Transparenz schaffen
Konten, Gruppen, GPOs und administrative Beziehungen in ein verständliches Lagebild überführen.
KI-GESTÜTZTE ANALYSE · ACTIVE DIRECTORY
Sicherheit beginnt
mit Verstehen.
Ihr Active Directory ist ein Netz aus Identitäten, Rechten und Abhängigkeiten. KI4AD macht die Zusammenhänge sichtbar – und daraus einen nachvollziehbaren Weg zu mehr Sicherheit.
Auswertung und Visualisierung Ihrer AD-Daten. Datenerhebung und Analyse werden separat vereinbart.
Das Verzeichnis. Im Zusammenhang.ANALYSEMODELL
Konten &
Berechtigungen
Berechtigungen
GPOs &
Systeme
Systeme
Beziehungen verknüpfen.Technisch prüfen.
Nachvollziehbare
Befunde
Befunde
Begründete
Prioritäten
Prioritäten
01 / STRUKTURDaten verstehen
02 / KONTEXTBeziehungen prüfen
03 / MASSNAHMEGezielt verbessern
Schematische Darstellung von Analysebeziehungen · keine Daten einer Kundenumgebung
IDENTITY SECURITY, MIT KONTEXT.
ACTIVE DIRECTORY
GRUPPENRICHTLINIEN
PRIVILEGIERTE ZUGRIFFE
KI & VISUALISIERUNG
Einzelne Einstellungen prüfen.
Das ganze System verstehen.
Risiken einordnen
Technische Auffälligkeiten nach Reichweite, Kontext und Qualität der Nachweise bewerten.
Wirksam handeln
Maßnahmen mit Prioritäten, Verantwortlichen und überprüfbaren Zielen vorbereiten.
ANALYSE MIT KI
Die Daten sind da.
KI hilft, die richtigen Verbindungen zu erkennen.
AD-Exporte, GPO-Berichte und technische Befunde enthalten viel Wissen. Es verteilt sich auf unterschiedliche Formate und Ebenen. KI-gestützte Auswertung hilft, diese Informationen zu strukturieren und in ihrem Zusammenhang zu erklären.
KI4AD verbindet strukturierte Abfragen, technische Prüfregeln und KI-gestützte Interpretation. So entsteht eine Bewertung, deren Herleitung nachvollziehbar bleibt.
KI interpretiert. Nachweise tragen die Aussage.
Bestätigte Befunde, mögliche Risiken und offene Fragen werden getrennt ausgewiesen. Relevante Aussagen werden fachlich geprüft und auf ihre Datengrundlage zurückgeführt.
Informationen zusammenführen
Verzeichnisdaten, Richtlinien und vereinbarte Analyseberichte strukturiert aufbereiten. Unvollständige oder widersprüchliche Datengrundlagen sichtbar machen.
Beziehungen erklären
Verschachtelte Berechtigungen, Delegationen und GPO-Abhängigkeiten in verständliche Zusammenhänge übersetzen – mit Bezug zu den betroffenen Objekten.
Prioritäten vorbereiten
Reichweite, Kritikalität, Exposition und betriebliche Abhängigkeiten gemeinsam betrachten. Zusammengehörige Befunde zu sinnvollen Arbeitspaketen bündeln.
Ergebnisse nutzbar machen
Technische Details für die Administration und verständliche Entscheidungsgrundlagen für die IT-Leitung aufbereiten. Änderungen mit klaren Prüfkriterien planen.
EINBLICK / DATENGRUNDLAGE
Vom AD-Objekt
zur auswertbaren Struktur.
Eine nachvollziehbare Analyse beginnt mit strukturierten Daten. Der gezeigte XML-Ausschnitt macht sichtbar, wie Eigenschaften und Berechtigungen eines AD-Objekts für eine anschließende Prüfung vorliegen können.
EXPORT DES ACTIVE DIRECTORY ALS XMLEigenschaften erhalten.
Eigenschaften erhalten.
Beziehungen untersuchen.
Im Ausschnitt sind unter anderem Objektklasse, Sicherheitskennung, Berechtigungsinformationen und Änderungszeitpunkte zu sehen. Sie bilden Anknüpfungspunkte für die weitere Auswertung.
- Objekte zuordnen
- Gruppen und andere Verzeichnisobjekte anhand ihrer Merkmale unterscheiden und in den Analysekontext einordnen.
- Berechtigungen aufschlüsseln
- Technische Rechteinformationen strukturiert auswerten und mit Mitgliedschaften sowie administrativen Aufgaben zusammen betrachten.
- Datengrundlage prüfen
- Exportumfang, Erhebungszeitpunkt und fehlende Informationen festhalten. Ein einzelner Ausschnitt ersetzt keine vollständige Bestandsaufnahme.
Bild vergrößern Erhebung und Website bleiben getrennt.
Die Daten werden separat in der vereinbarten Umgebung erhoben. Diese Website zeigt einen Bildausschnitt; sie verbindet sich nicht mit Ihrem AD und nimmt keine AD-Exporte entgegen.
WAS WIR UNTERSUCHEN
Sechs Perspektiven.
Ein belastbares Lagebild.
Vom einzelnen Konto bis zur Identitätsarchitektur: Die Prüftiefe richtet sich nach Ihrer Umgebung und Ihrer Fragestellung. Wählen Sie einen Analysebereich für die Details.
Analysebereich 01 / 06
Wer hat tatsächlich welche Rechte?
Eine Mitgliedschaft ist schnell gefunden. Ihre Wirkung entsteht oft erst durch verschachtelte Gruppen, delegierte Rechte und administrative Abhängigkeiten.
- Direkte und verschachtelte Mitgliedschaften, etwa in Domain Admins, Enterprise Admins und Schema Admins
- Trennung von Benutzer-, Administrations- und Dienstkonten
- Delegierte Objektberechtigungen und indirekte Kontrollmöglichkeiten
- Inaktive oder verwaiste Konten, fehlende Verantwortliche und nicht begründete Privilegien
- Kontolebenszyklus: Zuständigkeit, Freigabe, Stilllegung und erneute Prüfung von Ausnahmen
DER BEITRAG DER KI
KI unterstützt die Zuordnung von Rollen, erklärt komplexe Berechtigungsketten und bündelt zusammengehörige Auffälligkeiten. Die Bewertung bleibt an konkrete Objekte und Berechtigungen gebunden.
DATENGRUNDLAGE & NACHWEISE
AD-Objekte, Gruppenmitgliedschaften und exportierte Berechtigungen. Für die tatsächliche Kontonutzung zusätzlich abgestimmte Anmelde- und Auditdaten.
IHR ERGEBNIS
Eine nachvollziehbare Rechteübersicht mit begründeten Bereinigungs- und Trennungsvorschlägen.
Analysebereich 02 / 06
Richtlinien verstehen. Ihre Wirkung überprüfen.
Viele GPOs bedeuten noch keine konsistente Sicherheitskonfiguration. Entscheidend ist, welche Einstellungen für welche Systeme gelten – und wo Ausnahmen entstehen.
- Verknüpfungen, Reihenfolge, Vererbung und erzwungene Richtlinien
- Sicherheits- und WMI-Filter sowie Benutzer- und Computerkonfiguration
- Überschneidungen, veraltete Einstellungen und dokumentierte Ausnahmen
- Abgleich geeigneter Einstellungen mit versionsbezogenen Sicherheitsbaselines
- Pilotbereiche, Nachweise zur Wirksamkeit und befristete Abweichungen je Systemrolle
DER BEITRAG DER KI
KI strukturiert umfangreiche Richtlinienexporte, vergleicht Konfigurationen und formuliert verständliche Erläuterungen zu Abweichungen und Abhängigkeiten.
DATENGRUNDLAGE & NACHWEISE
GPO-Berichte, Links, Filter und Zielstruktur. Die tatsächlich angewendete Konfiguration wird bei Bedarf mit RSoP, gpresult und Prüfungen am Zielsystem bestätigt.
IHR ERGEBNIS
Ein GPO-Härtungsplan mit Zielsystemen, Konflikten und Abhängigkeiten. Für die Einführung werden Pilotgruppen, Abnahmekriterien und Rückfallwege festgehalten.
Analysebereich 03 / 06
Anmeldungen und Zugangsdaten gezielt absichern.
Historisch gewachsene Authentifizierung schafft Abhängigkeiten. Vor einer Härtung muss klar sein, welche Protokolle benötigt und tatsächlich verwendet werden.
- Hinweise auf NTLM-Nutzung, NTLMv1 und weitere Legacy-Abhängigkeiten
- LDAP-Signing, Channel Binding und zugehörige Anwendungskompatibilität
- SMB-Konfiguration einschließlich verbliebener SMBv1-Abhängigkeiten
- Credential Theft, Pass-the-Hash und Pass-the-Ticket im Kontext administrativer Anmeldungen
- Wirksame Kennwort- und Kontosperrvorgaben einschließlich Fine-Grained Password Policies (FGPP)
DER BEITRAG DER KI
KI führt Konfigurationsbefunde und verfügbare Protokollauswertungen zusammen. Sie unterstützt dabei, Ausnahmen von unbeabsichtigten Lücken zu unterscheiden.
DATENGRUNDLAGE & NACHWEISE
Richtlinien einschließlich FGPP-Zuordnungen, Systemeinstellungen und abgestimmte Ereignisprotokolle. Eine erlaubte Protokollnutzung beweist noch keine tatsächliche Verwendung. Bei Kennwort- und Kontosperrvorgaben wird die resultierende Richtlinie des jeweiligen Kontos geprüft.
IHR ERGEBNIS
Ein abgestimmter Migrations- und Härtungspfad mit Pilotierung, Kompatibilitätsprüfung und Rückfalloption.
Analysebereich 04 / 06
Privilegien dort begrenzen, wo sie wirken.
Neben Domain Admins können weitere Komponenten eine Domäne kontrollieren. Auch Verwaltungssysteme, Sicherungen oder Virtualisierungsplattformen können eine direkte Abhängigkeit zu Tier 0 schaffen.
- Zuordnung von Identitäten, Systemen und Abhängigkeiten zu Tier 0, 1 und 2
- Trennung privilegierter Konten und zugelassener Anmeldewege
- Vertrauenswürdige Administrationsarbeitsplätze und Zwischenstationen
- Einordnung hybrider Verwaltungswege in das Enterprise Access Model
DER BEITRAG DER KI
KI hilft, administrative Beziehungen zu verdichten und potenzielle Grenzüberschreitungen verständlich darzustellen. Ein möglicher Pfad wird technisch geprüft, bevor er als Risiko bewertet wird.
