AD Tiering und PAM: Strategie zum Schutz digitaler Identitäten

Lateral Movement: Wie sich ein Angreifer im Netzwerk bewegt

Bei Cyberangriffen richtet sich die Aufmerksamkeit häufig auf den Moment des Eindringens: ein Malware, das den Perimeter durchbricht, eine Phishing-E-Mail, die einen Nutzer täuscht, oder eine aktiv ausgenutzte Schwachstelle. Bei den meisten schwerwiegenden Vorfällen entsteht der eigentliche Schaden jedoch nicht beim ersten Zugriff.

Als Lateral Movement bezeichnet man die Phase, in der ein Angreifer, der bereits einen ersten Halt im Netzwerk gewonnen hat, sich schrittweise zu kritischeren Systemen vorarbeitet: Domain Controller, Applikationsserver, Datenbanken, Backup-Systeme.

Dazu nutzt der Angreifer, was er auf seinem Weg vorfindet: auf kompromittierten Geräten gespeicherte Anmeldedaten, aktive Sitzungen und Dienstkonten mit übermäßigen Berechtigungen.

Die gängigsten Techniken

Die häufigsten Lateral-Movement-Techniken nutzen die Authentifizierungsmechanismen von Windows und Active Directory aus:

Pass-the-Hash: Der Angreifer fängt den Passwort-Hash eines privilegierten Kontos ab – ohne das Klartext-Passwort zu kennen – und verwendet ihn direkt zur Authentifizierung an anderen Systemen im Netzwerk (siehe unseren Artikel zum NTLM-Hash-Diebstahl).
Pass-the-Ticket: Hierbei werden Kerberos-Tickets – das von Active Directory verwendete Authentifizierungsprotokoll – missbraucht, um legitime Benutzer ohne Klartext-Anmeldedaten zu imitieren.

In beiden Fällen bricht der Angreifer keine Tür auf, sondern verwendet gültige Schlüssel, die er in der Umgebung gefunden hat. Das Ergebnis: Ein Vorfall, der eingedämmt werden könnte – etwa eine kompromittierte Workstation oder ein verletztes Benutzerkonto – weitet sich zu einer umfassenden Kompromittierung der Infrastruktur aus, mit möglichen Folgen wie Datenexfiltration, grossflächiger Ransomware-Verteilung und Ausfall kritischer Dienste.

Digitale Identitäten als Kern der modernen Verteidigung

Lateral Movement gedeiht dort, wo digitale Identitäten nicht konsequent verwaltet werden. Systemübergreifend gemeinsam genutzte Anmeldedaten, niemals gewechselte Passwörter oder Konten mit übermäßigen Berechtigungen sind die Angriffspunkte, die ein Angreifer in nahezu jeder Unternehmensumgebung sucht und findet.

Aus diesem Grund ist die Verwaltung privilegierter Identitäten zu einem der Säulen moderner Cybersecurity geworden. Die Notwendigkeit, privilegierte Zugriffe zu überwachen und zu dokumentieren, wird heute von einschlägigen Regularien und Frameworks ausdrücklich gefordert:

NIS2: Die europäische Richtlinie verpflichtet die erfassten Organisationen zur Einführung technischer und organisatorischer Maßnahmen für das Zugriffsmanagement und den Schutz der Netze.
DORA-Verordnung: Die für den Finanzsektor geltende Verordnung fordert spezifische Kontrollen privilegierter Zugriffe sowie die Fähigkeit, Vorgänge auf kritischen Systemen nachzuverfolgen und zu auditieren.
ISO 27001 und Supply Chain: Auch in Zertifizierungs- und Drittprüfungskontexten taucht die Verwaltung privilegierter Konten zunehmend häufiger unter den geforderten Anforderungen auf.

