Wie viele Schritte trennen ein gewöhnliches Benutzerkonto in Ihrer Domäne vom Domänen-Admin?
Ein interner Penetrationstest zeigt, welche Angriffspfade von einem gewöhnlichen Benutzerkonto in Ihrer Domäne zu Domänen-Admin-Rechten und kritischen Systemen führen. Im Fokus steht das Active Directory: Kerberoasting, unsichere Delegationen, AD CS (die Zertifikatsdienste), verschachtelte Gruppen, Lateral Movement und Persistenz nach MITRE ATT&CK. Wir starten nach dem Assumed-Breach-Prinzip von einem Standardkonto oder einem kompromittierten Arbeitsplatz, so wie nach erfolgreichem Phishing.
Viele schwere Sicherheitsvorfälle, darunter Ransomware-Angriffe, beginnen nicht mit einem Durchbruch am Perimeter, sondern mit einem einzelnen kompromittierten Konto. Ab diesem Punkt entscheidet die innere Struktur darüber, ob aus einem lokalen Problem eine Gefahr für die gesamte Domäne wird.
Im Active Directory entstehen kritische Angriffspfade häufig durch gewachsene Berechtigungen: verschachtelte Gruppen, Dienstkonten mit zu vielen Rechten oder Fehlkonfigurationen in der Zertifikatsverwaltung. Wir starten mit einem Standardkonto im internen Netz und prüfen Ihre Domäne systematisch. Im Fokus stehen Konfiguration, Berechtigungen und die Pfade zum Domänen-Admin und zu Ihren kritischen Systemen.
Wir suchen die realen Wege von einem Standardkonto zu privilegierten Rechten, bis hin zur Administrator-Berechtigung.
Wir setzen voraus, dass ein Angreifer bereits im Netz ist, etwa nach erfolgreichem Phishing oder mit gestohlenen Zugangsdaten. Start ist ein Standardkonto oder ein Arbeitsplatz in Ihrer üblichen Konfiguration. So fließt die Testzeit in das, was den Schaden bestimmt: alles nach dem ersten Schritt.
Kerberoasting, unsichere Delegation, schwache Kennwortrichtlinien und angreifbare Zertifikatsdienste können Angreifern den Weg zu höheren Rechten öffnen. Sie werden gezielt geprüft.
Wir bewerten, wie sich ein Angreifer seitlich durch das Netz bewegt und dauerhaft festsetzt. Dabei prüfen wir, wie wirksam Ihre Segmentierung diese Bewegung begrenzt.
Domänencontroller, Backup-Systeme und zentrale Dateiablagen sind die Ziele aus Angreiferperspektive. Wir zeigen, ob und wie sie erreichbar sind.
Jeder gefundene Pfad mündet in eine konkrete Empfehlung, wie er unterbrochen wird, mit Blick auf die Umsetzbarkeit im Tagesgeschäft.
Ein interner Penetrationstest zeigt, wie weit ein Angreifer mit einem Standardkonto im Active Directory kommt, bis zu Domänencontroller, Backup-Systemen und kritischen Geschäftsassets. Er richtet sich an Unternehmen mit Active Directory, auch hybrid mit Entra ID. Sie erhalten jeden gefundenen Pfad mit dem Schritt, der ihn unterbricht.
Wir klären den Startpunkt (Standardkonto oder Testarbeitsplatz), die Zielsysteme und die Grenzen der Prüfung.
Der Test beginnt über einen vorbereiteten Einstieg in Ihrem Netz, etwa ein Standardkonto oder einen Arbeitsplatz in Ihrer üblichen Konfiguration. Der Perimeter ist dabei nicht Teil der Prüfung.
Wir arbeiten uns vom vereinbarten Startpunkt über Rechteausweitung und Lateral Movement bis zum kritischen Asset vor und dokumentieren jeden Schritt.
Angriffskette und Bewertung werden vor der Übergabe von einer zweiten Person geprüft.
Sie erhalten die vollständige Angriffskette und gehen sie mit uns durch, inklusive der Härtungsschritte.
Zuerst die technischen Erkenntnisse für Ihr IT-Team, dann der Plan für die Behebung, dann die Zusammenfassung für Ihre Geschäftsführung und die Prüfbescheinigung für Kunden, Auditoren oder Versicherer. Alles beruht auf denselben Befunden.
Jeder Befund mit Nachweis, Einordnung nach CVSS, Auswirkung und Relevanz für Ihre Umgebung, dazu die Liste der betroffenen Systeme und Geräte. Nachvollziehbar und auf Wunsch in einem Retest überprüfbar.
Ein priorisierter Actionplan mit klaren Verantwortlichkeiten, optional geschärft im Technischen Workshop mit Ihrem Team. Er ist die Grundlage für die Behebung und auf Wunsch begleiten wir die Umsetzung bis zum Retest.
Lage, Risiko und Entscheidungsbedarf auf wenigen Seiten, verständlich ohne technisches Vorwissen. Damit nehmen Sie Geschäftsführung, Gremien und Fachbereiche mit, um das Ergebnis zu vermitteln und Handlungsbedarf aufzuzeigen.
Die Bestätigung der durchgeführten Prüfung, ohne technische Details preiszugeben. Für Kunden, Auditoren, Aufsicht und Ihre Cyberversicherung.
Der Musterbericht zeigt, welche Unterlagen zu einem Pentest gehören und was sie abdecken. Zuschnitt und Umfang der Unterlagen legen wir im Scoping fest. Auf Wunsch erläutern wir das für Ihre Testart in einem kurzen Gespräch, kontaktieren Sie uns hierzu gerne direkt.
