Cyberpediavon Brain
DEENFR

Active Directory und Entra ID

Das Unternehmensverzeichnis legt fest, wer wer ist und wer worauf zugreift. Was Beschäftigte tun, was Verantwortliche tun, und die Fallstricke.

In 30 Sekunden

Wo es vorkommt
Bei jeder Anmeldung, auch bei Microsoft 365, denn jeder Abonnent von Microsoft 365, Azure oder Dynamics CRM Online nutzt bereits Entra ID2.
Was der Angreifer will
Ein gültiges Konto. MITRE ATT&CK beschreibt Konten, die per Brute Force, per Phishing oder auf anderem Weg angegriffen werden3.
Der Reflex
Bestätigen Sie eine Anfrage nur, wenn Sie sich gerade selbst angemeldet haben, und melden Sie jede Anfrage, die Sie nicht ausgelöst haben4.

Worum es geht

Ein Unternehmensverzeichnis führt die Liste der Konten und regelt, was jedes Konto tun darf. Vor Ort ist das häufig Active Directory Domain Services (AD DS), das Informationen über Benutzerkonten speichert: Namen, Passwörter, Telefonnummern1. In der Cloud ist es Microsoft Entra ID, ein Dienst für Identitäts- und Zugriffsverwaltung, der die Authentifizierung, die Durchsetzung von Richtlinien und den Schutz von Benutzern, Geräten, Anwendungen und Ressourcen übernimmt2.

Für Beschäftigte bleibt das Verzeichnis unsichtbar. Es zeigt sich in zwei Formen: dem Anmeldebildschirm und der Bestätigungsanfrage auf dem Smartphone. Dieser Artikel beschreibt, was Beschäftigte in diesen beiden Momenten tun, was die Verantwortlichen für das Verzeichnis tun und wo die Fallstricke liegen.

Direkte Fragen

Wozu dient ein Verzeichnis?

Ein Verzeichnis ist eine hierarchische Struktur, die Informationen über die Objekte eines Netzwerks speichert. Ein Verzeichnisdienst wie AD DS stellt diese Daten Benutzern und Administratoren zur Verfügung1. Zu diesen Objekten gehören freigegebene Ressourcen (Server, Volumes, Drucker) sowie Benutzer- und Computerkonten1. Die Sicherheit ist eingebaut: durch die Authentifizierung bei der Anmeldung und durch die Zugriffskontrolle auf die Objekte des Verzeichnisses1.

Worin unterscheiden sich Active Directory und Entra ID?

AD DS ist der Verzeichnisdienst von Windows Server1. Entra ID ist sein Gegenstück im Netz: Jeder Microsoft-365-Tenant ist automatisch ein Entra-Tenant2. Beide können nebeneinander bestehen. Ein Cloud-Konto kann hybrid sein, das heißt mit einem lokalen Verzeichnis wie Active Directory synchronisiert oder föderiert3. Dasselbe Passwort gilt dann in beiden Welten, was den Schaden eines Diebstahls vergrößert3.

Warum genügt ein Passwort allein nicht?

Laut Microsoft hinterlässt ein Passwort allein einen ungesicherten Angriffsvektor: Ist es schwach oder wurde es anderswo offengelegt, kann ein Angreifer es verwenden5. Die Multifaktor-Authentifizierung verlangt mindestens zwei von drei Elementen: etwas, das man weiß (typischerweise ein Passwort), etwas, das man besitzt (ein Smartphone, ein Hardware-Schlüssel), etwas, das man ist (ein Fingerabdruck, ein Gesicht)5. Der zweite Faktor ist für einen Angreifer weder leicht zu beschaffen noch leicht zu duplizieren5.

Die Organisation kann außerdem Kontextregeln festlegen. Die Richtlinien für bedingten Zugriff von Microsoft Entra sind „Wenn… dann“-Anweisungen: Will ein Benutzer auf eine Anwendung wie Microsoft 365 zugreifen, muss er die Multifaktor-Authentifizierung durchlaufen6. Im Firmennetz oder auf einem registrierten Gerät kann die normale Anmeldung genügen; aus der Ferne oder von einem privaten Gerät aus kann ein zusätzlicher Faktor verlangt werden5.

