Die vorliegenden Ergebnisse zeigen erhebliche Risiken für privilegierte Identitäten und den Wiederanlauf des Active Directory. Eine aktive Kompromittierung ist damit nicht nachgewiesen.
+
+
+
+
Betriebliche Risikobereiche
+
+
+
Bereich
Beobachtung
Mögliche Folge
+
+
Privilegierte Identitäten
Geänderte Rechte an einem besonders geschützten AD-Objekt, auffällige Admin-Aktivität und Schwächen in der Zertifikatsinfrastruktur.
Unbefugte Ausweitung von Rechten mit Wirkung auf AD-abhängige Dienste.
+
Wiederanlauf
Ein Domänencontroller erfasst; als letztes AD-Backup wurde bei der Erhebung der 27. Mai 2026 gemeldet. Ein Wiederherstellungstest ist in den Scandaten nicht belegt.
Längere Unterbrechung von Anmeldung und Berechtigungsprüfung bei einem AD-Ausfall.
+
Cloud-Identität
Abweichungen beim Schutz privilegierter Anmeldungen und bei risikobasierten Zugriffsregeln.
Erhöhte Exposition administrativer Cloud-Zugänge; Umfang nur eingeschränkt beurteilbar.
+
+
+
+
+
+
+ AD-Wiederanlauf: erfasster Zustand
+
Bestandsangaben zum Zeitpunkt der jeweiligen Erhebung.
+
+
1Domänencontroller erfasst
+
27.05.2026zuletzt gemeldetes AD-Backup
+
+
Aus diesen Angaben folgt nicht, ob nach der Erhebung weitere Sicherungen erstellt wurden. Ein erfolgreicher Restore ist nicht belegt.
+
+
+
+
+
+
+
+
+
+
ASSESSOR
+
Management Report Vertraulich
+
+
Begründung und Aussagegrenzen
+
Einordnung der wesentlichen Risiken
+
Die Szenarien beschreiben mögliche betriebliche Folgen. Die technische Ausnutzung und konkrete Dienstauswirkungen wurden nicht nachgewiesen.
+
+
+
Integrität
Privilegierte AD-Rechte
+
+
Eine Änderung an den Rechten eines besonders geschützten AD-Objekts und auffällige administrative Aktivität sind dokumentiert. Weitere Befunde betreffen Zertifikatsvorlagen, Web Enrollment und Delegationsrechte. Zusammen ergibt sich ein plausibles Risiko unbefugter Rechteausweitung.
+
Ob die Änderung autorisiert war, ob die Beobachtungen zusammenhängen und ob Rechte tatsächlich missbraucht wurden, ist offen. Eine Kompromittierung darf daraus nicht abgeleitet werden.
+
+
+
+
+
Verfügbarkeit
AD-Wiederanlauf
+
+
Im erfassten Zustand besteht keine Redundanz des Domänencontrollers. Als letztes AD-Backup wurde bei der Erhebung der 27.05.2026 gemeldet. Ein Ausfall könnte die Anmeldung und Berechtigungsprüfung der abhängigen Dienste erheblich beeinträchtigen.
+
Spätere Sicherungen und eine praktisch geprüfte Wiederherstellung gehen aus dem Datenstand nicht hervor. Die tatsächliche Wiederanlaufzeit kann nicht beziffert werden.
+
+
+
+
+
Cloud-Zugang
Administrative Konten
+
+
Die Ergebnisse weisen auf Lücken bei phishingresistenter Mehrfaktor-Authentifizierung und risikobasierten Zugriffsregeln hin. Damit ist die Absicherung privilegierter Cloud-Anmeldungen nicht hinreichend belegt.
+
169 von 318 importierten Cloud-Prüfungen wurden zum Scanzeitpunkt nicht ausgeführt; zwei weitere blieben ohne Bewertung. Vorhandene Gegenkontrollen und die Reichweite der Abweichungen sind daher nicht vollständig beurteilt.
