Die wichtigsten Erkenntnisse
- Social-Engineering-Angriffe auf den Helpdesk sind mittlerweile ein Hauptangriffspunkt, wobei Vishing-Angriffe (Voice-Phishing) rapide zunehmen und zum Diebstahl von Zugangsdaten führen.
- Nicht-menschliche Identitäten wie Dienstkonten und Tokens stellen einen erheblichen Sicherheitsblindfleck dar; sie werden oft nicht verwaltet und in großem Umfang für laterale Bewegungen ausgenutzt.
- Active Directory (AD) ist aufgrund seiner zentralisierten Steuerung und möglicher Fehlkonfigurationen ein besonders attraktives Angriffsziel.
- Prävention allein reicht nicht aus; Unternehmen benötigen leistungsfähige Erkennungs- und schnelle Wiederherstellungsfunktionen, um den Schaden zu begrenzen.
- Sofortige operative Maßnahmen – wie die Überprüfung von Konten und der Abgleich von Helpdesk-Aktivitäten mit Identitätsänderungen – können das Risiko erheblich verringern.
AD ist nach wie vor ein Hauptziel für Angreifer, da es das Herzstück der Identitätsverwaltung in Unternehmen bildet. Jüngste Untersuchungen zeigen, dass 67 % aller Vorfälle mittlerweile mit Identitätsmissbrauch in Verbindung stehen, wobei Angreifer bereits innerhalb weniger Stunden nach dem ersten Zugriff kritische Systeme wie AD ins Visier nehmen. Ist das System erst einmal kompromittiert, kann die Wiederherstellung Tage oder Wochen dauern – was zu erheblichen Betriebsstörungen führt.
Die Frage, die man sich stellen sollte, lautet nicht, ob AD ein Angriffsziel ist. Es geht vielmehr darum, wie Angreifer dorthin gelangen – und warum der Weg dorthin so viel kürzer ist, als Sicherheitsteams vielleicht erwarten würden.
3 Schritte zu einer umfassenden Kompromittierung
Angreifergruppen wie ShinyHunters und Scattered Spider haben Social Engineering zu einem vollwertigen Geschäftsbetrieb ausgebaut. Voice-Phishing – auch „Vishing“ genannt – stieg im Jahr 2025 um 449 %. Anrufer werden rekrutiert, erhalten Skripte und werden je nach Erfolg und Trefferquote mit bis zu 1.000 US-Dollar bezahlt.
Das bedeutet, dass ein Angriff bereits mit einem einzigen Schritt eingeleitet werden kann: Man lässt das Passwort zurücksetzen oder die Multi-Faktor-Authentifizierung (MFA) ändern. Das ist schon alles.
Ausgehend von dieser einzigen Anmeldeinformation bewegt sich der Angreifer lateral in Cloud- und virtualisierten Umgebungen. Er sammelt OAuth-Token, erstellt neue administrative Dienstkonten und bettet Zugriffsrechte in Anmeldeinformationen auf Maschinenebene ein. Diese nicht-menschlichen Identitäten – Dienstkonten, API-Schlüssel, Token – übersteigen mittlerweile die Zahl der menschlichen Nutzer im Verhältnis 144 zu 1. Die Ausbreitung und der operative Aufwand erschweren die Rotation und die Überprüfung. Diese laterale Bewegung hat ein Ziel: Active Directory.
AD ist das Ziel
AD ist das zentrale Nervensystem der Unternehmensidentität. Wer es kontrolliert, kontrolliert alles – Benutzerkonten, Gruppenrichtlinien und den Zugriff auf jedes domänengebundene System im Netzwerk. Der Grund, warum es für Angreifer so attraktiv – und so schwer zu verteidigen – ist, liegt in seiner Struktur. Jeder authentifizierte Benutzer kann das gesamte Verzeichnis einsehen. Jedes domänengebundene System erbt das Vertrauen von ihm.