Eine reaktive Haltung – also die Fähigkeit, nach einem Vorfall einzugreifen – genügt nicht mehr. Organisationen, die wirklich resilient sein wollen, müssen einen proaktiven Ansatz verfolgen: die Angriffsoberfläche reduzieren, bevor sie ausgenutzt wird, die Nachvollziehbarkeit der Zugriffe kontinuierlich gewährleisten und nachweisen (nicht nur erklären), dass die eigenen Systeme unter Kontrolle sind.

Der Ausgangspunkt: Microsoft LAPS

LAPS ist eine kostenlose Microsoft-Lösung, die in Active Directory integriert ist, und löst ein weit verbreitetes Problem: die Verwendung desselben Passworts für das lokale Administratorkonto auf allen PCs der Organisation.

Ein identisches Passwort auf jedem Gerät ist historisch verbreitet, weil es die operative Verwaltung der Workstations vereinfacht. Aus Sicherheitsperspektive stellt es jedoch ein erhebliches Risiko dar: Kompromittiert ein Angreifer ein Gerät und entdeckt dieses Passwort, kann er es nutzen, um mit lokalen Administratorrechten auf alle anderen PCs des Unternehmens zuzugreifen.

Wie LAPS funktioniert

LAPS löst dieses Problem automatisch:

Generiert für jedes Gerät ein eindeutiges, zufälliges Passwort
Speichert es geschützt in Active Directory
Rotiert es automatisch in einem konfigurierbaren Intervall
Beschränkt den Lesezugriff auf das Passwort auf autorisierte Benutzer oder Gruppen und protokolliert jeden Zugriff

LAPS ist ein solider und relativ einfach zu implementierender Ausgangspunkt. Dennoch deckt es ausschließlich die Passwörter lokaler Administratoren auf Workstations ab. Alle privilegierten Konten auf Servern, Netzwerksystemen, Anwendungen und Diensten bleiben ausserhalb seines Geltungsbereichs. Für einen umfassenden Schutz ist ein strukturierterer Ansatz erforderlich.

Der nächste Schritt: Active Directory Tiering

Das Active Directory Tier Model, allgemein als AD Tiering bekannt, ist ein von Microsoft entwickeltes Framework zur strukturierten Absicherung privilegierter Zugriffe innerhalb einer Unternehmensinfrastruktur. Das Grundprinzip ist die strikte Trennung von Zugriffsebenen nach der Kritikalität der verwalteten Systeme.

Die drei Ebenen des Modells

Tier 0 – der Kern der Infrastruktur: Domain Controller, Identitätsverwaltungssysteme und Konten mit höchsten Active-Directory-Berechtigungen. Wer Tier 0 kontrolliert, kontrolliert die gesamte IT-Organisation.
Tier 1 – Applikations- und Geschäftssysteme: Applikationsserver, Datenbanken, Backup-Systeme und Virtualisierungsinfrastrukturen. Geschäftskritisch, aber eine Ebene unterhalb des Kerns der Unternehmensidentität.
Tier 2 – Workstations und Endgeräte der Benutzer: Die am stärksten periphere Ebene, aber häufig der erste Angriffspunkt.

Die Grundregel

Anmeldedaten einer Tier-Ebene dürfen niemals auf Systemen einer niedrigeren Tier-Ebene verwendet oder gespeichert werden. Ein Administrator, der Domain Controller (Tier 0) verwaltet, darf sich mit denselben Anmeldedaten niemals an einer Benutzer-Workstation (Tier 2) authentifizieren. Täte er es, könnte ein Angreifer, der diese Workstation kompromittiert, die Tier-0-Anmeldedaten abfangen und die Kontrolle über die gesamte Infrastruktur erlangen.

