RC4 ist weg. Was ist liegengeblieben?

Seit dem Juli-Update 2026 arbeiten alle Windows-Domänencontroller zwingend im Erzwingungsmodus: Konten ohne explizite Verschlüsselungsangabe bekommen nur noch AES-Tickets. Der Rückweg über die Registry ist entfernt. Drei Monate später zeigt sich in vielen Umgebungen, was dabei übersehen wurde – eine Nachlese mit Fehlerbildern, Ereignissen und Abhilfen.

Kurz zur Erinnerung: CVE-2026-20833

Hintergrund ist eine Schwachstelle, über die ein Angreifer Dienstetickets mit schwacher Verschlüsselung wie RC4 anfordern und offline auf das Kennwort des Dienstkontos angreifen kann – im Kern das bekannte Kerberoasting. Microsoft hat die Härtung in drei Phasen ausgerollt:

Entscheidend: Die Änderung betrifft nur Konten, deren Attribut msDS-SupportedEncryptionTypes leer ist. Explizit gesetzte Werte – und ein explizit gesetztes DefaultDomainSupportedEncTypes auf dem DC – respektiert Microsoft weiterhin.

Die Ereignisse lesen

Alle Ereignisse stehen im System-Protokoll der Domänencontroller, Quelle Kdcsvc. Seit Juli sind vor allem die Sperr-Ereignisse relevant:

# KDC-RC4-Ereignisse auf allen DCs der letzten 7 Tage
$dcs = (Get-ADDomainController -Filter *).HostName
foreach ($dc in $dcs) {
    Get-WinEvent -ComputerName $dc -FilterHashtable @{
        LogName = 'System'; ProviderName = 'Kdcsvc'
        Id = 201..209; StartTime = (Get-Date).AddDays(-7)
    } -ErrorAction SilentlyContinue |
    Select-Object @{n='DC';e={$dc}}, TimeCreated, Id,
        @{n='Konto';e={ ($_.Message -split "`n" |
            Select-String 'Account Name|Kontoname' |
            Select-Object -First 1).ToString().Trim() }}
}

Was in der Praxis liegengeblieben ist

1. Dienstkonten ohne AES-Schlüssel

AES-Schlüssel entstehen erst, wenn das Kennwort eines Kontos geändert wird, nachdem die Domäne mindestens auf Funktionsebene 2008 gehoben wurde. Dienstkonten, deren Kennwort „nie ablaufen“ darf und seit 2010 unverändert ist, besitzen nur einen RC4-Schlüssel – und fallen jetzt mit Ereignis 204 oder 209 aus.

# Konten mit SPN: Verschlüsselungsangabe und Kennwortalter
Get-ADUser -Filter 'servicePrincipalName -like "*"' `
    -Properties servicePrincipalName, msDS-SupportedEncryptionTypes, PasswordLastSet |
    Select-Object SamAccountName, PasswordLastSet,
        @{n='EncTypes';e={ '0x{0:X}' -f [int]$_.'msDS-SupportedEncryptionTypes' }} |
    Sort-Object PasswordLastSet

Abhilfe: Kennwort neu setzen (zweimal ist nicht nötig, einmal genügt für neue Schlüssel) und den Dienst entsprechend aktualisieren. Besser noch: auf eine gMSA umstellen, deren Kennwort Windows automatisch wechselt.

2. Keytabs auf Linux- und Appliance-Systemen

Laut Microsoft der häufigste Fehlerfall: Eine Keytab wurde einst nur mit RC4-Schlüssel exportiert, das Konto hat inzwischen AES-Schlüssel, aber kein msDS-SupportedEncryptionTypes. Der DC stellt dann ein AES-Ticket aus, das der Zieldienst nicht entschlüsseln kann. Der Fehler zeigt sich am Zieldienst, nicht am KDC – auf dem DC ist oft gar nichts zu sehen. Abhilfe: Keytab mit AES256 neu erzeugen.

ktpass -princ HTTP/app01.firma.local@FIRMA.LOCAL -mapuser FIRMA\svc-app01 ^
       -crypto AES256-SHA1 -ptype KRB5_NT_PRINCIPAL -pass * ^
       -out app01.keytab

3. Vergessene Workarounds auf den DCs

Wer im Frühjahr unter Zeitdruck DefaultDomainSupportedEncTypes mit RC4 auf den Domänencontrollern gesetzt hat, hat die Schwachstelle für die gesamte Domäne wieder geöffnet. Ereignis 205 bei jedem KDC-Start weist darauf hin. Diese Ausnahme gehört entfernt, sobald die betroffenen Systeme repariert sind.

4. Ausnahmen ohne Ablaufdatum

Für Geräte, die der Hersteller nicht nachbessern kann, empfiehlt Microsoft am betroffenen Dienstkonto den Wert 0x24 (RC4-Ticket mit AES-Sitzungsschlüssel). Das ist legitim, aber nur als dokumentierte, befristete Ausnahme für genau dieses Konto – nicht als Pauschallösung.

Die Bitmaske auf einen Blick

Compliance-Bezug

Schwache Verfahren wie RC4 widersprechen der BSI TR-02102 und den Anforderungen aus CON.1 (Kryptokonzept) sowie APP.2.2 (Active Directory Domain Services). Für NIS2 gilt erneut Art. 21 Abs. 2 lit. h (Kryptografie). Jede verbleibende RC4-Ausnahme sollte im Risikoregister stehen – mit Begründung, Verantwortlichem und Enddatum.

Fazit

Die RC4-Härtung ist abgeschlossen, die Aufräumarbeit oft nicht. Wer die KDC-Ereignisse auswertet, uralte Dienstkontokennwörter erneuert, Keytabs mit AES neu erzeugt und Notfall-Workarounds wieder zurückbaut, hat das Thema wirklich erledigt – und Kerberoasting ein gutes Stück schwerer gemacht.

Quellen: Microsoft KB5073381 „How to manage Kerberos KDC usage of RC4 for service account ticket issuance changes related to CVE-2026-20833“; Microsoft Learn „Supported Encryption Types Bit Flags“; BSI TR-02102; BSI IT-Grundschutz-Kompendium (CON.1, APP.2.2)