Active Directory

In einer Firma mit 5.000 Angestellten braucht jeder ein Benutzerkonto mit Passwort. Niemand will diese Konten einzeln auf jedem der 5.000 Rechner anlegen. Stattdessen laufen alle Konten in einer zentralen Datenbank zusammen. Genau das ist Active Directory: eine von Microsoft entwickelte zentrale Verwaltung für Benutzer, Passwörter und Geräte eines Unternehmens. Meldet sich jemand morgens an seinem Arbeitsplatz an, fragt der Rechner dort nach, ob die Person echt ist und was sie darf. Man kann es sich wie das Meldeamt und die Schlüsselausgabe einer Firma in einem vorstellen.

Der Generalschlüssel eines Unternehmens

Active Directory ist seit dem Jahr 2000 in Firmen verbreitet und bis heute Standard. Schätzungen zufolge nutzen die allermeisten größeren Unternehmen weltweit es in irgendeiner Form. Es steuert nicht nur die Anmeldung, sondern auch den Zugriff auf Dateiordner, Drucker und interne Programme. Wer die Buchhaltungsordner sehen darf und wer nicht, ist dort hinterlegt.

Diese zentrale Rolle macht das System zu einem beliebten Ziel für Angreifer. Wer die Kontrolle über Active Directory übernimmt, kontrolliert praktisch das gesamte Firmennetzwerk. Bei vielen großen Erpressungsangriffen mit Verschlüsselungssoftware laufen genau darüber die entscheidenden Schritte. Die Angreifer verschaffen sich zuerst ein normales Mitarbeiterkonto und arbeiten sich dann zu einem Administratorkonto hoch.

Für Unternehmen bedeutet das einen Zielkonflikt. Ein zentrales System ist bequem und spart enorm viel Verwaltungsarbeit. Gleichzeitig gibt es einen einzigen Punkt, an dem ein Ausfall oder Einbruch alles lahmlegt. Deshalb gehören Absicherung und Überwachung dieses Dienstes zu den wichtigsten Aufgaben einer IT-Abteilung.

Domänen, Gruppen und der Anmeldevorgang

Alle verwalteten Objekte gehören zu einer sogenannten Domäne. Eine Domäne ist der abgegrenzte Bereich, für den ein Active Directory zuständig ist, etwa eine Firma oder eine Universität. Die Daten liegen auf einem oder mehreren Servern, die man Domänencontroller nennt. Diese Server halten identische Kopien der Datenbank, damit bei einem Ausfall nicht sofort alles stillsteht.

Rechte werden fast nie einzelnen Personen zugewiesen, sondern Gruppen. Es gibt zum Beispiel eine Gruppe „Buchhaltung“ mit Zugriff auf bestimmte Ordner. Kommt eine neue Kollegin dazu, steckt man sie in die Gruppe und alles Weitere passiert automatisch. Verlässt jemand die Firma, wird das Konto deaktiviert und sämtliche Zugriffe fallen gleichzeitig weg.

Bei der Anmeldung selbst arbeitet Active Directory mit einem Verfahren namens Kerberos. Vereinfacht gesagt bekommt der Rechner nach erfolgreicher Passwortprüfung ein digitales Ticket. Dieses Ticket weist ihn bei anderen Diensten im Netzwerk aus, ohne das Passwort erneut zu senden. Das Ticket läuft nach einigen Stunden ab und muss dann neu ausgestellt werden.

Vom Schul-Login bis zur Cloud

Wer in der Schule oder im Praktikum an einem Windows-Rechner mit persönlichem Benutzernamen arbeitet, nutzt sehr wahrscheinlich Active Directory. Dass die eigenen Dateien an jedem Gerät auftauchen, liegt an dieser zentralen Verwaltung. Auch Regeln wie erzwungene Passwortwechsel oder gesperrte USB-Anschlüsse werden darüber verteilt.

In den Nachrichten taucht der Begriff meist nach Sicherheitsvorfällen auf. Formulierungen wie „die Angreifer erlangten Domänenadministratorrechte“ beschreiben genau diesen Fall. Auch Behörden und Kliniken, die nach einem Angriff tagelang mit Stift und Papier arbeiten, hatten oft ein kompromittiertes Active Directory.

Wichtig ist die Abgrenzung zu Microsoft Entra ID, dem früheren Azure Active Directory. Das ist trotz des ähnlichen Namens kein Ersatz, sondern ein eigener Dienst für Anmeldungen im Internet. Das klassische Active Directory läuft auf Servern im Firmengebäude, Entra ID in der Cloud. Viele Unternehmen betreiben beides parallel und koppeln die Konten miteinander.