DATENGRUNDLAGE & NACHWEISE
Rollen, Gruppen, Berechtigungen und vereinbarte Daten zu Administrationswegen sowie kontrollierenden Infrastrukturkomponenten.
IHR ERGEBNIS
Ein Tiering-Zielbild mit Verantwortlichkeiten, zulässigen Verwaltungswegen und einer schrittweisen Umstellung.
Analysebereich 05 / 06
Weniger dauerhafte Privilegien. Klarere Zuständigkeiten.
Dienstkonten brauchen einen konkreten Zweck, begrenzte Rechte und einen verlässlichen Lebenszyklus. Lokale Administratorkennwörter gehören kontrolliert verwaltet.
- Dienstkonten, SPNs, Gruppenrechte und benannte Anwendungsverantwortliche
- Delegationskonfigurationen und deren zulässiger Einsatz
- Eignung für Group Managed Service Accounts (gMSA) und zum Kennwortabruf berechtigte Hosts
- Windows-LAPS-Abdeckung, Kennwortrotation sowie Lese- und Entschlüsselungsrechte
- Abhängigkeiten von Diensten, geplanten Aufgaben und Anwendungen vor Kennwort- oder Rechteänderungen
- Tatsächliche Mitgliedschaften lokaler Administratorgruppen auf den einbezogenen Geräten
DER BEITRAG DER KI
KI unterstützt die Zuordnung von Konten zu Diensten und die Erkennung ähnlicher Konfigurationsmuster. Unklare Zuordnungen werden als offene Fragen sichtbar gemacht.
DATENGRUNDLAGE & NACHWEISE
Kontoattribute, SPNs, Delegationseinstellungen und Richtlinien, ergänzt um Dienstinventare, lokale Gruppen und LAPS-Statusdaten. Ein SPN allein belegt keine laufende Nutzung. Kennwörter, Hashes und private Schlüssel werden dafür nicht benötigt.
IHR ERGEBNIS
Ein umsetzbarer Plan für Kontobereinigung, Rechteabbau, geeignete gMSA und eine kontrollierte LAPS-Einführung.
Analysebereich 06 / 06
Die Identitätsbasis als Ganzes betrachten.
Sicherheit endet nicht bei einzelnen Einstellungen. Domänenstruktur, Vertrauensstellungen, Wiederherstellung und die Absicherung der Domain Controller gehören zusammen.
- Domain-Controller-Rollen, zusätzliche Software und kontrollierte Kommunikationswege
- Standorte, Subnetze, Vertrauensstellungen und Replikationshinweise
- AD-CS- und weitere Identitätskomponenten im vereinbarten Prüfungsumfang
- Notfallzugänge (Break-Glass-Accounts), Sicherungsprozesse und dokumentierte Wiederherstellung
- DNS-Aktualisierungen und Zuständigkeiten für Infrastrukturrollen im vereinbarten Umfang
DER BEITRAG DER KI
KI hilft bei der Einordnung verteilter Informationen und macht Lücken zwischen technischer Konfiguration und dokumentiertem Betrieb sichtbar.
DATENGRUNDLAGE & NACHWEISE
Struktur- und Konfigurationsexporte, vorhandene Betriebsdokumentation und vereinbarte Prüfprotokolle. Ein Export allein belegt keine erfolgreiche Wiederherstellung.
IHR ERGEBNIS
Ein dokumentiertes Lagebild mit offenen Nachweisen, betrieblichen Abhängigkeiten und priorisierten Verbesserungen.
Der konkrete Umfang wird vorab abgestimmt. Geeignete Drittanbieter-Analysetools können die Datengrundlage ergänzen.
WAS KI ZUR BEWERTUNG BEITRÄGT
Ein Tool findet eine Auffälligkeit.
Der Kontext bestimmt die nächsten Schritte.
Ein Bericht ist ein wichtiger Ausgangspunkt. Für eine umsetzbare Entscheidung müssen technische Hinweise mit den betroffenen Anwendungen, Zuständigkeiten und Betriebsabläufen verbunden werden.
MEHR ALS EINE ZUSAMMENFASSUNGZusammenhänge erklären.
Zusammenhänge erklären.
Unsicherheiten offenlegen.
KI4AD kann Befunde aus vereinbarten Analysewerkzeugen, etwa einem vorhandenen PingCastle-Bericht, mit AD-Strukturen, GPO-Auswertungen und ergänzenden Betriebsinformationen zusammenführen.
Die KI hilft, gemeinsame Ursachen zu erkennen und sinnvolle Arbeitspakete vorzubereiten. Jede relevante Aussage bleibt mit ihrer Quelle verbunden. Fehlende Informationen werden als konkrete Rückfragen festgehalten.
Sie behalten die Entscheidung.
Eine KI-Einordnung löst keine Änderung aus. Die technische Validierung und die Freigabe zur Umsetzung erfolgen gesondert.
- 01
Ein Dienstkonto mit hohen Rechten
Die Gruppenmitgliedschaft wird mit bekannten Diensten und Aufgaben verknüpft. So wird sichtbar, welche Anwendungen vor einem Rechteentzug zu prüfen sind und wer die Umstellung freigeben muss.
Benötigter Nachweis: bestätigte Dienstzuordnung und Anwendungstest. - 02
Eine Abweichung von der Baseline
Die Einstellung wird zur Serverrolle, Betriebssystemversion und GPO-Zielgruppe in Beziehung gesetzt. KI unterstützt die Unterscheidung zwischen erklärter Ausnahme, fehlender Datengrundlage und möglichem Handlungsbedarf.
Benötigter Nachweis: wirksame Konfiguration und begründete Ausnahme. - 03
Ein veränderter Sicherheitsreport
KI kann Unterschiede zwischen Erhebungen strukturieren. Ob ein Risiko tatsächlich behoben wurde oder nur andere Systeme erfasst wurden, wird anhand von Prüfungsumfang und technischen Nachweisen geklärt.
Benötigter Nachweis: vergleichbare Erhebung und erneute Prüfung.
EINBLICK / KI-GESTÜTZTE PRÜFARBEIT
Annahmen hinterfragen.
Befunde gezielt überprüfen.
KI kann die Arbeit an einer Analyse unterstützen: vorhandene Dateien sichten, Prüfschritte vorbereiten und Auswertungslogik weiterentwickeln. Entscheidend bleibt, ob sich eine Aussage an den technischen Daten belegen lässt.
Bild vergrößern Den Arbeitsstand erfassen.
Vorhandene Analysedateien und Prüflogik werden als Ausgangspunkt betrachtet. So lässt sich die nächste Fragestellung konkret eingrenzen.
Erwartung mit Daten abgleichen.
Der gezeigte Schritt bereitet eine Messung zu Prinzipalen, Rechten und Containern vor. Sie soll helfen, erwartete Vorgaben von prüfbedürftigen Abweichungen zu unterscheiden.
Die Aussage technisch absichern.
Erzeugte Skripte und KI-Aussagen benötigen eine fachliche Prüfung. Erst die nachvollziehbare Auswertung und Einordnung tragen eine belastbare Bewertung.
Der Ausschnitt zeigt einen Arbeitsschritt, keinen abgeschlossenen Sicherheitsnachweis. Verarbeitungsort, Werkzeuge und Datenumfang werden für jedes Projekt abgestimmt.
SICHTBARE ZUSAMMENHÄNGE
Die entscheidende Frage:
Wie weit reicht ein Recht?
Tabellen zeigen Eigenschaften. Eine Beziehungsanalyse zeigt, was daraus entstehen kann. Visualisierungen helfen, indirekte Berechtigungen und administrative Abhängigkeiten gemeinsam zu betrachten.
Vom Konto zum kontrollierten ObjektSCHEMATISCHER PFAD
IDENTITÄTBenutzerkontoMitgliedschaft und Rolle
BERECHTIGUNGDelegierte GruppeDirekte oder indirekte Rechte
MÖGLICHE REICHWEITEEinfluss auf GPO oder ZielsystemAuswirkungen und Voraussetzungen technisch prüfen
Ein möglicher Berechtigungspfad ist kein Nachweis eines erfolgten Angriffs. Seine praktische Bedeutung hängt von Rechten, Systemzustand und weiteren Voraussetzungen ab.
Indirekte Rechte nachvollziehen
Gruppenverschachtelungen und Delegationen sichtbar machen, die in einer einfachen Mitgliederliste leicht übersehen werden.
Kritische Abhängigkeiten erkennen
Kontrollbeziehungen zu GPOs, Identitätsdiensten und verwaltenden Systemen im vereinbarten Umfang zusammenführen.
Änderungen im Kontext planen
Betroffene Objekte und Abhängigkeiten als Grundlage nutzen, bevor Berechtigungen reduziert oder Verwaltungswege getrennt werden.
IHR ERGEBNIS
Ein Bericht, mit dem
Sie weiterarbeiten können.
Eine lange Liste von Auffälligkeiten beantwortet noch nicht, was zuerst zu tun ist. Das Ergebnis soll Entscheidungen ermöglichen und konkrete Arbeitsschritte vorbereiten.
- 01Management-Zusammenfassung
Wesentliche Risiken, Reichweite und Handlungsbedarf in verständlicher Form.
- 02Befundkatalog mit Nachweisen
Beobachtung, Quelle, betroffene Objekte, Bewertung und offene Fragen.
- 03Visualisierte Beziehungen
Relevante Berechtigungen und Abhängigkeiten als nachvollziehbare Übersicht.
- 04Priorisierter Maßnahmenplan
Technische Schritte, Voraussetzungen, Verantwortlichkeiten und Wirksamkeitsprüfung.
BEFUNDAUFBAU / BEISPIELEine Berechtigung.
Mehrere Kontrollwege.
So kann ein technisch nachvollziehbarer Befund aufgebaut sein:
BeobachtungEin Konto erhält über eine verschachtelte Gruppe weiterreichende Rechte als für seine Rolle vorgesehen.
NachweisBetroffene Objekte, Mitgliedschaftskette und konkrete Objektberechtigungen.
BewertungReichweite und Voraussetzungen prüfen; Kontonutzung und betriebliche Abhängigkeiten klären.
MaßnahmeRolle und Rechte abgrenzen, Änderung pilotieren und das Ergebnis kontrollieren.
