Active Directory absichern
Active-Directory-Sicherheit im kleinen Betrieb: Administratorkonten trennen, Domänencontroller schützen, alte Protokolle abschalten. Nach BSI-Baustein APP.2.2.
In vielen Betrieben mit Windows-Netz steuert das Active Directory, wer sich wo anmelden darf, wer auf welche Ordner zugreift und welche Einstellungen die Rechner bekommen. Active-Directory-Sicherheit ist deshalb besonders wichtig: Wer diesen zentralen Dienst übernimmt, kontrolliert praktisch das gesamte Firmennetz.
Warum das Ihren Betrieb betrifft
Bei Erpressungsangriffen mit Ransomware versuchen Angreifer gezielt, Administratorrechte im Active Directory zu erlangen. Damit können sie Schadsoftware auf allen Rechnern gleichzeitig verteilen, Sicherungen löschen und Konten sperren. In kleinen Netzen ist das oft einfacher als gedacht, weil Administratorkonten im Alltag genutzt werden, Passwörter seit Jahren gleich sind oder veraltete Einstellungen aus der Erstinstallation noch aktiv sind.
Was Sie erreichen sollten
- Nur wenige Personen mit Domänen-Administratorrechten, und diese nutzen sie nur für Verwaltungsaufgaben.
- Getrennte Konten für Alltag und Verwaltung.
- Der Domänencontroller ist ein reiner Verwaltungsserver, auf dem nicht gearbeitet wird.
- Veraltete Anmeldeverfahren sind abgeschaltet.
- Konten ausgeschiedener Mitarbeitender und Dienstleister werden zeitnah deaktiviert.
- Die Sicherung des Domänencontrollers ist genauso geschützt wie der Server selbst.
Der nächste Schritt
Lassen Sie sich von Ihrem IT-Dienstleister die Mitglieder der Gruppe «Domänen-Admins» auflisten und erklären, wofür jedes Konto gebraucht wird. Diese kurze Liste zeigt oft schon den größten Handlungsbedarf.
Active-Directory-Sicherheit im IT-Grundschutz
Maßgeblich ist der Baustein APP.2.2 «Active Directory Domain Services», ergänzt durch APP.2.1 «Allgemeiner Verzeichnisdienst» und SYS.1.2.3 «Windows Server». Der Baustein betont, dass zwischen den Domänen einer Gesamtstruktur produktbedingt keine Sicherheitsgrenze besteht; die Gesamtstruktur ist die eigentliche Sicherheitsgrenze.
Basis-Anforderungen APP.2.2
- Planung (A1): Funktionsebene von Domäne und Gesamtstruktur mindestens Windows Server 2016, bedarfsgerechtes Berechtigungskonzept, restriktive administrative Delegation, dokumentierte Struktur einschließlich Schema-Änderungen.
- Absicherung des Domänencontrollers (A5): Notfallzugriff mit dem DSRM-Konto (Directory Services Restore Mode) im Notfallmanagement planen, Sicherheitsprotokoll ausreichend groß dimensionieren, keine weiteren Dienste auf dem Domänencontroller, sofern nicht zwingend nötig.
- Sichere Konfiguration von Vertrauensbeziehungen (A6): Vertrauensstellungen regelmäßig auf Notwendigkeit prüfen, SID-Filterung zwischen Gesamtstrukturen nicht deaktivieren.
- Sichere Verwaltungsmethoden (A7): Konten von Dienste-Administrierenden werden nur von dieser Gruppe verwaltet; Mitgliedschaften in hochprivilegierten Gruppen wie «Domänen-Admins», «Organisations-Admins» und «Schema-Admins» sollen nur temporär vergeben werden.
- Härtung der AD-DS-Konten (A16): komplexe Passwörter für eingebaute Konten, die nur als Notfallkonten dienen; Gastkonto deaktiviert; Berechtigungen der Gruppe «Jeder» beschränkt; privilegierte Konten in der Gruppe «Geschützte Benutzer» (Protected Users); für Dienstkonten (Group) Managed Service Accounts.
- Anmelderestriktionen für hochprivilegierte Konten (A17): Anmeldung hochprivilegierter Konten technisch auf die minimal notwendigen Systeme beschränken, für Domänen-, Organisations- und Schema-Admins möglichst nur auf Domänencontrollern.
- Einschränken des Hinzufügens neuer Computer-Objekte (A18): nur durch dafür vorgesehene administrative Konten.
Zu den Standard-Anforderungen gehören unter anderem der Schutz der Authentisierung (A9): konsequent Kerberos mit AES, LM und NTLMv1 deaktiviert, SMB-Signierung, SMBv1 abgeschaltet, keine anonymen Zugriffe auf Domänencontroller. Außerdem soll die Datensicherung des Domänencontrollers so geschützt sein wie der Domänencontroller selbst (A12). Bei erhöhtem Schutzbedarf kommen etwa ein Schichtenmodell für die Administration, zeitlich befristete Berechtigungen und eine regelmäßige Analyse von Berechtigungen hinzu.
Die wichtigsten Maßnahmen in kleinen Umgebungen
Privilegierte Konten
- Trennung: Jede Person mit Administrationsaufgaben hat ein normales Konto für E-Mail und Büroarbeit und ein separates Administrationskonto. Mit dem Administrationskonto wird weder gesurft noch gemailt.
