Active Directory Security: Kerberoasting-Angriffe

Wie Kerberoasting funktioniert

Der Angriff beginnt meist mit einem normalen Benutzerkonto, das durch Phishing, Passwortdiebstahl oder Schadsoftware kompromittiert wurde. Danach suchen Angreifer nach Dienstkonten mit SPNs und fordern für diese Kerberos-TGS-Tickets an.

1. Ein Domänenbenutzer wird kompromittiert.
2. Angreifer listen Dienstkonten mit SPNs auf.
3. Es werden Kerberos-TGS-Tickets angefordert.
4. Die Tickets werden exportiert und offline analysiert.
5. Schwache Passwörter werden mit Cracking-Tools entschlüsselt.
6. Die gewonnenen Zugangsdaten werden für Eskalation und Seitwärtsbewegung genutzt.

Warum der Angriff so wirksam ist

Kerberoasting ist besonders gefährlich, weil der Angriff oft ohne unmittelbare Alarmierung abläuft. Das eigentliche Passwort-Cracking findet außerhalb der Zielumgebung statt, wodurch klassische Sicherheitskontrollen häufig zu spät reagieren.

Besonders attraktiv sind Dienstkonten mit schwachen oder nie rotierenden Passwörtern sowie Konten, die noch RC4 verwenden. Je älter und schlechter gepflegt die Kontostruktur ist, desto höher ist das Risiko.

Typische Zielkonten

• Dienstkonten mit SPNs, etwa für SQL Server, IIS, Exchange oder Backup-Lösungen.
• Privilegierte Konten wie Domain Admins oder Enterprise Admins.
• Konten mit RC4-Verschlüsselung oder veralteten Authentifizierungseinstellungen.
• Alte, ungenutzte oder nicht überwachte Konten mit „Passwort läuft nie ab“.

Risiken und Folgen

Ein erfolgreicher Kerberoasting-Angriff kann zu weitreichender Kompromittierung führen. Die Folgen reichen von Datendiebstahl und Ransomware bis hin zu Ausfallzeiten, Compliance-Verstößen und Reputationsschäden.

• Finanziell: Lösegeldforderungen, Wiederherstellungskosten und Betrug.
• Operativ: Unterbrechung von Services, Systemausfällen und Supportaufwand.
• Reputativ: Verlust von Kundenvertrauen und negativer Öffentlichkeitswirkung.
• Rechtlich: Mögliche Verstöße gegen DSGVO, SOX, HIPAA oder GLBA.

So verhindern Sie Kerberoasting

Die wirksamste Verteidigung kombiniert sichere Kontokonfigurationen, moderne Verschlüsselung und konsequentes Monitoring. Ziel ist es, Dienstkonten schwer angreifbar zu machen und verdächtige TGS-Anfragen früh zu erkennen.

• Verwenden Sie lange, zufällige Passwörter für Dienstkonten.
• Ersetzen Sie manuelle Dienstkonten durch gMSAs oder dMSAs.
• Erzwingen Sie AES-Verschlüsselung und deaktivieren Sie RC4, wo möglich.
• Vermeiden Sie „Passwort läuft nie ab“ bei sensiblen Konten.
• Beschränken Sie die Rechte von Dienstkonten auf das Minimum.
• Setzen Sie MFA und Privileged Access Management für administrative Zugriffe ein.

Erkennung und Reaktion

Frühzeitige Erkennung ist entscheidend, da Kerberoasting oft bereits im Vorfeld von Ransomware- oder Spionagekampagnen eingesetzt wird. Auffällige TGS-Anfragen, RC4-Tickettypen oder ungewöhnliche Ticketmuster sollten daher sofort untersucht werden.

Bei einem Verdacht sollten betroffene Konten gesperrt, Passwörter zurückgesetzt und Kerberos-Tickets ungültig gemacht werden. Zusätzlich sollten Protokolle auf laterale Bewegung, Privilegienausweitung und Missbrauch privilegierter Konten geprüft werden.

Moderne Angriffstrends

Kerberoasting wird zunehmend in mehrstufige Angriffsketten eingebaut und mit Automatisierung, GPU-Cracking und KI-gestützten Workflows kombiniert. Dadurch sinkt die technische Einstiegshürde, während die Geschwindigkeit und Skalierbarkeit der Angriffe steigt.

Gleichzeitig versuchen Verteidiger, unsichere Verfahren wie RC4 schrittweise abzuschaffen und stärker auf moderne Verschlüsselung sowie bessere Kontohygiene zu setzen.

Fazit

Kerberoasting bleibt eine der effektivsten Methoden, um aus einem normalen Domänenbenutzer weitreichenden Zugriff abzuleiten. Wer Dienstkonten hart absichert, Verschlüsselung modernisiert und Kerberos-Verhalten konsequent überwacht, reduziert das Risiko erheblich.

← Zurück zur FAQ Übersicht