Kerberos ohne RC4: Drei Monate nach dem endgültigen Aus – wo es in der Praxis noch hakt

Seit den Juli-Updates gibt es kein Zurück mehr: Domänencontroller stellen Kerberos-Tickets nur noch mit AES aus, sofern RC4 nicht ausdrücklich pro Konto erlaubt ist. Die großen Ausfälle sind ausgeblieben – doch in vielen Domänen schlummern Ausnahmen, Altkonten und Keytabs, die entweder heimlich RC4 weiterleben lassen oder beim nächsten Kennwortwechsel umfallen.

Rückblick: Die drei Phasen zu CVE-2026-20833

Wichtig für das Verständnis: Das Enforcement ändert nur den impliziten Standard. Konten, bei denen RC4 ausdrücklich im Attribut msDS-SupportedEncryptionTypes erlaubt ist, und DCs mit explizit gesetztem DefaultDomainSupportedEncTypes verhalten sich weiter wie vorher. Genau dort sitzen die Altlasten.

Die Bitmaske im Überblick

Baustelle 1: Konten mit RC4-Ausnahme

In vielen Domänen wurde im Frühjahr unter Zeitdruck pauschal auf 0x1C gesetzt, um nichts zu riskieren. Diese Konten bleiben Kerberoasting-Ziele mit schwacher Verschlüsselung. Bestandsaufnahme:

# Alle Benutzer- und Computerkonten, bei denen RC4 (Bit 0x4) ausdrücklich erlaubt ist
Get-ADObject -LDAPFilter '(msDS-SupportedEncryptionTypes:1.2.840.113556.1.4.803:=4)' `
    -Properties msDS-SupportedEncryptionTypes, servicePrincipalName, objectClass |
    Select-Object Name, objectClass,
        @{n='EncTypes';e={'0x{0:X}' -f $_.'msDS-SupportedEncryptionTypes'}},
        @{n='SPNs';e={$_.servicePrincipalName -join '; '}}

Für jedes Konto klären: Wer nutzt es, unterstützt die Gegenstelle AES, und warum steht RC4 noch drin? Ist die Antwort „weiß niemand“, ist das ein Kandidat für 0x18 im nächsten Wartungsfenster.

Baustelle 2: Dienstkonten ohne AES-Schlüssel

AES-Schlüssel entstehen erst bei einem Kennwortwechsel auf einer Domäne ab Funktionsebene 2008. Dienstkonten, deren Kennwort seit über einem Jahrzehnt nicht geändert wurde, besitzen womöglich nur RC4-Schlüssel – und fallen um, sobald jemand die RC4-Ausnahme entfernt.

# Dienstkonten (mit SPN) und Alter des Kennworts
Get-ADUser -Filter 'servicePrincipalName -like "*"' -Properties PasswordLastSet, msDS-SupportedEncryptionTypes |
    Sort-Object PasswordLastSet |
    Select-Object SamAccountName, PasswordLastSet,
        @{n='EncTypes';e={'0x{0:X}' -f [int]$_.'msDS-SupportedEncryptionTypes'}}

Konten mit einem PasswordLastSet vor der Anhebung auf Funktionsebene 2008 brauchen einen Kennwortwechsel – koordiniert mit allen Diensten, die das Kennwort kennen. Wo möglich, gleich auf gMSA umsteigen.

Baustelle 3: Linux, Java und Appliances mit alten Keytabs

Die meisten Ausfälle seit Juli kamen nicht von Windows-Systemen, sondern von Linux- und Java-Diensten mit SSO gegen das AD, von NAS-Systemen und von Appliances. Ihre Keytabs enthalten oft nur RC4-Schlüssel. Abhilfe ist ein neuer Keytab mit AES:

ktpass /princ HTTP/app01.firma.local@FIRMA.LOCAL /mapuser FIRMA\svc-app01 `
       /crypto AES256-SHA1 /ptype KRB5_NT_PRINCIPAL /pass * /out app01.keytab

# Danach am Konto AES erlauben
Set-ADUser svc-app01 -Replace @{'msDS-SupportedEncryptionTypes'=24}

Baustelle 4: Explizites DefaultDomainSupportedEncTypes

Wer im Frühjahr auf den DCs den Registry-Wert HKLM\SYSTEM\CurrentControlSet\Services\KDC\DefaultDomainSupportedEncTypes mit RC4-Anteil gesetzt hat, hat das Enforcement für die ganze Domäne faktisch ausgehebelt. Auf allen DCs prüfen:

Invoke-Command -ComputerName (Get-ADDomainController -Filter *).HostName -ScriptBlock {
    Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Services\KDC' -Name DefaultDomainSupportedEncTypes -ErrorAction SilentlyContinue |
        Select-Object @{n='DDSET';e={'0x{0:X}' -f $_.DefaultDomainSupportedEncTypes}}
}

Kein Ergebnis bedeutet: kein expliziter Wert, das Enforcement greift. Steht dort ein Wert mit Bit 0x4, sollte er entfernt oder auf 0x18 gesetzt werden.

Überwachung

Die KDCSVC-Ereignisse 201 bis 209 im System-Protokoll der DCs zeigen weiterhin RC4-Nutzung bzw. abgelehnte Anfragen. Im Sicherheitsprotokoll verraten die Ereignisse 4768 und 4769 mit Verschlüsselungstyp 0x17 jedes RC4-Ticket. Ein RC4-TGT-Request ohne bekannte Ausnahme ist zudem ein klassischer Hinweis auf Angriffswerkzeuge wie Rubeus oder Mimikatz.

Compliance-Bezug

BSI APP.2.2 (Active Directory) und CON.1 (Kryptokonzept) verlangen den Verzicht auf veraltete Verfahren; die BSI TR-02102 führt RC4 seit Jahren nicht mehr als zulässig. NIS2 Art. 21 Abs. 2 lit. h fordert Konzepte für den Einsatz von Kryptografie. Jede verbleibende RC4-Ausnahme gehört daher mit Begründung, Verantwortlichem und Ablaufdatum in die Dokumentation.

Fazit

Dass seit Juli nichts mehr kaputtgegangen ist, heißt nicht, dass RC4 verschwunden ist. Ausnahmen mit 0x4 oder 0x1C, Dienstkonten ohne AES-Schlüssel, alte Keytabs und explizite DDSET-Werte halten die Tür offen. Drei Monate nach dem Enforcement ist der richtige Zeitpunkt, diese Ausnahmen systematisch abzubauen – bevor ein Angreifer sie findet.

Quellen: Microsoft KB5073381 (Kerberos RC4 / CVE-2026-20833)