Was ist Kerberos Constrained Delegation?
Kerberos Delegation erlaubt es einem Dienst, sich im Namen eines Users gegenüber einem anderen Dienst zu authentifizieren.
👉 Beispiel:
Ein Webserver greift auf einen Datenbankserver zu – im Namen des Users.
Constrained Delegation (KCD) schränkt das ein:
- Nur bestimmte Services erlaubt
- Weniger Risiko als „Unconstrained Delegation"
👉 Klingt sicher – ist es aber nicht immer.
Kerberos Delegation in Azure NetApp – Konfigurationsbeispiel
Golden Ticket – Wie Kerberos-Tickets missbraucht werden
Warum ist KCD gefährlich?
Wenn ein Angreifer Zugriff auf ein Konto mit aktivierter KCD erhält, kann er:
Service Tickets manipulieren
Tickets für beliebige Dienste erzeugen und injizieren.
Sich als andere Benutzer ausgeben
Impersonation von Domain Admins und anderen privilegierten Accounts.
Privilegien eskalieren
Vom Service Account zum Domain Admin in wenigen Schritten.
Domain Admin Rechte erlangen
Vollständige Kontrolle über die gesamte Windows-Domäne.
👉 Besonders kritisch: Kombination mit kompromittierten Service Accounts
Angriffsszenario: Schritt für Schritt
STEP 01
Zielsystem identifizieren (KCD aktiv)
Angreifer suchen nach Accounts mit gesetztem Attribut: msDS-AllowedToDelegateTo
# PowerView
Get-DomainUser -TrustedToAuth
👉 Ergebnis: Liste von Accounts mit Delegation-Rechten
Delegation Hunter – Erkennung von KCD-Accounts
AD Delegation Tab – Konfiguration im UI
STEP 02
Service Account kompromittieren
Typische Wege:
- Passwort-Leaks
- Kerberoasting
- Weak Credentials
👉 Ziel: Account mit KCD-Zugriff übernehmen
Rubeus – Kerberoasting eines Service Accounts
STEP 03
SPN (Service Principal Name) nutzen
Angreifer nutzen erlaubte SPNs aus: msDS-AllowedToDelegateTo
# Beispiel SPN
CIFS/DC01.domain.local
msDS-AllowedToDelegateTo – AD-Attribut
SPN Properties – Service Principal Names
STEP 04
Ticket erzeugen (S4U Attack)
Jetzt kommt der eigentliche Exploit – Tools: Rubeus, Kekeo
# Rubeus S4U Angriff
Rubeus.exe s4u /user:svc_account /rc4:<hash> /impersonateuser:Administrator /msdsspn:cifs/dc01.domain.local /ptt
👉 Was passiert hier?
- Angreifer erzeugt ein Ticket
- Gibt sich als Administrator aus
- Nutzt delegierten Service
Ticket Revocation – Kerberos Security Event
STEP 05
Zugriff auf Domain Controller
Nach erfolgreicher Ticket-Injection:
dir \\dc01\c$
👉 Zugriff auf:
- Domain Controller Shares
- Admin Ressourcen
- Active Directory
RPC Coercion – Laterale Bewegung zum Domain Controller
💀 Ergebnis: Full Domain Compromise
Wenn alles funktioniert:
- Domain Admin Rechte
- Persistenz möglich
- Vollständige Kontrolle über Infrastruktur
👉 Klassischer Red Team Endgame Move
Wie schützt man sich davor?
KCD minimieren
Nur wenn absolut notwendig einsetzen. Regelmäßig prüfen, ob Delegation noch benötigt wird.
Service Accounts absichern
Lange, zufällige Passwörter. Keine interaktive Anmeldung. gMSA nutzen.
Monitoring
Event Logs: 4769 (Kerberos Service Ticket) überwachen. Ungewöhnliche Ticket Requests erkennen.
Tiered Admin Model
Strikte Trennung von Domain Admin, Service Accounts und Workstations.
BloodHound nutzen (Defensive)
Delegation-Pfade visualisieren und Angriffswege erkennen, bevor ein Angreifer sie nutzt.
Was viele unterschätzen
KCD ist kein Bug.
👉 Es ist ein Feature, das falsch genutzt wird.
Und genau das macht es so gefährlich:
- Schwer zu erkennen
- Schwer zu blockieren
- Oft produktiv notwendig
📊 Fazit
Kerberos Constrained Delegation ist ein klassischer Fall von:
👉 „Sicher gedacht – gefährlich umgesetzt"
Unternehmen unterschätzen:
- Delegation-Abhängigkeiten
- Service Account Risiken
- Laterale Bewegungen
👉 Ergebnis: Ein einziger kompromittierter Account reicht aus.
🔐 Deine AD-Struktur ist wahrscheinlich auch angreifbar.
Wir prüfen:
- Delegation Chains
- Privilege Escalation Pfade
- Active Directory Risiken
🏢 IT-Sicherheit in der Region
Auch Unternehmen im Raum Heinsberg (52525), Aachen und dem Rheinland sind potenzielle Ziele. Wasacon unterstützt lokale Betriebe bei der Absicherung ihrer Active-Directory-Infrastruktur.
Weiterführende Artikel
Häufig gestellte Fragen
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
