Dieser Fachvortrag analysiert die komplexen und risikoreichen Identitätsübergänge (sogenannte „Hops“) in hybriden IT-Infrastrukturen am Beispiel eines fiktiven Wiederherstellungsprozesses durch die Support-Mitarbeiterin Alice. Der Referent demonstriert eine „Rube-Goldberg-Maschine“ der Authentifizierung: Der Pfad führt von modernen Cloud-Sicherheitsmechanismen (Entra ID, FIDO-Passkeys, Conditional Access) über Webportale und Reverse Proxies mit HTTP-Headern bis tief in lokale Windows-Infrastrukturen (ADFS, Active Directory, Kerberos-Delegierung via S4U, Privilege Attribute Certificates, SID-History, Foreign Security Principals und veraltetes NTLM).
Die architektonische Analyse verdeutlicht die fundamentale Diskrepanz zwischen modernen Zero-Trust-Modellen und den impliziten, historischen Vertrauensstrukturen („Trust-me-Bro“) an den Protokollübersetzungsgrenzen von Legacy-Systemen. Diese Brüche in der Identitätslogik führen im Falle einer Kompromittierung dazu, dass eine effektive Identitäts-Sperrung (Revozierung) auf tieferen Systemebenen technisch fast unmöglich ist, da nachfolgende Sitzungen und Tickets autonom weiterbestehen.
Wichtigste Punkte & Zeitstempel
0:12 Einführung in die Rube-Goldberg-Sicherheitsarchitektur: Martin (Forschungszentrum Informatik) nutzt das Konzept einer hochkomplexen Maschine für eine eigentlich triviale Aufgabe, um die verschachtelten, oft unübersichtlichen Identitätswechsel und Vertrauensübergänge beim Benutzer-Login greifbar zu machen.
2:18 Ausgangsszenario & Berechtigungskontext: Alice arbeitet im OT-Support (keine administrativen Rechte) und muss eine Systemwiederherstellung („Restore Line Control Configuration“) durchführen. Sie besitzt lediglich das Recht, das entsprechende Restore-Tool zu aktivieren.
2:58 Modernes Login & Conditional Access: Alice meldet sich unter alice@corp.example mit einem FIDO-konformen Passkey (Multi-Faktor-Authentifizierung) an. Conditional Access verifiziert Kontextfaktoren wie Standort (z. B. Region Bruchsal via IP-Adresse) und Uhrzeit vor der Token-Ausstellung.
5:01 Token-Spezifikation an der ersten Grenze: Beim ersten Übergang wird Alice als ID-Token mit einer Tenant ID (TID für Organisationszugehörigkeit), einer Object ID (OID zur persistenten Benutzeridentifikation) und einer Subject ID (SUB für die Zielanwendung) definiert. Im Zero-Trust-Konzept müssen diese Claims bei jedem Token-Refresh kontinuierlich validiert werden (z. B. bei Grenzüberschreitung).
6:42 Portal-Sitzung via OpenID Connect (OIDC): Die Portal-Anwendung liest die Gruppenzugehörigkeit aus und ordnet Alice die Rolle „Support Operator“ zu. Das Portal etabliert eine eigenständige, 8-stündige Portal-Session (Session-Token), die unabhängig vom ursprünglichen ID-Token existiert und anfällig für Session-Hijacking ist.
8:51 Protokollbruch am Reverse Proxy: Um auf das Altsystem „Restore Old“ (Release von 2011) zuzugreifen, passierten die Daten einen Reverse Proxy. Dieser übersetzt die Portal-Sitzung in einfache HTTP-Header (X-Remote-User, X-Remote-Role). Das Altsystem vertraut diesen Headern blind (validiert nur die Proxy-IP), wodurch FIDO und Conditional Access an dieser Grenze vollständig erlöschen.
13:00 Lokale Rollenzuordnung im Altsystem: Das Legacy-System ignoriert teilweise die übermittelten Rollen-Header und verknüpft die Identität mit dem lokalen Datenbank-Account (User ID 42). Alice erhält die lokale Rolle „Restore Operator“ mit weitreichenden, potenziell überprivilegierten Rechten (Backup-Katalog durchsuchen, Medien lesen).
