ASSESSOR · Management ReportEntwurfVertraulich

Security Assessment Dummy

Active Directory, Entra ID und Gruppenrichtlinien

Auftraggeber
Dummy
Domäne
sevenkingdoms.local
Domain Controller
1
Erhebungszeitraum
—
Berichtsdatum
29.09.2026
Version
Entwurf 0.3

1 Zusammenfassung

37/100
Gesamtbewertung
998auswertbare Prüfungen
579Abweichungen (58 %)
7 von 8Security Domains mit Pass Rate unter 50 %

Die Gesamtbewertung der Umgebung beträgt 37 von 100 Punkten. Von 998 auswertbaren Prüfungen weichen 579 von der jeweiligen Vorgabe ab. Die Abweichungen konzentrieren sich auf folgende Bereiche:

In den Bereichen privilegierte Konten und Zertifikatsdienste bestehen Konfigurationen, über die administrative Rechte in der Domäne erlangt werden können. Für einen Teil der festgestellten Berechtigungsänderungen ist offen, ob sie autorisiert sind.

2 Gesamtbewertung

Ergebnis der auswertbaren Prüfungen419 Bestanden (42 %)579 Abweichung (58 %)
Abbildung 1 · Ergebnis der 998 auswertbaren Prüfungen. 175 weitere Prüfungen wurden nicht ausgeführt, waren nicht anwendbar oder fehlerhaft und gehen nicht in die Bewertung ein.
Pass Rate je Security Domain0 %50 %100 %Identity & Account Hygiene48 % · 221 von 425Privilege & Attack Paths60 % · 10 von 25Authentication & Access26 % · 31 von 42AD Infrastructure & PKI34 % · 21 von 32System Hardening3 % · 61 von 63GPO & Baseline43 % · 223 von 393Cloud & Applications11 % · 8 von 9Monitoring & Recovery20 % · 4 von 5Nicht zugeordnet100 % · 0 von 4BestandenAbweichung
Abbildung 2 · Pass Rate je Security Domain; Anzahl der Abweichungen von den auswertbaren Prüfungen.
Abweichungen je Security DomainIdentity & Account Hygiene221Privilege & Attack Paths10Authentication & Access31AD Infrastructure & PKI21System Hardening61GPO & Baseline223Cloud & Applications8Monitoring & Recovery4
Abbildung 3 · Anzahl der Abweichungen je Security Domain.

3 Wesentliche Feststellungen

3.1 Privilegierte Konten und Berechtigungen

Privilege & Attack Paths · Identity & Account Hygiene

Sachverhalt

Die Berechtigungen des AdminSDHolder-Objekts, das die Zugriffsrechte aller administrativen Konten vorgibt, wurden verändert. Auf dem Domain Controller und dem Kerberos-Dienstkonto krbtgt bestehen Schreibrechte für ressourcenbasierte Delegation; an privilegierten Objekten sind zusätzliche Anmeldeschlüssel (Shadow Credentials) hinterlegt. Vier administrative Konten sind nicht gegen Delegation geschützt, drei Mitglieder der Gruppe Domain Admins besitzen Kennwörter ohne Ablaufdatum. Das integrierte Administratorkonto wird aktiv verwendet; für ein Konto wurden auffällige administrative Aktivitäten erfasst.

Einordnung

Diese Konstellation erlaubt es, ausgehend von nicht privilegierten Konten administrative Rechte in der Domäne zu erlangen. Ob die veränderten Berechtigungen und die erfassten Aktivitäten autorisiert sind, lässt sich aus den erhobenen Daten nicht bestimmen.

3.2 Zertifikatsdienste

AD Infrastructure & PKI · Authentication & Access

Sachverhalt

Mehrere Zertifikatsvorlagen erlauben dem Antragsteller, die im Zertifikat bestätigte Identität selbst anzugeben. Eine Vorlage weist mindestens drei unsichere Einstellungen auf. Die Web-Registrierung der Zertifizierungsstelle ist nicht gegen die Weiterleitung von Anmeldungen (NTLM Relay) geschützt.

Einordnung

Über diese Konfiguration können Zertifikate für fremde Identitäten, einschließlich administrativer Konten, ausgestellt und zur Anmeldung genutzt werden.

3.3 Authentisierungsverfahren

Authentication & Access

Sachverhalt

Die Domain Controller akzeptieren NTLMv1 und LM, unterstützen für Kerberos die Verschlüsselungsverfahren RC4 und DES und bieten TLS 1.0 und 1.1 an. Die Namensauflösung per LLMNR ist nicht deaktiviert.

Einordnung

Die Verfahren gelten als veraltet und weisen bekannte Schwächen auf. Sie erleichtern das Abgreifen und Entschlüsseln von Anmeldedaten im internen Netz.