+
+
+
+
+
Für die Managementbewertung noch offen
+
+
Einordnung der AD-Rechteänderung und der auffälligen Admin-Aktivität anhand von Change- und Ereignisnachweisen.
+
Nachweis eines aktuellen, nutzbaren AD-Backups und einer getesteten Wiederherstellung.
+
Zuordnung geschäftskritischer Dienste und möglicher OT-Abhängigkeiten zur Identitätsinfrastruktur.
+
+
+
Datenbasis: Gespeicherte ASSESSOR-Ergebnisse des Dummy-Mandanten bis 29.09.2026. Die Erhebung ist kein synchroner Rescan und erlaubt keinen belastbaren Vorher-nachher-Vergleich. Technische Einzelbelege und Originalwerte sind in ASSESSOR Work und Results verfügbar.
Die Gesamtbewertung der Umgebung beträgt 37 von 100 Punkten. Von 998 auswertbaren Prüfungen weichen 579 von der jeweiligen Vorgabe ab. Die Abweichungen konzentrieren sich auf folgende Bereiche:
+
+
Privilegierte Konten und Berechtigungen
+
Zertifikatsdienste
+
Veraltete Authentisierungsverfahren
+
Anmeldeschutz der Cloud-Identitäten
+
Härtung des Domain Controllers
+
Verfügbarkeit, Sicherung und Protokollierung
+
+
In den Bereichen privilegierte Konten und Zertifikatsdienste bestehen Konfigurationen, über die administrative Rechte in der Domäne erlangt werden können. Für einen Teil der festgestellten Berechtigungsänderungen ist offen, ob sie autorisiert sind.
+
+
+
+
2 Gesamtbewertung
+
+Abbildung 1 · Ergebnis der 998 auswertbaren Prüfungen. 175 weitere Prüfungen wurden nicht ausgeführt, waren nicht anwendbar oder fehlerhaft und gehen nicht in die Bewertung ein.
+
+Abbildung 2 · Pass Rate je Security Domain; Anzahl der Abweichungen von den auswertbaren Prüfungen.
+
+Abbildung 3 · Anzahl der Abweichungen je Security Domain.
+
+
+
+
Die Berechtigungen des AdminSDHolder-Objekts, das die Zugriffsrechte aller administrativen Konten vorgibt, wurden verändert. Auf dem Domain Controller und dem Kerberos-Dienstkonto krbtgt bestehen Schreibrechte für ressourcenbasierte Delegation; an privilegierten Objekten sind zusätzliche Anmeldeschlüssel (Shadow Credentials) hinterlegt. Vier administrative Konten sind nicht gegen Delegation geschützt, drei Mitglieder der Gruppe Domain Admins besitzen Kennwörter ohne Ablaufdatum. Das integrierte Administratorkonto wird aktiv verwendet; für ein Konto wurden auffällige administrative Aktivitäten erfasst.
+
Einordnung
Diese Konstellation erlaubt es, ausgehend von nicht privilegierten Konten administrative Rechte in der Domäne zu erlangen. Ob die veränderten Berechtigungen und die erfassten Aktivitäten autorisiert sind, lässt sich aus den erhobenen Daten nicht bestimmen.
+
3.2 Zertifikatsdienste
AD Infrastructure & PKI · Authentication & Access
+
Sachverhalt
Mehrere Zertifikatsvorlagen erlauben dem Antragsteller, die im Zertifikat bestätigte Identität selbst anzugeben. Eine Vorlage weist mindestens drei unsichere Einstellungen auf. Die Web-Registrierung der Zertifizierungsstelle ist nicht gegen die Weiterleitung von Anmeldungen (NTLM Relay) geschützt.
+
Einordnung
Über diese Konfiguration können Zertifikate für fremde Identitäten, einschließlich administrativer Konten, ausgestellt und zur Anmeldung genutzt werden.
