Free tools Windows power users keep installed
One-click scans. No signup required.
Der dreitägige heise-conferences-Workshop „Active Directory Hardening – Vom Audit zur sicheren Umgebung“ richtet sich an Windows-Administratoren, die lokale Active-Directory-Umgebungen prüfen und absichern möchten. Er verbindet Angriffs- und Fehlkonfigurationswissen mit praktischen Übungen in einer vorbereiteten Testumgebung – ist aber kein vollständiges Audit der eigenen Produktionsumgebung.
Was bietet der Workshop?
Die undatierte offizielle Kursseite von heise conferences beschreibt ein angeleitetes Training mit praktischen Übungen in einer bereitgestellten Testumgebung. Der Workshop dauert drei Tage und ist auf höchstens 10 Teilnehmende pro Gruppe begrenzt. Digitale Unterlagen werden bereitgestellt; für den Zugriff auf die Trainingsumgebung benötigen Teilnehmende einen Rechner mit stabiler Internetverbindung.
As an Amazon Associate I earn from qualifying purchases.
Der praktische Teil nutzt integrierte Windows-Funktionen und Open-Source-Tools. Die Kursbeschreibung belegt Übungen in der Trainingsumgebung, aber weder eine Prüfung der eigenen Firmenumgebung noch einen Wirksamkeitsnachweis für dort umgesetzte Maßnahmen. Preise und offene Termine sind hier nicht angegeben und sollten direkt auf der Kursseite geprüft werden.
Recommended Free Tools
Welche Themen stehen auf der Agenda?
Die Agenda führt von den Grundlagen der Verzeichnisstruktur und Zugriffssteuerung zu Identitäten, Anmeldeverfahren und typischen Angriffspfaden. Sie betrachtet auch Systeme und Vertrauensbeziehungen, die über die Domäne hinausreichen.
Objekte, Protokolle und Berechtigungen
- Benutzer-, Computer- und Gruppenobjekte sowie Zugriffsentscheidungen über Access Tokens, Security Descriptors und ACLs.
- Kerberos und Net-NTLM sowie DHCP, DNS, NetBIOS, LDAP und SMB.
- Passwörter, NT-Hashes, AES-Schlüssel und Tickets als Bestandteile der Authentifizierung und mögliche Ziele bei Credential-Angriffen.
Fehlkonfigurationen und Angriffspfade
- Password Spraying und Net-NTLM-Relaying.
- Kerberoasting und AS-REP Roasting.
- Pass-the-Hash, Pass-the-Key und Pass-the-Ticket sowie Seitwärtsbewegung.
- Riskante ACLs, Gruppenrichtlinien (GPOs) und Delegierung.
Angrenzende Systeme und Trusts
Behandelt werden außerdem Angriffsflächen rund um SQL Server, Microsoft Exchange, Entra-ID-Synchronisierung und Active Directory Certificate Services (AD CS). Auch Trusts zwischen Domänen und Forests gehören zum Programm. Das ist für Prüfungen relevant, weil Risiken nicht an den Grenzen des Verzeichnisdienstes enden: Berechtigungen, Anmeldedaten und Vertrauensbeziehungen können Systeme miteinander verbinden.
Erkennung und Schutzmaßnahmen
Die Agenda umfasst das Schärfen von Log- und Audit-Einstellungen, zentrale Protokollauswertung und Honeypots beziehungsweise Honigtoken. Auf der Schutzseite nennt sie Maßnahmen gegen Erstzugriffe, AppLocker, sichere Gruppenrichtlinien, LAPS, Tiering und Least Privilege. Die Kursbeschreibung führt diese als Lern- und Übungsthemen auf, nicht als pauschale Garantie gegen eine Kompromittierung.
Rank #2
- Matt-laminated and greaseproof pages ensure glare-free reading and long life
- The outside covers are made from a new rubberized material for better Handling and Grip
- All the Tool Holder Identification Sections now include a full INCH section along with a METRIC section
- Updated and Improved Index Searching
Wie lässt sich AD-Härtung sinnvoll priorisieren?
Microsofts Active-Directory-Sicherheitsleitlinie ordnet typische Einstiegspunkte unter anderem unvollständigem Patchen, veralteten Anwendungen oder Betriebssystemen, Fehlkonfigurationen und Lücken beim Antivirus- oder Antimalware-Schutz zu. Daraus ergibt sich eine praktische Reihenfolge: erst kritische Systeme und Rechtepfade sichtbar machen, dann überflüssige Privilegien und riskante Anmeldungen reduzieren und anschließend Änderungen sowie sensible Objekte überwachen. Ein Wiederherstellungsplan gehört ebenfalls dazu.
1. Identitäten und privilegierte Pfade erfassen
Prüfen Sie nicht nur die Konfiguration einzelner Computer, sondern auch Konten, Gruppenmitgliedschaften, Credential-Nutzung und Verbindungen zu angrenzenden Systemen. Microsoft hebt insbesondere privilegierte Konten, VIP-Konten, Domain Controller sowie Identitätsinfrastruktur wie PKI- und Systemmanagementserver als besonders schützenswert hervor. Zu den Gruppen mit standardmäßig höchsten AD-Rechten zählen Enterprise Admins, Domain Admins und Administrators; organisationsspezifisch privilegierte Gruppen gehören ebenfalls in die Prüfung.
