Das Active Directory (AD) ist in den meisten Unternehmen das Herzstück der IT-Infrastruktur. Hier sind Benutzer, Gruppen, Computer und Richtlinien zentral gespeichert. Hier wird entschieden, wer auf welche Ressourcen zugreifen darf. Gerade diese zentrale Position macht AD auch zum Ziel von Angreifern. Im Lagebericht zur IT-Sicherheit des BSI heißt es, dass kompromittierte Administratorkonten seit Jahren häufigster Einfallstor bei erfolgreichen Ransomware-Angriffen sind. Ein durchdachtes Berechtigungskonzept mit klarer Rollentrennung ist daher keine Kür, sondern eine der besten Verteidigungslinien in einer Windows-Domäne.
Das Tier-Modell von Microsoft
Microsoft empfiehlt seit Jahren das Tier-Modell, auch Enterprise Access Model genannt, das die administrativen Konten in drei Schutzlevel unterteilt: Tier 0 umfasst alle Systeme, die die Kontrolle über die Identität übernehmen könnten, also Domain Controller, ADFS-Server, PKI und Backup-Infrastruktur. Tier 1 sind Server und Anwendungen, in Tier 2 die Endgeräte der Benutzer. Der Grundgedanke ist ja ganz einfach. Auf einem höheren Level darf nie ein Konto auf einem niedrigeren Level angemeldet werden, weil dort mit Credential-Theft-Attacken wie Pass-the-Hash oder Mimikatz zu rechnen ist.
Aus diesem Modell ergibt sich das Prinzip der Funktionstrennung, international auch Segregation of duties genannt. Derjenige, der Benutzerkonten anlegt, darf nicht auch Berechtigungen freigeben und Protokolle löschen. Praktisch werden dazu für jedes Tier separate administrative Konten vergeben, die dann je Tier auch noch mit eigenen Privileged Access Workstations für administrative Tätigkeiten ausgestattet werden. Auf diesen Arbeitsplätzen wird dann auch nur administrativ gearbeitet, normaler Büroalltag mit Mail und Browser findet auf einem anderen Gerät statt.
Schwächen im Berechtigungskonzept
In gewachsenen Umgebungen werden über Jahre Berechtigungen angehäuft, die längst niemand mehr braucht. Die Analysefirma Varonis kommt in ihrem Data Risk Report regelmäßig zu dem Ergebnis, dass ein überaus hoher Anteil aller Ordner in Unternehmensnetzwerken für jeden Mitarbeiter zugänglich ist. Wie auch bei Gruppenmitgliedschaften sieht man das Gleiche auch im AD: Konten von Administratoren, die längst andere Aufgaben wahrnehmen oder das Unternehmen schon verlassen haben, bleiben in privilegierten Gruppen wie den Domain Admins oder Account Operators hängen. Solche verwaisten Berechtigungen sind ein beliebtes Ziel für Angreifer, die sich lateral im Netzwerk bewegen.
Ein weiteres häufig zu beobachtendes Problem sind Servicekonten mit zu viel Rechten. Aus Zeitgründen werden Anwendungen häufig als Domänen-Administrator eingerichtet, weil die genauen Berechtigungen nicht dokumentiert sind. Ähnlich kritisch sind sogenannte Shadow Admins, also Konten, die über verschachtelte Gruppenmitgliedschaften oder direkt gesetzte ACLs administrative Rechte haben, ohne in der klassischen Administratorgruppe zu sein. Heute sind solche Angriffspfade sogar mit Hilfe von Werkzeugen wie BloodHound sichtbar und werden inzwischen auch von Verteidigern zur Analyse eingesetzt.
Praktische Umsetzung: Prozesse, Standards und Prüfkriterien
Ein sicheres Berechtigungskonzept orientiert sich an Standards. ISO/IEC 27001 fordert eine dokumentierte Zugriffssteuerung mit Rollenkonzept und regelmäßiger Überprüfung. Konkreter wird der BSI IT-Grundschutz im Baustein ORP.4, der Anforderungen an Identitäts- und Berechtigungsverwaltung formuliert. Für Unternehmen mit Bezug zur Finanzbranche kommen als zusätzliche Regelwerke BAIT, VAIT sowie DORA hinzu, die unter anderem eine Trennung von ausführenden, kontrollierenden und genehmigenden Tätigkeiten verlangen.
In der praktischen Umsetzung haben sich verschiedene Prinzipien etabliert. Das Least-Privilege-Prinzip (Mindestprivilegierung) besagt, dass jedem Konto nur die minimal notwendigen Rechte gegeben werden. Bei Just-in-Time-Administration werden privilegierte Rechte nur für einen definierten Zeitraum vergeben, etwa über Microsoft Entra Privileged Identity Management oder über eine dedizierte PAM-Lösung. Die LAPS (Local Administrator Password Solution) sorgt dafür, dass lokale Administratorkennwörter auf jedem Client unterschiedlich und regelmäßig rotiert werden. Es sollten Rezertifizierungsprozesse initiiert werden, in denen Fachverantwortliche mindestens einmal jährlich prüfen, ob die vergebenen Berechtigungen noch dem Aufgabenprofil entsprechen.
Kontrolle und Monitoring als Daueraufgabe
Ein Berechtigungskonzept entfaltet nur dann seine Wirkung, wenn es überwacht wird. Zentrale Kennzahlen dafür sind die Anzahl privilegierter Konten je Tier, die Zahl der Anmeldungen mit Tier-0-Konten außerhalb des vorgesehenen Kontexts, die Quote der erfolgreich abgeschlossenen Rezertifizierungen sowie die durchschnittliche Bearbeitungszeit für Zugriffsanträge. Diese Werte lassen sich aus dem AD, aus Windows-Ereignisprotokollen sowie aus SIEM-Systemen wie MS Sentinel oder Splunk ableiten.
Auf technischer Ebene verraten die Ereignis-IDs 4728, 4732 und 4756 etwas über Änderungen an privilegierten Gruppen. Die Aktivierung der erweiterten Überwachung gemäß den Sicherheitsempfehlungen von Microsoft sowie eine zentrale Auswertung sind Voraussetzung für ein belastbares Monitoring. Wer darüber hinaus Angriffserkennungssysteme wie Microsoft Defender for Identity im Einsatz hat, erkennt verdächtige Muster wie z. B. ungewöhnliche Anmeldungen von Servicekonten oder Kerberoasting-Versuche frühzeitig.
Administratoren, die diese Bausteine enger vernetzen, schaffen sich ein Umfeld, in dem ein einzelnes kompromittiertes Konto nicht ausreicht, um die gesamte Domäne zu übernehmen. Ein sinnvoller nächster Schritt ist eine Bestandsaufnahme des eigenen AD mit PingCastle oder Purple Knight, gefolgt von einer sofort umsetzbaren, priorisierten Roadmap zur Rollentrennung.
Werbung