Zum Inhalt springen

Active Directory Security Assessment

Klarheit über das System, an dem jede Anmeldung hängt.

Sie erfahren, über welche Wege ein Angreifer Ihre Domäne übernehmen könnte und was zuerst zu tun ist. Wir prüfen AD DS, AD CS, Gruppenrichtlinien und Entra Connect und liefern priorisierte Befunde mit Nachweisen für Prüfer.

Erstgespräch vereinbaren So läuft es ab

Beispiel aus einem Befundbericht, nach Priorität geordnet: Domänen-Admins melden sich an Arbeitsplätzen an, eine Zertifikatsvorlage ist für alle Konten offen, ein Dienstkonto hat Domänenrechte, alle mit Priorität hoch; veraltete Anmeldeverfahren sind aktiv, Priorität mittel. Jeder Befund kommt mit Behebungsrichtung und Zuordnung zu NIS2 und ISO 27001.

Für wen
Unternehmen mit lokalem oder hybridem Active Directory
Umfang
AD DS, AD CS, Gruppenrichtlinien, Entra Connect
Vorgehen
Schriftliche Freigabe, Bestandsaufnahme nur lesend
Ergebnis
Priorisierte Befunde, Tiering-Zielbild, Mapping auf NIS2 und ISO 27001
Preis
ab 5.900 € netto, Festpreis nach Scoping

Kennen Sie das?

Wann lohnt sich ein AD-Assessment?

Über Jahre gewachsen

Administratoren und Dienstleister wechselten, niemand weiß sicher, wer heute welche Rechte hat.

Nachweis gefordert

Audit, Kunde oder Versicherer verlangen einen Beleg, dass das Verzeichnis gehärtet ist.

Ransomware-Vorbereitung

Reicht ein kompromittiertes Gerät für die ganze Domäne, und trägt die Sicherung?

Tiering

Wie weit kommt ein Angreifer von einem Arbeitsplatz aus?

Ein typischer Befund, vereinfacht als Beispiel. Schalten Sie um und sehen Sie, was Tiering an jeder Ebenengrenze ändert.

Zustand wählen

1 Ein Arbeitsplatz wird kompromittiert

Etwa über eine Phishing-Mail. Davon geht das Tiering-Modell aus.

Tier 2

Arbeitsplätze und Geräte

Kompromittiert Ein Gerät betroffen

2 Admin-Anmeldedaten auf dem Arbeitsplatz

Ein Server-Admin hat sich dort angemeldet. Seine Anmeldedaten öffnen den Weg zu den Servern.

2 Keine Admin-Anmeldung auf Arbeitsplätzen

Admins nutzen getrennte Konten je Ebene, lokale Kennwörter sind je Gerät verschieden.

Tier 1

Server und Anwendungen

Übernommen Geschützt

3 Dienstkonto mit Domänenrechten

Auf einem Server läuft ein Dienst mit Domänen-Admin-Rechten. Wer den Server kontrolliert, erreicht die Domäne.

3 Tier-0-Rechte bleiben auf Tier 0

Dienstkonten erhalten nur die nötigen Rechte, Domänen-Admins melden sich nur an Tier-0-Systemen an.

Tier 0

Domänen­controller, AD CS, Entra Connect

Domäne übernommen Geschützt

Ergebnis

Der Angreifer kontrolliert alle Konten, Server und Arbeitsplätze. Der Weg endet an der ersten Ebenengrenze.

Beispielpfad durch drei Ebenen: Tier 2 Arbeitsplätze, Tier 1 Server und Anwendungen, Tier 0 Domänencontroller, AD CS und Entra Connect. Ohne Tiering liegen auf einem kompromittierten Arbeitsplatz die Anmeldedaten eines Server-Admins, auf einem Server läuft ein Dienstkonto mit Domänenrechten, der Angreifer kontrolliert am Ende die Domäne. Mit Tiering melden sich Admins nicht an Arbeitsplätzen an und Tier-0-Rechte bleiben auf Tier 0; der Weg endet an der ersten Ebenengrenze.

Was prüfen wir im Verzeichnis?

Tiering und Admin-Konten

Tier-0-Konten arbeiten nur auf Tier-0-Systemen, verwaiste Rechte entfallen.

Dienstkonten und lokale Admins

Automatisch wechselnde Kennwörter über gMSA und Windows LAPS.

Veraltete Anmeldeverfahren

NTLM und Namensauflösung per Rundruf geplant ablösen, Signierung erzwingen.

Zertifikatsvorlagen in AD CS

Kein Konto kann sich selbst ein Administratorzertifikat ausstellen.

Delegierungen und Gruppenrichtlinien

Nur beabsichtigte Konten handeln für andere oder ändern Richtlinien.

Entra Connect und Domänencontroller

Gehärtet wie Tier 0, aktuell gepatcht, Wiederherstellung geübt.

Wie läuft das Assessment ab?

  1. Schriftlich

    Scope und Freigabe

    Kein Test ohne Ihre schriftliche Autorisierung.

  2. Nur lesend

    Bestandsaufnahme

    Rechte und Beziehungen mit einem gewöhnlichen Domänenkonto auslesen.

  3. Testfenster

    Wege verifizieren

    Kontrolliert im Testfenster, Kritisches melden wir sofort.

  4. Bericht und Workshop

    Priorisierte Befunde, Mapping und Tiering-Zielbild.

  5. Optional

    Re-Test

    Bestätigt, dass die Maßnahmen wirken.

Wer kontrolliert heute Ihre Domäne?

Erstgespräch vereinbaren

Was ändert sich nach dem Assessment?

Heute

  • Unklar, wer Domänenrechte hat
  • Admins melden sich an Arbeitsplätzen an
  • Dienstkonten mit alten Kennwörtern
  • Wiederherstellung nie geübt

Danach

  • Tier-0-Inventar mit Verantwortlichen
  • Tiering-Zielbild mit klarer Reihenfolge
  • Befunde zugeordnet zu NIS2 und ISO 27001
  • Nachweis für Prüfer und Versicherer

Weiterführend: Security AssessmentsGap AssessmentManaged SecurityBlog: Entra-ID-SicherheitBlog: Ransomware-Vorbereitung

Häufig gestellte Fragen

Warum brauchen wir ein AD-Assessment, wenn wir in die Cloud gehen?

Weil hybride Umgebungen ihre Identitäten aus dem lokalen Active Directory beziehen. Der Synchronisierungsserver mit Entra Connect ist deshalb ein Tier-0-System, gleichrangig mit einem Domänencontroller.

Was ist das Tiering-Modell?

Es ordnet Konten und Systeme nach Kontrollreichweite: Tier 0 kontrolliert die Identitäten, Tier 1 Server und Anwendungen, Tier 2 Arbeitsplätze. Zugangsdaten einer höheren Ebene werden nie auf einer niedrigeren verwendet.

Wie lange dauert ein Active Directory Assessment?

Das hängt von Forests, Domänen und Testumfang ab. Nach dem Erstgespräch erhalten Sie einen verbindlichen Zeitplan.

Welche Nachweise bekommen wir für NIS2 oder ISO 27001?

Einen Bericht mit Umfang, Methode und Risikobewertung, eine Management-Summary und das Mapping auf NIS2, ISO 27001 und BSI IT-Grundschutz. Ein optionaler Re-Test belegt die Wirkung.

Ihr Active Directory prüfen lassen

Bericht, Daten und Dokumentation bleiben bei Ihnen.

Erstgespräch vereinbaren