Beim Kerberoasting nimmt ein Angreifer ein verschlüsseltes Ticket mit und probiert das Passwort eines Dienstkontos in aller Ruhe durch , unbemerkt. Wir erklären, warum lange Dienstpasswörter genau das verhindern, und zeigen den einen Fix, der die Kette unterbricht.
NIS2, BSI IT-Grundschutz, DIN SPEC und deutsche Berufsrechtsverweise im Original bleiben nach ihrem jeweiligen Geltungsbereich einzuordnen. Daraus wird keine Erfüllung lokaler Pflichten oder Anerkennung durch Versicherer in Schweiz abgeleitet.
Buzzard automatisiert wiederkehrende Büroarbeit für Unternehmen in der Schweiz. Anfragen, Dokumente und Aufgaben kommen strukturiert bei der zuständigen Person an.
Kundenadressen, Schweizer Schreibweise und +41-Kontaktdaten gehören in einen durchgängigen Ablauf. Dokumente, Rückfragen und offene Aufgaben werden dem passenden Kunden oder Projekt zugeordnet.
Wir richten den Ablauf mit Ihren Systemen und Zuständigkeiten ein. Ihr Team erhält nachvollziehbare Vorgänge, klare Freigaben und eine gemeinsame Übersicht über die nächsten Schritte.
Weitere Informationen: Weitere Produktdetails · Buzzard AI kennenlernen
Nicht jede Lücke steht allein , Kerberoasting ist ein Schritt in einer Kette. Tippen Sie auf einen Schritt, um den Fix zu sehen, der genau hier die Kette reissen lässt.
Beispielhafter Angriffspfad · so liest TULPAR Ihr Active Directory
Ein Ticket für ein Dienstkonto anzufordern ist im Active Directory völlig normal , jeder angemeldete Nutzer darf das. Genau deshalb fällt es nicht auf.
Das Passwort wird offline auf einem fremden Rechner durchprobiert. Kein gesperrtes Konto, kein Alarm im Netz, keine fünf Fehlversuche, die jemand bemerkt.
Fällt das Konto, ist der Weg zur vollen Kontrolle oft kurz. Cyberrisiken sind anhand des konkreten Betriebs zu bewerten.
Der Angriff lässt sich technisch kaum verhindern , aber wertlos machen. Ist das Dienstkonto-Passwort lang und zufällig, läuft das Offline-Durchprobieren ins Leere, selbst wenn das Ticket längst in fremder Hand ist.
TULPAR im Netzwerk einrichten , Einrichtung nach technischer Prüfung.
🟢 Nur ansehen (empfohlen) oder 🟡 aktiv testen , mit Ihrer Freigabe.
Bericht mit Schulnote, Ampel und Klartext , keine Fachsprache nötig.
Ein Bericht, den auch eine Geschäftsführung ohne IT liest: Schulnote, Ampel, und die drei Massnahmen, die am meisten bringen , in dieser Reihenfolge. Sie sehen sofort, ob Ihre Dienstkonten ein Risiko sind.
Schulnote & Ampel statt Fachchinesisch , auch für Chefs ohne IT.
Findet schwache Passwörter, RC4-Reste und überflüssige Dienst-Kennungen.
Hosting, Zugriffsrechte, Aufbewahrung und Löschung werden für Ihren Ablauf dokumentiert. Ihr Team erhält klare Zuständigkeiten und die zugehörigen Vereinbarungen für die Datenverarbeitung.
Wir greifen nichts an, was Sie nicht ausdrücklich freigeben.
Kerberoasting ist nur ein Baustein. Den ganzen Verzeichnisdienst härten Sie auf Active Directory absichern für KMU →
In einem Windows-Netzwerk meldet sich jeder Nutzer über ein zentrales System namens Active Directory an. Damit Programme wie eine Datenbank im Hintergrund laufen können, gibt es dafür eigene Dienstkonten. Beim Kerberoasting fordert jemand, der bereits einen ganz normalen Mitarbeiter-Zugang hat, ein verschlüsseltes Ticket für so ein Dienstkonto an. Dieses Ticket nimmt er dann mit und probiert in aller Ruhe auf einem fremden Rechner das Passwort durch. Der entscheidende Punkt: Solange das Dienstkonto ein langes, zufälliges Passwort hat, ist dieses Durchprobieren praktisch aussichtslos.
