Leitfaden
Checkliste zur AD-Härtung: ein 30/60/90-Tage-Plan
Eine priorisierte 30/60/90-Tage-Checkliste zur Active-Directory-Härtung: zuerst messen, einfache Domänenübernahmen stoppen, Relay-Pfade schließen, dann Struktur aufbauen.
Grundlagen
Florian Amette
Security engineer writing practical, baseline-aligned hardening guides for Active Directory: identity, Kerberos, delegation and domain controllers.
Objekt- & ACL-Sicherheit
Angriffspfadmanagement mit BloodHound für Verteidiger
BloodHound defensiv nutzen: Tier Zero korrekt markieren, Engpässe finden, Angriffspfade in der richtigen Reihenfolge schließen und die Exposition messen.
Experte
NTLM & Legacy-Protokolle
LLMNR, NBT-NS, mDNS und WPAD in AD deaktivieren
Die von Angreifern vergifteten Namensauflösungs-Fallbacks beseitigen: LLMNR, NetBIOS und mDNS per GPO und DHCP abschalten, WPAD per DNS Global Query Block List sperren.
Grundlagen
Vertrauensstellungen & Gesamtstruktur
ESAE Red Forest oder Enterprise Access Model im Jahr 2026
Warum Microsoft ESAE als Standard aufgab, was das Enterprise Access Model verlangt und wann eine Bastion-Gesamtstruktur mit PAM-Vertrauensstellung noch sinnvoll ist.
Experte
Bewertung, Sicherung & Wiederherstellung
AD-Gesamtstruktur-Wiederherstellung planen und üben
Ein Runbook zur AD-Gesamtstruktur-Wiederherstellung nach Microsofts Leitfaden: Clean Room, erster DC, SYSVOL, FSMO, RID-Pool, krbtgt-Resets und jährliche Übungen.
Experte
Gruppenrichtlinien & SYSVOL
Microsoft-Sicherheitsbaselines per GPO bereitstellen
Microsoft-Sicherheitsbaselines per GPO bereitstellen: SCT, Lückenanalyse mit Policy Analyzer, LGPO-Tests, Rollout in Ringen, Ausnahmen und Abweichungsprüfung.
Fortgeschritten
Bewertung, Sicherung & Wiederherstellung
Active-Directory-Sicherungen vor Ransomware schützen
AD-Sicherungen, die Ransomware überstehen: Systemstatus pro Domäne, DSRM-Kennwörter, unveränderliche und Offline-Kopien, ein Backup-System außerhalb des geschützten AD.
Fortgeschritten
Objekt- & ACL-Sicherheit
AdminSDHolder und SDProp: Bereinigung und Überwachung
AdminSDHolder-ACL als Baseline sichern, verwaiste adminCount=1-Konten finden, ihre ACLs sicher zurücksetzen, SDProp bei Bedarf starten und Änderungen melden.
Fortgeschritten
Tier 0 & privilegierter Zugriff
Authentifizierungsrichtlinien und -silos für Tier-0-Konten
Mit AD-Authentifizierungsrichtlinien und -silos festlegen, wo sich Tier-0-Admins anmelden dürfen: Voraussetzungen, Claims, TGT-Lebensdauer, Audit und Erzwingung.
Experte
Gruppenrichtlinien & SYSVOL
GPO-Berechtigungen und gPLink-Rechte auditieren
Ermitteln, wer in AD GPOs bearbeiten, erstellen und verknüpfen darf: GPO-ACLs, gPLink-Rechte auf OUs und Standorten, Group Policy Creator Owners und WMI-Filter.
Fortgeschritten
Kerberos & Authentifizierung
Abwehr von Kerberoasting und AS-REP-Roasting
Kerberoasting- und AS-REP-Roasting-Angriffsfläche verkleinern: SPNs inventarisieren, veraltete entfernen, auf gMSA und AES umstellen, Honey-SPN und RC4-4769 erkennen.
Grundlagen
Bewertung, Sicherung & Wiederherstellung
PingCastle-Bewertung: vom AD-Bericht zum Maßnahmenplan
PingCastle-Health-Check für Active Directory ausführen, die vier Risikowerte richtig lesen, Befunde Verantwortlichen und Sprints zuordnen und Fortschritte verfolgen.
