Active Directory ist Angriffsziel Nummer eins bei Ransomware Warum die meisten Unternehmen ihr Active Directory nicht retten können

Über 90 Prozent der Ransomware-Angriffe zielen auf das Active Directory, aber die meisten Backups enthalten bereits kompromittierte Objekte oder veraltete Strukturen. Microsofts 29-Schritte-Wiederherstellung überfordert Teams unter Zeitdruck, manuelle Prozesse führen zu Fehlern und schaffen Einfallstore für erneute Angriffe. Es braucht forensische Analyse in isolier­ten Umgebungen, Validierung sauberer Backups und Automatisierung. Prävention allein reicht nicht mehr.

Wenn Angreifer das Active Directory (AD) kompromittieren, sind die meisten Unternehmen handlungsunfähig. Als Rückgrat für Authentifizierung, Zugriff und Identitätsverwaltung ist es eines der attraktivsten Angriffsziele überhaupt. Dennoch ist kaum ein Unternehmen wirklich in der Lage, einen kompromittierten AD-Forest schnell und sicher wiederherzustellen.

Keynote von Paula Januszkiewicz

Cyberangriff auf das Active Directory – Das ist jetzt zu tun!

Unsichtbares Herz der Unternehmens-IT

Das Active Directory ist für Mitarbeitende meistens unsichtbar, dennoch ist es geschäftskritisch, denn es verwaltet Identitäten, Berechtigungen und Zugriffe. Damit bildet es die Grundlage für nahezu alle Geschäftsprozesse, von der Anmeldung am Rechner bis zur Cloud-Anwendung.

Doch aufgrund dieser zentralen Rolle ist das AD ein bevorzugtes Ziel moderner Cyberangriffe. In über 90 Prozent der untersuchten Ransomware-Vorfälle war das AD betroffen, so eine Untersuchung des Cyber Event Response Teams (CERT) von Cohesity. Wer es kontrolliert, hat in der Regel auch die Infrastruktur im Griff, vom E-Mail-Server bis zu den Produktionssystemen.

Ein kompromittiertes AD bedeutet unbegrenzten Zugriff auf Systeme und Daten. Dies ermöglicht die Ausbreitung von Malware über Gruppenrichtlinien, die unbemerkte Manipulation von Berechtigungen und im schlimmsten Fall den vollständigen Stillstand des gesamten Betriebs.

Angriffsfläche des eigenen AD reduzieren

Active Directory härten und vor Angriffen schützen

Schnelle Wiederherstellung meist Illusion

Viele IT-Teams verlassen sich auf klassische Backup-Mechanismen und gehen davon aus, dass sich das AD im Ernstfall einfach aus einer Sicherung zurückspielen lässt. Das ist jedoch eine gefährliche Illusion. Denn es ist kein statisches System, sondern ein komplexes, dynamisches Konstrukt mit zahllosen Abhängigkeiten. Die Wiederherstellung ist ein hochsensibler Prozess mit vielen manuellen Schritten und nicht ein einfacher Restore-Vorgang.

Bereits ein einziger Fehler, beispielsweise eine vergessene Metadatenbereinigung oder ein nicht isolierter Domain Controller, kann dazu führen, dass kompromittierte Objekte, Konten oder Richtlinien erneut in das System gelangen. Microsoft selbst listet 29 Schritte auf, um den AD-Forest nach einer Kompromittierung wieder online zu bringen. Im Ernstfall, unter Zeitdruck und mit einem verunsicherten Team, lässt sich das nur sehr schwer fehlerfrei bewältigen, insbesondere da dieses Vorgehen im Normalbetrieb keine Anwendung findet.

Klassische Backups versagen

Darüber hinaus erweist sich die Vorstellung, ein Backup des Active Directory sei automatisch unversehrt, in der Praxis immer wieder als gefährliche Fehleinschätzung. Denn tatsächlich enthalten viele Sicherungen bereits kompromittierte Daten, weil ein Angriff unbemerkt geblieben ist. Zudem verändert sich das AD ständig. So werden in großen Umgebungen täglich Tausende von Objekten aktualisiert. Ein Backup, das wenige Tage alt ist, kann also bereits veraltet oder inkonsistent sein. Wird es trotzdem eingespielt, drohen Datenverlust oder sogar eine Reinfektion durch Schadsoftware sowie persistente Zugriffspfade.

Außerdem sind klassische Backup-Systeme meist nicht für AD-spezifische Anforderungen konzipiert. Vertrauensstellungen, Forest-Strukturen und Replikationsmechanismen lassen sich nicht wie Datenbanken einfach wiederherstellen. Der Versuch, das AD mit Standardwerkzeugen zu rekonstruieren, endet daher oft in einer instabilen oder unsicheren Umgebung.