Was eine korrekte Implementierung erfordert

Das korrekte Einführen des Tiering ist eine anspruchsvolle professionelle Aufgabe. Sie erfordert:

Erfassung aller privilegierten Konten in der Umgebung, einschließlich der Dienstkonten
Neuorganisation nach der Tier-Logik mit separaten Sicherheitsgruppen für jede Ebene
Konfiguration von Zugriffsrichtlinien in Active Directory, die ein Tier-2-Konto technisch daran hindern, sich an Tier-0- oder Tier-1-Systemen zu authentifizieren
Einführung von Privileged Access Workstations (PAW): dedizierte und gehärtete Geräte, die ausschließlich für administrative Tätigkeiten auf den kritischsten Tier-Ebenen eingesetzt werden

Das Ergebnis, bei korrekter Implementierung, ist eine Zugriffssegregierung, die Lateral Movement strukturell erheblich erschwert. Gleichzeitig kann das Tiering in Unternehmen sehr komplex werden – insbesondere der Tier-1-Bereich – und ist schwierig zu verwalten und zu pflegen. In dieser Architektur vereinfacht eine ergänzende PAM-Lösung die Verwaltung und Nutzbarkeit erheblich.

Privileged Access Management (PAM): vom Framework zum realen Schutz

Was ist PAM?

Das Privileged Access Management (PAM) ist eine Kategorie von Enterprise-Lösungen zur Verwaltung, Überwachung und Absicherung aller privilegierten Konten einer Organisation. Anders als Tools wie LAPS, die in einem begrenzten Perimeter wirken, deckt ein PAM das gesamte ökosystem privilegierter Zugriffe ab: physische und virtuelle Server, Betriebssysteme, Datenbanken, Anwendungen, Netzwerkgeräte wie Firewalls und Switches, Cloud-Umgebungen und OT-Systeme.

Die Kernfunktionen einer PAM-Lösung gliedern sich in drei Bereiche:

Credential Vaulting: Alle privilegierten Passwörter werden in einem sicheren, zentralisierten Tresor gespeichert und automatisch gemäß konfigurierbarer Richtlinien rotiert. Die Anmeldedaten sind für den Operator nie direkt sichtbar: Der Zugriff auf die Systeme erfolgt über das PAM, das als Vermittler fungiert.
Sitzungsverwaltung und -aufzeichnung: Jede privilegierte Sitzung wird aufgezeichnet und kann im Falle eines Audits oder einer Untersuchung vollständig wiedergegeben werden.
Just-in-Time-Zugriff: Berechtigungen werden nur dann gewährt, wenn sie benötigt werden, für die unbedingt erforderliche Dauer, und am Ende automatisch entzogen.

Die Rolle des PAM im AD Tiering

Die Verbindung zwischen PAM und AD Tiering ist direkt und strukturell. Das Tiering definiert die Regeln: Welche Konten können auf welche Systeme zugreifen, wie müssen die Ebenen getrennt werden, welche Anmeldedaten dürfen niemals außerhalb ihrer Tier-Ebene weitergegeben werden. Das PAM ist das Werkzeug, das diese Regeln operativ und dauerhaft umsetzbar macht.

Ohne ein PAM erfordert die Aufrechterhaltung des Tiering komplexe, schwer skalierbare manuelle Prozesse. Privilegierte Passwörter müssen auf Dutzenden oder Hunderten von Systemen verwaltet werden. Dienstkonten, die häufig mit statischen Anmeldedaten und erhöhten Berechtigungen konfiguriert sind, müssen erfasst und überwacht werden. Jeder administrative Zugriff muss dokumentiert werden, um die für Audits und Regularien erforderliche Nachvollziehbarkeit zu gewährleisten.

