• Unzureichende Überwachung und Dokumentation von privilegierten Benutzern oder Gruppen
• Keine Funktionentrennung bzw. kein nachvollziehbares Rollenkonzept
• Arbeiten mit überprivilegierten Benutzern (Domänenadministratoren oder sogar dem „Administrator“)
• Kontinuierliche Verwendung von Domänen-Administratoren und -Rechte
• Unzureichende Überwachung und Dokumentation von delegierten Rechten
• Anmeldung von AD-Administratoren an Systemen niedriger Vertrauensstufen
• Zu mächtige oder schwach gesicherte Dienstkonten
• Nutzung desselben lokalen Administratorpassworts auf mehreren IT-Systemen
• Fehlende Entfernung nicht mehr verwendeter Konten aus dem AD

Diese Stichpunkte sind keine ausgedachten Schlagworte, sondern spezifische Bedrohungen und Schwachstellen innerhalb des Microsoft Verzeichnisdienstes (ADS) im aktuellen Kompendium für IT-Sicherheit 2020 des BSI (Link).

Privilegierte Accounts (wie z.B. der „Administrator“ oder alle generischen Mitglieder der Gruppe „Domänen-Administratoren“) ermöglichen Benutzern eine anonyme Anmeldung und die meist vollständige Kontrolle über Ihr Microsoft Active Directory oder Ihre Microsoft-Server sowie Zugriff auf sämtliche Informationen in diesen Systemen. Einerseits besteht immer das Risiko des unberechtigten Zugriffs, andererseits wissen meist aber auch die rechtmäßigen Nutzer (Administratoren) nicht, welchen Schaden (Trojaner, Spy-Software) sie mit ihren Berechtigungen anrichten können. Diese potenzielle Insiderbedrohung ist für Unternehmen bzw. Behörden besonders schwer zu kontrollieren. Das Hauptproblem ist meistens eine historisch gewachsene Rechteverwaltung, welche über die Jahre über nur sporadisch gewartet wurde.