Local Administrator Password Solution (LAPS) schützt Admin-Konten

Lokale Kennwörter in AD mit Microsoft LAPS schützen

Zeitdruck und Komplexität

Fällt das AD aus, steht das Unternehmen still. Während Angreifer ihre Attacke oft über Wochen oder Monate vorbereitet haben, bleibt dem IT-Team nur ein sehr kurzes Zeitfenster, um auf den Angriff zu reagieren.

So muss die Wiederherstellung unter enormem Druck erfolgen: Systeme sind zu isolieren, um eine weitere Ausbreitung des Angriffs zu verhindern. Gleichzeitig gilt es, die vorhandenen Backups auf ihre Integrität zu prüfen, kompromittierte Konten zu identifizieren und sämtliche Konfigurationen sorgfältig auf Manipulationen zu untersuchen.

Zudem fehlen in vielen Organisationen geübte Prozesse. Denn kaum ein Unternehmen führt regelmäßige Übungen zur AD-Wiederherstellung oder Cyber-Response-Drills durch. Daher sind die Zuständigkeiten oft unklar, wodurch Verzögerungen oder auch Fehlentscheidungen entstehen können. Häufig geht dadurch wertvolle Zeit verloren, während Authentifizierung und Zugriff weiterhin blockiert bleiben.

Identitätsresilienz statt reiner Prävention

Viele Sicherheitsstrategien konzentrieren sich heute auf Prävention: mit Firewalls, Endpoint-Protection, Zero Trust oder MFA. Doch Resilienz bedeutet, auch nach einem erfolgreichen Angriff schnell wieder arbeitsfähig zu sein, insbesondere beim Identitätssystem.

Änderungen, Aktivitäten, Zugriffe und Abläufe im Blick behalten

Die 15 besten Auditing-Tools für Active Directory

Echte Identitätsresilienz umfasst daher drei zentrale Elemente:

• Forensische Analyse: Zunächst muss man verstehen, wie der Angriff erfolgt ist, welche Konten betroffen sind und welche Änderungen vorgenommen wurden.

• Sichere Wiederherstellung: Nur validierte, saubere Backups dürfen verwendet werden, idealerweise in einer isolierten Umgebung.

• Automatisierung: Manuelle Prozesse sind zu fehleranfällig. Automatisierte Orchestrierung verkürzt Wiederherstellungszeiten und reduziert Risiken.

Diese Kombination aus Transparenz, Integrität und Automatisierung ist der Schlüssel, um ein kompromittiertes AD kontrolliert und sicher zurückzubringen.

Automatisierte AD-Recovery

Moderne Lösungen integrieren Backup, Forensik und Orchestrierung zu einem geschlossenen Sicherheits- und Wiederherstellungsprozess. Durch die Kombination von beispielsweise Cohesity und Semperis lässt sich ein kompromittiertes Active Directory zunächst in einer isolierten Umgebung analysieren. Die Lösung erkennt Manipulationen, prüft Backups auf Schadcode und orchestriert anschließend eine automatisierte, saubere Wiederherstellung. Dabei werden kompromittierte Objekte ausgeschlossen, Berechtigungen und Richtlinien validiert und der Wiederherstellungsprozess dokumentiert und geprüft.

Das Ergebnis ist ein nachweislich sauberer AD-Zustand und eine signifikant verkürzte Recovery Time Objective (RTO). Dabei ersetzt Automatisierung nicht den Menschen, aber sie verhindert viele Fehler, die in Stresssituationen unvermeidlich sind.

Video-Tipp #62: Passwortsicherheit in Active Directory

Mehr Kennwortsicherheit in Active Directory

Ohne sichere AD-Recovery keine Cyberresilienz

Das Active Directory gehört zu den am häufigsten angegriffenen und zugleich kritischsten Komponenten der IT-Infrastruktur. Ein Angriff ist fast immer gleichbedeutend mit einem vollständigen Stillstand des Unternehmens. Wer Cyberresilienz ernst nimmt, darf sich nicht allein auf Prävention verlassen. Die Fähigkeit, das AD sicher, automatisiert und nachvollziehbar wiederherzustellen, ist mittlerweile die Basis moderner IT-Sicherheit. Nur wer sein Identitätssystem schnell und sauber reaktivieren kann, schützt nicht nur seine Infrastruktur, sondern auch die eigene Handlungsfähigkeit in der Krise.

Über den Autor: Christoph Linden ist Field Technical Director bei Cohesity.

NAS als Domänencontroller

So binden Sie Ihr Synology-NAS an das Active Directory an

(ID:50689303)