- Wenige Domänen-Admins: Für Aufgaben wie Passwortrücksetzung oder das Anlegen von Benutzern reicht eine delegierte Berechtigung auf einer Organisationseinheit.
- Anmeldung nur dort, wo nötig: Domänen-Admins melden sich nicht an Arbeitsplätzen an. Jede Anmeldung hinterlässt Anmeldeinformationen im Speicher, die Angreifer auf einem kompromittierten Rechner auslesen können. Das lässt sich über Gruppenrichtlinien technisch durchsetzen.
- Geschützte Benutzer: Die Gruppe «Protected Users» verhindert unter anderem schwächere Anmeldeverfahren für ihre Mitglieder. Vor dem Hinzufügen testen, weil manche ältere Anwendungen damit nicht mehr funktionieren.
Lokale Administratoren
Gleiche lokale Administratorpasswörter auf allen Rechnern erlauben es Angreifern, sich von einem übernommenen Rechner zum nächsten zu bewegen. Windows LAPS verwaltet für jeden Rechner ein eigenes, automatisch wechselndes Passwort und legt es geschützt im Verzeichnis ab.
Dienstkonten
Dienstkonten mit Domänen-Admin-Rechten und Passwörtern, die nie ablaufen, sind ein häufiger Befund. Prüfen Sie, welche Rechte ein Dienst wirklich braucht, und nutzen Sie, wo die Anwendung es unterstützt, Group Managed Service Accounts, deren Passwörter das System automatisch verwaltet.
Alte Protokolle
- LM und NTLMv1 abschalten, NTLM insgesamt schrittweise zurückdrängen.
- SMBv1 deaktivieren, SMB-Signierung erzwingen.
- LDAP-Signierung und Channel Binding aktivieren.
- Vor dem Abschalten im Überwachungsmodus prüfen, welche Systeme noch alte Verfahren nutzen, etwa ältere Multifunktionsgeräte oder Fachanwendungen.
Domänencontroller
Der Domänencontroller ist kein Dateiserver, kein Druckserver und kein Terminalserver. Er sollte nur aus dem Managementnetz administriert werden, aktuell gehalten und von der Datensicherung mit eigenen, getrennten Zugangsdaten erfasst werden. Mindestens zwei Domänencontroller erhöhen die Verfügbarkeit; ein einzelner Domänencontroller ohne geprüfte Sicherung ist ein erhebliches Ausfallrisiko.
Kennwortrichtlinie und Konten
Kennwortrichtlinie an aktuelle Empfehlungen anpassen, also lange Passwörter statt häufiger erzwungener Wechsel. Inaktive Konten regelmäßig suchen und deaktivieren. Beim Austritt eines Mitarbeiters das Konto sofort deaktivieren, nicht erst Wochen später.
Überwachung
Ohne Überwachung bleibt eine Übernahme lange unbemerkt. Mindestens beobachtet werden sollten: Änderungen an hochprivilegierten Gruppen, neue Konten mit Administratorrechten, fehlgeschlagene Anmeldungen in großer Zahl, Änderungen an Gruppenrichtlinien und das Löschen von Ereignisprotokollen. Die dafür nötigen Überwachungsrichtlinien müssen in der Regel aktiv eingeschaltet werden.
Bestandsaufnahme
Für eine erste Einschätzung eignen sich frei verfügbare Prüfwerkzeuge, die typische Fehlkonfigurationen und gefährliche Berechtigungspfade im Active Directory aufzeigen. Die Ergebnisse sollten von jemandem bewertet werden, der die Umgebung kennt, denn nicht jeder Befund ist gleich dringend. Microsoft beschreibt Empfehlungen zur Absicherung in seinen Best Practices zum Schutz von Active Directory.
Hybride Umgebungen
Wird das lokale Active Directory mit Microsoft Entra ID synchronisiert, wirkt eine Übernahme auf beiden Seiten. Das Synchronisierungskonto und der Server, auf dem die Synchronisation läuft, sind deshalb so schützenswert wie ein Domänencontroller.
Häufige Fragen
Warum sollten Domänen-Admins sich nicht an Arbeitsplätzen anmelden?
Bei jeder Anmeldung bleiben Anmeldeinformationen im Speicher des Rechners. Ist dieser Rechner kompromittiert, können Angreifer sie auslesen und mit Domänen-Admin-Rechten weiterarbeiten. Der BSI-Baustein APP.2.2 verlangt deshalb, die Anmeldung hochprivilegierter Konten technisch auf die nötigen Systeme zu beschränken.
Was ist Windows LAPS?
Eine Windows-Funktion, die für jeden Rechner ein eigenes, regelmäßig wechselndes Passwort für das lokale Administratorkonto erzeugt und geschützt im Verzeichnis ablegt. Das verhindert, dass ein einziges bekanntes Passwort auf allen Rechnern funktioniert.
Wie oft sollte das Active Directory überprüft werden?
Eine feste Vorgabe gibt es nicht. Bewährt haben sich eine Durchsicht privilegierter Gruppen und inaktiver Konten mindestens vierteljährlich und eine umfassendere Prüfung der Konfiguration etwa einmal im Jahr.