--- id: CP-199 slug: active-directory-entra-id-identitaten lang: de title: Active Directory und Entra ID description: Das Unternehmensverzeichnis legt fest, wer wer ist und wer worauf zugreift. Was Beschäftigte tun, was Verantwortliche tun, und die Fallstricke. canonical_url: https://startbrain.io/cyberpedia/de/articles/active-directory-entra-id-identitaten/ markdown_url: https://startbrain.io/cyberpedia/de/articles/active-directory-entra-id-identitaten.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Active Directory und Entra ID“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/active-directory-entra-id-identitaten/ (CC BY 4.0) wing: 3 theme: control_access reflex: cr-062 schema: G3 updated: "2026-11-03" translations: de: https://startbrain.io/cyberpedia/de/articles/active-directory-entra-id-identitaten/ fr: https://startbrain.io/cyberpedia/fr/articles/active-directory-entra-id-identites/ en: https://startbrain.io/cyberpedia/en/articles/active-directory-entra-id-identity/ es: https://startbrain.io/cyberpedia/es/articles/active-directory-entra-id-identidades/ sources: - "n": 1 title: Active Directory Domain Services overview publisher: Microsoft url: https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/get-started/virtual-dc/active-directory-domain-services-overview accessed: "2026-11-03" - "n": 2 title: What is Microsoft Entra? publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/fundamentals/what-is-entra accessed: "2026-11-03" - "n": 3 title: "Valid Accounts: Cloud Accounts, Sub-technique T1078.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1078/004/ accessed: "2026-11-03" - "n": 4 title: Multi-Factor Authentication Request Generation, Technique T1621 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1621/ accessed: "2026-11-03" - "n": 5 title: "How it works: Microsoft Entra multifactor authentication" publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/identity/authentication/concept-mfa-howitworks accessed: "2026-11-03" - "n": 6 title: What is Conditional Access? publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/identity/conditional-access/overview accessed: "2026-11-03" - "n": 7 title: "Valid Accounts: Domain Accounts, Sub-technique T1078.002 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1078/002/ accessed: "2026-11-03" - "n": 8 title: "Steal or Forge Kerberos Tickets: Kerberoasting, Sub-technique T1558.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1558/003/ accessed: "2026-11-03" - "n": 9 title: "OS Credential Dumping: DCSync, Sub-technique T1003.006 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1003/006/ accessed: "2026-11-03" - "n": 10 title: "SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management" publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/63/b/4/final published: "2025-07-31" accessed: "2026-11-03" --- # Active Directory und Entra ID Ein Unternehmensverzeichnis führt die Liste der Konten und regelt, was jedes Konto tun darf. Vor Ort ist das häufig Active Directory Domain Services (AD DS), das Informationen über Benutzerkonten speichert: Namen, Passwörter, Telefonnummern [1]. In der Cloud ist es Microsoft Entra ID, ein Dienst für Identitäts- und Zugriffsverwaltung, der die Authentifizierung, die Durchsetzung von Richtlinien und den Schutz von Benutzern, Geräten, Anwendungen und Ressourcen übernimmt [2]. Für Beschäftigte bleibt das Verzeichnis unsichtbar. Es zeigt sich in zwei Formen: dem Anmeldebildschirm und der Bestätigungsanfrage auf dem Smartphone. Dieser Artikel beschreibt, was Beschäftigte in diesen beiden Momenten tun, was die Verantwortlichen für das Verzeichnis tun und wo die Fallstricke liegen. ## In 30 Sekunden - Wo es vorkommt: bei jeder Anmeldung, auch bei Microsoft 365, denn jeder Abonnent von Microsoft 365, Azure oder Dynamics CRM Online nutzt bereits Entra ID [2]. - Was der Angreifer will: ein gültiges Konto. MITRE ATT&CK beschreibt Konten, die per Brute Force, per Phishing oder auf anderem Weg