16:11 Active Directory Federation Services (ADFS): In einer hybriden Umgebung mappt die ADFS-Claim-Rule (Konfiguration aus dem Jahr 2017) die Active-Directory-Gruppen-SIDs (Security Identifier) auf die spezifischen Anwendungsrollen, was die starre Kopplung an historische Verzeichnisstrukturen zementiert.
21:04 Medienzugriff auf SMB-Freigaben: Um die Wiederherstellungsdaten zu lesen, muss das System auf einen Windows-Dateiserver (Archiv) zugreifen. Da der Dateiserver keine Web-Protokolle wie OIDC versteht, muss die Identität über ADFS in ein Kerberos-Ticket übersetzt werden.
23:33 Kerberos-Impersonation via S4U (Service for User): Da Alice dem Altsystem kein Kerberos-Ticket übergeben hat, nutzt der Dienst die Erweiterungen S4U2self und S4U2proxy. Der Restore-Dienst fordert beim Domain Controller ein Ticket für sich selbst im Namen von Alice an, um als ihre Identität auf den Dateiserver zuzugreifen (Impersonation).
26:11 Vertrauensmodell des Active Directory: Das klassische Active Directory arbeitet nach dem „Burgmodell“ (implizites Vertrauen/„Trust-me-Bro“). Wenn ein Dienst als vertrauenswürdig gilt und den geheimen Handshake beherrscht, stellt der Domain Controller anstandslos Tickets für simulierte Identitäten aus.
27:53 Foreign Security Principals (FSP): Um über Domänengrenzen hinweg (z. B. zwischen „Deutschland“ und „Frankreich“) zuzugreifen, wird im Zielsystem ein FSP-Referenzobjekt mit identischer Security Identifier (SID) benötigt. Dies ermöglicht den domänenübergreifenden Zugriff ohne erneuten Login.
34:31 Das Privilege Attribute Certificate (PAC): Im Kerberos-Ticket ist das kryptografisch signierte PAC eingebettet, das alle Berechtigungen und SIDs enthält. Dieses Zertifikat bildet die Grundlage für weitreichende Angriffe wie Golden, Silver, Diamond oder SFI-Tickets, bei denen Angreifer eigene Berechtigungsstrukturen fälschen.
37:19 SID-History als Migrationsaltlast: Das Ticket von Alice enthält eine SID-History, die alte IDs aus früheren Domänenmigrationen mitschleppt. Im gezeigten Szenario existieren diese Migrationsartefakte seit über 10 Jahren, was die Angriffsfläche vergrößert.
38:37 Kernel-Validierung durch den SRM: Auf der untersten Ebene des Archiv-Betriebssystems prüft der Security Reference Monitor (SRM) im Kernel das aus dem PAC generierte Token direkt gegen die Access Control Lists (ACL) der Zieldatei. Ein Umgehen dieser Instanz ist nur durch direkte Kernel-Kompromittierung möglich.
40:34 Der finale Medien-Hop via NTLM: Die eigentliche worker-Anwendung (RestoreWorker.exe) greift schließlich über das veraltete und unsichere NTLM-Protokoll auf eine weitere Dateifreigabe zu, wobei ein statisches Dienstkonto („Service Backup Legacy“) verwendet wird.
41:20 Unmöglichkeit der schnellen Schadensbegrenzung (Incident Response): Wird Alice kompromittiert, scheitert eine schnelle Sperrung. Das Deaktivieren des Kontos in Entra ID (Cloud) widerruft zwar künftige Logins, lässt jedoch die aktiven Webportal-Sessions, bereits ausgestellte Kerberos-Tickets, S4U-Delegierungen und lokale NTLM-Verbindungen auf den nachgelagerten Systemebenen unberührt und aktiv.
45:43 Evolution von Übergangslösungen zu Infrastruktur: Historisch gewachsene Software-Adapter und temporäre Workarounds aus den Jahren 2012 bis 2016 werden im Laufe der Zeit zu geschäftskritischen Infrastrukturen. Nach dem Ausscheiden von Schlüsselpersonal (z. B. im Jahr 2020) versteht niemand mehr die zugrundeliegenden Protokoll-Übersetzungen, was eine Deaktivierung unmöglich macht.
Glossar
Zero Trust: Ein IT-Sicherheitskonzept, dessen zentrales Credo „Niemals vertrauen, immer überprüfen“ lautet. Kein Benutzer und kein Gerät erhält standardmäßig Vertrauen, selbst wenn sie sich innerhalb des eigenen Netzwerks befinden.