Jeder technische Scan braucht einen abgestimmten Umfang. Nur lesen bedeutet keine pauschale Risikofreiheit: Last, verwendete Protokolle und empfindliche Geräte sind vorab zu berücksichtigen. Aktive Tests erfolgen ausschliesslich nach ausdrücklicher Freigabe; ein Abbruchweg wird vereinbart.
Lange, zufällige Dienstkonto-Passwörter , als Faustregel über 25 Zeichen , oder besser gleich verwaltete Dienstkonten, sogenannte (g)MSA, bei denen Windows das Passwort selbst setzt und regelmässig sehr lang und zufällig erneuert. Damit läuft das Offline-Durchprobieren ins Leere, selbst wenn jemand das Ticket schon in der Hand hat. Das ist die unsichtbare Gegenwehr: Der Angriff findet statt, aber er bringt nichts.
Die Tickets können mit unterschiedlichen Verschlüsselungsverfahren ausgestellt werden. Das ältere Verfahren RC4 lässt sich beim Offline-Durchprobieren deutlich schneller angreifen als das moderne AES. Viele Active-Directory-Umgebungen stellen aus alter Gewohnheit immer noch RC4-Tickets aus. Wenn Sie in den Konten-Einstellungen AES erzwingen und RC4 abschalten, wird das Knacken zusätzlich erschwert. Lange Passwörter bleiben dabei der wichtigste Hebel , AES ist die sinnvolle zweite Schicht.
Ein SPN ist eine Kennung, die einem Konto sagt: „Hier läuft ein Dienst." Nur Konten mit so einer Kennung sind überhaupt für diese Art Ticket-Anfrage interessant. Über die Jahre sammeln sich oft alte oder überflüssige Kennungen an , etwa an einem normalen Benutzerkonto, das eigentlich gar kein Dienst sein sollte. SPN-Hygiene heisst: aufräumen. Nicht mehr benötigte Kennungen entfernen und keine Dienst-Kennungen an persönlichen Benutzerkonten lassen. Je weniger angreifbare Dienstkonten existieren, desto kleiner die Angriffsfläche.
Nein, und das ist Absicht. Wir erklären rein defensiv, was im Hintergrund passiert, damit Sie verstehen, warum die Schutzmassnahmen wirken , aber wir nennen keine Werkzeuge und liefern keine Schritt-für-Schritt-Anleitung. Ziel ist, dass eine Geschäftsführung oder IT-Verantwortung die Gefahr einordnen und den richtigen Fix priorisieren kann. TULPAR prüft ausschliesslich Ihr eigenes Netzwerk und nur mit Ihrer Freigabe.
TULPAR sieht sich Ihr Active Directory im Modus „nur ansehen" an und meldet im Klartext, welche Dienstkonten ein zu kurzes oder altes Passwort haben, wo noch RC4 statt AES erlaubt ist und welche überflüssigen Dienst-Kennungen gesetzt sind. Sie bekommen eine Schulnote, eine Ampel und eine Reihenfolge der Massnahmen , ohne Fachchinesisch. So sehen Sie auf einen Blick, ob hier ein Risiko liegt und welcher Schritt zuerst dran ist.
Kerberoasting ist meist ein Schritt in einer längeren Kette , der Angreifer braucht zuerst irgendeinen Zugang, und nach dem Dienstkonto will er oft weiter Richtung voller Kontrolle. Starke Dienstkonto-Passwörter unterbrechen diese Kette an einer entscheidenden Stelle. Sinnvoll ist trotzdem, das ganze Active Directory zu betrachten: Berechtigungen sauber trennen, alte Konten entfernen, Updates einspielen. Mehr dazu auf unserer Seite Active Directory absichern. TULPAR zeigt Ihnen, welcher Schritt bei Ihnen am meisten bringt.
Lassen Sie es uns gemeinsam herausfinden. In einem kurzen Gespräch klären wir Ihr Active Directory und zeigen, wie der Sicherheitscheck bei Ihnen abläuft , on-premise, nur ansehen als Standard, Klartext-Bericht inklusive.