Grundlagen
Gruppenrichtlinien & SYSVOL
GPP-Kennwörter (cpassword) finden und entfernen
Jedes GPP-cpassword in SYSVOL, Sicherungen und Client-Caches finden, dem offengelegten Konto zuordnen, das Kennwort wechseln und die Rückkehr dauerhaft verhindern.
Grundlagen
NTLM & Legacy-Protokolle
NTLM in Active Directory auditieren und einschränken
Schrittweise NTLM reduzieren: mit den Ereignissen 8001–8004 auditieren, Ursachen beheben, Ausnahmen festlegen, NTLMv1 entfernen und LmCompatibilityLevel 5 setzen.
Experte
Vertrauensstellungen & Gesamtstruktur
SID-Filterung und selektive Authentifizierung umsetzen
SID-Filterung, Quarantäne und selektive Authentifizierung auf AD-Vertrauensstellungen mit netdom und PowerShell einrichten und prüfen, inklusive trustAttributes.
Fortgeschritten
Vertrauensstellungen & Gesamtstruktur
SIDHistory nach AD-Migrationen bereinigen
sIDHistory-Reste aus Domänenmigrationen finden, bewerten und sicher entfernen: gefährliche SIDs, ACL-Neuberechtigung, Entfernen in Wellen, Rollback-Grenzen, Erkennung.
Fortgeschritten
NTLM & Legacy-Protokolle
SMB-Signierung erzwingen und SMBv1 domänenweit abschalten
SMB-Signierung auf Clients und Servern erzwingen, Standards von Windows 11 24H2 und Server 2025 kennen, SMBv1-Nutzung auditieren und es ohne Zugriffsausfälle entfernen.
Grundlagen
Objekt- & ACL-Sicherheit
DCSync-Rechte in Active Directory finden und entfernen
Prüfen, wer DS-Replication-Get-Changes-All und gleichwertige Rechte am Domänenstamm besitzt, überflüssige Rechte entfernen und bei DCSync alarmieren.
Grundlagen
Härtung der Domänencontroller
Firewall für Domänencontroller: Ports, Egress, Admin-Zugriff
Eine Firewall-Richtlinie für Domänencontroller aufbauen: nötige AD-Ports, eingeschränktes RPC, kein Internet-Egress, RDP/WinRM nur von Tier-0-PAWs. Erst messen.
Fortgeschritten
Auditing, Protokollierung & Erkennung
AD-Honeytokens: Honey-Konten, Honey-SPNs und Köder
Honey-Konten, Honey-SPNs, AS-REP-Köder, gefälschte GPP-Kennwörter und lesend überwachte Köderobjekte in AD einrichten und nahezu ohne Fehlalarme darauf alarmieren.
Fortgeschritten
Kerberos & Authentifizierung
Das krbtgt-Kennwort in Active Directory sicher rotieren
krbtgt ohne Ausfall rotieren: New-KrbtgtKeys.ps1, Replikationsprüfungen, RODC-krbtgt-Konten, ein Routineplan und die doppelte Rücksetzung im Incident-Modus.
Fortgeschritten
NTLM & Legacy-Protokolle
LDAP-Signierung und Channel Binding auf DCs erzwingen
LDAP-Signierung und Channel Binding faktenbasiert einführen: Ereignisse 2887, 2889 und 3039 sammeln, Clients anpassen und LdapEnforceChannelBinding sicher setzen.
Fortgeschritten
Delegierung
ms-DS-MachineAccountQuota auf 0 setzen, Beitritte delegieren
Verhindern, dass jeder Domänenbenutzer Computerkonten anlegt: ms-DS-MachineAccountQuota auf 0 setzen, Abhängigkeiten finden und den Domänenbeitritt per OU delegieren.
Grundlagen
Kennwörter & Dienstkonten
AD-Kennwortrichtlinie, die wirkt: Länge, FGPP, Sperrlisten
AD-Kennwortrichtlinie nach NIST aufbauen: lange Passphrasen, fein abgestufte Richtlinien, Prüfung gegen gesperrte und geleakte Kennwörter, kein Wechselzwang.
Grundlagen
Tier 0 & privilegierter Zugriff
Privileged Access Workstations (PAWs) für AD aufbauen
PAWs für Tier-0-Admins entwerfen und aufbauen: Hardware, sauberes Image, App-Control-Allowlisting, kein Internet und keine E-Mail, Grenzen von Jump-Servern.
