Active Directory aufräumen: vom gewachsenen Verzeichnis zur dokumentierten Ordnung

Edouard Jacques

Managing Director, Cyber Culture

Nach zehn oder fünfzehn Jahren sieht fast jedes Active Directory (AD) ähnlich aus: Organisationseinheiten aus drei Umstrukturierungen, Gruppen, deren Zweck niemand mehr kennt, Dienstkonten mit Kennwörtern aus der Zeit der Ersteinrichtung und mehr Domänen-Administratoren, als jemand begründen kann. Dieser Artikel zeigt, wie Sie das Verzeichnis in vier Etappen bereinigen, welche Entscheidungen dabei nicht die IT allein treffen sollte und wie Sie verhindern, dass in zwei Jahren alles wieder so aussieht.

Warum das Verzeichnis vor jedem IAM-Projekt kommt

Im Mittelstand hängt am AD fast alles: Anmeldung am Rechner, Netzlaufwerke, VPN, WLAN, oft das ERP und über Microsoft Entra Connect auch die Konten in Microsoft 365. Wer das AD kontrolliert, kontrolliert damit das Unternehmen. Microsoft ordnet Domänencontroller, Entra Connect, die Zertifizierungsdienste (AD CS) und alle Systeme, die diese verwalten, deshalb der höchsten Schutzstufe zu, im AD-DS-Tier-Modell „Tier 0“ genannt.

Für ein späteres Identity & Access Management (IAM) ist das AD die wichtigste Datenquelle. Ein IAM-Werkzeug liest Gruppen und Mitgliedschaften aus und baut darauf Rollen, Anträge und Prüfungen auf. Ist die Grundlage unklar, automatisiert das Werkzeug nur die Unklarheit. Auch im Audit geht es um genau diese Punkte: Die ISO 27001:2022 verlangt in Anhang A ein geregeltes Identitätsmanagement (Control 5.16) und nachvollziehbar vergebene Zugangsrechte (5.18). Der BSI-Baustein ORP.4 aus dem IT-Grundschutz-Kompendium sieht vor, lange inaktive Kennungen zu deaktivieren und die Dokumentation der Kennungen und Rechteprofile regelmäßig mit dem tatsächlichen Stand abzugleichen.

Bestandsaufnahme, ohne etwas zu ändern

In der ersten Etappe, meist zwei bis drei Wochen, wird nur gelesen. Sie brauchen eine vollständige Liste aller Benutzer-, Dienst- und Computerkonten mit Status, letzter Anmeldung und letztem Kennwortwechsel, alle Gruppen mit direkten und verschachtelten Mitgliedern, die Gruppenrichtlinien und die delegierten Rechte auf Organisationseinheiten.

Besonders genau schauen Sie auf diese Punkte:

• Mitglieder von Domänen-Admins, Organisations-Admins, Schema-Admins und Administratoren, aber auch von Konten-Operatoren, Sicherungs-Operatoren und Server-Operatoren. Die letzten drei werden oft übersehen und sind faktisch ähnlich mächtig.
• Konten mit gesetztem „Kennwort läuft nie ab“, vor allem wenn sie Administratorrechte haben.
• Dienstkonten mit Service Principal Name. Sie sind das Ziel von Kerberoasting, einem Angriff, bei dem jeder angemeldete Benutzer ein Ticket anfordern und das Kennwort offline knacken kann.
• Konten, bei denen die Kerberos-Vorauthentifizierung abgeschaltet ist.
• Ehemalige Administratoren, deren Konto nach dem Austritt aus den Admin-Gruppen noch adminCount=1 und eine abgeschaltete Rechtevererbung trägt.

Zwei Werkzeuge haben sich dafür etabliert. PingCastle, heute bei Netwrix, bewertet die AD-Konfiguration gegen einen Regelkatalog und liefert einen priorisierten Bericht. BloodHound Community Edition von SpecterOps zeigt Angriffspfade, also welche gewöhnlichen Benutzer über eine Kette von Rechten bei den Domänen-Admins ankommen. Stimmen Sie den Einsatz vorher mit der IT-Leitung und dem Betreiber Ihres SOC oder EDR ab. Beide Werkzeuge sammeln Daten so, wie es ein Angreifer bei der Erkundung tut, und lösen zu Recht Alarme aus.

