Active DirectoryDie Schwachstellen, die Hacker lieben – warum 2026 das Risiko explodiert.
Firewalls, KI-Abwehr, EDR, Cloud-Security – Millionen werden investiert. Und doch bleibt in fast jedem Netzwerk derselbe zentrale Angriffspunkt offen: Microsoft Active Directory. Wer es kontrolliert, kontrolliert das Unternehmen.
Die unbequeme Wahrheit: fast jedes Unternehmen hängt an AD
Active Directory ist nicht „nur Benutzerverwaltung“. Es ist der Schlüssel zum gesamten Unternehmen: Konten, Administratorrechte, Serverzugriffe, Gruppenrichtlinien, Fileserver, Exchange, Drucker, VPN, ERP, Produktionsnetzwerke, RDP-Zugriffe, Azure-Synchronisierung, Hybrid-Cloud. Wer AD kontrolliert, kontrolliert in der Regel die komplette Firma. Genau deshalb fokussieren sich moderne Angriffe längst nicht mehr primär auf klassische Malware – sondern auf Identitäten, Rechte und Authentifizierung.
01Was AD im Hintergrund alles kontrolliert
Eine einzige Identitätsplattform regiert Dutzende geschäftskritischer Systeme. Jeder Knoten ist ein potenzieller Hebel – jede falsche Berechtigung ein Angriffspfad.
Das Problem ist die Architektur – nicht eine einzelne Lücke
Viele Unternehmen betreiben heute noch uralte Domänenstrukturen, Legacy-Protokolle, falsch konfigurierte Vertrauensstellungen und veraltete Verschlüsselung. Genau diese Kombination macht AD seit Jahren zum wertvollsten Ziel für Ransomware-Gruppen, Initial Access Broker, APT-Gruppen und zunehmend KI-gestützte Angriffssysteme.
Der moderne Angriff beginnt nicht mehr mit Malware
Zugangsdaten werden gestohlen, Sitzungen übernommen, MFA umgangen, legitime Benutzer imitiert, bestehende Adminrechte missbraucht. „Login statt Exploit“ ist Realität – und macht Angriffe deutlich schwerer erkennbar, weil ein Login mit echten Credentials zunächst vollkommen legitim aussieht.
02Vom Phishing-Klick zur Forest-Übernahme
Sieben Phasen, in denen aus einem einzigen kompromittierten Konto eine komplette Unternehmenskompromittierung wird – und in jeder Phase verdienen Verteidiger Erkennungschancen, die heute meist nicht genutzt werden.
- 01Phishing / Initial Access
Klick auf präparierten Link, kompromittierter VPN-Account, schwaches Passwort.
- 02Credential Theft
Mimikatz, LSASS-Dump, Browser-Cookies, MFA-Fatigue, Token-Theft.
- 03Recon im AD
BloodHound, PowerView, LDAP-Spaziergang, Trusts und ACLs auslesen.
- 04Kerberoasting
Service-Account-Tickets anfordern, offline Passwörter cracken.
- 05Pass-the-Hash / -Ticket
Lateral Movement mit gestohlenen Hashes, NTLM-Reuse, Silver/Golden Tickets.
- 06Domain Admin
Privilege Escalation via DCSync, Schatten-Admin oder verwundbarer GPO.
- 07Persistenz & Ransomware
GPO-Verteilung, AV/EDR-Kill, Backup-Sabotage, flächendeckende Verschlüsselung.
AD ist oft der eigentliche Ransomware-Multiplikator
„Wir haben doch Backups“ reicht nicht. Moderne Ransomware-Gruppen greifen zuerst Active Directory an – und nutzen es, um Sicherheitslösungen zu deaktivieren, Backups zu manipulieren, Adminrechte zu verteilen und hunderte Systeme gleichzeitig zu kompromittieren. Die eigentliche Verschlüsselung kommt erst danach, als finaler Schritt. Aus einem kleinen Vorfall wird so ein kompletter Unternehmensstillstand.
03Kerberoasting & Pass-the-Hash live mitlesen
Stark vereinfachter Trace: SPN-Service-Tickets werden geerntet, Hashes offline geknackt, Pass-the-Hash liefert Domain-Admin – alles ohne echte „Malware“, alles mit Bordmitteln, die in 90 % der AD-Umgebungen erfolgreich sind.
Kerberos, NTLM und uralte Altlasten
RC4, NTLM, alte Kerberos-Konfigurationen, unsichere Trusts, veraltete LDAP-Einstellungen – Microsoft versucht inzwischen sogar aktiv, alte Verfahren wie RC4 aus Windows zu entfernen. Das Problem: viele Unternehmensanwendungen hängen noch daran. Aus Angst vor Produktionsausfällen bleiben gefährliche Protokolle aktiv. Genau dort entstehen massive Sicherheitslücken.
LLMs führen heute autonome AD-Pentests durch
Forschungen zeigen: Large Language Models können autonome Penetrationstests gegen Active-Directory- Umgebungen durchführen – Recon, Fehlkonfigurationen erkennen, Angriffswege planen, Privilege Escalation, Seitwärtsbewegung, Pass-the-Hash, Kerberoasting. Schneller als menschliche Angreifer und mit dramatisch niedrigerer Einstiegshürde.
