schaffen zugleich eine wichtige Grundlage für Cyberresilienz, Compliance und ein wirksames Informationssicherheitsmanagement.