Jeder Schritt bleibt mit seiner Datengrundlage verknüpft. Offene Nachweise werden als solche dokumentiert.
Schematischer Berichtsausschnitt · kein Befund aus einem Kundenprojekt
WIRKSAMKEIT NACHWEISEN
Eine Änderung ist erst
der Anfang der Prüfung.
Konfiguration, tatsächliche Anwendung und betriebliche Funktion sind unterschiedliche Aussagen. Der Nachweis muss zur jeweiligen Sicherheitsfrage passen.
Die Tabelle lässt sich bei Bedarf seitlich bewegen.
| Prüffeld | Aussagekräftiger Nachweis |
|---|---|
| Administrative Rechte | Gruppenmitgliedschaften und Objektberechtigungen, ergänzt durch überprüfte Rollen und zulässige Verwaltungswege. |
| GPO-Anwendung | Resultierende Richtlinien, etwa aus RSoP oder gpresult, zusammen mit der relevanten Konfiguration und Funktion des Zielsystems. |
| Authentifizierungsnutzung | Geeignete Ereignisprotokolle aus einem definierten Beobachtungszeitraum; erlaubte Verfahren und tatsächlich beobachtete Nutzung getrennt bewerten. |
| Dienstkonten | Abgestimmte Verantwortlichkeiten, konkrete Berechtigungen und dokumentierte Diensttests nach einer Änderung. |
| Wiederherstellung | Protokoll einer vereinbarten Wiederherstellungsübung mit Voraussetzungen, Ergebnis und verbleibenden Einschränkungen. |
- Geplant
- Maßnahme und Ziel festgelegt.
- Umgesetzt
- Änderung dokumentiert.
- Geprüft
- Ergebnis mit Nachweis bewertet.
- Offen
- Frage oder Nachweis ausstehend.
BEITRAG DER KI
KI hilft, vergleichbare Datenstände gegenüberzustellen und Differenzen zu erklären. Veränderungen im Datenumfang werden von technischen Änderungen unterschieden; ein geänderter Export gilt nicht automatisch als behobene Schwachstelle.
UNSER MASSSTAB
Ein Befund ist dann hilfreich, wenn klar ist, woher er stammt, was er bedeutet und wie seine Behebung geprüft wird.
TYPISCHE FALLBEISPIELE
Bekannte Situationen.
Ein strukturierter Analyseweg.
So lassen sich häufige Fragestellungen in gewachsenen AD-Umgebungen untersuchen. Die Beispiele beschreiben mögliche Vorgehensweisen und überprüfbare Ziele.
PRIVILEGIERTE ZUGRIFFE01
Ein Admin-Konto für zu viele Aufgaben.
Ein hochprivilegiertes Konto wird für Domänenverwaltung und alltägliche Server- oder Clientaufgaben eingesetzt.
Wo können privilegierte Zugangsdaten auf Systeme mit geringerem Vertrauensniveau gelangen?
Analyse und Vorgehen ansehen
So wird analysiert
Gruppen und delegierte Rechte werden mit den vereinbarten Anmeldeprotokollen und Administrationswegen in Beziehung gesetzt. Die KI fasst zusammengehörige Pfade zusammen; kritische Verbindungen werden anhand ihrer Quellen geprüft.
Mögliche Maßnahmen
Konten und Verwaltungswege nach Tier trennen, zulässige Anmeldungen begrenzen und dedizierte Administrationsarbeitsplätze einplanen.
So wird die Wirkung geprüft
Nachweis über Gruppen, wirksame Anmelderechte und kontrollierte Funktionstests des vorgesehenen Administrationswegs.
GRUPPENRICHTLINIEN02
Viele GPOs. Ein uneinheitliches Sicherheitsniveau.
Über Jahre gewachsene Richtlinien, Sonderfälle und Vererbungen erschweren den Überblick über die Serverhärtung.
Welche Richtlinien wirken auf welche Systeme – und wo entstehen unbeabsichtigte Ausnahmen?
Analyse und Vorgehen ansehen
So wird analysiert
GPO-Einstellungen, Verknüpfungen und Filter werden strukturiert verglichen. KI unterstützt die Erklärung von Überschneidungen. RSoP oder gpresult bestätigen die resultierende Konfiguration ausgewählter Zielsysteme.
Mögliche Maßnahmen
Richtlinien nach Zweck und Zielgruppe konsolidieren, begründete Ausnahmen dokumentieren und Baseline-Änderungen in einem Pilotbereich erproben.
So wird die Wirkung geprüft
Vorher-nachher-Abgleich der wirksamen Einstellungen, Anwendungstests und eine dokumentierte Rückfalloption.
DIENSTKONTEN03
Der Dienst läuft. Die Verantwortung ist unklar.
Mehrere Anwendungen verwenden dasselbe weitreichend berechtigte Dienstkonto. Welche Dienste von einem Kennwortwechsel oder Rechteentzug betroffen wären, ist nicht vollständig erfasst.
Welche Konten werden noch benötigt, und welche Rechte sind für den jeweiligen Dienst tatsächlich erforderlich?
Analyse und Vorgehen ansehen
So wird analysiert
Kontoeigenschaften werden mit Dienstkonfigurationen, geplanten Aufgaben, SPNs und freigegebenen Betriebsdaten abgeglichen. KI kann zusammengehörige Hinweise gruppieren und fehlende Zuordnungen markieren. Die Anwendungsverantwortlichen bestätigen die Abhängigkeiten vor einer Umstellung.
Mögliche Maßnahmen
Ein Kontoinventar mit Zuständigkeiten aufbauen, notwendige Rechte pro Dienst festlegen und Änderungen mit Anwendungstests absichern. Wo Betriebssystem, Anwendung und Betriebsmodell es unterstützen, kann gMSA die Kennwortverwaltung übernehmen.
So wird die Wirkung geprüft
Abgestimmtes Kontoinventar, dokumentierte Diensttests und überprüfte Berechtigungen nach der Änderung.
AUTHENTIFIZIERUNG04
Sicherer anmelden. Bestehende Anwendungen mitnehmen.
Legacy-Anwendungen und unvollständige Protokollierung erschweren die Härtung von LDAP, NTLM und SMB.
Welche Abhängigkeiten müssen vor einer Protokollumstellung bekannt sein?
Analyse und Vorgehen ansehen
So wird analysiert
Konfiguration und freigegebene Ereignisprotokolle werden gemeinsam betrachtet. KI gruppiert betroffene Systeme und Anwendungen; tatsächlich beobachtete Nutzung bleibt von bloß erlaubten Einstellungen getrennt.
Mögliche Maßnahmen
Anwendungen zuordnen, Unterstützung sicherer Verfahren klären, Änderungen pilotieren und Ausnahmen mit Ablaufdatum dokumentieren.
So wird die Wirkung geprüft
Kompatibilitätstests und erneute Protokollauswertung nach der Umstellung – mit klarer Aussage zu verbleibenden Ausnahmen.
BASELINES & ALTSYSTEME05
Eine Härtungsrichtlinie. Unterschiedliche Voraussetzungen.
Eine Serverlandschaft enthält verschiedene Betriebssysteme und Anwendungen mit abweichenden Sicherheitsanforderungen. Eine globale Richtlinie könnte dadurch unerwartete Auswirkungen haben.
Welche Änderung ist für welche Rolle geeignet – und welche Anwendung muss zuerst angepasst werden?
Analyse und Vorgehen ansehen
So wird analysiert
Betriebssystemstände, Serverrollen, GPO-Zielgruppen und bekannte Kommunikationsabhängigkeiten werden gegenübergestellt. KI unterstützt das Gruppieren ähnlicher Systeme und das Erklären von Baseline-Abweichungen. Technische Tests entscheiden, ob eine Einstellung eingesetzt werden kann.
Mögliche Maßnahmen
Rollenbezogene Zielkonfigurationen festlegen, repräsentative Systeme pilotieren und die Freigabe an definierte Anwendungstests knüpfen. Überbrückungen erhalten einen Verantwortlichen und einen Überprüfungstermin.
So wird die Wirkung geprüft
Ergebnissätze der tatsächlich angewendeten Richtlinien, dokumentierte Anwendungstests und eine Übersicht aller noch nicht einbezogenen Systeme.
DOMAIN CONTROLLER06
Die Identitätsbasis trägt zusätzliche Lasten.
Auf einem Domain Controller laufen Aufgaben und Hilfsprogramme, deren Nähe zur Identitätsverwaltung nicht begründet ist. Gleichzeitig sind die betrieblichen Abhängigkeiten nur teilweise bekannt.
Welche Komponenten müssen hier bleiben, und welche können außerhalb der Identitätsbasis betrieben werden?
Analyse und Vorgehen ansehen
So wird analysiert
Rollen, Dienste, installierte Software und benötigte Verbindungen werden zusammengeführt. KI hilft, Abhängigkeiten und offene Zuständigkeiten übersichtlich darzustellen. Die technische Prüfung klärt, welche Aufgaben für den AD-Betrieb erforderlich sind.
Mögliche Maßnahmen
Verlagerbare Aufgaben separat planen, nicht benötigte Komponenten kontrolliert entfernen und verbleibende Kommunikationswege begründen. Verwaltungs-, Aktualisierungs- und Wiederherstellungswege bleiben Teil der Prüfung.
So wird die Wirkung geprüft
Freigegebenes Rollen- und Softwareinventar, getestete Abhängigkeiten und Funktionsnachweise nach jeder Veränderung.
Diese Fallbeispiele sind typische Anwendungsszenarien. Sie stellen keine abgeschlossenen Kundenprojekte oder zugesicherten Ergebnisse dar.
PRIORITÄTEN MIT BEGRÜNDUNG
Was zuerst zählt,
entscheidet der Kontext.
Ein Befund erhält seine Priorität aus der Umgebung. Wir betrachten seine mögliche Wirkung gemeinsam mit der Belastbarkeit des Nachweises und den Voraussetzungen einer Änderung.
- Kontrollreichweite
- Welche Identitäten, Systeme oder Verwaltungswege können betroffen sein?
- Exposition
- Wie ist die betreffende Funktion erreichbar und wie wird sie genutzt?
- Nachweisqualität
- Was ist bestätigt, was nur ein Hinweis und welche Information fehlt?
- Abhängigkeiten
- Welche Anwendungen, Zuständigkeiten und Änderungen müssen berücksichtigt werden?