In dynamischen Umgebungen, in denen sich Systeme verändern und Teams wechseln, ist dieses Maß an operativer Disziplin auf Dauer schwer aufrechtzuerhalten. Ein PAM automatisiert und zentralisiert all das:

Die Anmeldedaten jeder Tier-Ebene werden im Vault gespeichert und automatisch rotiert. Selbst wenn ein Angreifer ein Passwort abfangen würde, wäre es kurz darauf bereits geändert
Dienstkonten können in den Vault integriert und mit denselben Richtlinien wie menschliche Konten verwaltet werden
Die Trennung zwischen den Tier-Ebenen wird technisch verstärkt. Das PAM kann verhindern, dass Tier-0-Anmeldedaten jemals in Sitzungen von Tier-2-Geräten exponiert werden

Sicherer Zugriff ohne Offenlegung der Anmeldedaten

Ein wichtiger operativer Aspekt betrifft die Zugriffsweise auf verwaltete Systeme. Mit einem PAM können Administratoren sich mit Servern und Netzwerkgeräten verbinden, ohne das tatsächliche Passwort des Zielsystems zu kennen und ohne eine separate VPN-Verbindung herstellen zu müssen. Der Zugriff erfolgt über das PAM selbst, das den Operator authentifiziert, seine Berechtigungen prüft und die Sitzung kontrolliert öffnet.

Dieser Ansatz reduziert die Angriffsoberfläche, vereinfacht die operative Tätigkeit des IT-Teams und stellt sicher, dass jeder Zugriff protokolliert und einer bestimmten Person zugeordnet werden kann – eine Anforderung, die in Audit-, Zertifizierungs- und Supply-Chain-Prüfungskontexten zunehmend gefordert wird.

PAM als Säule einer proaktiven Strategie

Lateral Movement ist keine theoretische Bedrohung, sondern die Phase, in der die meisten schwerwiegenden Angriffe ihre Wirkung entfalten. Der Grund für ihren Erfolg ist fast immer derselbe: nicht verwaltete privilegierte Anmeldedaten, Konten mit mehr Zugriffsrechten als nötig, fehlende Trennung zwischen den Infrastrukturebenen.

Die Bewältigung dieses Risikos erfordert einen strukturierten und schrittweisen Weg:

Microsoft LAPS ist ein guter Ausgangspunkt zum Schutz der Workstations
AD Tiering führt die notwendige Trennungslogik ein, um Lateral Movement innerhalb der Infrastruktur einzudämmen
PAM ist das Werkzeug, das dieses Modell langfristig steuerbar, skalierbar und überprüfbar macht

In einem Kontext, in dem Regularien die Verwaltung und Nachvollziehbarkeit privilegierter Zugriffe immer ausdrücklicher fordern, ist die Einführung einer PAM-Lösung nicht nur eine Sicherheitsentscheidung: Sie ist ein Element der Cyber-Hygiene, das die Gesamtresilienz der Organisation stärkt, die Abhängigkeit von fehleranfälligen manuellen Prozessen reduziert und es ermöglicht, objektiv nachzuweisen, dass die kritischen Systeme unter Kontrolle sind.

Fachkompetenz und Technologie: Warum die Implementierung einen spezialisierten Ansatz erfordert

Die Einführung von LAPS, die Strukturierung eines AD Tiering und die Einführung einer PAM-Lösung erfordert Kompetenzen, die von der Active-Directory-Verwaltung bis zur Kenntnis der am Markt verfügbaren PAM-Plattformen reichen, von der Fähigkeit, privilegierte Konten zu erfassen und zu klassifizieren, bis zur Integration in bestehende Systeme – ohne die normative Dimension zu vergessen, die in Audit- und Zertifizierungsphasen zunehmend relevant wird.

Es handelt sich nicht um einmalige Projekte: Sie erfordern laufende Pflege, kontinuierliche Aktualisierung und die Fähigkeit, sich der Weiterentwicklung der Infrastruktur anzupassen. Diese Technologien berühren den Kern der IT- und OT-Infrastrukturen und stellen, wenn gut strukturiert, ein konkretes Abschreckungsmittel gegen einige der am weitesten verbreiteten Angriffstechniken.

Die in diesem Artikel beschriebenen Lösungen gehören zum Identity-Angebot von Cyberlys. Für weitere Informationen besuchen Sie die Seiten Identity Solutions und Privileged Access Management.