angegriffen werden [3]. - Der Reflex: Bestätigen Sie eine Anfrage nur, wenn Sie sich gerade selbst angemeldet haben, und melden Sie jede Anfrage, die Sie nicht ausgelöst haben [4]. ## Direkte Fragen ### Wozu dient ein Verzeichnis? Ein Verzeichnis ist eine hierarchische Struktur, die Informationen über die Objekte eines Netzwerks speichert. Ein Verzeichnisdienst wie AD DS stellt diese Daten Benutzern und Administratoren zur Verfügung [1]. Zu diesen Objekten gehören freigegebene Ressourcen (Server, Volumes, Drucker) sowie Benutzer- und Computerkonten [1]. Die Sicherheit ist eingebaut: durch die Authentifizierung bei der Anmeldung und durch die Zugriffskontrolle auf die Objekte des Verzeichnisses [1]. ### Worin unterscheiden sich Active Directory und Entra ID? AD DS ist der Verzeichnisdienst von Windows Server [1]. Entra ID ist sein Gegenstück im Netz: Jeder Microsoft-365-Tenant ist automatisch ein Entra-Tenant [2]. Beide können nebeneinander bestehen. Ein Cloud-Konto kann hybrid sein, das heißt mit einem lokalen Verzeichnis wie Active Directory synchronisiert oder föderiert [3]. Dasselbe Passwort gilt dann in beiden Welten, was den Schaden eines Diebstahls vergrößert [3]. ### Warum genügt ein Passwort allein nicht? Laut Microsoft hinterlässt ein Passwort allein einen ungesicherten Angriffsvektor: Ist es schwach oder wurde es anderswo offengelegt, kann ein Angreifer es verwenden [5]. Die Multifaktor-Authentifizierung verlangt mindestens zwei von drei Elementen: etwas, das man weiß (typischerweise ein Passwort), etwas, das man besitzt (ein Smartphone, ein Hardware-Schlüssel), etwas, das man ist (ein Fingerabdruck, ein Gesicht) [5]. Der zweite Faktor ist für einen Angreifer weder leicht zu beschaffen noch leicht zu duplizieren [5]. Die Organisation kann außerdem Kontextregeln festlegen. Die Richtlinien für bedingten Zugriff von Microsoft Entra sind „Wenn… dann“-Anweisungen: Will ein Benutzer auf eine Anwendung wie Microsoft 365 zugreifen, muss er die Multifaktor-Authentifizierung durchlaufen [6]. Im Firmennetz oder auf einem registrierten Gerät kann die normale Anmeldung genügen; aus der Ferne oder von einem privaten Gerät aus kann ein zusätzlicher Faktor verlangt werden [5]. ### Was tun bei einer Bestätigungsanfrage, die ich nicht ausgelöst habe? Lehnen Sie sie ab und melden Sie sie. MITRE ATT&CK beschreibt die Technik der Erzeugung von MFA-Anfragen: Ein Angreifer, der ein Passwort, aber nicht den zweiten Faktor besitzt, löst Push-Benachrichtigungen aus (Duo Push, Microsoft Authenticator, Okta oder Gleichwertiges), damit das Opfer zustimmt [4]. Er kann die Versuche wiederholen, um den Benutzer mit Benachrichtigungen, SMS und Anrufen zu überhäufen, bis dieser zustimmt; die Quelle nennt das „MFA fatigue“ [4]. Zu den Maßnahmen von MITRE gehört, Benutzer zu schulen, nur Anfragen aus Anmeldungen zu bestätigen, die sie selbst gestartet haben, den Ort des Versuchs zu prüfen und verdächtige oder unaufgeforderte Anfragen zu melden [4]. ### Was kann ein Angreifer mit einem gestohlenen Konto tun? Das hängt vom Konto ab. Domänenkonten sind jene, die von AD DS verwaltet werden, und umfassen Benutzer, Administratoren und Dienste [7]. Sind sie kompromittiert, können sie für den Erstzugriff, die Persistenz, die Ausweitung von Rechten oder die Umgehung von Abwehrmaßnahmen dienen [7]. In der Cloud kann ein hoch privilegiertes Konto, ob föderiert, synchronisiert oder rein cloudbasiert, den Sprung in die lokale Umgebung ermöglichen [3]. ### Was ist Kerberoasting? Bei diesem Angriff fordert ein Angreifer, der ein gültiges Kerberos-Ticket besitzt, bei einem Domänencontroller Diensttickets für Service Principal Names (SPN) an [8]. Ein Teil dieser Tickets kann mit dem Algorithmus RC4 verschlüsselt sein. Der Hash des Dienstkontos dient dann als Schlüssel und wird anfällig für einen Offline-Brute-Force-Angriff, der Zugangsdaten im Klartext offenlegen kann [8]. Geknackte Hashes können Zugang zu gültigen Konten geben, mit