Gruppenrichtlinienobjekte, die auf der Domänenkopfeebene verknüpft sind, können als Waffe eingesetzt werden, um Sicherheitskontrollen vollständig zu deaktivieren. Ältere Protokolle, die aus Gründen der Anwendungskompatibilität aktiviert bleiben, bieten einen einfachen Zugang. In der Dokumentation von Microsoft heißt es: „Die meisten Identitätsangriffe nutzen häufige Fehlkonfigurationen im Active Directory aus.“ Wenn ein Angreifer das Active Directory erreicht, muss er sich keinen gewaltsamen Zugang verschaffen. Die Tür steht in der Regel offen.
Prävention ist notwendig, reicht aber nicht aus
Der Standard-Sicherheitsstack – MFA, Endpunktüberwachung, E-Mail-Filterung – basiert auf menschlichem Verhalten. Er wurde nicht dafür konzipiert, die Ebene der Maschinenidentitäten zu steuern oder jene Art der langsamen, legitim erscheinenden Privilegienerweiterung zu erkennen, die für moderne AD-Angriffe charakteristisch ist. Ein Angreifer, der sich innerhalb von 72 Stunden von einem kompromittierten Benutzerkonto über ein Dienstkonto bis hin zu einem Domänenadministrator hocharbeitet, löst möglicherweise keinen einzigen Alarm aus.
Deshalb muss sich der Fokus von „Prävention zuerst“ hin zu „Wiederherstellung zuerst“ verlagern. Prävention ist nach wie vor wichtig. Zugriff mit minimalen Berechtigungen, die Überwachung von AD-Änderungen, die Absicherung von Standardkonfigurationen und die Deaktivierung inaktiver Konten – all dies kann dazu beitragen, die Angriffsfläche zu verringern. Angesichts der Tatsache, dass bereits die Hälfte aller Unternehmen Opfer eines AD-Angriffs geworden ist, bedeutet eine ausschließlich auf Prävention ausgerichtete Strategie jedoch, das Scheitern vorprogrammiert zu haben.
Echte Identitätsresilienz erfordert die Fähigkeit, unbefugte Privilegienerweiterungen nahezu in Echtzeit zu erkennen, böswillige Änderungen rückgängig zu machen, bevor sie sich ausbreiten, und die Identitätsumgebung schnell in einen bekannten, vertrauenswürdigen Zustand zurückzusetzen – nicht erst nach Tagen oder Wochen, sondern schnell genug, um den Schadensumfang einzudämmen. Das bedeutet, Active Directory und die Ebene der nicht-menschlichen Identitäten als Tier-0-Ressourcen zu behandeln und dabei dieselben Investitionen in Governance und Wiederherstellung zu tätigen, wie man sie auch für jedes andere geschäftskritische System vornehmen würde.
Was Sie jetzt tun können, um Ihre Identitätsresilienz zu stärken
Die Kluft zwischen dem aktuellen Stand der meisten Unternehmen und dem angestrebten Ziel bei der Identitätsresilienz ist real. Aber sie lässt sich schließen. Die unmittelbaren Prioritäten sind unspektakulär und operativ:
- Überprüfen Sie den Inhalt Ihres AD.
- Finden Sie die Konten, die eigentlich nicht mehr existieren sollten.
- Ändern Sie die Zugangsdaten, die seit Jahren nicht mehr verwendet wurden.
- Stellen Sie einen Zusammenhang zwischen den Helpdesk-Aktivitäten und den Vorgängen zur Erstellung von Tokens und Konten her.
Eine Anfrage beim Helpdesk, gefolgt von einer Zurücksetzung der Multi-Faktor-Authentifizierung und der Einrichtung eines neuen Dienstkontos, ist ein sehr aussagekräftiges Anzeichen für einen Angriff – und lässt sich erkennen, wenn man gezielt danach sucht.