Hybrid-Cloud macht alles noch schlimmer
AD, Entra ID, SaaS, VPN, M365, SharePoint, Teams, Exchange Online, OneDrive – alles synchronisiert. Ein kompromittiertes AD-Konto gefährdet damit lokale Systeme, Cloud-Konten, APIs und externe Dienste gleichzeitig. Identity ist die neue Perimeter-Grenze.
- · Domain Controller
- · Fileserver, Exchange
- · Produktion, ERP, VPN
- · SharePoint, Teams, OneDrive
- · Exchange Online
- · SaaS, APIs, externe Dienste
Unternehmen merken den Angriff oft viel zu spät
APT-Gruppen bewegen sich wochen- oder monatelang unbemerkt im Netzwerk, weil klassische Lösungen auf Malware-Signaturen und IOC-Erkennung optimiert sind. AD-Angriffe nutzen jedoch legitime Tools: PowerShell, WMI, LDAP-Abfragen, bestehende Administratorrechte, Kerberos-Tickets, normale Login-Prozesse. Genau deshalb gewinnen Verhaltensanalyse und Authentifizierungsüberwachung massiv an Bedeutung.
04Die acht häufigsten AD-Schwachstellen in Audits
Domain-Admins arbeiten täglich von Office-PCs aus – Credential-Theft trivial.
VPN geschützt, internes Netzwerk offen wie 2008.
Ehemalige Mitarbeiter mit aktiven, oft hochprivilegierten Tokens.
Passwörter seit Jahren unverändert, perfekt für Kerberoasting.
Read-Rechte auf alles, laterale Bewegung ohne Hürde.
Unsichere Standards, Klartext-Passwörter in SYSVOL.
Tier 0 = Tier 2: ein gehackter Client genügt.
Kerberos-Anomalien, DCSync, neue Trusts – niemand schaut hin.
Warum Patchen allein nicht reicht
Viele Angriffe nutzen Fehlkonfigurationen, gestohlene Zugangsdaten und legitime Tools – keine Zero-Days. Gleichzeitig verursachen selbst Sicherheitsupdates teilweise kritische Probleme: Microsoft-Patches führten 2026 phasenweise zu Neustartschleifen auf Domain Controllern.
Konsequenz: Patch-Management + Defense-in-Depth + Härtung der Architektur, nicht „nur Updates“.
Was Unternehmen jetzt dringend tun sollten
- 01Tiering einführen
Tier 0 / 1 / 2 strikt trennen – Admin-Konten nie auf Office-PCs.
- 02Alte Protokolle abschalten
NTLM und RC4 eliminieren, LDAP-Signing & Channel Binding erzwingen.
- 03Privileged Access Workstations
Admins arbeiten ausschließlich von gehärteten PAWs aus.
- 04MFA überall – auch intern
Conditional Access, Phishing-resistente FIDO2-Token statt SMS.
- 05Least Privilege durchsetzen
Just-in-Time-Admin, kein Standard-DA, klare Rollenmodelle.
- 06Service-Accounts prüfen
gMSA statt klassischer Konten, lange Passwörter, regelmäßige Rotation.
- 07AD kontinuierlich überwachen
Kerberos-Anomalien, DCSync, neue Trusts, GPO-Änderungen alarmieren.
- 08Backup & Forest Recovery testen
AD-Recovery-Plan dokumentiert, jährlich real geprobt.
- 09Netzwerk segmentieren
DCs nur aus definierten Subnetzen erreichbar, kein Flat Network.
- 10Red-Teaming / Assumed Breach
BloodHound, Purple Teaming, realistische Angriffspfade prüfen.
Was kollabiert, wenn AD fällt
Und oft beginnt alles nur mit einem Phishing-Link, einem schwachen Passwort, einem alten Service-Account, einem falsch gesetzten AD-Recht oder einem kompromittierten VPN-Konto.
Fazit: AD bleibt 2026 das bevorzugte Ziel
Active Directory ist nicht „unsicher, weil Microsoft“. Es ist gefährlich, weil Unternehmen Jahrzehnte alte Altlasten mitziehen, weil Identitäten heute wichtiger als Firewalls sind, weil hybride Netzwerke die Angriffsfläche explodieren lassen und weil KI offensive Cyberangriffe massiv beschleunigt. Viele Firmen investieren Millionen in Cybersecurity – aber das Fundament ihrer Identitätsverwaltung bleibt offen wie vor zehn Jahren.
Mehr aus dem Identity- & Ransomware-Cluster
Verwandte Wasacon-Analysen zu Identitätsangriffen, Kerberos-Missbrauch und EDR/XDR-Härtung.
FAQ
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
AD-Härtung & Identity-Security im Kreis Heinsberg?
Wasacon analysiert Ihre Active-Directory-Architektur, identifiziert Schatten-Admins, Tier-0-Risiken und Kerberos-Schwächen – und implementiert EDR/XDR mit Identity-Monitoring, MFA und Tiering. Damit aus einem Phishing-Klick keine Forest-Übernahme wird.
Weitere Analysen aus dem Wasacon Lagezentrum
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