3.4 Cloud-Identitäten

Identity & Account Hygiene · Cloud & Applications

Sachverhalt

In Entra ID ist phishing-resistente Mehrfaktor-Authentisierung nicht durchgesetzt, und nicht alle Benutzer sind für Mehrfaktor-Authentisierung registriert. Risikobasierte Anmelderichtlinien bestehen nicht; Anmeldungen mit hohem Risiko werden nicht blockiert. Administrative Rollen sind teilweise synchronisierten Konten zugewiesen, ein externer Benutzer hält eine dauerhafte privilegierte Rolle, und die Zahl der globalen Administratoren liegt außerhalb des empfohlenen Bereichs.

Einordnung

Der Anmeldeschutz stützt sich überwiegend auf Kennwörter. Über synchronisierte administrative Konten wirkt eine Kompromittierung des lokalen Verzeichnisses auf den Cloud-Tenant fort.

3.5 Härtung des Domain Controllers

System Hardening · AD Infrastructure & PKI

Sachverhalt

Auf dem Domain Controller ist die Druckwarteschlange aktiv und aus dem Netz erreichbar. Die Windows-Firewall ist nicht wie vorgesehen aktiviert und protokolliert nicht. Eine Verwaltung lokaler Administratorkennwörter (LAPS) wurde nicht festgestellt. Einstellungen der Benutzerkontensteuerung weichen von der Vorgabe ab. Von 63 Prüfungen zur Systemhärtung weichen 61 ab.

Einordnung

Die Angriffsfläche des zentralen Systems der Umgebung ist größer als erforderlich.

3.6 Verfügbarkeit, Sicherung und Protokollierung

Monitoring & Recovery · AD Infrastructure & PKI

Sachverhalt

Die Domäne wird von einem einzelnen Domain Controller getragen. Die letzte erfasste Sicherung des Verzeichnisses datiert vom 27.05.2026 und liegt am Berichtsdatum 125 Tage zurück. Die Überwachungsrichtlinie der Domain Controller erfasst zentrale Ereignisse nicht; die PowerShell-Protokollierung ist unvollständig.

Einordnung

Für Anmeldung und Namensauflösung besteht kein Ausfallschutz. Wiederherstellbarkeit und Nachvollziehbarkeit sicherheitsrelevanter Vorgänge sind eingeschränkt.

3.7 Gruppenrichtlinien

GPO & Baseline

Sachverhalt

In den zwei analysierten GPO-Backups weichen 25 Policy Settings (100 Vergleiche) von der Microsoft Security Baseline ab; 100 Vergleiche stimmen überein. Betroffen sind unter anderem Kennwortrichtlinie und Benutzerrechte. Vier Einstellungen sind mehrfach konfiguriert (Duplicates); widersprüchliche Konfigurationen (Conflicts) bestehen nicht.

Einordnung

Die Abweichungen betreffen dieselben Schutzziele wie 3.1 und 3.5. Die Aussage beschränkt sich auf die konfigurierten Einstellungen der analysierten Backups.

4 Bewertungsgrundlage und Aussagebereich

GegenstandActive Directory der Domäne sevenkingdoms.local, Konfiguration des Domain Controllers, Entra-ID-Tenant sowie zwei GPO-Backups im Abgleich mit der Microsoft Security Baseline.
ErhebungAutomatisierte Prüfung aus fünf Datenquellen mit insgesamt 4.757 Einzelergebnissen, davon 998 auswertbar. Maßgeblich ist der jeweilige Erhebungszeitpunkt.
GesamtbewertungMixed-Method-Index auf einer Skala von 0 bis 100. Je Datenquelle geht deren eigener Gesamtwert ein, andernfalls die Pass Rate der auswertbaren Prüfungen. Die Werte der Security Domains sind Pass Rates und keine Zerlegung dieses Index.
GruppenrichtlinienBewertet wird die Konformität der konfigurierten, vergleichbaren Einstellungen im Scope. Die Bewertung bezieht sich ausschließlich auf die analysierten GPO-Backups, nicht auf die gesamte Domäne oder den wirksamen Zustand der Systeme. 1.305 Vergleiche erfordern eine fachliche Prüfung und sind nicht in der Bewertung enthalten; 3.516 nicht konfigurierte Baseline-Empfehlungen sind bewertungsneutral.
Cloud-Identitäten147 von 318 vorgesehenen Prüfungen waren auswertbar; 169 wurden nicht ausgeführt.
Nicht GegenstandGeschäftsprozesse, Schutzbedarf der Daten, organisatorische Regelungen und bestehende kompensierende Maßnahmen.
RisikoentscheidungenEine Abweichung ist als Accepted Risk dokumentiert.