„Die Kommunikation verlief von Anfang an sehr praxisnah und ohne Vertriebssprech. Unsere Administratoren haben mir ähnliche Rückmeldung zur Durchführungsphase gegeben: Sehr unkomplizierte und durchweg positive Kommunikation, durch die man sich auch schwierigen internen Aufgaben motiviert stellt.“
Raimund Zimmermann, IT Security Manager, DEHN SE
Die Prüfung beginnt mit einem gegebenen Zugang und endet an der Grenze Ihrer lokalen Domäne. Sie lässt sich nach außen, in die Cloud, in die Produktion oder in die Tiefe einzelner Pfade erweitern.
Wenn offen ist, wie ein Angreifer den ersten Zugang überhaupt erlangt, ergänzt die externe Prüfung den Weg bis zum Startpunkt dieses Tests.
Zur LeistungWenn Sie nach der Härtung regelmäßig sehen wollen, ob neue Berechtigungsketten zum Domänen-Admin entstanden sind, genügt die Analyse der Angriffspfade ohne vollständigen Innentest.
Zur LeistungWenn Office-IT und Produktion verbunden sind, zeigt der OT- und IoT-Pentest, ob der Weg bis an die Steuerung reicht.
Zur LeistungKombinierbar, sobald Ihre Domäne mit Entra ID synchronisiert ist und auch die Cloud-Seite Ihrer hybriden Umgebung betrachtet werden soll.
Zur LeistungSchildern Sie kurz, worum es geht. Den Zuschnitt erarbeiten wir mit Ihnen im Scoping. Für das Beratungsgespräch müssen
Sie sich nicht vorbereiten, wir führen Sie fachlich Schritt für Schritt. Ausgehend von Ihren Unternehmensabläufen und IT-Systemen ermitteln wir gemeinsam das passende Testkonzept.
Diese Fragen erreichen uns zu dieser Leistung am häufigsten. Was fehlt, klären wir gern persönlich im Beratungsgespräch.
Weil die entscheidende Frage ist, was nach einem ersten Zugang passiert. Ein einzelnes Phishing-Opfer oder ein infiziertes Notebook genügt als Startpunkt. Der interne Penetrationstest prüft von dort Ihre Domäne und das Active Directory systematisch auf Pfade zu höchsten Rechten. Den Weg hinein zeigt die Prüfung der externen Infrastruktur.
Das Risiko ist gering, weil wir Techniken wählen, die den Betrieb erfahrungsgemäß nicht beeinträchtigen, und kritische Schritte vorab abstimmen. Aktionen mit Restrisiko, etwa Passworttests, die Kontosperren auslösen können, führen wir nur nach Freigabe aus. Eingebrachte Werkzeuge und Testkonten entfernen wir nach Abschluss und dokumentieren die Bereinigung.
Dann betrachten wir die Übergänge zwischen lokalem Active Directory und Cloud mit. Die tiefe Cloud-Prüfung von Entra ID, Microsoft 365 und Azure führen wir unter Cloud & Microsoft 365 durch, sinnvoll oft im selben Projekt.
Ein interner Pentest greift Ihre Umgebung aktiv an und zeigt, wie weit unsere Tester kommen. Im Workshop analysieren wir die Berechtigungsketten Ihres AD gemeinsam mit Ihrem Team in BloodHound und schließen die kritischsten Pfade im Termin. Der Pentest liefert den unabhängigen Befund, der Workshop den Wissenstransfer.
Einen Zugang, wie ihn ein gewöhnlicher Mitarbeiter hat: ein Standardkonto und einen Arbeitsplatz oder Netzwerkzugang. Weitere Rechte erhalten wir bewusst nicht, denn sie zu erlangen ist Teil der Prüfung. Ansprechpartner, Zeitfenster und Ausschlüsse legen wir im Scoping fest.
Das kann passieren und ist dann ein nützliches Ergebnis für Sie. Ob wir offen oder mit Rücksicht auf Ihre Erkennung testen und wie Ihr SOC eingebunden wird, legen wir vorab fest. Soll die Erkennung gezielt gemessen werden, ist eine Erweiterung um Detect & Respond oder eine Purple-Team-Übung der passende Weg.
Als Richtwert jährlich und zusätzlich nach größeren Änderungen, etwa Migrationen, dem Zusammenführen von Domänen oder einer neuen hybriden Anbindung. Berechtigungen wachsen im Alltag laufend, deshalb veralten Ergebnisse hier schneller als bei vielen anderen Prüfungen. Zwischen zwei Tests hilft eine regelmäßige Analyse der Angriffspfade.
Im Kern ja. Beide setzen einen gelungenen Erstzugang voraus und verfolgen den Weg zu Domänencontroller, Backups und kritischen Daten. Assumed Breach beschreibt den Startpunkt, etwa einen kompromittierten Arbeitsplatz nach Phishing. Wir bieten beides als eine Leistung an und legen den Startpunkt im Scoping fest. Ob Ihre Abwehr den Angriff bemerkt, misst zusätzlich Detect & Respond oder die APT-Simulation.
Je nach Größe der Domäne dauert die Durchführung wenige Tage bis mehrere Wochen. Den Aufwand treiben vor allem die Zahl der Domänen und Vertrauensstellungen, Standorte und Netzsegmente sowie hybride Anbindungen an Entra ID. Auch Testfenster außerhalb der Geschäftszeiten oder Arbeiten vor Ort wirken sich aus. Ein verbindliches Angebot erhalten Sie nach dem Scoping.
