Active Directory

Active Directory Domain Services (AD DS) ist der zentrale Verzeichnisdienst von Microsoft für Windows-basierte Unternehmensnetzwerke. Er dient als hierarchische Datenbank zur zentralen Verwaltung von Netzwerkobjekten – wie Benutzerkonten, Gruppen, Computern, Servern und Freigaben. Die Kernaufgabe besteht in der Bereitstellung einer einheitlichen Authentifizierung (Identitätsprüfung) und Autorisierung (Rechtevergabe) über das Netzwerk hinweg.

Eine Domäne bildet die logische Verwaltungseinheit und Sicherheitsgrenze innerhalb des Verzeichnisdienstes. Mehrere Domänen mit einem zusammenhängenden Domain Name System (DNS)-Namensraum bilden einen Baum (Tree). Eine Gesamtstruktur (Forest) stellt die oberste logische Strukturierungsinstanz dar: Sie umfasst einen oder mehrere Bäume, die sich ein gemeinsames Schema (die Strukturdefinition aller Objekte und Attribute) sowie einen gemeinsamen globalen Katalog teilen.

Der globale Katalog (Global Catalog) ist ein intelligenter Indexbereich, der auf ausgewählten Domänencontrollern gehostet wird. Er enthält eine vollständige Kopie aller Objekte der eigenen Domäne sowie einen Teilversatz aller Attribute sämtlicher Objekte aus allen anderen Domänen der Gesamtstruktur. Er wird zwingend benötigt, um domänenübergreifende Objektsuchen zu beschleunigen und Anmeldeprozesse im Netz bei der Auswertung von universellen Gruppenmitgliedschaften abzuwickeln.

Gruppenrichtlinienobjekte (GPOs) bieten Administratoren eine zentrale Infrastruktur zur Konfigurationsverwaltung von Computern und Benutzern in der Active-Directory-Umgebung. Sie ermöglichen das automatisierte Ausrollen von Sicherheitseinstellungen, Softwarepaketen, Netzwerkkonfigurationen oder Skripten. Die Zuweisung erfolgt feingranular auf Ebene von Standort-, Domänen- oder Organisationseinheiten-Strukturen (OUs).

Während Active Directory grundsätzlich nach dem Multi-Master-Prinzip arbeitet (Änderungen können auf jedem Domänencontroller vorgenommen werden), erfordern fünf spezielle Aufgaben eine eindeutige Zuständigkeit durch einen einzelnen Server. Diese FSMO-Rollen umfassen auf Gesamtstrukturebene den Schema-Master und Domänenbenennungs-Master sowie auf Domänenebene den PDC-Emulator, den RID-Master (Zuweisung eindeutiger Sicherheitskennungen) und den Infrastruktur-Master.

Die Replikation sorgt für die Synchronisation der Verzeichnisdatenbank zwischen mehreren Domänencontrollern. Innerhalb eines Standorts (Intrasite) erfolgt die Aktualisierung dank Benachrichtigungsmechanismen nahezu unverzüglich und unkomprimiert. Zwischen verschiedenen physischen Standorten (Intersite) steuern definierte Standortverknüpfungen (Site Links) den Datenverkehr zeitversetzt und komprimiert, um die Auslastung von Weitverkehrsnetzen (WAN) zu minimieren.

Das primäre und sicherste Standardprotokoll im Active Directory ist Kerberos v5, das auf einem Ticket-basierten Verfahren beruht und eine gegenseitige Authentifizierung zwischen Client und Server gewährleistet. Aus Kompatibilitätsgründen mit älteren Systemen wird häufig noch das schwächere NTLM (NT LAN Manager) vorgehalten. Moderne Härtungsrichtlinien zielen darauf ab, NTLM im Unternehmensnetzwerk schrittweise vollständig zu deaktivieren.

Klassisches AD DS ist ein traditioneller, lokal betriebener Verzeichnisdienst (On-Premises), der auf Protokollen wie Kerberos, NTLM und LDAP basiert und Kernelemente wie Kerberos-Tickets und Gruppenrichtlinien nutzt. Microsoft Entra ID ist eine cloudbasierte Identitäts- und Zugriffsverwaltungslösung, die auf modernen Webprotokollen (SAML, OpenID Connect, OAuth 2.0) aufbaut. In den meisten Unternehmen werden beide Systeme über Synchronisationswerkzeuge (Entra Connect) zu einer hybriden Identitätsumgebung gekoppelt.

Da Active Directory der zentrale Vertrauensanker im Unternehmensnetzwerk ist, stellt es das Hauptziel bei zielgerichteten Angriffen dar. Schwachstellen ergeben sich meist durch veraltete Kerberos-Konfigurationen (Kerberoasting), übermäßig vergebene Administratorrechte, verwaiste Konten oder unzureichend abgesicherte Vertrauensstellungen. Erfolgt ein Übergriff auf die Ebene der Gesamtstruktur-Administratoren (Domain Admin / Enterprise Admin), bedeutet dies in der Regel die vollständige Übernahme der IT-Infrastruktur.

Das administrative Ebenenmodell (Tiering-Modell) ist ein Architekturkonzept zur Umgebungsversteifung. Es unterteilt die Infrastruktur in isolierte Verwaltungsebenen: Tier 0 umfasst die Kontrollinstanzen der Identitätsverwaltung (Domänencontroller, PKI), Tier 1 steuert Server-Infrastrukturen und Anwendungen, und Tier 2 verwaltet Anwender-Endgeräte. Administratorkonten aus höheren Ebenen dürfen sich niemals auf Systemen niedrigerer Ebenen anmelden, um den Diebstahl von Anmeldeinformationen (Credential Theft) wirksam zu unterbinden.