Sofort begrenzen
Bestätigte, besonders weitreichende Risiken auf geeignete Begrenzungsmaßnahmen prüfen. Betriebliche Auswirkungen und Notfallzugänge bleiben Teil der Entscheidung.
Geplant umstellen
Konten, Richtlinien und Authentifizierungsverfahren mit Pilotierung, Freigabe und Rückfalloption verändern. Abhängige Maßnahmen in einer ausführbaren Reihenfolge planen.
Strukturell modernisieren
Verwaltungsarchitektur, Rollen und Betriebsprozesse weiterentwickeln. Technische Zielbilder mit Verantwortlichkeiten und wiederkehrenden Kontrollen verbinden.
BEITRAG DER KI
KI bündelt zusammengehörige Befunde und erklärt Abhängigkeiten zwischen Maßnahmen. Daraus entsteht eine prüfbare Entscheidungsgrundlage; Prioritäten und Umsetzung werden fachlich abgestimmt.
VOM ZIEL ZUM NACHWEIS
Ein klarer Ablauf.
Kontrollierbare Schritte.
Eine belastbare Analyse beginnt vor dem ersten Export. Ziele, Datenumfang und Verantwortlichkeiten bilden die Grundlage für jedes weitere Vorgehen.
Ausgangssituation besprechen- 01
Ziel und Umfang festlegen
Fragestellungen, Domänen, relevante Systeme und gewünschte Ergebnisse klären. Betriebsmodell, Datenumgang und organisatorische Ansprechpartner abstimmen.
- 02
Daten gezielt erheben
Benötigte Informationen separat in Ihrer Umgebung exportieren. Vollständigkeit, Zeitpunkt und Aussagekraft prüfen; sensible Inhalte auf den erforderlichen Umfang begrenzen.
- 03
Analysieren und einordnen
Strukturierte Prüfungen und KI-gestützte Interpretation verbinden. Berechtigungen und Abhängigkeiten visualisieren, relevante Befunde validieren und offene Fragen dokumentieren.
- 04
Maßnahmen gemeinsam planen
Technische Risiken und Betriebsanforderungen abwägen. Umsetzungsreihenfolge, Zuständigkeiten, Pilotbereich und Rückfalloptionen festlegen.
- 05
Umsetzen und Wirkung prüfen
Vereinbarte Änderungen kontrolliert durchführen. Ergebnisse anhand konkreter Prüfkriterien bestätigen und verbleibende Ausnahmen nachvollziehbar festhalten.
ARCHITEKTUR FÜR PRIVILEGIERTE ZUGRIFFE
3-Tier-Administration
Drei Ebenen. Getrennte Identitäten. Klare Grenzen für administrative Zugriffe.
Wer einen Arbeitsplatz kompromittiert, soll darüber keine Zugangsdaten zur Verwaltung der gesamten Domäne erhalten. 3-Tier-Administration trennt deshalb die Verwaltung der Identitätsinfrastruktur, der Server und der Benutzergeräte. Entscheidend ist, wo privilegierte Konten verwendet werden und welche Systeme andere Systeme kontrollieren können.
Ein tragfähiges Konzept verbindet Kontentrennung, vertrauenswürdige Administrationsgeräte, minimale Rechte, technisch durchgesetzte Anmelderegeln und überprüfbare Betriebsabläufe. Eine neue OU-Struktur allein schafft diese Trennung noch nicht. Tiering begrenzt Risiken durch Credential Theft und laterale Bewegung; es ersetzt weder Updates noch Erkennung, Wiederherstellung oder laufende Sicherheitsarbeit.
01 Kontrollwirkung verstehen02 Verwaltungswege trennen03 Wirkung nachweisen
01 / EINORDNUNG
Tier 0, Tier 1, Tier 2: Was gehört wohin?
Die Zuordnung folgt der tatsächlichen Kontrolle über Identitäten und Systeme. Der Produktname, der Standort oder das Betriebssystem reichen dafür nicht aus.
Die Vertrauensbasis
Domain Controller und Komponenten, über die sich die Identitätsinfrastruktur verändern, übernehmen oder wiederherstellen lässt. Typische Beispiele sind Microsoft Entra Connect, AD FS und AD CS sowie Backup, Virtualisierung, Monitoring, Softwareverteilung oder EDR mit Kontrolle über Domain Controller.
Microsoft ordnet AD CS ausdrücklich Tier 0 zu. Eine abweichende Einstufung benötigt eine begründete, dokumentierte Prüfung der tatsächlichen Rolle und Kontrollwirkung.
Prüffrage: Kann dieses Konto oder System Einfluss auf die Vertrauensbasis der Domäne nehmen?
Anwendungen und Betrieb
Mitgliedsserver, Datenbanken und Anwendungen einschließlich ihrer Administration, soweit sie keine Kontrolle über Tier 0 eröffnen. Rechte bleiben auf benötigte Aufgaben und Ressourcen begrenzt.
Prüffrage: Welche Server und Dienste kann diese Rolle verwalten – direkt und über zwischengeschaltete Werkzeuge?
Clients und Support
Benutzergeräte und ihre Administration. Helpdesk-Aufgaben erhalten eigene, begrenzte Rollen. Das persönliche Alltagskonto bleibt von administrativen Konten getrennt.
Prüffrage: Wo können häufig exponierte Geräte und Supportprozesse privilegierte Zugangsdaten gefährden?
Zeichnung vergrößern Eine Ebene ist keine pauschale Berechtigung.
Ein Tier-0-Konto braucht nicht automatisch Domain-Admin-Rechte. Auch innerhalb einer Ebene werden Aufgaben delegiert und Berechtigungen eingegrenzt. Geschäftskritische Daten können auf Tier-1- oder Tier-2-Systemen liegen: Tiering beschreibt Kontrollbeziehungen, keine Rangliste des Geschäftswerts.
02 / VERSTECKTE KONTROLLE
Tier 0 endet nicht am Domain Controller.
Ein Konto muss nicht Mitglied von „Domain Admins“ sein, um gefährlichen Einfluss zu haben. Wer eine virtuelle DC-Festplatte verändern, ein entsprechendes Backup wiederherstellen oder Software mit hohen Rechten auf einem DC verteilen kann, kann die Schutzgrenze ebenfalls berühren.
Deshalb umfasst die Analyse verschachtelte Gruppen einschließlich der eingebauten AD-Gruppen Backup Operators und Server Operators, Objektberechtigungen, GPO-Verwaltung, Hypervisor- und Storage-Zugriffe sowie Backup-, Monitoring- und Deployment-Plattformen. Microsoft führt diese beiden AD-Gruppen als Tier 0 auf; gleichnamige lokale Gruppen sind nach ihrem tatsächlichen Geltungsbereich zu beurteilen.
Ergebnis: eine begründete Zuordnung mit Kontrollpfaden und offenen Fragen. Eine Verwaltungsplattform wird nicht allein wegen ihres Namens zu Tier 0; ihre tatsächlichen Möglichkeiten entscheiden.
Zeichnung vergrößern Tier 0 bewusst klein halten.
Jedes zusätzliche Konto, jeder Server und jede Anwendung erweitert die Angriffsfläche der Identitätsbasis. Fachanwendungen bleiben Tier 1, auch wenn das AD-Team sie betreut. Die notwendige Tier-0-Kontrolle wird abgesichert, nicht durch eine günstigere Beschriftung wegdefiniert.
- Nicht sämtliche Infrastruktur pauschal zu Tier 0 erklären.
- Domain-Admin-Konten nicht für tägliche Arbeit verwenden.
- Keine Monitoring-, Backup- oder EDR-Agenten mit Domain-Admin-Rechten auf Tier-1- oder Tier-2-Systemen betreiben.
- Dienstkonten nicht über mehrere Ebenen hinweg wiederverwenden.
03 / IDENTITÄTEN
Eine Person kann mehrere Rollen haben. Ihre Konten bleiben getrennt.
Das Standardkonto dient dem Alltag. Administrative Konten werden nur für die zugewiesene Ebene und Aufgabe verwendet. Wer ausschließlich Clients betreut, benötigt deshalb nicht zusätzlich ein Tier-0-Konto.
Trennung im täglichen Betrieb
- Eigene Konten und getrennte Geheimnisse für Alltag und administrative Rollen.
- Keine E-Mail-Nutzung und kein allgemeines Websurfen mit Administrationskonten.
- Nachvollziehbare Zuordnung zu Personen, Rollen und Verantwortlichen.
- Zeitlich begrenzte oder reduzierte Rechte, wo der Betriebsablauf dies unterstützt.
- Regelmäßige Kontrolle hochprivilegierter Gruppen und Entfernung nicht mehr benötigter Konten nach Prüfung von Abhängigkeiten.
Benennungen erleichtern die Orientierung, setzen aber keine Schutzregel durch. Gruppen, delegierte Rechte und die tatsächlich wirksamen Anmeldebeschränkungen müssen zur vorgesehenen Rolle passen.
Zeichnung vergrößern Welche administrativen Anmeldungen sind vorgesehen?
Die folgende Matrix beschreibt ein bewusst striktes Zielmodell für interaktive und RDP-Administration. „Vorgesehen“ setzt eine freigegebene Aufgabe, einen geeigneten Quellarbeitsplatz und passende Rechte voraus.
| Konto | Tier 0 | Tier 1 | Tier 2 |
|---|---|---|---|
| Tier-0-Admin | Vorgesehen | Unterbinden | Unterbinden |
| Tier-1-Admin | Unterbinden | Vorgesehen | Unterbinden |
| Tier-2-Admin | Unterbinden | Unterbinden | Vorgesehen |
Diese Matrix ist keine pauschale Netzwerksperre.
AD-Authentifizierung, erforderliche LDAP- und SYSVOL-Zugriffe sowie delegierte Aufgaben müssen weiterhin funktionieren. Besonders auf Domain Controllern können undifferenzierte Netzwerk-Anmeldeverbote den Betrieb stören. Netzwerkzugriffe werden nach Dienst, Konto und Zweck gesondert bewertet.
Microsoft Learn: Netzwerkanmeldung und DC-Auswirkungen · Archivseite, Windows 10 ↗04 / VERTRAUENSWÜRDIGE QUELLE
Sichere Administration beginnt am eigenen Arbeitsplatz.
Eine Privileged Access Workstation (PAW) ist ein dedizierter, gehärteter Arbeitsplatz für privilegierte Tätigkeiten. Seine Verwaltung und Abhängigkeiten müssen mindestens das Vertrauen der administrierten Ziele verdienen. Eine Admin-VM auf einem unzureichend geschützten Alltags-PC erfüllt dieses Prinzip nicht allein durch die Virtualisierung.
