01Was ist ein Active Directory Audit?
Eine technische Sicherheitsprüfung Ihres Active Directory aus Angreifersicht. Ausgehend von einem regulären Benutzerkonto ermitteln wir Fehlkonfigurationen, Berechtigungen und Angriffspfade, über die ein Angreifer privilegierte Konten übernehmen könnte.
02Worin unterscheidet sich ein AD Audit von einem Penetrationstest?
Ein Penetrationstest sucht breit nach ausnutzbaren Schwachstellen in Systemen und Anwendungen. Das AD Audit konzentriert sich auf die Identitätsinfrastruktur: Berechtigungen, Kerberos, Delegationen, Zertifikatsdienste und die Pfade dazwischen. Es ist enger gefasst, aber tiefer.
03Was benötigen Sie von uns?
Ein reguläres Domänenbenutzerkonto ohne besondere Rechte und einen Netzwerkzugang zu den Domain Controllern, zum Beispiel per VPN oder über einen bereitgestellten Client. Für authentifizierte Schwachstellenscans stimmen wir ein separates Scan-Konto ab.
04Gefährdet das Audit den laufenden Betrieb?
Nein. Die Analyse arbeitet überwiegend lesend. Aktive Nachweise, etwa ein Relay-Test oder eine Zertifikatsanforderung, führen wir nur nach vorheriger Freigabe und kontrolliert an Testobjekten durch.
05Wie lange dauert ein AD Audit?
Das hängt von der Anzahl der Forests, Domänen und Vertrauensstellungen ab, außerdem von Zertifikatsdiensten und hybriden Komponenten. Den Umfang und die Dauer legen wir im Scoping verbindlich fest.
06Was erhalten wir als Ergebnis?
Eine Management Summary, visualisierte Angriffspfade, jeden Befund mit Nachweis und Bewertung nach CVSS 3.1 und 4.0 sowie einen priorisierten Maßnahmenplan von Sofortmaßnahmen bis zu strukturellen Verbesserungen. Nach der Behebung testen wir auf Wunsch erneut.
07Was ist Kerberoasting?
Jeder Domänenbenutzer kann für Dienstkonten mit einem Service Principal Name ein Kerberos-Ticket anfordern. Dieses Ticket lässt sich offline knacken. Schwache oder alte Passwörter von Dienstkonten werden so zum direkten Weg zu höheren Rechten (MITRE ATT&CK T1558.003).
08Was bedeutet Tier 0?
Tier 0 umfasst alle Konten, Gruppen und Systeme, die das Active Directory kontrollieren: Domain Controller, Domain Admins, Zertifikatsdienste und Synchronisationsserver wie Entra Connect. Wer Tier 0 kontrolliert, kontrolliert die gesamte Domäne.
09Prüfen Sie auch Active Directory Certificate Services?
Ja. Wir prüfen Zertifikatsvorlagen, Berechtigungen und die Konfiguration der Zertifizierungsstellen auf die bekannten Eskalationstechniken ESC1 bis ESC16 sowie neu veröffentlichte Varianten. Fehlkonfigurierte Vorlagen gehören zu den häufigsten Wegen zur Domänenübernahme.
10Wird auch Microsoft Entra ID betrachtet?
Die On-Premises-Seite der hybriden Anbindung prüfen wir immer: Entra-Connect-Server, Synchronisationskonten, Seamless SSO und AD FS. Die Konfiguration in Entra ID selbst prüfen wir mit zusätzlichem Lesezugriff.
11Hilft das AD Audit bei NIS2, ISO 27001 oder DORA?
Ja, als Nachweis. Das Audit liefert Evidenz für die Bewertung der Wirksamkeit von Maßnahmen nach § 30 Abs. 2 Nr. 6 BSIG, für privilegierte Zugänge und Authentisierung nach ISO 27001 (A.8.2, A.8.5) und für Schwachstellenbewertungen und Penetrationstests nach Art. 25 DORA. Eine Zertifizierung ersetzt es nicht.