Fortgeschritten
AD-Zertifikatdienste
Starke Zertifikatzuordnung (KB5014754) in der Praxis
Zertifikatauthentifizierung fit für die volle Erzwingung nach KB5014754 machen: SID-Erweiterung, altSecurityIdentities, KDC-Ereignisse 39/40/41 und wirksame Lösungen.
Experte
Auditing, Protokollierung & Erkennung
Windows Event Forwarding für Domänencontroller
Eine WEF-Pipeline für Domänencontroller aufbauen: quellinitiierte Abonnements, GPO, Protokollzugriff, XPath-Abfragen, Collector-Dimensionierung und Integritätsprüfungen.
Fortgeschritten
Auditing, Protokollierung & Erkennung
Sicherheits-Ereignis-IDs in Active Directory: DC-Referenz
Alle AD-Sicherheitsereignis-IDs, die sich auf DCs zu sammeln lohnen: Anmeldung, Kerberos, NTLM, Konten, Gruppen, Verzeichnis und AD CS – mit den relevanten Feldern.
Grundlagen
AD-Zertifikatdienste
AD-CS-Zertifikatvorlagen auf ESC1–ESC4 prüfen
Jede AD-CS-Zertifikatvorlage auf ESC1–ESC4 prüfen: Antragsteller-Flags, EKUs, Registrierungsrechte und Vorlagen-ACLs, mit PowerShell und sicherer Korrekturreihenfolge.
Fortgeschritten
AD-Zertifikatdienste
AD-CS-Webregistrierung gegen ESC8 und ESC11 absichern
NTLM-Relay auf AD CS unterbinden: HTTP-Registrierungsendpunkte finden, HTTPS und EPA erzwingen, NTLM abschalten, Webregistrierung entfernen, RPC verschlüsseln.
Fortgeschritten
Härtung der Domänencontroller
Authentication Coercion auf Domänencontrollern blockieren
PrinterBug, PetitPotam, DFSCoerce und ShadowCoerce auf DCs mit RPC-Filtern, reduzierten Diensten und relay-sicheren Zielen stoppen – und die Wirkung prüfen.
Experte
Delegierung
Eingeschränkte Delegierung und RBCD sicher in AD einsetzen
KCD und RBCD ohne neue Angriffspfade konfigurieren: Protokollübergang, SPN-Eingrenzung und Prüfung, wer msDS-AllowedToActOnBehalfOfOtherIdentity schreiben darf.
Experte
Kerberos & Authentifizierung
RC4 in Kerberos deaktivieren: prüfen, beheben, AES erzwingen
RC4 sicher aus Kerberos entfernen: 4768/4769 auswerten, Konten ohne AES-Schlüssel beheben, msDS-SupportedEncryptionTypes und DefaultDomainSupportedEncTypes setzen.
Fortgeschritten
Kennwörter & Dienstkonten
Dienstkonten zu gMSA und dMSA migrieren
Schritt für Schritt von statischen Dienstkonten zu gMSA und dMSA (Windows Server 2025): KDS-Stammschlüssel, Abrufrechte, Hinweise je Anwendung und Rollback.
Fortgeschritten
Tier 0 & privilegierter Zugriff
Tier-0-Assets identifizieren: vollständige AD-Inventur
Jedes Tier-0-Asset in Active Directory inventarisieren: DCs, AD CS, Entra Connect, Backup, Hypervisoren sowie Gruppen und ACLs mit indirekter Kontrolle.
Grundlagen
Härtung der Domänencontroller
Sicheren Netlogon-Kanal nach ZeroLogon härten
Sicheres RPC und Sealing für Netlogon nach ZeroLogon und CVE-2022-38023 erzwingen: Ereignisse 5827–5831 und 5838–5839 auswerten, Ausnahmeliste leeren, prüfen.
Fortgeschritten
Delegierung
Uneingeschränkte Delegierung von AD-Servern entfernen
Jedes Nicht-DC-Konto mit uneingeschränkter Delegierung finden, Abhängigkeiten ermitteln und ohne Ausfall auf eingeschränkte Delegierung oder RBCD migrieren.