Arbeitsumgebung
Freigegebene Werkzeuge, kontrollierte Softwareinstallation, aktuelle Schutzmaßnahmen und begrenzte Internetnutzung. Auch Geräteverwaltung, Wiederherstellung und Zugänge zur PAW werden in die Schutzgrenze einbezogen.
Verbindungsweg
Ein Jumpserver strukturiert Zugänge, macht einen kompromittierten Quellrechner aber nicht vertrauenswürdig. Er übernimmt die Vertrauensanforderungen aller Konten, deren Anmeldedaten ihn berühren. Ein Jumpserver zur Administration von Domain Controllern ist selbst Tier 0 und wird entsprechend verwaltet und gehärtet. Eine Nutzung quer durch die Ebenen ist keine zusätzliche Schutzschicht.
Support auf fremden Geräten
Bei RDP auf potenziell kompromittierte Clients empfiehlt Microsoft für Helpdesk-Szenarien Restricted Admin. Voraussetzungen und funktionale Einschränkungen müssen zum Supportprozess passen.
Remote Credential Guard kann bei unterstützten RDP-Verbindungen die Weitergabe von Anmeldedaten an das Ziel vermeiden. Es erfordert Kerberos und schützt nicht vor jedem Missbrauch einer laufenden Sitzung. Ein solches Feature ist eine zusätzliche Maßnahme innerhalb des Zugriffskonzepts.
| Prüfpunkt | Restricted Admin | Remote Credential Guard |
|---|---|---|
| SSO und weitere RDP-Sprünge | Kein SSO als angemeldeter Benutzer; kein Multi-Hop-RDP. | SSO und Multi-Hop-RDP bei unterstützten Verbindungen. |
| Zugriff am Ziel | Mitgliedschaft in der Administratorengruppe des Zielsystems erforderlich. | RDP-Berechtigung erforderlich; zusätzliche Einschränkungen je RDS-Rolle beachten. |
| Authentifizierung und Vermittler | Unterstützt auch NTLM; Verfahren und Freigaben gesondert bewerten. | Kerberos erforderlich. Nicht über RD Gateway oder Remote Desktop Connection Broker unterstützt. |
Beide Modi benötigen am Ziel die Freigabe „Remote host allows delegation of nonexportable credentials“ beziehungsweise die entsprechende unterstützte Konfiguration. Der tatsächliche Verbindungsmodus wird im Pilot nachgewiesen; eine aktivierte Richtlinie allein genügt nicht.
Microsoft Learn: Clean-Source-Prinzip ↗Microsoft Learn: Jumpserver und Vertrauensgrenzen ↗Microsoft Learn: Remote Credential Guard und Helpdesk-Szenarien ↗
Keine pauschale Entwarnung bei bereits gestohlenen Hashes.
Restricted Admin verhindert die Weitergabe wiederverwendbarer Benutzer-Anmeldedaten an das RDP-Ziel. Liegt einem Angreifer aber bereits ein geeigneter NT-Hash vor, kann er diesen bei erreichbarem Ziel, aktivem Restricted Admin und ausreichenden Administratorrechten zur Anmeldung missbrauchen. Das Verfahren ersetzt weder Quellgeräteschutz noch Kontentrennung.
Microsoft Whitepaper: Pass-the-Hash, Version 2 · historische Referenz, 2014 (PDF) ↗| Anmeldeart | Typisches Szenario | Was untersucht wird |
|---|---|---|
| Interaktiv · Typ 2 | Konsole oder „Ausführen als“ | Welche privilegierte Identität wird auf dem System verwendet? |
| Remote interaktiv · Typ 10 | RDP | Verbindungsmodus, Schutzfunktionen und Vertrauen in Quelle und Ziel. |
| Netzwerk · Typ 3 | Viele SMB- oder Remoteverwaltungszugriffe | Authentifizierungsverfahren und Delegation; nicht mit einer interaktiven Sitzung gleichsetzen. |
| NewCredentials · Typ 9 | runas /netonly | Lokale Identität bleibt erhalten, andere Anmeldedaten gelten für ausgehende Verbindungen. Auch diese Verwendung höher privilegierter Anmeldedaten gehört in die Tiering-Prüfung. |
| Batch / Dienst · Typ 4 / 5 | Geplante Aufgabe oder Windows-Dienst | Kontotyp, gespeicherte Geheimnisse, Aufgabe und Reichweite. |
Die Gefährdung wiederverwendbarer Anmeldedaten hängt vom konkreten Verfahren und den Schutzfunktionen ab. Ein Anmeldetyp allein beweist weder einen Diebstahl noch einen sicheren Zugriff.
Microsoft Learn: Anmeldetypen und Credential-Exposition ↗05 / TECHNISCHE DURCHSETZUNG
Von der Zielarchitektur zu wirksamen Gruppenrichtlinien.
OUs strukturieren Richtlinien und Delegationen. Gruppen bilden Rollen und Zielberechtigungen ab. GPOs setzen definierte Einstellungen auf den vorgesehenen Computern durch. Diese Bausteine brauchen ein gemeinsames, dokumentiertes Konzept.
Rollen und Ressourcen trennen
Wer eine Aufgabe ausüben darf, welche Zielsysteme betroffen sind und wo Anmeldungen unterbunden werden, sind unterschiedliche Fragen. Verständliche Gruppen mit klaren Besitzern erleichtern Pflege und Prüfung.
Anmelderechte gezielt setzen
Lokale, RDP-, Netzwerk-, Batch- und Dienstanmeldungen haben eigene Benutzerrechte. Verweigerungsrechte können passende Zulassungen übersteuern. Jede Regel braucht einen begründeten Geltungsbereich.
Effektive Einstellung prüfen
GPO-Verknüpfung, Sicherheitsfilter, WMI-Filter, Vererbung und Replikationsstand beeinflussen das Ergebnis. Ein konfigurierter Richtlinieneditor ist noch kein Nachweis der Wirkung am Zielsystem.
Domain Controller: Sicherheitsrichtlinien nicht herausfiltern.
Microsoft warnt in seiner archivierten Dokumentation ausdrücklich vor Sicherheitsfilterung für Sicherheitsrichtlinien auf Domain Controllern: Sie kann deren Anwendung verhindern. DC-Sicherheitsrichtlinien deshalb ohne solche Ausschlussfilter planen und ihre Anwendung auf jedem DC prüfen. Für die Betriebssystem-Härtung dienen passende OU-Verknüpfungen als Struktur; domänenweite Kennwort- und Kerberosrichtlinien haben eigene Regeln und gehören nicht beliebig in Unter-OUs.
Microsoft Learn: DC-Sonderfälle und Sicherheitsfilterung · Archivseite, Windows 10 ↗Warum eine Sicherheitsbaseline eine Tiering-Regel überschreiben kann
Wird dasselbe Benutzerrecht in mehreren GPOs definiert, entsteht daraus nicht automatisch eine gemeinsame Liste. Eine Einstellung mit höherer Priorität kann die bisherige Liste ersetzen. Die beabsichtigten Gruppen müssen in der maßgeblichen Einstellung vollständig berücksichtigt sein.
Eine ausdrücklich leere Liste ist dabei etwas anderes als „nicht definiert“. Auch das Entfernen einer GPO garantiert nicht, dass zuvor gesetzte Sicherheitseinstellungen automatisch verschwinden. Der Rückweg wird deshalb vor dem Rollout festgelegt und getestet.
Die Abbildung zeigt normale Vererbung ohne erzwungene übergeordnete Verknüpfung. Linkreihenfolge, „Erzwungen“ und weitere Geltungsbereichsregeln müssen zusätzlich geprüft werden.
Zeichnung vergrößern 06 / ERGÄNZENDE SCHUTZMASSNAHMEN
Dienstkonten, lokale Administratoren und geschützte Identitäten.
Kontentrennung, Authentifizierungsregeln und Schutz im Arbeitsspeicher erfüllen unterschiedliche Aufgaben. Erst ihr abgestimmtes Zusammenspiel stärkt die vorgesehenen Vertrauensgrenzen.
gMSA für geeignete Dienste
Group Managed Service Accounts ermöglichen eine durch Windows verwaltete Kennwortpflege. Anwendungsunterstützung, berechtigte Abrufsysteme und Rechte des Dienstes werden vorab geprüft. Automatische Kennwortwechsel beseitigen keine überhöhten Berechtigungen.
Ein Konto, eine Ebene. Administrative Konten, Dienstkonten und Gruppen arbeiten in genau einer Ebene. Ein auf Tier 0 und Tier 1 genutztes Dienstkonto eröffnet auf jedem beteiligten Tier-1-Server einen möglichen Weg zum Diebstahl von Tier-0-Anmeldedaten. Vor der Umstellung werden solche Konten nach Ebene und Aufgabe aufgeteilt.
Microsoft Learn: gMSA verwalten ↗Windows LAPS
Individuelle, verwaltete Kennwörter begrenzen die Risiken gemeinsam genutzter lokaler Administrationskonten. Lese- und Rücksetzrechte, Sicherungsort und Rotation gehören zum Konzept. DSRM-Kennwortverwaltung für Domain Controller ist ein eigener Anwendungsfall; die Sicherung erfolgt in Windows Server AD, nicht in Entra ID.
Microsoft Learn: Windows LAPS ↗Protected Users
Die Gruppe kann sensible Benutzerkonten gegen bestimmte unsichere Authentifizierungswege absichern. Einschränkungen bei NTLM, Delegation und Anmeldung müssen zu den Aufgaben und der Domänenfunktionsebene passen. Dienst- und Computerkonten werden nicht aufgenommen: Ihre Authentifizierung würde beeinträchtigt.
Microsoft Learn: Protected Users und Authentifizierungsrichtlinien ↗06.1 / AUTHENTIFIZIERUNG BEGRENZEN
Authentication Policies und Silos: Tier 0 technisch eingrenzen.
Authentifizierungsrichtlinien können unter anderem zulässige Anmeldequellen, Authentifizierungsziele und die Lebensdauer von Kerberos-TGTs begrenzen. Ein Authentication Policy Silo bündelt dafür ausgewählte Benutzer-, Computer- und Dienstkonten. So lässt sich beispielsweise die Verwendung privilegierter Identitäten an freigegebene Tier-0-Administrationsgeräte binden.