Ein Detail, das bei der Auswertung oft schiefgeht: Das Attribut lastLogonTimestamp wird nur verzögert aktualisiert und kann bis zu 14 Tage hinterherhinken. Und wer nur noch mit Microsoft 365 arbeitet, etwa im Außendienst mit Tablet, meldet sich womöglich monatelang nicht am lokalen AD an. Gleichen Sie deshalb vor jeder Deaktivierung mit den Anmeldeprotokollen in Entra ID ab.

Das Ergebnis dieser Etappe ist eine Tabelle mit einer vorgeschlagenen Maßnahme pro Objekt und dem Namen der Person, die darüber entscheidet.

Konten bereinigen

Personenkonten sind der einfachste Teil, sobald Sie mit der Personalabteilung abgleichen. Jedes aktive Konto muss einer Person im HR-System zugeordnet sein oder einer dokumentierten externen Person mit Ansprechpartner im Haus und Enddatum. Was beides nicht hat, wird deaktiviert, in eine eigene Organisationseinheit verschoben und mit Datum und Grund in der Beschreibung versehen. Gelöscht wird erst nach einer Haltefrist, zum Beispiel 90 Tagen, wenn sich niemand gemeldet hat.

Sammelkonten wie „lager“, „empfang“ oder „schulung1“ brauchen eine eigene Entscheidung. ORP.4 verlangt, dass jede Kennung eindeutig einer Person zugeordnet werden kann. Wo ein geteiltes Konto fachlich unvermeidbar ist, etwa an einem Terminal in der Produktion, braucht es eine benannte verantwortliche Person, eng begrenzte Rechte und kein Postfach.

Dienstkonten sind der heikle Teil. Für jedes Konto klären Sie Zweck, Verantwortlichen und das System, auf dem es läuft. Wo es technisch geht, ersetzen Sie klassische Dienstkonten durch gruppenverwaltete Dienstkonten (gMSA), deren Kennwort Windows selbst wechselt. Ein Dienstkonto gehört nicht in die Gruppe Domänen-Admins, auch wenn die Installationsanleitung der Backup-Software das vor Jahren so vorgeschlagen hat.

Deaktivieren Sie in Wellen und mit Rückweg. Legen Sie vorher fest, wie schnell ein irrtümlich gesperrtes Konto wieder aktiv ist, und kündigen Sie jede Welle an. Ein Freitagnachmittag ist dafür der falsche Termin. Wenn ein nächtlicher Job am Wochenende an einem gesperrten Dienstkonto scheitert, merkt es am Montag die Buchhaltung.

Gruppen und Struktur ordnen

Leere Gruppen, Gruppen ohne zugewiesene Rechte und Gruppen mit identischer Mitgliedschaft lassen sich meist ohne Risiko entfernen oder zusammenlegen. Wichtiger ist das Modell für die Zukunft. Bewährt hat sich die Trennung in zwei Arten von Gruppen: Rollengruppen, in denen Personen stehen (etwa ROL-Einkauf-operativ), und Ressourcengruppen, die genau ein Recht tragen (etwa RES-FS-Einkauf-Lesen). Personen kommen nur in Rollengruppen, Rollengruppen werden Mitglied der Ressourcengruppen. Das entspricht dem Prinzip AGDLP, das Microsoft seit Langem für Berechtigungen im AD empfiehlt.

Jede Gruppe bekommt eine Beschreibung in verständlicher Sprache und einen fachlich Verantwortlichen, eingetragen im Feld „Verwaltet von“. Direkte Berechtigungen einzelner Benutzer auf Netzlaufwerken ersetzen Sie durch Gruppen. Freigaben, auf die „Jeder“ oder „Domänen-Benutzer“ schreiben dürfen, gehören auf die Liste der ersten Korrekturen.

