Active Directory härten: 10 Schritte gegen Pass-the-Hash und Kerberoasting\n\n> Key Takeaways\n> - Pass-the-Hash und Kerberoasting zählen zu den meistgenutzten Techniken für laterale Bewegung in kompromittierten Windows-Umgebungen.\n> - Die meisten Gegenmaßnahmen lassen sich mit Windows-Bordmitteln umsetzen – ohne zusätzliche Lizenzkosten.\n> - Gezielte Event-ID-Überwachung mit Wazuh oder Microsoft Sentinel macht aktive Angriffe sichtbar, bevor Schaden entsteht.\n> - NIS-2-Artikel 21 fordert explizit Maßnahmen zur Zugriffskontrolle und Authentifizierungssicherheit – AD-Härtung ist kein optionales Projekt.\n\nActive Directory ist in den meisten mittelständischen Unternehmen das Nervenzentrum der IT-Infrastruktur. Wer AD kontrolliert, kontrolliert Benutzerkonten, Gruppenrichtlinien, Fileshares und häufig auch Cloud-Zugriff via Azure AD Connect bzw. Entra ID. Genau deshalb fokussieren Angreifer ihre Energie auf den AD-Angriff – und zwei Techniken dominieren dabei das Bild: Pass-the-Hash (PtH) und Kerberoasting.\n\nDieser Artikel erklärt, wie beide Angriffe technisch funktionieren, und liefert 10 konkrete Härtungsschritte, die Sie mit Windows-Bordmitteln und ohne externe Tools umsetzen können.\n\n---\n\n## Wie Pass-the-Hash funktioniert\n\nWindows speichert Passwort-Hashes im LSASS-Prozess (Local Security Authority Subsystem Service). Bei der NTLM-Authentifizierung wird nicht das Klartextpasswort, sondern der Hash übertragen. Ein Angreifer, der einmal lokale Administrator-Rechte auf einer Maschine erlangt hat, kann mit Tools wie Mimikatz den NTLM-Hash des eingeloggten Benutzers aus dem LSASS-Speicher extrahieren – und diesen Hash dann nutzen, um sich bei anderen Systemen zu authentifizieren, ohne das Passwort zu kennen.\n\n\n# Mimikatz-Befehl (dokumentiert aus forensischer/Pentest-Perspektive):\nprivilege::debug\nsekurlsa::logonpasswords\n\n\nDas Ergebnis: Der Angreifer bewegt sich lateral durch das Netzwerk – von Workstation zu Workstation – bis ein Domain-Admin-Hash abgegriffen wird.\n\n## Wie Kerberoasting funktioniert\n\nKerberoasting nutzt eine Design-Eigenschaft des Kerberos-Protokolls. Jeder Domain-Benutzer kann für Service-Accounts mit einem gesetzten ServicePrincipalName (SPN) ein Service-Ticket anfordern. Dieses Ticket ist mit dem NTLM-Hash des Service-Account-Passworts verschlüsselt. Der Angreifer fordert das Ticket an, speichert es lokal und versucht es offline per Brute-Force zu knacken – ohne jegliche weitere Interaktion mit dem Zielsystem.\n\n```powershell\n# Service-Accounts mit SPN auflisten (legitimes Audit-Tool):\nGet-ADUser -Filter {ServicePrincipalName -ne \