--- id: CP-492 slug: sichere-zeitsynchronisation-ntp lang: de title: Die sichere Zeitsynchronisation description: Warum die Computer eines Unternehmens dieselbe Uhrzeit teilen müssen, was Beschäftigte tun und welche Fallen ein falsch eingestellter Zeitserver birgt. canonical_url: https://startbrain.io/cyberpedia/de/articles/sichere-zeitsynchronisation-ntp/ markdown_url: https://startbrain.io/cyberpedia/de/articles/sichere-zeitsynchronisation-ntp.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Die sichere Zeitsynchronisation“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/sichere-zeitsynchronisation-ntp/ (CC BY 4.0) wing: 3 theme: understand_cyberspace reflex: cr-060 schema: G3 updated: "2026-11-03" translations: de: https://startbrain.io/cyberpedia/de/articles/sichere-zeitsynchronisation-ntp/ fr: https://startbrain.io/cyberpedia/fr/articles/synchronisation-horaire-ntp-securisee/ en: https://startbrain.io/cyberpedia/en/articles/secure-ntp-time-synchronization/ es: https://startbrain.io/cyberpedia/es/articles/sincronizacion-horaria-ntp-segura/ sources: - "n": 1 title: Maximum tolerance for computer clock synchronization publisher: Microsoft url: https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2012-r2-and-2012/jj852172(v=ws.11) accessed: "2026-11-03" - "n": 2 title: Windows Time Service (W32Time) publisher: Microsoft url: https://learn.microsoft.com/en-us/windows-server/networking/windows-time-service/windows-time-service-top accessed: "2026-11-03" - "n": 3 title: Kerberos authentication overview in Windows Server publisher: Microsoft url: https://learn.microsoft.com/en-us/windows-server/security/kerberos/kerberos-authentication-overview accessed: "2026-11-03" - "n": 4 title: NIST Internet Time Service (ITS) publisher: NIST url: https://www.nist.gov/pml/time-and-frequency-division/time-distribution/internet-time-service-its published: "2010-02-10" accessed: "2026-11-03" - "n": 5 title: How the Windows Time Service Works publisher: Microsoft url: https://learn.microsoft.com/en-us/windows-server/networking/windows-time-service/how-the-windows-time-service-works accessed: "2026-11-03" - "n": 6 title: Configure NTP on a compute instance publisher: Google url: https://docs.cloud.google.com/compute/docs/instances/time-synchronization/configure-ntp accessed: "2026-11-03" --- # Die sichere Zeitsynchronisation In einem Unternehmen prüfen sich Computer und Server ständig gegenseitig: wer sich anmeldet, wo und zu welchem Zeitpunkt. Ein Teil dieser Prüfungen beruht auf der Uhrzeit. Sind sich zwei Geräte über die Uhrzeit nicht einig, schlagen manche Prüfungen fehl. Beschäftigte merken das an einer abgelehnten Anmeldung oder an einer Fehlermeldung, die sie sich nicht erklären können. Zeitsynchronisation bedeutet, alle Uhren in regelmäßigen Abständen und ohne menschliches Eingreifen nach derselben Referenz zu stellen. Diese Seite erklärt das Prinzip, was Beschäftigte selbst kontrollieren können, und einige Konfigurationsfehler, die vor allem die IT betreffen. ## In 30 Sekunden - Wo es vorkommt: bei der Anmeldung, beim Zugriff auf einen internen Dienst oder bei einer Fehlermeldung zur Verbindung ohne erkennbare Ursache. - Was passiert: Die Kerberos-Authentifizierung toleriert standardmäßig eine Abweichung von 5 Minuten zwischen zwei Uhren [1]. - Der Reflex: Datum und Uhrzeit auf automatischer Einstellung lassen und jeden ungeklärten Verbindungs- oder Zertifikatsfehler der IT melden, statt ihn zu umgehen. - Wenn es schon passiert ist: Wurde die Uhrzeit des Geräts von Hand eingestellt, wieder auf automatisch umstellen und die IT informieren. ## Direkte Fragen ### Warum spielt die Uhrzeit bei der Anmeldung eine Rolle? Das Protokoll Kerberos, das in Windows-Netzwerken von Unternehmen verwendet wird, nutzt Zeitstempel, um Replay-Angriffe zu verhindern, also die Wiederverwendung eines