Was Active Directory tut
| Funktion | Beispiel |
|---|---|
| Anmeldung | ein Konto für PC, Server, Drucker, WLAN |
| Benutzer und Gruppen | Abteilung Buchhaltung, Geschäftsführung |
| Rechte | wer welche Ordner sehen darf |
| Gruppenrichtlinien | Bildschirmsperre, Laufwerke, Sicherheitseinstellungen |
| Computerverwaltung | welche Geräte zur Domäne gehören |
Die Server, auf denen AD läuft, heißen Domänencontroller.
Active Directory und Entra ID
| Active Directory | Microsoft Entra ID | |
|---|---|---|
| Ort | im eigenen Netz, auf Domänencontrollern | Cloud-Dienst von Microsoft |
| Zweck | Anmeldung an PCs, Servern, lokalen Diensten | Anmeldung an Microsoft 365 und Cloud-Diensten |
| Kombination | beide werden oft synchronisiert (hybride Identität) |
Kleinere Unternehmen ohne eigene Server arbeiten zunehmend nur noch mit Entra ID.
Warum AD ein Hauptziel ist
Behörden aus Australien, den USA, Kanada, Großbritannien und Neuseeland beschreiben Active Directory als die weltweit am häufigsten genutzte Lösung für Anmeldung und Berechtigungen in Firmennetzen; seine zentrale Rolle macht es zu einem wertvollen Ziel, und die großzügigen Standardeinstellungen machen es anfällig.[1] Zu ihren wichtigsten Empfehlungen gehören:[1]
- Privilegierte Konten auf wenige Personen begrenzen und regelmäßig prüfen.
- Administratorkonten nicht auf normalen Arbeitsplätzen verwenden (Stufenmodell).
- Eindeutige, verwaltete Passwörter für lokale Administratoren, etwa mit LAPS.
- Lange Passwörter oder verwaltete Dienstkonten für Dienste.
- Domänencontroller härten und nur für AD nutzen.
- Protokolle der Domänencontroller zentral sammeln und auswerten.
- Backups der Domänencontroller verschlüsseln und streng schützen.
Beispiel aus der Praxis
Bei einer Prüfung eines Maschinenbauers zeigt sich: Zwölf Konten sind Domänen-Administrator, darunter zwei ehemalige Auszubildende und ein Dienstkonto mit einem Passwort aus dem Jahr 2015. Der Dienstleister reduziert die Administratoren auf drei persönliche Konten mit zweitem Faktor, ersetzt das Dienstkonto durch ein verwaltetes Dienstkonto und richtet für die lokalen Administratorkennwörter LAPS ein.
Kurz gesagt
Active Directory verwaltet Benutzer, Geräte und Rechte im Firmennetz und entscheidet über den Zugang zu fast allem. Deshalb ist es ein Hauptziel von Angreifern; wenige, gut geschützte Administratorkonten und gehärtete Domänencontroller sind die wichtigsten Schutzmaßnahmen.
Weiterlesen: Netzwerksicherheit für Firmen, MFA oder Passwortmanager?