- Voraussetzungen prüfen: Domänenfunktionsebene mindestens Windows Server 2012 R2, unterstützte Systeme und erforderliche Kerberos-Funktionen. Für gerätebezogene Quellbedingungen ist Kerberos Armoring relevant; NTLM- und Anwendungsabhängigkeiten gesondert untersuchen.
- Im Audit-Modus beginnen: Erwartete Verstöße protokollieren und legitime Abläufe identifizieren. Audit allein blockiert keine Anmeldung und ist noch keine durchgesetzte Schutzgrenze.
- Kontrolliert erzwingen: Konten korrekt zuweisen, Mitgliedschaften autorisieren, Notfallzugang testen und erst nach positivem Pilot in den Enforcement-Modus wechseln. Erlaubte und unerlaubte Wege erneut prüfen.
Ein Silo ersetzt weder minimale Rechte noch eine sichere PAW. Seine Audit-Funktion simuliert nicht automatisch die Wirkung sämtlicher GPO-Anmeldeverbote. Der eingebaute Domänen-Administrator (RID 500) ist von Authentication Policies ausgenommen und benötigt gesonderte Schutz- und Notfallregeln.
06.2 / ANMELDEDATEN AUF DEM GERÄT SCHÜTZEN
Credential Guard und LSA-Schutz für PAWs und geeignete Server.
Credential Guard
Virtualisierungsbasierte Sicherheit isoliert bestimmte Anmeldegeheimnisse wie NTLM-Hashes und Kerberos-TGTs vom normalen Betriebssystem. Hardware, Firmware, Edition und Anwendungsabhängigkeiten werden vor einer Aktivierung geprüft. Der tatsächliche Schutzstatus zählt, nicht nur der gesetzte Richtlinienwert.
Credential Guard ist nicht Remote Credential Guard. Es schützt weder die AD-Datenbank eines DCs noch vor Keyloggern oder jedem Missbrauch einer laufenden Sitzung. Microsoft empfiehlt die Aktivierung auf Domain Controllern nicht; PAWs und geeignete Mitgliedsserver werden gesondert bewertet.
LSA-Schutz / RunAsPPL
LSASS läuft als geschützter Prozess. Das erschwert ungeschützten Prozessen das Auslesen seines Speichers und das Einschleusen von Code. LSA-Schutz und Credential Guard ergänzen einander, statt austauschbare Schalter zu sein.
Vor dem Rollout werden Smartcard-Treiber, Kennwortfilter und weitere LSA-Erweiterungen auf Kompatibilität geprüft. Audit- und Code-Integrity-Ereignisse unterstützen den Pilot. Eine UEFI-Sperre braucht einen ausdrücklich vorbereiteten Rückweg; ein Registry-Rollback reicht dann nicht.
Microsoft Learn: Zusätzlicher LSA-Schutz und Kompatibilitätsprüfung ↗Zusätzlich bleiben Protokollhärtung, LDAP-Signing, geeignete SMB-Einstellungen, Updates, Überwachung und Schutz von Domain Controllern eigenständige Prüffelder. Tiering ersetzt diese Maßnahmen nicht.
07 / BREAK-GLASS-ADMIN
Auch der Notfallzugang braucht eine sichere Architektur.
Ein Break-Glass-Account ermöglicht definierte Wiederherstellungsaufgaben, wenn reguläre administrative Zugänge ausfallen. Er ist kein alltägliches Zweitkonto und keine universelle Ausnahme von sämtlichen Schutzregeln.
Für lokales AD werden benötigte Wiederherstellungsszenarien, sichere Zugriffswege und Abhängigkeiten konkret geplant. Domänenadministration, DSRM und gegebenenfalls Cloud-Notfallzugänge erfüllen unterschiedliche Aufgaben.
Was dokumentiert und getestet wird
- Welche Störung der Zugang abdecken soll und welche Rechte dafür erforderlich sind.
- Wo Geheimnisse geschützt verwahrt werden und wer sie im Notfall freigibt.
- Von welchem vertrauenswürdigen System der Zugriff möglich bleibt.
- Wie jede Verwendung erkannt, protokolliert und anschließend ausgewertet wird.
- Wie Zugangsdaten nach einer Verwendung erneuert und Wiederherstellungsabläufe geübt werden.
- In welchem Intervall Funktion und berechtigte Personen überprüft werden: bei Entra-Notfallkonten mindestens alle 90 Tage.
Cloud und lokales AD unterscheiden.
Für Microsoft Entra ID empfiehlt Microsoft zwei oder mehr reine Cloud-Notfallkonten unter der *.onmicrosoft.com-Domäne, ohne Synchronisation oder Föderation. Die Zahl ist keine pauschale Vorgabe für lokales AD; dessen Ausfallabhängigkeiten werden getrennt betrachtet.
- Phishingresistente Anmeldung: Passkey/FIDO2 empfohlen, alternativ zertifikatsbasiert bei geeigneter PKI. Das Verfahren unterscheidet sich von regulären Administratorkonten; zusätzliche Ausfallabhängigkeiten werden vermieden.
- Dauerhaft verfügbare Rolle: Global Administrator in PIM permanent aktiv, nicht nur „eligible“ und damit von einer Aktivierung abhängig.
- Conditional Access: Ausnahmen von Richtlinien, die Anmeldungen blockieren oder einschränken. Report-only-Richtlinien benötigen diese Ausnahme nicht. Das ist keine Empfehlung für kennwortbasierte Anmeldung ohne MFA.
- Kontrollierter Betrieb: Gesicherte PAW, geschützte Aufbewahrung, keine automatische Bereinigung wegen Inaktivität und Alarm bei jeder Anmeldung.
- Prüfung mindestens alle 90 Tage: Anmeldung, administrative Aufgaben und Alarmierung nachvollziehbar testen; jede Nutzung nachbereiten.
08 / EINFÜHRUNG IM BETRIEB
Zuerst Tier 0. Dann Tier 1. Danach Tier 2.
Microsoft empfiehlt die Einführung in dieser Reihenfolge. Zuerst wird die Identitätsbasis geschützt, dann folgen Serververwaltung und Endgeräte. Risiken und Abhängigkeiten bestimmen die einzelnen Wellen innerhalb dieses Rahmens; es werden nicht gleichzeitig alle Sperren aktiviert.
Identitätsbasis absichern
DCs, AD CS, AD FS, Entra Connect und kontrollierende Managementsysteme erfassen. Sichere Tier-0-Arbeitsplätze, getrennte Konten und getestete Notfallzugänge vor den Sperren bereitstellen.
Serververwaltung trennen
Backup, Monitoring, Patchverwaltung und Virtualisierung der Mitgliedsserver einbeziehen. Dienstkonten aufteilen und verbleibende Kontrollwege zu Tier 0 beseitigen.
Endgeräte und Support ordnen
Clientverwaltung, Helpdesk und Benutzerlebenszyklus überführen. Domänenbeitritt, Bereitstellung und Stilllegung ebenso prüfen wie Anwendungen mit fest hinterlegten OU-Pfaden.
- Bestand und Verantwortlichkeiten aufnehmen
Konten, Gruppen, OUs, effektive Rechte, Dienstabhängigkeiten und genutzte Verwaltungswege erfassen. Fehlende Daten ausdrücklich festhalten.
- Zielbild und sichere Zugänge vorbereiten
Systeme begründet zuordnen, Konten trennen, vertrauenswürdige Administrationsplätze bereitstellen und Notfallverfahren prüfen.
- Pilot mit Rückweg durchführen
Repräsentative Systeme auswählen, Änderungen sichern und erwartete Erfolge sowie erwartete Sperren testen. Dienste und delegierte Aufgaben einbeziehen.
- Jede Welle fachlich abnehmen
Ergebnisse prüfen, Abweichungen bearbeiten und Ausnahmen mit Besitzer, Begründung und Überprüfungstermin dokumentieren.
- Regelmäßige Nachprüfung etablieren
Neue Systeme, Gruppenänderungen und neue Verwaltungswerkzeuge auf Auswirkungen untersuchen. Das Zielmodell muss im Alltag gepflegt werden.
Die GPO-Verweigerungsrechte werden im Pilot als wirksame Sperren getestet. Die zugehörigen Richtlinien beschreiben keinen Audit-only-Schalter. Der Audit-Modus von Authentifizierungsrichtlinien, Silos oder LSA-Schutz ist jeweils eine eigene Funktion und kein Ersatz für diese Anmeldetests.
Microsoft Learn: Einführungsreihenfolge und Betrieb ↗Microsoft GitHub: Active Directory Tier Model: Deployment-Dokumentation ↗
Das verlinkte Deployment-Material dient als Umsetzungshilfe. Skripte werden vor Verwendung geprüft und im Testsystem erprobt; diese Homepage führt keine davon aus.
09 / KI-GESTÜTZTE ANALYSE
Aus vielen Einzelinformationen entsteht ein prüfbares Tiering-Bild.
KI kann Verzeichnisdaten, GPO-Berichte und vereinbarte Prüfergebnisse zusammenführen, Widersprüche erklären und Arbeitspakete vorbereiten. Die Bewertung bleibt an konkrete Objekte, Datenstände und technische Nachweise gebunden.
Abdeckung untersuchen
Welche privilegierten Konten fehlen im vorgesehenen Schutzkonzept? Gruppenverschachtelungen, tatsächlich wirksame Rechte und bewusst genehmigte Ausnahmen werden gemeinsam betrachtet. Ein Gruppenvergleich allein bildet nicht jede Berechtigung ab.
Kontrollpfade erklären
Mögliche indirekte Rechte verständlich darstellen: vom Konto über Gruppen und Objektberechtigungen bis zum kontrollierten System. Technische Voraussetzungen und Unsicherheiten bleiben sichtbar.
Änderungen priorisieren
Maßnahmen nach Reichweite, Exposition, betrieblicher Abhängigkeit und Nachweisqualität ordnen. Zusammengehörige Aufgaben erhalten eine Begründung und klare Abnahmekriterien.
Woran wird die Wirksamkeit gemessen?
- Konfiguration: Wirksame GPOs und Benutzerrechte entsprechen dem freigegebenen Ziel.
- Erlaubte Aufgaben: Administration, Dienste und notwendige AD-Zugriffe funktionieren weiterhin.
- Unerlaubte Wege: Geplante Negativtests scheitern aus dem erwarteten Grund – geprüft mit neuen Sitzungen.