Was tun bei einer Bestätigungsanfrage, die ich nicht ausgelöst habe?

Lehnen Sie sie ab und melden Sie sie. MITRE ATT&CK beschreibt die Technik der Erzeugung von MFA-Anfragen: Ein Angreifer, der ein Passwort, aber nicht den zweiten Faktor besitzt, löst Push-Benachrichtigungen aus (Duo Push, Microsoft Authenticator, Okta oder Gleichwertiges), damit das Opfer zustimmt4. Er kann die Versuche wiederholen, um den Benutzer mit Benachrichtigungen, SMS und Anrufen zu überhäufen, bis dieser zustimmt; die Quelle nennt das „MFA fatigue“4. Zu den Maßnahmen von MITRE gehört, Benutzer zu schulen, nur Anfragen aus Anmeldungen zu bestätigen, die sie selbst gestartet haben, den Ort des Versuchs zu prüfen und verdächtige oder unaufgeforderte Anfragen zu melden4.

Was kann ein Angreifer mit einem gestohlenen Konto tun?

Das hängt vom Konto ab. Domänenkonten sind jene, die von AD DS verwaltet werden, und umfassen Benutzer, Administratoren und Dienste7. Sind sie kompromittiert, können sie für den Erstzugriff, die Persistenz, die Ausweitung von Rechten oder die Umgehung von Abwehrmaßnahmen dienen7. In der Cloud kann ein hoch privilegiertes Konto, ob föderiert, synchronisiert oder rein cloudbasiert, den Sprung in die lokale Umgebung ermöglichen3.

Was ist Kerberoasting?

Bei diesem Angriff fordert ein Angreifer, der ein gültiges Kerberos-Ticket besitzt, bei einem Domänencontroller Diensttickets für Service Principal Names (SPN) an8. Ein Teil dieser Tickets kann mit dem Algorithmus RC4 verschlüsselt sein. Der Hash des Dienstkontos dient dann als Schlüssel und wird anfällig für einen Offline-Brute-Force-Angriff, der Zugangsdaten im Klartext offenlegen kann8. Geknackte Hashes können Zugang zu gültigen Konten geben, mit Persistenz, Rechteausweitung und lateraler Bewegung8. Beschäftigte haben damit nichts zu tun: Die Abwehr obliegt denen, die die Dienstkonten verwalten.

1Wie es funktioniert1 min

Das Verzeichnis AD DS besteht aus einem Schema, das die Objektklassen und ihre Attribute definiert, einem globalen Katalog, einem Abfragemechanismus und einem Replikationsdienst1. Alle Domänencontroller einer Domäne nehmen an der Replikation teil und enthalten eine vollständige Kopie der Informationen ihrer Domäne: Eine Änderung auf einem wird auf alle repliziert1.

Entra ID ist das Basisprodukt der Microsoft-Entra-Familie2. Zu dieser Familie gehört auch Entra ID Governance, das Zugriffsanfragen, Zuweisungen und Überprüfungen automatisiert und einem Beschäftigten, der das Unternehmen verlässt, die Rechte entziehen kann2. Entra ID Protection erkennt und meldet Risiken für Identitäten2. Für ältere Anwendungen, die keine moderne Authentifizierung nutzen können, bietet Entra Domain Services verwaltete Dienste wie Gruppenrichtlinien, LDAP und die Kerberos/NTLM-Authentifizierung2.

Der bedingte Zugriff entscheidet anhand von Signalen: Benutzer oder Gruppe, IP-Standort, Gerät, Anwendung, erkanntes Risiko6. Seine Entscheidungen reichen von der Sperrung bis zum Zugriff unter Bedingungen: Multifaktor-Authentifizierung, konformes Gerät, Passwortänderung6. Diese Richtlinien greifen nach der Authentifizierung mit dem ersten Faktor6. Die Standardsicherheitseinstellungen (security defaults) aktivieren schnell Microsoft Authenticator für alle Benutzer eines Tenants5.

