Active Directory (AD DS)
Active Directory Domain Services (AD DS) ist Microsofts lokaler Verzeichnisdienst für Windows-Netzwerke: Er verwaltet Benutzer, Gruppen, Computer und Richtlinien in einer Domäne und authentifiziert sie über Kerberos, LDAP und DNS. Eingeführt mit Windows 2000, ist AD DS in den meisten Mittelstandsumgebungen bis heute die Wurzel aller Berechtigungen — und damit ein bevorzugtes Angriffsziel. Es ist nicht identisch mit Entra ID, dem cloudbasierten Identitätsdienst; verbunden werden beide über Hybrid Identity.
Active Directory (AD DS) in der Praxis
Wer die Domäne kontrolliert, kontrolliert das Unternehmen — deshalb zielen Angriffe nach dem Erstzugriff fast immer auf Active Directory: Pass-the-Hash, Kerberoasting, laterale Bewegung über lokale Administratoren, Missbrauch nie rotierender Dienstkonten. Härtung setzt an denselben Stellen an: Fine-Grained Password Policies für differenzierte Passwortregeln, Group Managed Service Accounts (gMSA) mit automatisch rotierenden Kennwörtern statt statischer Dienstkonten, Tiering privilegierter Konten, administrativer Zugriff ausschließlich über einen gehärteten Jump Host mit PIM/PAM statt dauerhafter Adminrechte sowie passwortlose Anmeldung über Windows Hello for Business oder FIDO2-Sicherheitsschlüssel.
Microsoft Defender for Identity überwacht die Domäne kontinuierlich auf genau diese Muster. Technisch beruht AD DS seit Windows 2000 auf einer ESE-Datenbank mit 8-KB-Seiten; Windows Server 2025 bringt ein 32-KB-Seitenformat, mit dem mehrwertige Attribute rund 3.200 statt bisher etwa 1.200 Werte aufnehmen können. Es ist ein optionales Feature, das eigens aktiviert werden muss: Die Funktionsebene 10 setzt voraus, dass alle Domänencontroller im Wald unter Windows Server 2025 laufen, in-place aktualisierte Domänencontroller behalten ihr 8-KB-Format, und die Umstellung auf 32-KB-Seiten gilt waldweit und lässt sich nicht zurücknehmen.
Alendris härtet Active-Directory-Umgebungen als Teil der Infrastrukturarbeit — in einem Kundenprojekt rotieren die zugrunde liegenden Kennwörter über Fine-Grained Password Policies täglich mit 128 Zeichen Länge, sodass niemand sein eigenes Passwort mehr kennt und die Anmeldung passwortlos erfolgt.