FIDO / Passkey: Ein weltweiter Standard für die sichere, passwortfreie Authentifizierung. Er nutzt asymmetrische Kryptografie und Hardware-Sicherheitsmodule (oder Biometrie auf Smartphones), um Phishing-Angriffe vollständig zu blockieren.
Conditional Access (Bedingter Zugriff): Ein Sicherheitsmechanismus (oft in Microsoft Entra ID), der Zugriffsentscheidungen in Echtzeit anhand von Signalen wie Benutzerstandort, Gerätestatus, IP-Adresse und Risikoanalyse trifft.
OIDC (OpenID Connect): Ein einfaches Identitätsprotokoll, das auf dem Autorisierungs-Standard OAuth 2.0 aufbaut. Es ermöglicht Anwendungen, die Identität von Nutzern über einen zentralen Server sicher zu verifizieren.
Claims (Anforderungen/Zusicherungen): Name-Wert-Paare in einem digitalen Sicherheits-Token (z. B. E-Mail-Adresse, Benutzer-ID, Rollen), die vom Identitätsanbieter über den Benutzer behauptet und digital signiert werden.
Reverse Proxy: Ein Server, der Anfragen aus dem Internet entgegennimmt und an interne Server im Hintergrund weiterleitet. Er dient häufig als Sicherheitsbarriere, um Verschlüsselung oder Authentifizierung zentral zu regeln.
ADFS (Active Directory Federation Services): Eine Software-Komponente von Microsoft, die Identitätsdaten über Organisationsgrenzen hinweg mittels Single Sign-On (SSO) und Föderationsprotokollen (wie SAML) bereitstellt.
SID (Security Identifier): Eine eindeutige, unveränderliche Zeichenfolge, mit der Windows-Betriebssysteme Benutzer, Gruppen oder Computerkonten im Active Directory identifizieren.
Kerberos: Ein standardisiertes Netzwerk-Authentifizierungsprotokoll für lokale Windows-Domänen. Es arbeitet mit einem System aus vertrauenswürdigen "Tickets" und geheimen Schlüsseln, um Passwörter niemals im Klartext über das Netzwerk zu senden.
Impersonation: Ein Vorgang, bei dem ein Software-Dienst oder ein Server die Identität eines angemeldeten Benutzers annimmt, um in dessen Namen und mit dessen Rechten auf Ressourcen zuzugreifen.
S4U (Service for User / S4U2self & S4U2proxy): Eine Microsoft-Erweiterung des Kerberos-Protokolls. Sie erlaubt es einem Webdienst, für einen Benutzer (der sich ohne Kerberos, z. B. per Web-Formular, angemeldet hat) nachträglich ein lokales Kerberos-Ticket zu generieren (S4U2self) und dieses an Backend-Server wie SQL oder SMB weiterzuleiten (S4U2proxy).
Foreign Security Principal (FSP): Ein Platzhalterobjekt im Active Directory, das eine Identität aus einer externen, vertrauten Windows-Domäne repräsentiert, damit dieser Berechtigungen auf lokalen Ressourcen zugewiesen werden können.
PAC (Privilege Attribute Certificate): Ein Datenblock innerhalb eines Kerberos-Tickets, der die Gruppenmitgliedschaften und Sicherheitsrechte des Benutzers auflistet und vom Domain Controller digital signiert wird, um Manipulationen zu verhindern.
SID-History: Ein Attribut im Active Directory, das alte SIDs eines Benutzers speichert, die dieser vor einer Domänenmigration besaß. Dadurch behält der Benutzer Zugriff auf Ressourcen der alten Domäne, ohne dass dort Berechtigungen neu vergeben werden müssen.
SRM (Security Reference Monitor): Die zentrale Sicherheitsinstanz im Windows-Betriebssystemkern (Kernel), die bei jedem Dateizugriff prüft, ob die SIDs im Benutzertoken mit den Zugriffsrechten (ACL) der Datei übereinstimmen.
NTLM (NT LAN Manager): Ein veraltetes, proprietäres Authentifizierungsprotokoll von Microsoft aus den 1990er-Jahren. Es gilt aufgrund kryptografischer Schwächen als unsicher, wird aber aus Kompatibilitätsgründen in vielen Legacy-Umgebungen weitergenutzt.