- Nachvollziehbarkeit: Zeitpunkt, System, Konto, Anmeldetyp und Testbedingungen sind dokumentiert.
Ein Ereignis 4624 ist kein Beweis für einen Angriff. Ein Ereignis 4625 beweist für sich allein keine wirksame Tiering-Sperre. Ergebnisse müssen zum Anmeldetyp, Fehlergrund und konkreten Test passen. AD-Änderungsereignisse allein erfassen außerdem nicht jede Änderung an GPO-Dateien in SYSVOL.
Analyseweg: Datenerhebung und Auswertung werden separat vereinbart. Diese Homepage hat keinen AD-Zugriff, nimmt keine AD-Exporte entgegen und führt keine Änderungen an Ihrer Umgebung aus.
10 / ANWENDUNGSBEISPIELE
Drei typische Situationen – und die Fragen dahinter.
Die folgenden Szenarien sind fiktive Fachbeispiele. Sie beschreiben keine Kundenprojekte und behaupten keine tatsächlich erzielten Ergebnisse.
Domain-Admin-Konto am Benutzer-PC
Ausgangslage: Für eine kurze Reparatur wird ein hochprivilegiertes Konto auf einem gewöhnlichen Client verwendet.
Analyse: Anmeldeart, Zeitpunkt, Schutzfunktionen und mögliche Exposition untersuchen; weitere Verwendungen prüfen.
Ziel: Geeigneter Supportzugang mit begrenzten Rechten und sicherem Quellgerät. Die Fehlanmeldung ist eine mögliche Gefährdung, keine bloße Umklassifizierung des Clients.
Der indirekte Weg zum Domain Controller
Ausgangslage: Eine allgemeine Serverrolle kann auch DC-Backups verwalten oder zurückspielen.
Analyse: Zugriff auf Sicherungen, Wiederherstellungsrechte, Steuerkonsole und deren Administration gemeinsam bewerten.
Ziel: Die tatsächlich kontrollierenden Komponenten in die passende Schutzgrenze einbeziehen und Wiederherstellungswege gesondert absichern.
Neue Baseline, verlorene Anmeldesperre
Ausgangslage: Eine zusätzliche GPO definiert dasselbe Verweigerungsrecht mit einer unvollständigen Liste.
Analyse: Priorität, Geltungsbereich und resultierende Benutzerrechte auf einem betroffenen System prüfen.
Ziel: Verantwortlichkeit für die Einstellung klären, vollständige Definition herstellen und erlaubte wie unerlaubte Anmeldungen erneut testen.
11 / HEUTIGE EINORDNUNG
AD-DS-Tiermodell und das Enterprise Access Model.
Microsoft beschreibt das AD-DS-Tiermodell als Baustein des umfassenderen Enterprise Access Model. Für AD DS und seine Abhängigkeiten bleibt die Trennung administrativer Vertrauensbereiche relevant. Das Enterprise Access Model bezieht zusätzlich Cloud-Steuerung, Anwendungen, Daten und unterschiedliche Zugriffswege ein.
Zeichnung vergrößern Bei hybriden Umgebungen gehören Synchronisierung, Föderation, Cloud-Rollen und die Verwaltung dieser Komponenten in das Gesamtbild. Eine lokal saubere OU-Struktur beantwortet noch nicht, welche Cloud-Identität die Endgeräteverwaltung oder andere Steuerungsebenen kontrolliert.
Microsoft Learn: Enterprise Access Model ↗Offizielle Dokumentation und fachliche Einordnung ansehen
Dokumentationsabgleich: 30. September 2026. Das Datum bezeichnet den Abruf und fachlichen Abgleich, nicht das Veröffentlichungsdatum der Quellen oder eine praktische AD-Abnahme. Archivseiten und ältere Referenzen sind ausdrücklich markiert; die Übertragbarkeit wird für die eingesetzte Windows-Version geprüft.
- Microsoft Learn: Tiermodell für AD DS ↗
- Microsoft GitHub: Active Directory Tier Model: Deployment-Dokumentation ↗
- Microsoft Learn: Enterprise Access Model ↗
- Microsoft Learn: Vertrauenswürdige Administrationsquellen ↗
- Microsoft Learn: Anmeldetypen ↗
- Microsoft Learn: Schutz bei RDP-Verbindungen ↗
- Microsoft Whitepaper: Pass-the-Hash, Version 2 · historische Referenz, 2014 (PDF) ↗
- Microsoft Learn: GPO-Verarbeitung ↗
- Microsoft Learn: Sicherheitseinstellungen · Archivseite, Windows 10 ↗
- Microsoft Learn: Netzwerk-Anmelderecht · Archivseite, Windows 10 ↗
- Microsoft Learn: Authentication Policies und Silos ↗
- Microsoft Learn: Credential Guard: Funktionsweise und Grenzen ↗
- Microsoft Learn: Credential Guard: Voraussetzungen ↗
- Microsoft Learn: Zusätzlicher LSA-Schutz ↗
- Microsoft Learn: Geschützte Konten ↗
- Microsoft Learn: Verwaltete Dienstkonten ↗
- Microsoft Learn: Lokale Administratorkennwörter ↗
- Microsoft Learn: Entra-Notfallkonten ↗
- Microsoft Learn: Ereignis 4624 · Archivseite, Windows 10 ↗
- Microsoft Learn: Ereignis 4625 · Archivseite, Windows 10 ↗
Dokumentationsaussage und Betriebsnachweis bleiben getrennt: Die GPO-Quellen erklären den Vorrang bei Konflikten. Die vollständige Benutzerrechte-Liste wird zusätzlich am Ziel mit GPO-Ergebnisbericht, RSoP beziehungsweise exportierter effektiver Sicherheitsrichtlinie geprüft. Ein erfolgreiches gpresult allein beweist noch nicht die gewünschte Zugriffssperre.
Zwei geprüfte Zeichnungen stammen aus einer bereitgestellten fiktiven Projektvorlage; die übrigen Tiering-Grafiken sind eigene Darstellungen. Die Darstellung ist eine fachliche Einführung. Es wurde kein Kunden-AD angebunden oder verändert.
Wie tragfähig ist die Trennung in Ihrer Umgebung?
Konten, Verwaltungswege und GPOs gemeinsam betrachten – mit verständlicher Auswertung und nachvollziehbaren Maßnahmen.
SICHERE ADMINISTRATION
Sicherheit beginnt am Adminarbeitsplatz.
Privilegierte Konten brauchen einen vertrauenswürdigen Ausgangspunkt. Entscheidend ist der gesamte Weg: vom verwendeten Gerät über die Verwaltungssysteme bis zu den Rechten auf dem Ziel.
Wir betrachten, welche Konten sich wo anmelden dürfen, welche Systeme sie erreichen und welche Kontrollmöglichkeiten daraus entstehen. Vorgesehene Verwaltungswege werden mit der dokumentierten und beobachtbaren Nutzung abgeglichen.
DREI EBENEN EINES VERWALTUNGSWEGS
Vertrauenswürdiger Arbeitsplatz
Administrative Tätigkeiten von Alltagsnutzung trennen. Geräteverwaltung, Softwareumfang und zulässige Anmeldungen an den Schutzbedarf der administrierten Systeme anpassen.
Dedizierte Managementsysteme
Verwaltungszugänge nach Aufgabe und Kontrollbereich begrenzen. Auch Managementwerkzeuge, Fernzugänge und vermittelnde Systeme gehören in die Betrachtung.
Begrenzte Rechte am Ziel
Nur die benötigten Aufgaben ermöglichen. Rollen, Konten und erlaubte Zielsysteme zuordnen; weiterreichende Rechte begründen und regelmäßig überprüfen.
BEITRAG DER KI
Mit vereinbarten Anmelde- und Verwaltungsdaten hilft KI, tatsächliche Wege zusammenzuführen und Abweichungen zu erklären. Fehlende Beobachtungsdaten bleiben als Nachweislücke erkennbar.
GRUPPENRICHTLINIEN KONTROLLIERT EINFÜHREN
Härtung, die auch
im Betrieb funktioniert.
Eine sichere Zielkonfiguration muss zu Systemrolle, Version und Anwendungen passen. Ein kontrollierter Rollout verbindet technische Prüfung mit nachvollziehbaren Entscheidungen.
- 01 / VORBEREITEN
Bestand und Kompatibilität
Vorhandene GPOs, Zielsysteme, Filter und Abhängigkeiten aufnehmen. Anwendungseigentümer einbeziehen und erforderliche Funktionstests vor einer Änderung festlegen.
- 02 / ERPROBEN
Pilot und passende Baseline
Eine geeignete Pilot-OU und repräsentative Systeme auswählen. Eine rollen- und versionsgerechte Baseline prüfen; resultierende Einstellungen und betriebliche Auswirkungen beobachten.
- 03 / ENTSCHEIDEN
Freigabe und Rückfall
Testergebnisse bewerten, Verantwortliche benennen und die Änderung freigeben. Rückfallweg, Abbruchkriterien und benötigte Sicherungen vorab dokumentieren und auf Durchführbarkeit prüfen.
- 04 / NACHWEISEN
Rollout und Wirksamkeit
In abgestimmten Schritten ausrollen. GPO-Anwendung und Zielfunktion kontrollieren; Abweichungen nacharbeiten und den erreichten Zustand mit Nachweisen festhalten.
BEITRAG DER KI
KI unterstützt den Abgleich von Richtlinienständen, Baselines und dokumentierten Ausnahmen. Sie macht Unterschiede verständlich; Freigabe und technische Wirksamkeitsprüfung bleiben eigenständige Schritte.
DOMAIN CONTROLLER & VERTRAUENSBASIS
Identitätskontrolle braucht klare Grenzen.
Domain Controller bilden einen besonders schutzbedürftigen Teil der Umgebung. Ihre Absicherung umfasst den laufenden Betrieb und die Systeme, die auf sie einwirken oder ihre Wiederherstellung ermöglichen.
BEITRAG DER KI
KI hilft, Konfigurationsbefunde mit Betriebsdokumentation und Infrastrukturabhängigkeiten zu verbinden. Unbelegte Annahmen werden als offene Prüffragen ausgewiesen.
- Rollen und Software fokussieren
- Benötigte Funktionen, installierte Software und Verwaltungswerkzeuge prüfen. Zusätzliche Komponenten nach Zweck, Pflegebedarf und möglicher Kontrollwirkung bewerten.