Bei den Organisationseinheiten lohnt es sich, nicht das Organigramm nachzubauen. Abteilungen ändern sich bei jeder Umstrukturierung, und jedes Verschieben von Objekten kann Gruppenrichtlinien und fest eingetragene Pfade in Anwendungen brechen. Stabiler ist eine Gliederung nach Objekttyp und Verwaltungsebene: Administratoren, Server, Arbeitsplätze, Benutzer, Dienstkonten.

Administrative Rechte trennen

Hier liegt der größte Sicherheitsgewinn. Jeder Administrator bekommt ein eigenes Admin-Konto ohne Postfach und ohne Internetnutzung, getrennt vom Alltagskonto. In der aktuellen Fassung seiner Tier-Modell-Dokumentation nennt Microsoft als üblichen Zielwert weniger als fünf Personen mit Rechten auf Ebene der Domänen-Admins und kein einziges Dienstkonto in dieser Gruppe. Die Regel dahinter ist einfach: Wer Tier 0 verwaltet, gibt diese Anmeldedaten nie an einem gewöhnlichen Arbeitsplatz oder Server ein.

Typische Funde in dieser Etappe: Der IT-Dienstleister hat seit Jahren ein Konto mit Domänen-Admin-Rechten, die Helpdesk-Kollegen sind Konten-Operatoren, und auf dem Backup-Server läuft ein Agent mit höchsten Rechten, der damit selbst zu Tier 0 gehört. Lokale Administratorkennwörter der Arbeitsplätze verwaltet das in Windows integrierte Windows LAPS, damit nicht überall dasselbe Kennwort gilt. Konten mit weitreichenden Rechten schützen Sie mit Mehr-Faktor-Authentisierung, wie es ORP.4 als Standard-Anforderung vorsieht.

So bleibt das Verzeichnis aufgeräumt

Ein bereinigtes AD verwildert wieder, wenn die Zuflüsse nicht geregelt sind. Drei Dinge halten es sauber. Erstens ein Austrittsprozess, den das HR-System auslöst und nicht eine E-Mail an die IT; was passiert, wenn er fehlt, beschreibt der Beitrag Ihr Mitarbeiter ist seit 6 Monaten weg. Zweitens ein monatlicher Bericht mit wenigen Zahlen: neue Mitglieder in privilegierten Gruppen, Konten ohne HR-Zuordnung, Gruppen ohne Verantwortlichen. Drittens ein Rollenmodell, damit neue Rechte über definierte Rollengruppen vergeben werden statt per Kopie vom Kollegen. Wie das aussieht, steht im Artikel zum Business Role Model.

Auf dieser Grundlage lassen sich auch die übrigen Überberechtigungen auf Netzlaufwerken und in Anwendungen systematisch abbauen, wie in Least Privilege in der Praxis beschrieben.

Aufwand und der erste Schritt

Für eine Domäne mit einigen hundert bis etwa 2.000 Benutzern sollten Sie für die vier Etappen drei bis vier Monate einplanen, wenn ein interner Administrator rund die Hälfte seiner Zeit einbringt. Die Technik ist dabei selten der Engpass. Die meiste Zeit kostet es, für Gruppen, Dienstkonten und Freigaben jemanden zu finden, der sagt: Das gehört zu mir, und das brauchen wir noch.

Der erste Schritt ist überschaubar. Lassen Sie eine reine Bestandsaufnahme erstellen und gehen Sie mit der IT-Leitung die Mitglieder der privilegierten Gruppen durch. Diese eine Liste reicht meist, um die Dringlichkeit einzuschätzen. Wenn Sie das Aufräumen als ersten Baustein eines IAM-Programms angehen wollen, zeigt IAM von Null aufbauen die weiteren Etappen. Wie weit Ihr Zugriffsmanagement die Anforderungen der ISO 27001 schon erfüllt, sehen Sie im Reifegrad-Check unter diesem Artikel.