Fachblog
Technische Einordnungen zu Active Directory, Windows- und Microsoft-Sicherheit, Netzwerken, Schwachstellen und wirksamer Härtung.
Eine verknüpfte GPO ist noch keine wirksame Kontrolle. Refresh, Replikation und Neustartbedarf getrennt prüfen, Änderungen gestaffelt ausrollen und den Zielzustand am Endpunkt nachweisen.
RMM-Werkzeuge sind privilegierte Adminpfade. Belastbare Kontrolle trennt Tier 0, härtet genehmigte Dienste und blockiert Schattenzugänge über App Control und Netzregeln.
Die native AD-Komplexitätsregel blockiert weder verbreitete Kennwörter noch vorhersehbare Muster. Erst ausreichende Länge, gezielte Fine-Grained Password Policies und eine kontrolliert eingeführte Sperrliste ergeben eine belastbare Kennwortrichtlinie.
Ein deaktivierter Policy-Wert bereinigt keine bereits reversibel gespeicherten Kennwörter. Erst die Prüfung von Domain Policy, Fine-Grained Password Policies und Benutzeroptionen – gefolgt von einer kontrollierten Rotation – beseitigt dieses Risiko.
PowerShell lässt sich nicht belastbar durch eine Execution Policy oder das Sperren einer EXE absichern. Application Control, getrennte Adminpfade, JEA und geschützte Telemetrie schaffen eine kontrollierbare Ausführungsgrenze.
Unsichere SMB-Gastanmeldungen kaschieren fehlende Identitäten und umgehen Schutzmechanismen. Eine explizite Client-Richtlinie, belastbare Inventarisierung und eng begrenzte Übergangspfade lösen Legacy-Freigaben kontrolliert ab.
Ein Domain Join ist ein privilegierter Provisioning-Vorgang. Getrennte Rollen, enge OU-Rechte, geschützte Pre-Staging- und Reuse-Prozesse sowie belastbare Telemetrie ersetzen breite Join-Konten.
SPNs sind normal; riskant wird die Kombination aus abrufbarem Service-Ticket, schwachem Geheimnis und zu vielen Rechten. gMSA, Rotation, Least Privilege und Ticket-Monitoring schaffen den kontrollierten Zielzustand.
Signiert bedeutet bei Kernel-Treibern nicht automatisch sicher. Die Microsoft Vulnerable Driver Blocklist schließt bekannte Treiberpfade, braucht im Unternehmen aber Inventar, Pilotierung, Telemetrie und einen belastbaren Recovery-Weg.
Zwischengespeicherte Domänenanmeldungen sichern die Arbeitsfähigkeit ohne Domain Controller, vergrößern aber den lokalen Prüfbestand. Eine geräteklassenspezifische GPO-Baseline reduziert die Slots, ohne mobile Nutzer oder Recovery-Pfade auszusperren.
Windows-Clients benötigen nur selten uneingeschränkte eingehende Erreichbarkeit von anderen Endpunkten. Eine gestufte GPO-Baseline mit eingehendem Default-Block, eng begrenzten Ausnahmen und zentralem Logging macht die lokale Firewall zu einer belastbaren Grenze.
AppLocker reduziert die frei ausführbare Softwarefläche auf Windows-Systemen. Ein belastbarer Rollout beginnt im Audit-Modus, trennt Gerätegruppen und Regeltypen und erzwingt erst nach ausgewerteter Telemetrie eine wartbare Allowlist.
Computerkennwörter sichern den Netlogon Secure Channel. Eine belastbare AD-Baseline hält die Rotation bei etwa 30 Tagen, erkennt echte Abweichungen und behandelt Offline-Geräte, Snapshots und VDI als eigene Betriebsfälle.
Microsoft Entra Connect verbindet lokales Active Directory und Entra ID mit weitreichenden Konten, Regeln und Schreibpfaden. Der Sync-Server gehört deshalb in die Control Plane – mit enger Administration, minimalen Rechten, kontrollierten Exporten und getestetem Wiederanlauf.
