# Privilegierter Zugriff: Tiering und Credential-Hygiene > Das Tier-0/1/2-Modell, das Clean-Source-Prinzip und PAWs, Abwehr von Credential-Theft (Protected Users, LAPS) und warum Gruppen-Verschachtelung zur Eskalation wird. Track: [Active Directory](https://physar.tech/learn/active-directory) Kanonische Fassung: https://physar.tech/learn/active-directory/privileged-access Stand: 2026-07-26 Interaktiver Teil: 7 Checks (nur im Browser) ## Privilegierter Zugriff: Tiering und Credential-Hygiene ### Warum privilegierter Zugriff das eigentliche Kronjuwel ist Ein Angreifer will selten „einen Server“ — er will **Kontrolle über die Identität**. Wer `Domain Admins` oder einen Domain-Controller kontrolliert, kontrolliert jedes Konto, jede Gruppe, jede Anmeldung im Forest. Deshalb dreht sich moderne AD-Sicherheit nicht um „starke Passwörter“, sondern um eine Frage: **Wo dürfen privilegierte Credentials überhaupt auftauchen — und wo nie?** Der klassische Angriffsweg heißt **Lateral Movement**: Der Angreifer landet auf einer beliebigen Workstation, stiehlt dort ein Credential und hangelt sich Host für Host nach oben, bis er ein Tier-0-Credential erwischt. Das Tier-Modell ist genau die Gegenstrategie: Es macht diesen Weg strukturell unmöglich, statt auf Glück zu hoffen. > **Merksatz:** Sicherheit von privilegiertem Zugriff ist eine **Frage der Platzierung**, nicht der Passwortstärke. Ein perfektes Passwort auf dem falschen Host ist kompromittiert, sobald der Host es ist. ### Das Tier-Modell (Tier 0 / 1 / 2) Microsoft strukturiert privilegierten Zugriff in **Tiers** (im heutigen „Enterprise Access Model“ als Kontrollebenen fortgeführt). Ein Tier ist eine **Vertrauensgrenze**: Konten und Systeme eines Tiers dürfen nur innerhalb ihres Tiers oder auf tiefere Tiers wirken — nie kontrolliert ein tieferes Tier ein höheres. _[Abbildung: Höhere Tiers verwalten tiefere. Tier-0-Credentials dürfen niemals auf Tier-1- oder Tier-2-Hosts exponiert werden.]_ | | | | --- | --- | | Tier 0 | Kontrolle über die Identität: Domain-Controller, `Domain Admins`, die AD-Datenbank, PKI/AD CS, Entra-Connect-/Azure-AD-Connect-Server. | | Tier 1 | Server und Anwendungen: Member-Server, Fileserver, Datenbanken und die Konten, die sie administrieren. | | Tier 2 | Workstations und User: Client-Rechner, Endnutzer und Helpdesk-Konten, die Endgeräte betreuen. | Die Faustregel für die Einordnung: **Alles, was die Identität kontrollieren oder kompromittieren kann, ist Tier 0.** Ein Enterprise-CA-Server gehört dazu, weil er Zertifikate ausstellt, mit denen man sich als beliebiges Konto authentifizieren kann. Ein Entra-Connect-Server gehört dazu, weil er synchronisationsprivilegierte Credentials hält. ### Kein Credential-Downgrade Die zentrale Regel des Modells: **Ein Tier-0-Credential darf nie auf einem Tier-1- oder Tier-2-Host exponiert werden.** Der Grund ist technisch, nicht organisatorisch: Meldest du dich interaktiv (oder per RDP, `RunAs`, geplantem Task, Dienst) an einem Host an, landen verwertbare Authentifizierungs-Geheimnisse im Speicher des `LSASS`-Prozesses dieses Hosts. Ist dieser Host kompromittiert — was bei einer Workstation die realistische Annahme ist — liest der Angreifer diese Geheimnisse aus und nutzt sie mit **Pass-the-Hash** oder Ticket-Diebstahl weiter. Ein einziger Domain-Admin-Login auf einer infizierten Workstation reicht, um den gesamten Forest zu verlieren. > **Merksatz:** „Abmelden“ macht ein exponiertes Credential nicht rückgängig. Sobald das Geheimnis einmal im Speicher eines kompromittierten Hosts war, gilt es als gestohlen. ### Clean Source und Privileged Access Workstations (PAW) Aus „kein Downgrade“ folgt das **Clean-Source-Prinzip**: Ein Objekt darf nur von einer Quelle verwaltet werden, die **gleich oder höher vertrauenswürdig** ist als das Objekt selbst. Verwaltest du ein Tier-0-System von einem weniger vertrauenswürdigen Host aus, wird die Sicherheit des Ziels von der Sicherheit der Quelle abhängig — du hast Tier 0 auf das Niveau der Quelle abgesenkt. Die praktische Umsetzung ist eine **Privileged Access Workstation (PAW)**: ein gehärteter, dedizierter Rechner, der ausschließlich der Administration eines Tiers dient — **kein** E-Mail, **kein** Web-Browsing, keine beliebige Software. Genau diese Alltagsaktivitäten sind die üblichen Einfallstore, und eine PAW entfernt sie aus der Verwaltungskette. > **Merksatz:** Verwalte höher nur von gleich hoch. Eine PAW für Web-Mail „nebenbei“ ist