Authentifizierungsnachweises durch ein schädliches Programm oder eine schädliche Person [1]. Damit diese Zeitstempel etwas nützen, müssen die Uhr des Geräts und die des Domänencontrollers möglichst genau übereinstimmen [1]. Microsoft schreibt, der Windows-Zeitdienst "is essential to the successful operation of Kerberos V5 authentication" und damit für die Authentifizierung auf Basis von Active Directory [2]. ### Welche Abweichung wird toleriert? Eine Einstellung namens "Maximum tolerance for computer clock synchronization" legt die größte Abweichung fest, die Kerberos zwischen der Uhr des Clients und der des Domänencontrollers akzeptiert [1]. Ihr Standardwert beträgt 5 Minuten, und Microsoft rät, ihn beizubehalten [1]. Bleibt die Abweichung unter diesem Grenzwert, gilt der Zeitstempel als echt [1]. ### Was ist NTP? NTP (Network Time Protocol) ist das Protokoll, mit dem ein Computer einen Zeitserver abfragen kann, um seine Uhr zu korrigieren. Der Windows-Zeitdienst verwendet es, um die Uhren eines Netzwerks zu synchronisieren [2]. Windows, MacOS und Linux bieten alle eine automatische Synchronisation über NTP an, die in der Regel mit dem System startet und im Hintergrund läuft [4]. ### Muss ich die Uhrzeit selbst einstellen? Nein. Das NIST, die US-Behörde, die einen öffentlichen Zeitdienst über das Internet anbietet, gibt an, dass die automatische Synchronisation in der Regel kein Eingreifen erfordert und dass das manuelle Stellen der Uhr "generally not necessary" ist [4]. ### Was tun bei einem ungeklärten Verbindungsfehler? Prüfen Sie, ob Datum und Uhrzeit des Geräts auf automatisch stehen, und schreiben Sie dann der IT mit einer Beschreibung des Fehlers. ## Wie es funktioniert Ein Computer erhält Zeitproben von einem oder mehreren NTP-Servern. Der Windows-Zeitdienst wählt mithilfe der in NTP definierten Algorithmen die beste Probe aus und stellt dann die lokale Uhr, entweder durch Anpassung ihrer Laufgeschwindigkeit oder, wenn die Abweichung zu groß ist, durch direktes Umstellen [5]. In einer Active-Directory-Domäne ist die Kette hierarchisch aufgebaut. Mitgliedscomputer einer Domäne synchronisieren sich standardmäßig mit einem Domänencontroller. Der Controller, der an der Wurzel der Gesamtstruktur die Rolle des PDC-Emulators innehat, ist in der Regel auf eine externe Quelle eingestellt [2][5]. Die genauesten Quellen stehen an der Spitze der Kette, und die Genauigkeit kann mit wachsendem Abstand zur Referenz abnehmen [5]. Microsoft gibt an, dass ein Domänenmitglied mit Windows Server 2016 und dem Windows 10 Anniversary Update unter vernünftigen Bedingungen bei 1 Millisekunde oder besser an der UTC-Zeit bleiben kann [2]. Kerberos arbeitet mit drei Beteiligten: dem Client, dem angesprochenen Dienst und einem Schlüsselverteilungscenter (KDC), dem beide vertrauen [3]. Bei der Anmeldung erhält der Client ein erstes Ticket (TGT) und fordert dann beim KDC für jeden Dienst, auf den er zugreifen möchte, ein Ticket an [3]. ## Was Sie tun - Lassen Sie Datum und Uhrzeit auf automatischer Einstellung. Das NIST gibt an, dass Windows, MacOS und Linux diese Option haben [4]. - Unter Windows gelangen Sie per Rechtsklick auf die Uhr in der Taskleiste zur Schaltfläche "sync now", die einen Zeitserver kontaktiert und die Uhr bei Bedarf korrigiert [4]. Auf dem Mac finden Sie die Einstellung unter Programme, Systemeinstellungen, Datum und Uhrzeit [4]. - Korrigieren Sie eine falsche Uhrzeit nicht durch Eingabe von Hand auf einem vom Unternehmen verwalteten Gerät: Das manuelle Einstellen ist in der Regel nicht nötig [4]. Eine Uhr, die trotzdem abweicht, ist ein Signal, das Sie an die IT weitergeben sollten. - Schlägt eine Anmeldung oder der Zugriff auf einen Dienst ohne erkennbaren Grund fehl oder erscheint eine Zertifikatswarnung, umgehen Sie sie nicht. Notieren Sie die Meldung, die Uhrzeit und den betroffenen