2. Rechte und administrative Anmeldungen begrenzen
Least Privilege bedeutet, Rechte auf das für die jeweilige Aufgabe notwendige Maß zu beschränken. Wo möglich, sollten privilegierte Konten nicht für alltägliche Tätigkeiten verwendet werden. Sichere Administrationshosts sollten keine E-Mail-, Browser- oder Office-Anwendungen ausführen. Microsoft formuliert die Grundregel: „Never administer a trusted system from a less-trusted host.“ Für privilegierte Konten oder Verwaltungsaufgaben empfiehlt Microsoft außerdem MFA.
3. Konfigurationen durchsetzen und überwachen
Sichere Gruppenrichtlinien und Sicherheitsbaselines helfen, gewünschte Einstellungen konsistent umzusetzen. Ergänzend sollten Audit-Richtlinien und die Überwachung sensibler AD-Objekte so eingerichtet sein, dass Änderungen zentral ausgewertet werden können. Maßnahmen wie LAPS, AppLocker und Tiering adressieren unterschiedliche Teile der Angriffsfläche; ihre Einführung ersetzt weder die Prüfung von Berechtigungen noch laufende Überwachung.
Rank #4
4. Mit einem möglichen Sicherheitsvorfall rechnen
Microsoft weist darauf hin, dass keine Abwehrmaßnahme Angriffe vollständig ausschließt: „While you can protect your AD from outside attacks, no defense is ever truly perfect.“ Dazu gehört, Wiederherstellung und Reaktion auf den Kompromittierungsfall einzuplanen, statt Sicherheit allein als Liste präventiver Einstellungen zu verstehen.
Microsofts Leitlinien zur Active-Directory-Sicherheit gelten laut Microsoft Learn für Windows Server 2016, 2019, 2022 und 2025. Welche Einstellungen im Einzelfall geeignet sind, hängt von der vorhandenen Umgebung und ihren Anforderungen ab.
Independent reader supportYour contribution helps us test, update, and keep practical guides available for everyone.Für wen passt das Training – und was sollten Teilnehmende mitbringen?
Der Kurs ist auf Windows-Administratoren ausgerichtet, die lokale AD-Umgebungen härten wollen. Vorausgesetzt werden Grundkenntnisse der AD-Administration und die Fähigkeit, Windows PowerShell über die Kommandozeile zu verwenden. Wer diese Grundlagen noch nicht sicher beherrscht, dürfte aus einem dreitägigen Workshop mit Angriffspfaden, Berechtigungsmodellen und Schutzmaßnahmen weniger Nutzen ziehen.
Die vorbereitete Laborumgebung erlaubt praktische Übungen, ohne dass die Kursbeschreibung einen direkten Bezug zur eigenen Produktionsumgebung verspricht. Wer ein konkretes internes Audit plant, sollte zusätzlich klären, wie sich die Kursinhalte auf die eigene Architektur, Richtlinien und Betriebsabläufe übertragen lassen.
Workshop oder Selbststudium mit Microsoft-Dokumentation?
Die beiden belegten Lernwege unterscheiden sich vor allem durch Anleitung und Praxisrahmen. Die Workshop-Angaben stammen von der offiziellen heise-conferences-Seite; Microsofts Dokumentation beschreibt herstellerseitige Sicherheitsmaßnahmen.
The Tool Desk
Outbyte Driver Updater FREEFix the driver behind crashes, sound loss and screen glitchesFind Drivers →Outbyte PC Repair FREEClear out junk files and repair common Windows errorsFree Scan →| Aspekt | heise-conferences-Workshop | Microsoft-Dokumentation |
|---|---|---|
| Format | Angeleiteter Hands-on-Workshop in vorbereiteter Testumgebung (heise conferences) | Eigenständiges Lernen anhand der Microsoft-Learn-Dokumentation |
| Zeitaufwand | Drei Tage (heise conferences) | Nicht angegeben (Microsoft Learn) |
| Gruppengröße | Höchstens 10 Teilnehmende pro Gruppe (heise conferences) | Nicht zutreffend; Dokumentation zur Selbstnutzung (Microsoft Learn) |
| Vorwissen | Grundkenntnisse der AD-Administration und Windows PowerShell über die Kommandozeile (heise conferences) | In der genannten Sicherheitsleitlinie nicht als Kursvoraussetzung angegeben (Microsoft Learn) |
| Bezug zur eigenen Umgebung | Übungen in einer bereitgestellten Testumgebung; ein Audit der eigenen Produktion ist nicht ausgewiesen (heise conferences) | Eigenständige Übertragung der Empfehlungen; individueller Aufwand nicht angegeben (Microsoft Learn) |
| Preis und Termine | Auf der hier zugrunde gelegten Kursbeschreibung nicht angegeben; aktuelle Angaben direkt beim Anbieter prüfen (heise conferences) | Nicht angegeben (Microsoft Learn) |
Der Workshop passt eher, wenn strukturierte Übungen und ein angeleiteter Lernrahmen wichtig sind. Selbststudium eignet sich, wenn Sie die Empfehlungen eigenständig durcharbeiten und ihre Umsetzung in Ihrer Umgebung selbst planen können. Beide Wege erfordern, dass Maßnahmen an die konkrete Infrastruktur angepasst werden.
Quick Recap
Product prices and availability are accurate as of the date/time indicated and are subject to change. Any price and availability information displayed on Amazon at the time of purchase will apply.
