Erfolgreiche Cyberangriffe sind heutzutage häufig nicht auf sogenannte „Zero-Day“-Schwachstellen zurückzuführen, sondern resultieren oftmals aus unzureichend abgesicherten Standardkonfigurationen, insbesondere im Bereich von Active Directory (AD) und Microsoft 365 (M365). Angriffe beginnen in der Regel am Windows-Client – beispielsweise durch Phishing, gestohlene Zugangsdaten oder durch die Übernahme von Sitzungen. Die Angreifer bewegen sich anschließend schrittweise vom Client über AD zu M365, bis die IT-Systeme eines Unternehmens umfassend kompromittiert sind.
Die Absicherung von AD und M365 ist daher keine rein technische Optimierung, sondern stellt eine unverzichtbare Maßnahme zur Risikominimierung dar. Unternehmen, die den Stand der Technik umsetzen, erfüllen nicht nur die Anforderungen an Cyberhygiene gemäß NIS‑2 / NISG, DORA oder weiteren Vorschriften, sondern vermeiden auch Erklärungsbedarf gegenüber Aufsichtsbehörden.
Typische Schwachstellen und Risiken
- Standard-Konfigurationen bieten keinen ausreichenden Schutz: Die Standardeinstellungen in Active Directory (AD) und M365 Tenants sind häufig historisch bedingt und auf Kompatibilität ausgerichtet, jedoch nicht primär auf Sicherheit („Secure by Default“). Ohne gezielte Maßnahmen zur Härtung bleiben potenzielle Angriffsflächen bestehen.
- Übermäßige Berechtigungen und unerwünschter Informationsabfluss: In zahlreichen Umgebungen haben Benutzer Zugang zu umfangreichen Informationen im AD oder verfügen über zu weitreichende Rechte. Dies kann Angreifern die Durchführung von Reconnaissance, Privilege Escalation und lateralen Bewegungen erleichtern.
- Risiko durch veraltete Objekte: Inaktive Benutzer- oder Computerkonten stellen nicht nur ein Problem hinsichtlich der Systemhygiene dar, sondern können auch als Einfallstor für Missbrauch dienen. Aus diesem Grund erhalten „Stale Objects“ im Rahmen eines AD Security Audits besondere Aufmerksamkeit.
- Privilegierte Konten, Trusts und Anomalien
- Privilegierte Konten wie Administratoren- oder Servicekonten stellen häufig vorrangige Ziele für Angreifer dar. Fehlerhafte Konfigurationen und übermäßige Rechtevergabe führen regelmäßig zu Kompromittierungen von Domänen.
- Trusts zwischen Domänen oder Forests können unbeabsichtigt potenzielle Angriffsvektoren eröffnen.
- Anomalien wie ungewöhnliche Anmeldevorgänge oder Änderungen von Berechtigungen weisen oftmals frühzeitig auf eine Kompromittierung hin, werden jedoch ohne systematische Überprüfung häufig erst verspätet erkannt.
- Umfassende Angriffsfläche über Identitätsmanagement, Collaboration und Endgeräte. M365 beinhaltet neben dem E‑Mail-Dienst ebenso Identitätslösungen (Entra ID), Collaboration-Funktionen, Geräteverwaltung und zentrale Tenant-Konfigurationen. Ein strukturiertes Assessment berücksichtigt unter anderem Entra ID, Exchange Online, SharePoint/OneDrive, Teams, Intune, Security & Compliance sowie globale Tenant-Einstellungen.
- Regulatorik: „Stand der Technik“ als verbindlicher Maßstab. Cyberhygiene gemäß NIS‑2 / NISG sowie Anforderungen aus DORA und weiteren gesetzlichen oder regulatorischen Vorgaben verlangen nachweislich angemessene Schutzmaßnahmen. Organisationen, die nicht dem Stand der Technik entsprechen, tragen ein erhöhtes Risiko und sind verpflichtet, etwaige Abweichungen nachvollziehbar zu begründen.
Die Lösungsansätze
AD Security Audit
Eine umfassende Sicherheitsüberprüfung der Active Directory-Umgebung bildet einen fundierten Einstieg in die Absicherung von IT-Infrastrukturen. Ziel dieser Prüfung ist es, potenzielle Risiken und Schwachstellen systematisch zu erkennen und zu bewerten. Besonders bemerkenswert ist, dass der Audit bereits mit einem regulären AD-Benutzer durchgeführt werden kann – Administratorrechte sind nicht zwingend erforderlich. Dadurch lassen sich praxisnahe Ergebnisse aus Sicht potenzieller Angreifer erzielen und die realen Angriffspunkte identifizieren.
M365 Security Audit
Für die Absicherung von Microsoft 365 empfiehlt es sich, auf bewährte Standards zurückzugreifen und nicht lediglich nach Gefühl oder Erfahrung vorzugehen. Ein strukturiertes Audit orientiert sich hierbei am Microsoft Cloud Security Benchmark (MCSB). Das Verfahren beinhaltet eine Kombination aus automatisierter Datenerfassung, manuellen Analysen und einer fundierten Risikobewertung. Darauf aufbauend werden konkrete Handlungsempfehlungen abgeleitet, um Schwachstellen gezielt zu adressieren und die Sicherheit der M365-Umgebung nachhaltig zu stärken.
Der Nutzen für das Unternehmen
Für den Chief Information Security Officer (CISO) steht das Ergebnis im Vordergrund. Die Gefahr erfolgreicher Cyber-Angriffe lässt sich nur durch eine wirksame Behebung von Schwachstellen verringern.
Eine gezielte Überprüfung und Absicherung von Active Directory und M365 führt zu folgenden Ergebnissen:
- Die Reduzierung der Erfolgswahrscheinlichkeit realer Angriffe entlang der Angriffskette Client / AD / Microsoft 365 (z. B. Phishing, Identitätsdiebstahl, laterale Bewegungen).
- Transparenz und Priorisierung: Schwachstellen werden identifiziert, bewertet und nach Relevanz priorisiert.
- Regulatorische Konformität: Nachweisbare Orientierung an etablierten Standards und Best Practices.
- Revisionssicherheit: Die Bereitstellung eines Prüfberichtes mit einer Zusammenfassung für das Management sowie einer detaillierten technischen Beschreibung mit klaren Handlungsempfehlungen gewährleistet die Nachvollziehbarkeit der getroffenen Maßnahmen.
Jetzt handeln!
Wenn Ihr AD und M365 noch weitgehend auf Standard-Konfigurationen basieren, ist jetzt der richtige Zeitpunkt für einen belastbaren Statuscheck.
👉 Um den aktuellen Sicherheitsstatus von Active Directory und Microsoft 365 gezielt zu erfassen und den weiteren Handlungsbedarf präzise zu definieren, empfehlen wir als nächsten Schritt einen 30-minütigen Call zur Bedarfsanalyse.
Das Gespräch bildet die Grundlage für eine maßgeschneiderte Vorgehensweise und ermöglicht eine zielgerichtete Priorisierung der nächsten Maßnahmen.