Die längerfristige Aufgabe ist struktureller Natur: Bauen Sie Wiederherstellungsfunktionen in Ihr Identitätsmanagement ein, damit Sie im Falle eines erfolgreichen Angriffs – und dabei geht es in der Regel nicht um das „Ob“, sondern um das „Wann“ – diesen eindämmen, rückgängig machen und versuchen können, das Vertrauen schneller wiederherzustellen, als der Angreifer seine Position festigen kann.
Angreifer setzen darauf, dass Ihr AD unkontrolliert ist, Ihre Maschinenidentitäten unsichtbar sind und Ihr Recovery-Plan rein theoretischer Natur ist. Schließen Sie in diesem Quartal eine dieser Lücken. Schließen Sie alle drei, und Sie haben die Ausgangslage grundlegend verändert. Erfahren Sie, wie Commvault Cloud umfassenden Schutz für Active Directory Cloud bietet – von der Schwachstellenanalyse über das Rollback mit einem Klick bis hin zur vollständigen Wiederherstellung der Gesamtstruktur.
Ich war kürzlich zusammen mit Vidya Shankaran zu Gast im STRIVE-Podcast, um über die Governance-Lücke bei nicht-menschlichen Identitäten zu sprechen. Hören Sie sich unsere Folge hier an. Und lesen Sie unbedingt Vidyas Blogbeitrag „Der blinde Fleck bei Maschinenidentitäten ist mittlerweile eine primäre Angriffsfläche“.
FAQs
F: Warum stellen Helpdesks zunehmend ein großes Sicherheitsrisiko dar? A: Helpdesks werden häufig damit betraut, Passwörter zurückzusetzen und MFA-Einstellungen zu ändern, was sie zu attraktiven Zielen für Social-Engineering-Angriffe macht. Angreifer nutzen dieses Vertrauen aus, um sich mit minimalem Widerstand einen ersten Zugriff zu verschaffen. F: Welche Rolle spielen nicht-menschliche Identitäten bei Angriffen?
A: Der hohe Verwaltungsaufwand und die Betriebskosten erschweren die Rotation und Überprüfung nicht-menschlicher Identitäten wie Dienstkonten und API-Schlüssel. Angreifer nutzen diese, um ihre Präsenz aufrechtzuerhalten und sich unbemerkt zwischen den Systemen zu bewegen. F: Warum ist AD ein so kritisches Ziel? A: AD steuert die Authentifizierung und den Zugriff im gesamten Netzwerk. Durch die Übernahme der Kontrolle darüber können Angreifer Benutzer, Richtlinien und Systeme in großem Umfang verwalten. F: Reichen MFA und Endpunktsicherheit nicht aus, um diese Angriffe zu verhindern? A: Diese Tools konzentrieren sich auf menschliches Verhalten und erkennen möglicherweise keine langsamen, legitim erscheinenden Berechtigungserweiterungen. Angreifer können sich innerhalb normaler Verhaltensmuster bewegen und so vermeiden, dass Warnmeldungen ausgelöst werden. F: Was bedeutet ein Sicherheitsansatz, bei dem die Wiederherstellung im Vordergrund steht? A: Es bedeutet, sich auf die Realität einzustellen, dass Sicherheitsverletzungen auftreten werden, und der Fähigkeit Priorität einzuräumen, diese schnell zu erkennen, einzudämmen und rückgängig zu machen. Dieser Ansatz trägt dazu bei, Ausfallzeiten zu reduzieren und die Gesamtauswirkungen zu begrenzen. F: Was sind die wichtigsten Maßnahmen, die sofort ergriffen werden müssen? A: Beginnen Sie damit, Ihr Active Directory zu überprüfen, nicht mehr benötigte Konten zu löschen, veraltete Anmeldedaten zu ändern und auf verdächtige Abfolgen von Helpdesk- und identitätsbezogenen Aktivitäten zu achten. Dan Conrad ist leitender Technologe und Field CTO bei Commvault.
