177 der im August geschlossenen Schwachstellen sind Rechteausweitungen – mehr als jede andere Kategorie. In Sicherheitsmeldungen tauchen sie trotzdem selten prominent auf, weil sie kein Einbruchswerkzeug sind. Sie sind das, was nach dem Einbruch passiert. Und genau dort entscheidet sich, ob aus einem infizierten Notebook ein Vorfall oder ein Totalschaden wird.

Drei Beispiele aus einem einzigen Patchday

Alle drei setzen voraus, dass der Angreifer bereits Code auf dem System ausführen kann. Genau das ist der Punkt, an dem viele Diskussionen abbiegen: „Dann ist er ja sowieso schon drin.“ Richtig – und trotzdem ist der Unterschied zwischen einem kompromittierten Benutzerkontext und SYSTEM-Rechten der Unterschied zwischen einem bereinigten Client und einer verschlüsselten Umgebung.

Was Rechteausweitung praktisch bedeutet

Der entscheidende Schritt in dieser Kette ist nicht Schritt 2 – den werden Sie nie vollständig verhindern, weil er von Schwachstellen abhängt, die es immer geben wird. Der entscheidende Schritt ist Schritt 3 und 4: Was findet der Angreifer im Speicher, und wo gilt dasselbe Konto noch?

Die unbequeme Bestandsaufnahme

Bevor Sie über Tier-Modelle sprechen, brauchen Sie eine Zahl: In wie vielen lokalen Administratorengruppen steckt dasselbe Konto? Das folgende Skript sammelt die Mitgliedschaften über alle aktiven Server ein und zeigt am Ende die zwanzig am häufigsten vorkommenden Konten.

# ISW - Wer ist lokaler Administrator? (Bestandsaufnahme ueber alle Server)
[Console]::OutputEncoding = [System.Text.Encoding]::UTF8
Import-Module ActiveDirectory

$server = Get-ADComputer -Filter 'OperatingSystem -like "*Server*" -and Enabled -eq $true' `
                         -Properties OperatingSystem, LastLogonDate |
          Where-Object { $_.LastLogonDate -gt (Get-Date).AddDays(-30) }

$ergebnis = foreach ($s in $server) {
    try {
        $mitglieder = Invoke-Command -ComputerName $s.DNSHostName -ErrorAction Stop -ScriptBlock {
            Get-LocalGroupMember -Group 'Administratoren' -ErrorAction SilentlyContinue
            Get-LocalGroupMember -Group 'Administrators'  -ErrorAction SilentlyContinue
        }
        foreach ($m in ($mitglieder | Sort-Object Name -Unique)) {
            [pscustomobject]@{
                Server    = $s.Name
                OS        = $s.OperatingSystem
                Mitglied  = $m.Name
                Typ       = $m.ObjectClass
                Herkunft  = $m.PrincipalSource
            }
        }
    } catch {
        [pscustomobject]@{ Server=$s.Name; OS=$s.OperatingSystem
                           Mitglied="FEHLER: $($_.Exception.Message)"; Typ=''; Herkunft='' }
    }
}

$ergebnis | Sort-Object Server, Mitglied | Format-Table -AutoSize
$ergebnis | Group-Object Mitglied | Sort-Object Count -Descending |
    Select-Object Count, Name -First 20

Tier-Modell: das Prinzip in zwei Sätzen

Anmeldeinformationen dürfen nur dort verwendet werden, wo das Sicherheitsniveau mindestens so hoch ist wie das des Kontos. Ein Domänenadministrator meldet sich niemals an einem Client an, ein Serveradministrator niemals an einem Arbeitsplatzrechner – denn jede Anmeldung hinterlässt verwertbare Spuren auf dem Zielsystem.

Der schnellste Einstieg ist nicht der große Wurf, sondern die Trennung von Tier 0. Separate Administratorkonten für die Domäne, die sich ausschließlich an Domänencontrollern und einem dedizierten Verwaltungssystem anmelden dürfen, durchgesetzt über „Verweigern der Anmeldung“-Rechte in einer eigenen GPO. Das ist ein Nachmittag Arbeit und nimmt Schritt 5 der obigen Kette weitgehend die Grundlage.

Dauerhafte Adminrechte durch zeitlich begrenzte ersetzen

Der zweite Hebel: Wenn niemand dauerhaft Administrator ist, findet ein Angreifer auch keine dauerhaft privilegierte Sitzung. Just-in-Time-Rechtevergabe bedeutet, dass die Zugehörigkeit zur Administratorengruppe für ein definiertes Zeitfenster gewährt und danach automatisch entzogen wird – protokolliert und mit Begründung.