Persistenz, Rechteausweitung und lateraler Bewegung [8]. Beschäftigte haben damit nichts zu tun: Die Abwehr obliegt denen, die die Dienstkonten verwalten. ## Wie es funktioniert Das Verzeichnis AD DS besteht aus einem Schema, das die Objektklassen und ihre Attribute definiert, einem globalen Katalog, einem Abfragemechanismus und einem Replikationsdienst [1]. Alle Domänencontroller einer Domäne nehmen an der Replikation teil und enthalten eine vollständige Kopie der Informationen ihrer Domäne: Eine Änderung auf einem wird auf alle repliziert [1]. Entra ID ist das Basisprodukt der Microsoft-Entra-Familie [2]. Zu dieser Familie gehört auch Entra ID Governance, das Zugriffsanfragen, Zuweisungen und Überprüfungen automatisiert und einem Beschäftigten, der das Unternehmen verlässt, die Rechte entziehen kann [2]. Entra ID Protection erkennt und meldet Risiken für Identitäten [2]. Für ältere Anwendungen, die keine moderne Authentifizierung nutzen können, bietet Entra Domain Services verwaltete Dienste wie Gruppenrichtlinien, LDAP und die Kerberos/NTLM-Authentifizierung [2]. Der bedingte Zugriff entscheidet anhand von Signalen: Benutzer oder Gruppe, IP-Standort, Gerät, Anwendung, erkanntes Risiko [6]. Seine Entscheidungen reichen von der Sperrung bis zum Zugriff unter Bedingungen: Multifaktor-Authentifizierung, konformes Gerät, Passwortänderung [6]. Diese Richtlinien greifen nach der Authentifizierung mit dem ersten Faktor [6]. Die Standardsicherheitseinstellungen (security defaults) aktivieren schnell Microsoft Authenticator für alle Benutzer eines Tenants [5]. ## Was Sie tun - Aktivieren Sie die Multifaktor-Authentifizierung, wenn sie Ihnen angeboten wird. Zu den verfügbaren Methoden zählen Microsoft Authenticator, Windows Hello for Business, Passkeys (FIDO2), ein Hardware-Token, SMS und Sprachanruf [5]. Die Methoden werden in My Profile verwaltet [5]. - Bestätigen Sie nur Anfragen, die Sie selbst ausgelöst haben. Trifft eine Anfrage ein, ohne dass Sie etwas versucht haben, lehnen Sie sie ab und melden Sie sie der IT-Abteilung [4]. - Wählen Sie für jeden Dienst ein eigenes, komplexes Passwort: MITRE empfiehlt für Cloud-Konten komplexe und einmalige Passwörter [3]. - Verwenden Sie Ihr berufliches Passwort nicht anderswo. Die MITRE-Quelle zu Domänenkonten nennt die Wiederverwendung von Passwörtern unter den Wegen, Konten zu kompromittieren [7]. Was die Verantwortlichen für das Verzeichnis tun: - Dienstkonten auf das nötige Mindestmaß an Rechten beschränken, auch bei der Mitgliedschaft in privilegierten Gruppen wie Domain Administrators [8]. - Für Dienstkonten lange Passwörter verlangen (idealerweise 25 Zeichen oder mehr), sie erneuern und gruppenverwaltete Dienstkonten oder einen Passwort-Tresor erwägen [8]. - Die Nutzung privilegierter Konten nach Administrationsebenen begrenzen und keine Benutzer- oder Domänenadministratorkonten ohne strenge Kontrolle in lokale Administratorgruppen aufnehmen [9]. - Die Berechtigungen privilegierter Cloud-Konten wie Global Administrator und Privileged Role Administrator regelmäßig überprüfen, kontrollieren, dass kein unberechtigtes privilegiertes Konto angelegt wurde, und einen zeitlich begrenzten privilegierten Zugriff (just-in-time) statt einer dauerhaften Zuweisung erwägen [3]. - Inaktive oder unnötige Konten prüfen und löschen [3]. - Die veraltete Authentifizierung deaktivieren, die die Multifaktor-Authentifizierung nicht unterstützt [3]. ## Die Fallstricke Zu viele Administratorkonten. Jedes privilegierte Konto ist ein Ziel: DCSync etwa ermöglicht es, Passwortdaten aus Active Directory abzuziehen, indem die Replikation eines Domänencontrollers simuliert wird [9]. Mitglieder der Gruppen Administrators, Domain Admins und Enterprise Admins oder die Maschinenkonten des Controllers können es ausführen [9]. Die gewonnenen Hashes, darunter der des Kontos KRBTGT, dienen anschließend dazu, ein Golden Ticket zu fälschen oder ein Passwort zu ändern [9]. Der fehlende zweite Faktor. MITRE berichtet, dass