Active Directory Tiering-Modell: Der Implementierungsleitfaden

In fast jeder Active-Directory-Umgebung, die wir in Assessments untersuchen, finden wir dasselbe Muster: Ein einziges Administratorkonto wird für alles verwendet — vom Helpdesk-Support auf Endgeräten bis zur Verwaltung der Domain Controller. Wird ein solches Endgerät kompromittiert, kann ein Angreifer die gecachten Credentials extrahieren und sich per Lateral Movement direkt zum Domain Controller vorarbeiten. Vom Phishing-Klick bis zur vollständigen Domänenübernahme vergehen in der Praxis oft weniger als 24 Stunden.

Das Active Directory Tiering-Modell unterbricht genau diesen Angriffspfad. Es teilt Ihre Umgebung in drei strikt getrennte Verwaltungsebenen — Tier 0 (Domain Controller und Identitätssteuerung), Tier 1 (Server und Anwendungen) und Tier 2 (Endgeräte und Nutzer) — und erzwingt, dass Credentials einer höheren Ebene niemals auf einer niedrigeren Ebene verwendet werden. Das Konzept ist seit Jahren bekannt, doch die praktische Umsetzung scheitert häufig an fehlender Methodik: Wo anfangen? Welche Konten sind wirklich Tier 0? Wie durchsetzen, ohne den laufenden Betrieb zu stören?

Was dieser Leitfaden liefert

Dieser Leitfaden führt Sie in fünf Kapiteln durch die vollständige Implementierung des Tiering-Modells — von der ersten Bestandsaufnahme bis zur laufenden Überwachung. Jedes Kapitel ist praxisorientiert und enthält konkrete Schritte, die Sie direkt in Ihrer Umgebung umsetzen können.

Sie lernen, wie Sie alle Tier-0-Assets identifizieren (auch die versteckten — DCSync-Rechte, AdminSDHolder-Zugriff, verschachtelte Gruppenmitgliedschaften), dedizierte Admin-Konten und Privileged Access Workstations (PAWs) einrichten, Anmeldebeschränkungen per Gruppenrichtlinie (GPO) technisch erzwingen, LAPS für lokale Administratorpasswörter ausrollen und ein Monitoring aufbauen, das Tier-Verstöße in Echtzeit erkennt.

Für wen ist dieser Leitfaden?

Der Leitfaden richtet sich an IT-Administratoren und Sicherheitsverantwortliche in Unternehmen jeder Größe, die Active Directory im Einsatz haben. Sie benötigen keine speziellen Vorkenntnisse über das Tiering-Modell — Kapitel 1 beginnt bei null. Grundlegende Kenntnisse in Active Directory, Gruppenrichtlinien und Windows Server Administration sind jedoch hilfreich.

Auch für mittelständische Unternehmen mit einer überschaubaren AD-Umgebung lohnt sich die Umsetzung: Bereits die Trennung von Tier-0- und Tier-2-Credentials — die in Kapitel 2 beschriebene erste Phase — reduziert die Angriffsfläche erheblich, ohne den laufenden Betrieb zu beeinträchtigen.