LDAPS ist kein einzelner Port-Schalter. Eine belastbare Einführung braucht passende Domain-Controller-Zertifikate, saubere Vertrauensketten, getestete Clients und eine klare Entscheidung, welche LDAP-Fallbacks noch akzeptiert werden.
SYSVOL und NETLOGON sind unscheinbare, aber kritische AD-Pfade. Hardened UNC Paths erzwingen Kerberos-basierte Serverauthentifizierung und SMB-Integrität, statt Gruppenrichtlinien blind über unsichere Pfade zu laden.
WinRM ist für Windows-Administration sinnvoll, aber Basic Auth und unverschlüsselte Fallbacks gehören nicht in eine AD-Baseline. Kerberos, enge Listener, keine gespeicherten Admin-Creds und klare Ausnahmen sind der bessere Betriebszustand.
Domain Controller sind keine normalen Administrationsserver. RDP sollte dort nur für klar definierte Tier-0-Administratoren, aus kontrollierten Netzen und mit sichtbarer Protokollierung möglich sein.
Anonyme Abfragen liefern in alten Windows-Umgebungen oft mehr Inventar als erwartet. Eine saubere Baseline begrenzt Null Sessions, SAMR, Named Pipes, Shares und Gastpfade ohne Legacy blind zu brechen.
sIDHistory ist für Domain-Migrationen nützlich, bleibt danach aber oft als stiller Berechtigungsanker bestehen. Eine saubere Bereinigung braucht Inventar, Owner, Testzugriffe und einen kontrollierten Pilot.
Credential Guard schützt NTLM-Hashes und Kerberos-Material besser vor Zugriff aus kompromittierten Windows-Sessions. Der Rollout gehört zuerst auf Admin- und Tier-0-Systeme, mit Hardware-, Treiber- und SSO-Tests.
AD-DNS entscheidet, welche Systeme Domain Controller, Dienste und Admin-Pfade finden. Secure Updates, saubere Rechte, Scavenging und kontrollierte Zone Transfers gehören deshalb in jede AD-Härtung.
Service-Accounts sollen Dienste betreiben, nicht als bequeme Ersatzbenutzer dienen. Interaktive Anmeldung, RDP und lokale Logons gehören deshalb kontrolliert blockiert, ohne produktive Batch- und Service-Workloads zu zerlegen.
Der Account Lockout Threshold ist keine alleinige Spray-Abwehr. Richtig gesetzt begrenzt er Online-Rate, liefert verwertbare Signale und zwingt alte Passwortfehler in die Bereinigung - falsch gesetzt sperrt er den Betrieb aus.
AS-REP Roasting entsteht meist nicht durch einen exotischen Fehler, sondern durch Benutzerkonten ohne Kerberos-Pre-Authentication. Die Härtung ist technisch klein, braucht aber klare Verantwortlichkeiten und Tests.
Coerce Attacks sind selten ein einzelner Schalter. Entscheidend ist, welche Systeme noch ungeplant NTLM, SMB, RPC oder HTTP-Authentifizierung auslösen dürfen.
Unconstrained Delegation ist oft ein historischer Komfortschalter für alte Double-Hop-Szenarien. In heutigen AD-Umgebungen sollte sie außerhalb von Domain Controllern praktisch nicht mehr vorkommen.
AD CS entscheidet indirekt darüber, wer sich als wen authentifizieren kann. Wenn Templates, Enrollment-Rechte und CA-Betrieb ungepflegt sind, wird PKI schnell zum Domain-Takeover-Pfad.
Kerberos Armoring (FAST) schützt Kerberos-Preauth besser vor Offline-Angriffen und verringert die Angriffsfläche bei Anmelde- und Ticket-Workflows. Der Nutzen ist real — aber nur mit sauberem Inventar, Pilotierung und klaren Rückfallwegen.
LSASS ist ein primäres Ziel für Credential-Theft. RunAsPPL macht direkte Zugriffe deutlich schwerer – wenn du Kompatibilität, Rollout und Betrieb sauber planst.
Das krbtgt-Konto ist der Schlüssel zur Ticket-Integrität in AD. Eine Rotation ist kein „Passwort ändern“, sondern eine kontrollierte Operation mit Timing, Replikation und Abhängigkeiten. So planst und setzt du die Rotation sauber um – inklusive Grenzen, Stolperfallen und Projekt-Checkliste.