2Was Sie tun1 min
  • Aktivieren Sie die Multifaktor-Authentifizierung, wenn sie Ihnen angeboten wird. Zu den verfügbaren Methoden zählen Microsoft Authenticator, Windows Hello for Business, Passkeys (FIDO2), ein Hardware-Token, SMS und Sprachanruf5. Die Methoden werden in My Profile verwaltet5.
  • Bestätigen Sie nur Anfragen, die Sie selbst ausgelöst haben. Trifft eine Anfrage ein, ohne dass Sie etwas versucht haben, lehnen Sie sie ab und melden Sie sie der IT-Abteilung4.
  • Wählen Sie für jeden Dienst ein eigenes, komplexes Passwort: MITRE empfiehlt für Cloud-Konten komplexe und einmalige Passwörter3.
  • Verwenden Sie Ihr berufliches Passwort nicht anderswo. Die MITRE-Quelle zu Domänenkonten nennt die Wiederverwendung von Passwörtern unter den Wegen, Konten zu kompromittieren7.

Was die Verantwortlichen für das Verzeichnis tun:

  • Dienstkonten auf das nötige Mindestmaß an Rechten beschränken, auch bei der Mitgliedschaft in privilegierten Gruppen wie Domain Administrators8.
  • Für Dienstkonten lange Passwörter verlangen (idealerweise 25 Zeichen oder mehr), sie erneuern und gruppenverwaltete Dienstkonten oder einen Passwort-Tresor erwägen8.
  • Die Nutzung privilegierter Konten nach Administrationsebenen begrenzen und keine Benutzer- oder Domänenadministratorkonten ohne strenge Kontrolle in lokale Administratorgruppen aufnehmen9.
  • Die Berechtigungen privilegierter Cloud-Konten wie Global Administrator und Privileged Role Administrator regelmäßig überprüfen, kontrollieren, dass kein unberechtigtes privilegiertes Konto angelegt wurde, und einen zeitlich begrenzten privilegierten Zugriff (just-in-time) statt einer dauerhaften Zuweisung erwägen3.
  • Inaktive oder unnötige Konten prüfen und löschen3.
  • Die veraltete Authentifizierung deaktivieren, die die Multifaktor-Authentifizierung nicht unterstützt3.
3Die Fallstricke2 min

Zu viele Administratorkonten. Jedes privilegierte Konto ist ein Ziel: DCSync etwa ermöglicht es, Passwortdaten aus Active Directory abzuziehen, indem die Replikation eines Domänencontrollers simuliert wird9. Mitglieder der Gruppen Administrators, Domain Admins und Enterprise Admins oder die Maschinenkonten des Controllers können es ausführen9. Die gewonnenen Hashes, darunter der des Kontos KRBTGT, dienen anschließend dazu, ein Golden Ticket zu fälschen oder ein Passwort zu ändern9.

Der fehlende zweite Faktor. MITRE berichtet, dass Storm-0501 ein Global-Administrator-Konto des Opfers ohne jede registrierte MFA-Methode nutzte, um auf dessen Cloud-Umgebungen zuzugreifen3. Dieselbe Gruppe nutzte kompromittierte Konten, um Microsoft Entra Connect zu erreichen, das die lokalen Identitäten mit Entra synchronisiert, sodass sich Benutzer an beiden mit demselben Passwort anmelden3.

Die Benachrichtigung, die man irgendwann bestätigt. Die Ermüdung durch Push-Benachrichtigungen ist ein dokumentierter Weg, die Multifaktor-Authentifizierung zu umgehen4. MITRE rät, den einfachen Push durch die Eingabe eines Einmalcodes zu ersetzen, der auf dem Anmeldebildschirm angezeigt wird, und die Zahl der in einem Zeitraum gesendeten Anfragen zu begrenzen4.

