Kurz gesagt: Active Directory Härtung bedeutet, AD-Umgebungen über formale Compliance-Vorgaben hinaus technisch abzusichern. Audits prüfen meist nur, ob eine Richtlinie existiert – nicht, ob sie gegen Kerberoasting, Pass-the-Hash oder DCSync wirkt. Wirksame Active Directory Härtung kombiniert daher kontinuierliches Passwort-Monitoring, geschützte Dienstkonten, überwachte Replikationsrechte und ein regelmäßig rotiertes KRBTGT-Konto – unabhängig davon, ob ein Audit das explizit verlangt.
Active Directory Härtung gilt in vielen IT-Abteilungen als erledigt, sobald der jährliche Compliance-Audit ohne Beanstandung durchläuft. Das war lange eine vertretbare Annahme, weil Prüfkataloge wie ISO 27001 oder der BSI IT-Grundschutz tatsächlich wichtige Grundregeln abdecken. Seit Infostealer-Malware millionenfach Zugangsdaten abgreift, reicht diese Annahme allerdings nicht mehr aus.
Aktuelle Auswertungen von Specops Software zeigen, dass 19 Prozent von 1,7 Milliarden kompromittierten Passwörtern sämtliche Anforderungen strenger Unternehmensrichtlinien erfüllten – darunter sogar hochkomplexe, zufällig wirkende Zeichenfolgen. Ab dem Moment, in dem ein Passwort in einer Kriminellen-Datenbank landet, schützt die schönste Richtlinie nicht mehr. Deshalb lohnt ein nüchterner Blick auf die Angriffswege, die trotz bestandener Audits offenstehen.
Das brauchst du:
- Domain-Admin- oder gleichwertige Rechte für Änderungen an Passwortrichtlinien, KRBTGT-Konto und Replikationsberechtigungen
- Windows Server 2016 oder neuer als Domänencontroller für moderne Schutzfunktionen wie Credential Guard
- Zugriff auf Sicherheits- und Kerberos-Ereignisprotokolle oder ein SIEM zur Überwachung ungewöhnlicher Ticket-Anfragen
- Optional eine Lösung zum laufenden Abgleich mit Listen kompromittierter Passwörter
- Ein dokumentiertes Change-Fenster für den KRBTGT-Passwortwechsel, um Betriebsunterbrechungen zu vermeiden
Warum reicht eine erfüllte Compliance-Vorgabe nicht für echte Active Directory Härtung aus?
Compliance-Frameworks fragen meist nur, ob eine Passwortrichtlinie existiert – nicht, ob sie gegen reale Angriffe wirkt. Genau in dieser Lücke setzen Angreifer an. Die folgende Übersicht zeigt, wo Vorgabe und wirksame Active Directory Härtung auseinanderfallen.
| Compliance-Vorgabe | Was sie prüft | Warum sie allein nicht reicht |
|---|---|---|
| Passwortlänge/-komplexität | Mindestzeichen, Groß-/Kleinschreibung, Sonderzeichen | Erkennt keine bereits geleakten, aber komplexen Passwörter |
| MFA-Pflicht | Zweiter Faktor beim Login vorhanden | Schützt nicht vor Pass-the-Hash oder gefälschten Tickets |
| Protokollierung aktiviert | Security-Logs werden geschrieben | Ohne Auswertung bleiben Kerberoasting oder DCSync unbemerkt |
| Verschlüsselung gefordert | Daten at rest/in transit verschlüsselt | Schützt nicht vor fest hinterlegten Zugangsdaten in Legacy-Apps |
| Regelmäßiger Passwortwechsel | Ablaufintervall definiert | Ohne KRBTGT-Rotation bleibt ein gestohlenes Golden Ticket gültig |
Die folgenden sechs Fehlerbilder zeigen, wo Active Directory Härtung in der Praxis scheitert, obwohl der letzte Audit-Bericht nichts beanstandet hat.
Warum sind selbst „sichere“ Passwörter ein Einfallstor?
Symptom: Der Passwort-Report zeigt ausschließlich grüne Haken, trotzdem tauchen Benutzerkonten in Breach-Datenbanken auf.
Ursache: Infostealer-Malware liest Zugangsdaten direkt aus Browsern oder Anwendungen aus, unabhängig davon, wie komplex das Passwort ist. Ein Passwort kann lang, zufällig und richtlinienkonform sein und trotzdem längst in einer Kriminellen-Datenbank liegen.
Lösung: Ergänze die Richtlinie um einen laufenden Abgleich mit Listen kompromittierter Passwörter, etwa über Specops Password Policy, die gegen mehrere Milliarden bekannte Leaks prüft. Betroffene Benutzer sollten anschließend automatisch zum Zurücksetzen aufgefordert werden. Dieser Baustein gehört in jede ernstgemeinte Active Directory Härtung, zumal sich geleakte Zugangsdaten oft auch über Entra ID Password Protection aufspüren lassen.
Wie hebeln Angreifer Compliance-Vorgaben per Pass-the-Hash aus?
Pass-the-Hash zeigt besonders deutlich, warum Active Directory Härtung mehr als saubere Passwortregeln braucht.
Symptom: Ein Angreifer bewegt sich lateral durch das Netzwerk, ohne dass ein einziges Passwort abgefragt wurde.
Ursache: Passwort-Hashes liegen im Arbeitsspeicher kompromittierter Systeme. Gelingt der Zugriff darauf, reicht der