Dienst und melden Sie sie der IT. ## Die Fallen ### Ein nicht authentifizierter Zeitserver Zeitanfragen an den öffentlichen Dienst des NIST in den Formaten DAYTIME, TIME und NTP unterstützen in der Regel keine Authentifizierung [4]. Zusätzlich bietet das NIST NTP-Nachrichten an, die mit einem symmetrischen Schlüssel authentifiziert sind und von eigenen Servern geliefert werden: Die Authentifizierung stellt sicher, dass die Nachricht von einem NIST-Server stammt und unterwegs nicht verändert wurde [4]. In einer Active-Directory-Gesamtstruktur beschreibt Microsoft eine Authentifizierung der NTP-Pakete auf Grundlage des Kerberos-Sitzungsschlüssels des Computers. Ein nicht signiertes oder falsch signiertes Paket wird abgelehnt [5]. Wird ein Client dagegen von Hand auf einen NTP-Server außerhalb seiner Domänenhierarchie eingestellt, sind die Pakete nicht authentifiziert und damit nicht sicher, auch wenn Vertrauensstellungen zwischen Gesamtstrukturen bestehen [5]. ### Ein Gerät außerhalb der Domäne oder selten verbunden Computer, die keiner Domäne angehören oder sich nur selten synchronisieren, sind standardmäßig auf time.windows.com eingestellt [5]. Microsoft weist darauf hin, dass sich die Genauigkeit der Uhrzeit auf Geräten mit unterbrochener oder fehlender Netzwerkverbindung nicht garantieren lässt [5]. ### Vermischte Zeitquellen Google empfiehlt, virtuelle Maschinen von Compute Engine mit nur einem NTP-Server zu konfigurieren, nämlich dem internen Server von Google [6]. Wird dieser Dienst mit einem externen vermischt, kann das zu unvorhersehbaren Zeitsprüngen führen [6]. Externe Dienste wie pool.ntp.org behandeln die Schaltsekunde oft durch einen Sprung, und die Maschinen können dann wiederholte Zeitstempel sehen [6]. Zur Prüfung der Konfiguration unter Linux mit chrony nennt die Dokumentation den Befehl `chronyc sources`, der nur eine einzige Quelle anzeigen soll [6]. ### Die Schaltsekunde Eine Schaltsekunde ist eine Anpassung der UTC-Zeit um eine Sekunde [6]. Je nach System wird sie behandelt, indem eine Sekunde wiederholt oder über einen längeren Zeitraum verteilt wird, und die NTP-Nachrichten verraten nicht, welche Methode ein Server gewählt hat [4]. Das NIST merkt an, dass es dann schwierig ist, Daten verschiedener Quellen rund um das Ereignis zusammenzuführen [4]. ## Quellen 1. Microsoft, „Maximum tolerance for computer clock synchronization“. https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2012-r2-and-2012/jj852172(v=ws.11) (abgerufen am 3. November 2026) 2. Microsoft, „Windows Time Service (W32Time)“. https://learn.microsoft.com/en-us/windows-server/networking/windows-time-service/windows-time-service-top (abgerufen am 3. November 2026) 3. Microsoft, „Kerberos authentication overview in Windows Server“. https://learn.microsoft.com/en-us/windows-server/security/kerberos/kerberos-authentication-overview (abgerufen am 3. November 2026) 4. NIST, „NIST Internet Time Service (ITS)“, 10. Februar 2010. https://www.nist.gov/pml/time-and-frequency-division/time-distribution/internet-time-service-its (abgerufen am 3. November 2026) 5. Microsoft, „How the Windows Time Service Works“. https://learn.microsoft.com/en-us/windows-server/networking/windows-time-service/how-the-windows-time-service-works (abgerufen am 3. November 2026) 6. Google, „Configure NTP on a compute instance“. https://docs.cloud.google.com/compute/docs/instances/time-synchronization/configure-ntp (abgerufen am 3. November 2026) --- Originalquelle: Cyberpedia, die öffentliche Enzyklopädie zu Cybersicherheit und KI von Brain. Kanonische Version: https://startbrain.io/cyberpedia/de/articles/sichere-zeitsynchronisation-ntp/ Sie dürfen diesen Text unter der Lizenz CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) frei weiterverwenden, sofern Sie „Brain, Cyberpedia“ mit einem Link auf die obige Adresse nennen.