Vergessene Dienstkonten. Auf sie zielt das Kerberoasting, auch mit Werkzeugen wie Rubeus oder dem Befehl Invoke-Kerberoast von PowerSploit8. MITRE empfiehlt, wenn möglich die AES-Verschlüsselung gegenüber RC4 zu bevorzugen8.

Der Referenzrahmen. Das NIST hat am 31. Juli 2025 die endgültige Fassung von SP 800-63B-4 veröffentlicht, die der Authentifizierung und der Verwaltung von Authentifikatoren gewidmet ist10. Der Text gilt für die Authentifizierung von Personen, die mit den Informationssystemen der US-Regierung interagieren, und legt technische Anforderungen für jede seiner drei Vertrauensstufen fest10. Er ersetzt die Fassung SP 800-63B vom März 202010.

4Reale Fälle1 min

2025: Wiper-Angriffe in Polen

MITRE ATT&CK verzeichnet für die Angriffe „2025 Poland Wiper Attacks“ zwei Verwendungen von Zugangsdaten in derselben Episode. Die Angreifer nutzten privilegierte Konten, um auf die VPN-Lösung FortiGate und die nachgelagerten Subnetze zuzugreifen7. Sie nutzten außerdem Zugangsdaten, die aus lokalen Umgebungen gestohlen worden waren, um auf Cloud-Dienste zuzugreifen3.

Merkblatt

Kennung
CP-199
Flügel
3. Protokolle und Abwehr
Brain-Kompetenz
Zugriffe kontrollieren (control_access)
Brain-Reflex
cr-062
Schema
G3 · Anatomischer Schnitt
Sprachen
de, en, fr
Quellen
10 Quellen geprüft am 3. November 2026
Quellen10 Quellen
  1. Microsoft, „Active Directory Domain Services overview“. https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/get-started/virtual-dc/active-directory-domain-services-overview (abgerufen am 3. November 2026)
  2. Microsoft, „What is Microsoft Entra?“. https://learn.microsoft.com/en-us/entra/fundamentals/what-is-entra (abgerufen am 3. November 2026)
  3. MITRE ATT&CK, „Valid Accounts: Cloud Accounts, Sub-technique T1078.004 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1078/004/ (abgerufen am 3. November 2026)
  4. MITRE ATT&CK, „Multi-Factor Authentication Request Generation, Technique T1621 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1621/ (abgerufen am 3. November 2026)
  5. Microsoft, „How it works: Microsoft Entra multifactor authentication“. https://learn.microsoft.com/en-us/entra/identity/authentication/concept-mfa-howitworks (abgerufen am 3. November 2026)
  6. Microsoft, „What is Conditional Access?“. https://learn.microsoft.com/en-us/entra/identity/conditional-access/overview (abgerufen am 3. November 2026)
  7. MITRE ATT&CK, „Valid Accounts: Domain Accounts, Sub-technique T1078.002 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1078/002/ (abgerufen am 3. November 2026)
  8. MITRE ATT&CK, „Steal or Forge Kerberos Tickets: Kerberoasting, Sub-technique T1558.003 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1558/003/ (abgerufen am 3. November 2026)
  9. MITRE ATT&CK, „OS Credential Dumping: DCSync, Sub-technique T1003.006 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1003/006/ (abgerufen am 3. November 2026)
  10. NIST, „SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management“, 31. Juli 2025. https://csrc.nist.gov/pubs/sp/800/63/b/4/final (abgerufen am 3. November 2026)

Diesen Artikel zitieren

Brain, „Active Directory und Entra ID“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/active-directory-entra-id-identitaten/

BibTeX 
@misc{brain_cp199_de_2026,
  author = {Brain},
  title = {Active Directory und Entra ID},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/de/articles/active-directory-entra-id-identitaten/},
  note = {CC BY 4.0}
}
Lizenz CC BY 4.0