Storm-0501 ein Global-Administrator-Konto des Opfers ohne jede registrierte MFA-Methode nutzte, um auf dessen Cloud-Umgebungen zuzugreifen [3]. Dieselbe Gruppe nutzte kompromittierte Konten, um Microsoft Entra Connect zu erreichen, das die lokalen Identitäten mit Entra synchronisiert, sodass sich Benutzer an beiden mit demselben Passwort anmelden [3]. Die Benachrichtigung, die man irgendwann bestätigt. Die Ermüdung durch Push-Benachrichtigungen ist ein dokumentierter Weg, die Multifaktor-Authentifizierung zu umgehen [4]. MITRE rät, den einfachen Push durch die Eingabe eines Einmalcodes zu ersetzen, der auf dem Anmeldebildschirm angezeigt wird, und die Zahl der in einem Zeitraum gesendeten Anfragen zu begrenzen [4]. Vergessene Dienstkonten. Auf sie zielt das Kerberoasting, auch mit Werkzeugen wie Rubeus oder dem Befehl Invoke-Kerberoast von PowerSploit [8]. MITRE empfiehlt, wenn möglich die AES-Verschlüsselung gegenüber RC4 zu bevorzugen [8]. Der Referenzrahmen. Das NIST hat am 31. Juli 2025 die endgültige Fassung von SP 800-63B-4 veröffentlicht, die der Authentifizierung und der Verwaltung von Authentifikatoren gewidmet ist [10]. Der Text gilt für die Authentifizierung von Personen, die mit den Informationssystemen der US-Regierung interagieren, und legt technische Anforderungen für jede seiner drei Vertrauensstufen fest [10]. Er ersetzt die Fassung SP 800-63B vom März 2020 [10]. ## Reale Fälle ### 2025: Wiper-Angriffe in Polen MITRE ATT&CK verzeichnet für die Angriffe „2025 Poland Wiper Attacks“ zwei Verwendungen von Zugangsdaten in derselben Episode. Die Angreifer nutzten privilegierte Konten, um auf die VPN-Lösung FortiGate und die nachgelagerten Subnetze zuzugreifen [7]. Sie nutzten außerdem Zugangsdaten, die aus lokalen Umgebungen gestohlen worden waren, um auf Cloud-Dienste zuzugreifen [3]. ## Quellen 1. Microsoft, „Active Directory Domain Services overview“. https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/get-started/virtual-dc/active-directory-domain-services-overview (abgerufen am 3. November 2026) 2. Microsoft, „What is Microsoft Entra?“. https://learn.microsoft.com/en-us/entra/fundamentals/what-is-entra (abgerufen am 3. November 2026) 3. MITRE ATT&CK, „Valid Accounts: Cloud Accounts, Sub-technique T1078.004 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1078/004/ (abgerufen am 3. November 2026) 4. MITRE ATT&CK, „Multi-Factor Authentication Request Generation, Technique T1621 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1621/ (abgerufen am 3. November 2026) 5. Microsoft, „How it works: Microsoft Entra multifactor authentication“. https://learn.microsoft.com/en-us/entra/identity/authentication/concept-mfa-howitworks (abgerufen am 3. November 2026) 6. Microsoft, „What is Conditional Access?“. https://learn.microsoft.com/en-us/entra/identity/conditional-access/overview (abgerufen am 3. November 2026) 7. MITRE ATT&CK, „Valid Accounts: Domain Accounts, Sub-technique T1078.002 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1078/002/ (abgerufen am 3. November 2026) 8. MITRE ATT&CK, „Steal or Forge Kerberos Tickets: Kerberoasting, Sub-technique T1558.003 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1558/003/ (abgerufen am 3. November 2026) 9. MITRE ATT&CK, „OS Credential Dumping: DCSync, Sub-technique T1003.006 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1003/006/ (abgerufen am 3. November 2026) 10. NIST, „SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management“, 31. Juli 2025. https://csrc.nist.gov/pubs/sp/800/63/b/4/final (abgerufen am 3. November 2026) --- Originalquelle: Cyberpedia, die öffentliche Enzyklopädie zu Cybersicherheit und KI von Brain. Kanonische Version: https://startbrain.io/cyberpedia/de/articles/active-directory-entra-id-identitaten/ Sie dürfen diesen Text unter der Lizenz CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) frei weiterverwenden, sofern Sie „Brain, Cyberpedia“ mit einem Link auf die obige Adresse nennen.