Gelöschte Benutzer, Gruppen oder OUs sind kein seltenes Problem – und klassische Backups sind dafür oft zu schwerfällig. Mit dem AD Recycle Bin bekommst du eine pragmatische, auditierbare Restore-Option, wenn du sie sauber einführst.
SMBv1 ist ein Altlast-Protokoll, das in modernen AD-Umgebungen keinen Platz hat – aber in der Praxis oft noch „irgendwo“ aktiv ist. So bekommst du SMBv1 kontrolliert aus Clients, Servern und Images heraus, ohne den Betrieb zu zerlegen.
Wenn DNS scheitert, fallen Windows-Clients oft auf LLMNR oder NetBIOS (NBT-NS) zurück – Broadcast statt Autorität. Das ist unnötige Angriffsfläche und führt zu „mysteriösem“ Auth-Traffic. So schaltest du beides kontrolliert ab.
WDigest ist ein Legacy-Mechanismus, der durch alte Images, GPOs oder Troubleshooting-Workarounds wieder aktiv sein kann. So prüfst du den Ist-Stand, setzt eine robuste Baseline und vermeidest Klartext-Passwörter in LSASS.
Domain Controller sind Tier 0. Druckdienste gehören dort nicht hin. So deaktivierst du den Print Spooler sauber, vermeidest Nebenwirkungen und baust eine prüfbare Ausnahme-Policy.
Unsigned LDAP Binds sind ein unnötiger Risikohebel. So inventarisierst du Abhängigkeiten, reduzierst Legacy-Fallen und rollst LDAP Signing (und optional Channel Binding) kontrolliert aus.
Wenn normale Benutzer Computerobjekte erstellen dürfen, entstehen unnötige Angriffspfade. MachineAccountQuota gehört bewusst entschieden, nicht geerbt.
NTLM wird selten auf einmal entfernt. Sauber ist ein Audit-First-Ansatz mit klaren Ausnahmen und einem Zielbild für Kerberos.
Protected Users ist stark, aber nichts für breite Gruppen. Der Wert liegt in sauber ausgewählten Konten und getesteten Admin-Pfaden.
SMB Signing schützt nicht jede Freigabe, aber es nimmt Relay-Angriffen einen wichtigen Hebel. Der Rollout braucht Tests statt Bauchgefühl.
LAPS reduziert laterale Bewegung nur dann zuverlässig, wenn Scope, Berechtigungen, Rotation und DSRM sauber geplant sind.
Kritische Schwachstellen müssen schnell bewertet werden, aber immer im Kontext von Exposition, Exploitbarkeit und Kompensationsmaßnahmen.
Conditional Access ist kein einzelnes Projekt, sondern ein dauerhaftes Steuerungselement für Identitäten, Geräte, Risiken und administrative Zugriffe.
Warum AD-Security nicht als Einmalprüfung behandelt werden sollte, sondern als priorisierter Projektbaustein für Risikoabbau, Auditfähigkeit und Incident Readiness.
Ransomware-Readiness entscheidet sich nicht nur am Backup-Tool, sondern an Identitäten, Wiederanlaufpfaden und getrennten Administrationsmodellen.
Firewall- und NGFW-Regelwerke verlieren ohne Pflege schnell Aussagekraft. Gute Hygiene reduziert Angriffsfläche und erleichtert Audits.
EDR entfaltet seinen Wert erst durch saubere Policies, sinnvolle Ausnahmen, Incident-Prozesse und Tests gegen realistische Angriffstechniken.
Zero Trust funktioniert besser als Architekturprinzip denn als Produktkategorie: Identitäten, Geräte, Segmentierung und Sichtbarkeit müssen zusammenspielen.
Für KRITIS-nahe Umgebungen ist Remote Access nur tragfähig, wenn Identität, Segmentierung, Protokollierung und Notfallbetrieb zusammen gedacht werden.
Awareness reduziert Risiko nur dann nachhaltig, wenn technische Kontrollen, Meldewege und messbare Verbesserungen mitgedacht werden.