+
3.3 Authentisierungsverfahren
Authentication & Access
+
Sachverhalt
Die Domain Controller akzeptieren NTLMv1 und LM, unterstützen für Kerberos die Verschlüsselungsverfahren RC4 und DES und bieten TLS 1.0 und 1.1 an. Die Namensauflösung per LLMNR ist nicht deaktiviert.
+
Einordnung
Die Verfahren gelten als veraltet und weisen bekannte Schwächen auf. Sie erleichtern das Abgreifen und Entschlüsseln von Anmeldedaten im internen Netz.
In Entra ID ist phishing-resistente Mehrfaktor-Authentisierung nicht durchgesetzt, und nicht alle Benutzer sind für Mehrfaktor-Authentisierung registriert. Risikobasierte Anmelderichtlinien bestehen nicht; Anmeldungen mit hohem Risiko werden nicht blockiert. Administrative Rollen sind teilweise synchronisierten Konten zugewiesen, ein externer Benutzer hält eine dauerhafte privilegierte Rolle, und die Zahl der globalen Administratoren liegt außerhalb des empfohlenen Bereichs.
+
Einordnung
Der Anmeldeschutz stützt sich überwiegend auf Kennwörter. Über synchronisierte administrative Konten wirkt eine Kompromittierung des lokalen Verzeichnisses auf den Cloud-Tenant fort.
+
3.5 Härtung des Domain Controllers
System Hardening · AD Infrastructure & PKI
+
Sachverhalt
Auf dem Domain Controller ist die Druckwarteschlange aktiv und aus dem Netz erreichbar. Die Windows-Firewall ist nicht wie vorgesehen aktiviert und protokolliert nicht. Eine Verwaltung lokaler Administratorkennwörter (LAPS) wurde nicht festgestellt. Einstellungen der Benutzerkontensteuerung weichen von der Vorgabe ab. Von 63 Prüfungen zur Systemhärtung weichen 61 ab.
+
Einordnung
Die Angriffsfläche des zentralen Systems der Umgebung ist größer als erforderlich.
+
3.6 Verfügbarkeit, Sicherung und Protokollierung
Monitoring & Recovery · AD Infrastructure & PKI
+
Sachverhalt
Die Domäne wird von einem einzelnen Domain Controller getragen. Die letzte erfasste Sicherung des Verzeichnisses datiert vom 27.05.2026 und liegt am Berichtsdatum 125 Tage zurück. Die Überwachungsrichtlinie der Domain Controller erfasst zentrale Ereignisse nicht; die PowerShell-Protokollierung ist unvollständig.
+
Einordnung
Für Anmeldung und Namensauflösung besteht kein Ausfallschutz. Wiederherstellbarkeit und Nachvollziehbarkeit sicherheitsrelevanter Vorgänge sind eingeschränkt.
+
3.7 Gruppenrichtlinien
GPO & Baseline
+
Sachverhalt
In den zwei analysierten GPO-Backups weichen 25 Policy Settings (100 Vergleiche) von der Microsoft Security Baseline ab; 100 Vergleiche stimmen überein. Betroffen sind unter anderem Kennwortrichtlinie und Benutzerrechte. Vier Einstellungen sind mehrfach konfiguriert (Duplicates); widersprüchliche Konfigurationen (Conflicts) bestehen nicht.
+
Einordnung
Die Abweichungen betreffen dieselben Schutzziele wie 3.1 und 3.5. Die Aussage beschränkt sich auf die konfigurierten Einstellungen der analysierten Backups.
+
+
+
+
+
4 Bewertungsgrundlage und Aussagebereich
+
+
+
Gegenstand
Active Directory der Domäne sevenkingdoms.local, Konfiguration des Domain Controllers, Entra-ID-Tenant sowie zwei GPO-Backups im Abgleich mit der Microsoft Security Baseline.
+
Erhebung
Automatisierte Prüfung aus fünf Datenquellen mit insgesamt 4.757 Einzelergebnissen, davon 998 auswertbar. Maßgeblich ist der jeweilige Erhebungszeitpunkt.