keine PAW — sie ist ein Tier-2-Host mit Tier-0-Rechten. ### Credential-Theft-Abwehr: Protected Users Tiering begrenzt, **wo** Credentials auftauchen. Ergänzend härtet die Gruppe `Protected Users` die privilegierten Konten selbst: Mitglieder können sich **nicht per NTLM** authentifizieren, nutzen in Kerberos **kein DES/RC4** und — entscheidend — es werden **keine langlebigen Geheimnisse** (Klartext, NTLM-Hash, langfristige Kerberos-Schlüssel) auf den Hosts zwischengespeichert. Das reduziert die Beute, die ein Pass-the-Hash-Angriff aus `LSASS` ziehen kann. `Protected Users` ist aber **kein Ersatz** für Tiering: Es macht ein exponiertes Credential schwerer verwertbar, verhindert die Exposition selbst nicht. Beide Maßnahmen wirken zusammen — die eine begrenzt die Verwertbarkeit, die andere die Angriffsfläche. > **Nebenwirkung:** `Protected Users` bringt Einschränkungen mit: keine Offline-Anmeldung (kein zwischengespeicherter Verifier), keine unbeschränkte/beschränkte Delegierung, kein RC4. Vor der Aufnahme kritischer Konten testen. ### LAPS: eindeutige lokale Admin-Passwörter Ein zweiter Lateral-Movement-Pfad läuft über **lokale** Admin-Konten. Ist das lokale Administrator-Passwort auf allen Rechnern gleich, genügt ein einziger geknackter Hash, um sich per Pass-the-Hash auf **jeden** Rechner mit demselben Passwort zu bewegen — ein klassischer Domino-Effekt. **LAPS** (Local Administrator Password Solution) löst das: Es vergibt je Rechner ein **eindeutiges, zufälliges** lokales Admin-Passwort, rotiert es automatisch und speichert es geschützt in AD/Entra, sodass nur berechtigte Konten es auslesen können. Ein kompromittiertes lokales Passwort öffnet dann genau **einen** Rechner. > **Anti-Pattern:** Passwörter per Group Policy Preferences (`GPP`) zu verteilen ist eine bekannte Schwachstelle (MS14-025): Der AES-Schlüssel zur Entschlüsselung der `cpassword`-Werte in SYSVOL ist öffentlich, und SYSVOL ist für alle authentifizierten Nutzer lesbar. ### Gruppen-Verschachtelung als Eskalationspfad Tier-Grenzen leben nicht nur zwischen Hosts, sondern auch **innerhalb der Gruppenstruktur**. AD wertet Gruppenmitgliedschaft **transitiv** aus: Ist eine niedrig-privilegierte Gruppe Mitglied einer Tier-0-Gruppe, erhält **jedes** Mitglied der niedrigen Gruppe — auch verschachtelt über mehrere Ebenen — die vollen Tier-0-Rechte. Das ist tückisch, weil ein Blick auf die **direkten** Mitglieder der Tier-0-Gruppe sauber aussehen kann, während die eigentliche Eskalation zwei Ebenen tiefer verschachtelt liegt. Deshalb zählt beim Audit die **effektive (transitive)** Mitgliedschaft, nicht die direkte — und Verschachtelung darf Tier-Grenzen nie überschreiten. > **Merksatz:** Eine Gruppe ist so privilegiert wie das höchste Tier, in das sie — direkt oder verschachtelt — mündet. Audite effektive Mitgliedschaft, nicht Gruppennamen. ### Gleich entscheidest du diese Achsen selbst In den folgenden Checks ordnest du Systeme und Konten den richtigen Tiers zu, entscheidest über zulässige Anmeldungen und Verwaltungswege (Clean Source), wählst die passende Credential-Theft-Abwehr (`Protected Users`, `LAPS`) und erkennst eine Eskalation durch Gruppen-Verschachtelung. Achte jeweils darauf, **wo** ein Credential exponiert würde — das ist fast immer der entscheidende Hebel. ## Quellen - Microsoft Learn — Enterprise Access Model / Securing privileged access (Tier 0/1/2) - Microsoft Learn — Privileged Access Workstations (PAW) und das Clean-Source-Prinzip - Microsoft Learn — Protected Users Security Group — https://learn.microsoft.com/en-us/windows-server/security/credentials-protection-and-management/protected-users-security-group - Microsoft Learn — Windows LAPS overview - Microsoft MSRC — MS14-025: An Update for Group Policy Preferences — https://www.microsoft.com/en-us/msrc/blog/2014/05/ms14-025-an-update-for-group-policy-preferences - Microsoft Learn — Protect Tier 0 the modern way / identifying Tier 0 assets - Microsoft Learn — Pass-the-Hash und Credential-Theft-Angriffspfade (Mitigating Pass-the-Hash) - Microsoft Learn — Securing privileged access: privileged access devices - Microsoft Learn — Protected Users security group - Microsoft Learn — Securing privileged access - Microsoft Learn — Windows LAPS security and access control - Microsoft Learn — AdminSDHolder, protected groups and SDProp - Microsoft Learn — Securing privileged access and Tier 0 assets - Microsoft Learn — Active Directory Forest Recovery guide