Fortgeschritten
Kennwörter & Dienstkonten
Windows LAPS einführen: Schema, Berechtigungen, Richtlinie
Windows LAPS vollständig bereitstellen: Schemaupdate, OU-Berechtigungen, Verschlüsselung, Sicherung in AD oder Entra, GPO, Legacy-LAPS-Migration und Prüfung.
Grundlagen
Objekt- & ACL-Sicherheit
Active-Directory-ACLs prüfen, bevor es ein Angreifer tut
So finden Sie gefährliche AD-ACLs wie GenericAll und DCSync-Rechte, bereinigen veraltete adminCount-Markierungen und nutzen BloodHound zur Verteidigung.
Grundlagen
Delegierung
Delegierung in Active Directory: riskante Vertrauen finden
Uneingeschränkte, eingeschränkte und ressourcenbasierte eingeschränkte Delegierung in Active Directory prüfen und privilegierte Konten gegen Missbrauch absichern.
Grundlagen
Bewertung, Sicherung & Wiederherstellung
AD-Bewertung, Sicherung und Gesamtstruktur-Wiederherstellung
Regelmäßige AD-Bewertungen gegen CIS- und Microsoft-Baselines durchführen, Tier-0-Sicherungen schützen und die Gesamtstruktur-Wiederherstellung üben, bevor es ernst wird.
Grundlagen
Auditing, Protokollierung & Erkennung
AD-Auditing und Erkennung: Richtlinie und Ereignis-IDs
Erweiterte Überwachungsrichtlinie, SACLs und Windows Event Forwarding so konfigurieren, dass Sie Kerberoasting, DCSync und Rechteausweitung in AD tatsächlich sehen.
Grundlagen
Vertrauensstellungen & Gesamtstruktur
AD-Vertrauensstellungen und Gesamtstrukturgrenzen härten
Warum die Gesamtstruktur und nicht die Domäne die AD-Sicherheitsgrenze ist und wie Sie Vertrauensstellungen per SID-Filterung und selektiver Authentifizierung absichern.
Fortgeschritten
AD-Zertifikatdienste
AD-CS-Härtung: Fehlkonfigurationen ESC1–ESC8 beheben
Active Directory-Zertifikatdienste gegen die Fehlkonfigurationen ESC1–ESC8 härten: mit Vorlagenkontrollen, EPA und Überwachung der Zertifikatregistrierung.
Fortgeschritten
Härtung der Domänencontroller
Domänencontroller härten: die DC-Baseline
Praxis-Checkliste zur Härtung von Domänencontrollern: Sicherheits-Baselines, Druckwarteschlange, Anmelderechte, RDP, ausgehender Verkehr und Patch-Prioritäten.
Grundlagen
Gruppenrichtlinien & SYSVOL
Härtung von Gruppenrichtlinien und SYSVOL
GPO-Delegierung absichern, cpassword-Geheimnisse der Gruppenrichtlinieneinstellungen aus SYSVOL entfernen und stillen GPO-Missbrauch per Änderungskontrolle verhindern.
Grundlagen
Kerberos & Authentifizierung
Kerberos-Härtung: RC4, Roasting und Golden Tickets
Kerberos nur mit AES erzwingen, RC4 und DONT_REQ_PREAUTH deaktivieren, krbtgt korrekt rotieren und Missbrauch per Kerberoasting und Golden Ticket erkennen.
Grundlagen
NTLM & Legacy-Protokolle
NTLM-Relay stoppen: LDAP, SMB-Signierung und LLMNR
LDAP-Signierung, LDAP Channel Binding und SMB-Signierung erzwingen sowie LLMNR/NBT-NS deaktivieren, um NTLM-Relay-Pfade zu Domänencontrollern zu schließen.
Grundlagen
Kennwörter & Dienstkonten
Dienstkonten härten: gMSA, SPNs und LAPS
Praxisleitfaden: riskante Dienstkonten durch gMSA/dMSA ersetzen, SPN-Exposition bereinigen, fein abgestufte Kennwortrichtlinien und Windows LAPS einführen.
Grundlagen
Tier 0 & privilegierter Zugriff
Tier 0 und privilegierter Zugriff: Domain Admins absichern
Eine belastbare Tier-0-Grenze in Active Directory aufbauen: getrennte Admin-Konten, Anmeldeeinschränkungen, PAWs und Authentifizierungsrichtliniensilos.
Grundlagen