- Kommunikationswege begrenzen
- Erforderliche Netzwerk-, Verwaltungs- und Updatewege bestimmen. Einschränkungen mit Abhängigkeiten abgleichen und ihre Funktion kontrolliert prüfen.
- Tier-0-Abhängigkeiten berücksichtigen
- Virtualisierung, Backup und PKI nach tatsächlicher Kontrollmöglichkeit einordnen. Ein System gehört nicht allein wegen seiner Produktkategorie oder seines Namens zu einem Tier.
- Wiederherstellung vorbereiten
- Notfallzugänge, Zuständigkeiten und Wiederherstellungsabläufe dokumentieren. Verfügbarkeit und Funktion anhand vereinbarter Übungen prüfen; dokumentierte Verfahren allein belegen noch keine Wiederherstellbarkeit.
DATEN & BETRIEBSMODELL
Ihre Anforderungen
bestimmen den Analyseweg.
AD-Daten können sensible interne Beziehungen offenlegen. Deshalb werden Datenumfang, Verarbeitungsort, Zugriffsrechte und Aufbewahrung vor der Auswertung konkret abgestimmt.
In Ihrer Umgebung.
Ein lokales Betriebsmodell kann die Auswertung innerhalb einer vereinbarten eigenen Infrastruktur ermöglichen.
- Modell und Hardware passend zum Umfang auswählen
- Zugriffe und Betriebsverantwortung festlegen
- Datengrundlage und Löschung dokumentieren
Mit klaren Vorgaben.
Cloudbasierte KI kann eingesetzt werden, wenn Anbieter, Datenumfang und Verarbeitungsbedingungen vorher freigegeben sind.
- Erforderliche Daten gezielt begrenzen
- Speicherung und Weiterverwendung prüfen
- Verarbeitung und Zugriffsrechte abstimmen
Gezielt aufteilen.
Lokale Strukturierung und ausgewählte KI-Schritte lassen sich verbinden, sofern die Trennung technisch und organisatorisch definiert ist.
- Verarbeitungsschritte nachvollziehbar trennen
- Pseudonymisierung nach Bedarf vorsehen
- Rückbezug auf technische Nachweise erhalten
FACHLICHE REFERENZEN
Auf nachvollziehbaren
Grundlagen aufbauen.
Offizielle Dokumentation liefert Bezugspunkte für Architektur, Härtung und Kontenverwaltung. Empfehlungen werden zur jeweiligen Version, Systemrolle und Betriebssituation eingeordnet.
Microsoft Learn
AD DS Tier Model
Privilegierte Konten und Verwaltungswege strukturiert trennen.
Microsoft LearnSecurity Compliance Toolkit
Sicherheitsbaselines vergleichen und Konfigurationen nachvollziehbar prüfen.
Microsoft LearnWindows LAPS
Lokale Administratorkennwörter kontrolliert verwalten.
Microsoft LearnGroup Managed Service Accounts
Kennwortverwaltung für geeignete Dienstkonten automatisieren.
Microsoft LearnDomain Controller absichern
Rollen, Verwaltungsabhängigkeiten und Kommunikationswege kritisch prüfen.
Microsoft LearnFine-Grained Password Policies
Kennwort- und Kontosperrvorgaben gezielt zuordnen und ihre Wirkung prüfen.
Microsoft LearnSichere DNS-Aktualisierungen
Updateidentitäten, Berechtigungen und DHCP-Registrierung einordnen.
Microsoft LearnWindows LAPS und DSRM
Lokale Kennwörter und DSRM-Wiederherstellung nach Systemrolle unterscheiden.
HÄUFIGE FRAGEN
Gute Entscheidungen
brauchen klare Antworten.
Zum Datenumfang, zur Rolle der KI und zum praktischen Ablauf einer AD-Analyse.
Ihre Frage stellenGreift diese Website auf unser Active Directory zu?
Nein. Die Website dient der Information und Kontaktaufnahme. Sie verbindet sich nicht mit Ihrem AD und nimmt keine AD-Exporte entgegen. Erhebung, Auswertung und gegebenenfalls Übertragung von Analysedaten werden separat vereinbart.
Welche Daten werden für die Analyse benötigt?
Der Umfang richtet sich nach der Fragestellung. Typisch sind exportierte AD-Objekte, Gruppenmitgliedschaften, relevante Berechtigungen, GPO-Berichte und Konfigurationsinformationen. Für Aussagen zur tatsächlichen Nutzung können zusätzlich gezielt ausgewählte Ereignisprotokolle oder Dienstinventare nötig sein. Kennwörter, Passwort-Hashes und private Schlüssel gehören nicht dazu.
Was übernimmt die KI – und was wird technisch geprüft?
KI hilft beim Strukturieren, Zusammenführen, Erklären und Priorisieren großer Informationsmengen. Ihre Aussagen können unvollständig oder falsch sein. Deshalb werden relevante Befunde mit den Quelldaten verknüpft und fachlich geprüft. Vermutungen, bestätigte Befunde und fehlende Informationen werden getrennt ausgewiesen.
Müssen unsere Daten in eine Cloud-KI übertragen werden?
Nein. Ein lokales Betriebsmodell kann abhängig von Umfang, Hardware und eingesetztem Modell vorgesehen werden. Ob lokal, in einer abgestimmten Cloud-Umgebung oder kombiniert gearbeitet wird, wird vor der Auswertung festgelegt. Datenumfang, Zugriffsrechte und Aufbewahrung werden dabei ausdrücklich besprochen.
Reicht ein GPO-Export für die Bewertung der Härtung?
Er zeigt konfigurierte Einstellungen und ist eine wichtige Grundlage. Die tatsächliche Wirkung auf ein System hängt zusätzlich von Verknüpfungen, Vererbung, Filtern und Verarbeitung ab. Für belastbare Aussagen zur Anwendung sind daher beispielsweise RSoP, gpresult oder gezielte Prüfungen am Zielsystem erforderlich.
Werden bei der Analyse Änderungen am AD vorgenommen?
Die Auswertung vorhandener Exporte erfordert keine Änderungen am AD. Eine anschließende Härtung wird separat abgestimmt: mit Verantwortlichen, Freigaben, Pilotierung, Rückfalloption und Wirksamkeitsprüfung. Aus einer KI-Empfehlung wird keine automatische Änderung.
Was erhalten wir als Ergebnis?
Je nach vereinbartem Umfang erhalten Sie eine strukturierte Bestandsübersicht, Visualisierungen relevanter Beziehungen, einen Befundkatalog mit Nachweisen und einen priorisierten Maßnahmenplan. Offene Fragen und Grenzen der Datengrundlage werden dokumentiert. Management und Administration erhalten jeweils passende Detailtiefe.
Sind eine punktuelle Prüfung und ein späterer Vergleich möglich?
Ja. Der Einstieg kann beispielsweise eine GPO-Prüfung, die Untersuchung privilegierter Gruppen oder ein Dienstkonten-Review sein. Für spätere Vergleiche müssen Umfang, Datenqualität und Erhebungsmethode ausreichend übereinstimmen. Ein veränderter Datenbestand wird von einer tatsächlich behobenen Schwachstelle unterschieden.
Was ergänzt die KI bei vorhandenen Sicherheitsreports?
Ein Analysewerkzeug liefert Befunde nach seinen Prüfregeln. KI kann diese mit Richtlinien, Kontenbeziehungen und Betriebsinformationen in Verbindung bringen, ähnliche Ursachen zusammenfassen und offene Fragen herausarbeiten. Jeder wichtige Befund wird auf seine Quelle zurückgeführt. Ein zusammengefasster Text ersetzt weder die technische Prüfung noch eine Risikofreigabe.
Wie lassen sich Altsysteme bei der Härtung berücksichtigen?
Systemrolle, unterstützte Funktionen und Anwendungsabhängigkeiten bestimmen die geeignete Zielkonfiguration. Änderungen werden in einem repräsentativen Pilotbereich geprüft. Eine notwendige Ausnahme erhält eine Begründung, einen Verantwortlichen und einen Termin zur erneuten Bewertung. Modernisierungsbedarf wird als eigenes Arbeitspaket sichtbar.
Kann ein Dienstkonto ohne bekannte Abhängigkeiten bereinigt werden?
Vor einem Rechteentzug oder Kennwortwechsel werden die relevanten Dienste, Aufgaben und Anwendungen erfasst und mit ihren Verantwortlichen geprüft. Fehlende Nutzungsdaten werden als Unsicherheit dokumentiert. Erst danach wird die Umstellung geplant, einschließlich Anwendungstests und Rückfallmöglichkeit.
Wann gilt eine Sicherheitsmaßnahme als abgeschlossen?
Ein beschlossener oder technisch eingespielter Schritt ist noch kein Wirksamkeitsnachweis. Die vereinbarten Prüfkriterien müssen erfüllt sein, beispielsweise passende Anmelderechte, wirksame GPO-Einstellungen oder ein erfolgreicher Funktionstest. Verbleibende Ausnahmen und nicht geprüfte Teilbereiche werden ausdrücklich ausgewiesen.
Wie werden Aufwand und Kosten bestimmt?
Maßgeblich sind Größe und Komplexität der Umgebung, Zahl der Domänen und GPOs, Datenqualität und gewünschte Prüftiefe. In der Erstaufnahme werden Ziel, Leistungsumfang und Ergebnisse konkretisiert. Darauf basiert die Abstimmung von Aufwand, Zeitrahmen und Kosten.
IHR NÄCHSTER SCHRITT
Machen wir Ihre AD-Sicherheit konkret.
Beschreiben Sie Ihre Umgebung und Ihr Vorhaben. Daraus klären wir gemeinsam Umfang, Schwerpunkte und die nächsten Schritte Ihrer AD-Analyse.
- Ausgangssituation und Ziele besprechen
- Analyseumfang und Umgang mit Daten abstimmen
- Vorgehen und Umsetzung planen
Für diese erste Anfrage genügen Eckdaten. Bitte senden Sie keine Kennwörter, Zugangsdaten oder AD-Exporte.
UNVERBINDLICHE ERSTAUFNAHME
AD-Analyse besprechen
Teilen Sie uns mit, wo Sie stehen und wobei Sie Unterstützung benötigen.
* Pflichtangabe
Aufwand und Kosten
Umgebungsgröße, Analyseumfang und gewünschte Härtung bestimmen den Aufwand. Nach der Erstaufnahme lassen sich Zeitrahmen und Kosten konkret abstimmen.
Kontaktformular wird geladen …