+
Gesamtbewertung
Mixed-Method-Index auf einer Skala von 0 bis 100. Je Datenquelle geht deren eigener Gesamtwert ein, andernfalls die Pass Rate der auswertbaren Prüfungen. Die Werte der Security Domains sind Pass Rates und keine Zerlegung dieses Index.
+
Gruppenrichtlinien
Bewertet wird die Konformität der konfigurierten, vergleichbaren Einstellungen im Scope. Die Bewertung bezieht sich ausschließlich auf die analysierten GPO-Backups, nicht auf die gesamte Domäne oder den wirksamen Zustand der Systeme. 1.305 Vergleiche erfordern eine fachliche Prüfung und sind nicht in der Bewertung enthalten; 3.516 nicht konfigurierte Baseline-Empfehlungen sind bewertungsneutral.
+
Cloud-Identitäten
147 von 318 vorgesehenen Prüfungen waren auswertbar; 169 wurden nicht ausgeführt.
+
Nicht Gegenstand
Geschäftsprozesse, Schutzbedarf der Daten, organisatorische Regelungen und bestehende kompensierende Maßnahmen.
+
Risikoentscheidungen
Eine Abweichung ist als Accepted Risk dokumentiert.
ASSESSOR weist technische Abweichungen aus. Wie stark sie konkrete Geschäftsprozesse betreffen und welche davon vorrangig sind, lässt sich aus dem aktuellen Report-Datenstand nicht belastbar bestimmen.
+
+
+
+
Erfasste Werte
+
+
1Domänencontroller erfasstBestandsangabe zum Erhebungszeitpunkt
Die Befunde weisen auf Möglichkeiten zur Ausweitung privilegierter AD-Rechte hin. Die Wiederherstellbarkeit des AD ist aus dem erfassten Datenstand nicht belegt. Eine aktive Kompromittierung ist nicht nachgewiesen.
+
+
+
+
Risikobild aus den vorliegenden Befunden
+
+
+
Risikobereich
Beobachtet
Mögliche Betriebswirkung
Offen
+
+
+
AD-Rechte und PKIIntegrität
+
Geänderte Rechte an einem geschützten AD-Objekt, auffällige Admin-Aktivität sowie Schwächen bei Zertifikatsvorlagen und der Zertifikatsregistrierung.
+
Unbefugte administrative Zugriffe könnten AD-abhängige Anmeldungen und Berechtigungen beeinflussen.
+
Autorisierung der Änderung, Zusammenhang der Befunde und tatsächliche Ausnutzbarkeit.
+
+
+
AD-WiederanlaufVerfügbarkeit
+
Ein Domänencontroller erfasst. Als letztes AD-Backup wurde bei der Erhebung der 27.05.2026 gemeldet.
+
Ein AD-Ausfall könnte Anmeldung und Berechtigungsprüfung abhängiger Dienste unterbrechen.
+
Spätere Sicherungen, erfolgreiche Wiederherstellung und konkrete Wiederanlaufzeit.
+
+
+
Cloud-AdminsZugriffsschutz
+
Abweichungen bei phishingresistenter Mehrfaktor-Authentifizierung und risikobasierten Zugriffsregeln.
+
Privilegierte Cloud-Zugänge könnten leichter missbraucht werden.
+
Weitere Gegenkontrollen und Reichweite der Abweichungen; ein Teil der Prüfungen wurde nicht ausgeführt.
+
+
+
+
+
+
+
+
Aussagebasis: Gespeicherte Assessment-Ergebnisse mit unterschiedlichen Erhebungszeitpunkten. Die Tabelle trennt beobachtete Konfigurationen von möglichen Folgen und offenen Nachweisen. Ein Scannerbefund belegt weder einen Angriff noch den aktuellen Betriebszustand nach der Erhebung.
ASSESSOR