Ein Domänencontroller ist ein Server mit Active Directory Domain Services, der Benutzer und Computer authentifiziert, ihre Konten speichert und Sicherheitsrichtlinien in einer Windows-Domäne durchsetzt.
Wie ein Domänencontroller funktioniert
Ein Domänencontroller (DC) hält eine Kopie der Active-Directory-Datenbank, der Datei NTDS.dit, mit allen Benutzer-, Gruppen- und Computerkonten samt ihrer Passwort-Hashes. Er fungiert als Key Distribution Center für Kerberos, beantwortet LDAP-Anfragen, verteilt Gruppenrichtlinien und repliziert Änderungen an die anderen Domänencontroller. Größere Organisationen betreiben aus Redundanzgründen mehrere DCs, oft verteilt auf verschiedene Standorte. Fällt ein Domänencontroller aus, übernehmen die übrigen die Anmeldung, sodass Benutzer weiterarbeiten können.
Warum Domänencontroller ein Hauptziel sind
Wer einen Domänencontroller kontrolliert, kontrolliert jedes Konto und jeden Rechner der Domäne – deshalb steuern Angreifer bei der lateralen Bewegung genau darauf zu. Gängige Techniken:
- DCSync (MITRE ATT&CK T1003.006) – Missbrauch von Replikationsrechten, um die Passwort-Hashes beliebiger Konten abzurufen, einschließlich krbtgt.
- Diebstahl von NTDS.dit (T1003.003) – Kopieren der Datenbank mit Werkzeugen wie ntdsutil oder über Volumeschattenkopien.
- Golden-Ticket-Angriffe – Fälschen von Kerberos-Tickets mit dem gestohlenen krbtgt-Hash.
- Ausnutzung von Schwachstellen – Zerologon (CVE-2020-1472) erlaubte einem Angreifer im Netzwerk, einen DC ganz ohne Zugangsdaten zu übernehmen.
Sind sie einmal drin, nutzen Ransomware-Betreiber oft Gruppenrichtlinien auf dem Domänencontroller, um ihre Verschlüsselungssoftware gleichzeitig auf alle Rechner zu verteilen.
So schützen Sie Domänencontroller
- DCs zügig patchen und keine anderen Anwendungen darauf betreiben.
- Die Zahl der Domänen-Admins minimal halten und ein abgestuftes Administrationsmodell mit dedizierten Admin-Arbeitsplätzen nutzen.
- Replikationsanfragen von Nicht-DC-Systemen und andere verdächtige Ereignisse überwachen.
- Active Directory offline sichern und die Wiederherstellung der Gesamtstruktur üben.
