Best Practices für die Active Directory-Delegierung

Laut dem IBM X-Force 2025 Threat Intelligence Index beginnen rund 30 % der Eindringversuche mit dem Missbrauch gültiger Konten. Die integrierten privilegierten Gruppen von Active Directory machen diese Anmeldedaten überproportional gefährlich, da sie jedem darin enthaltenen Konto domänenweite Lese- und Schreibrechte gewähren.

Ein Helpdesk-Techniker, der für routinemäßige Passwortzurücksetzungen zu den Domänenadministratoren hinzugefügt wird, verfügt über dieselben Zugriffsrechte wie der Ingenieur, der die AD-Infrastruktur betreut – unabhängig davon, was die eigentliche Aufgabe erfordert.

Die Active-Directory-Delegierung schließt diese Diskrepanz, indem aufgabenspezifische Berechtigungen auf OU-Ebene zugewiesen werden, anstatt über die Mitgliedschaft in privilegierten Gruppen.

Dieser Leitfaden beschreibt, wie Sie ein AD-Delegierungsmodell aufbauen, wie Sie delegierte Rechte mit dem Assistenten zum Zuweisen der Objektverwaltung anwenden und welche betrieblichen Praktiken verhindern, dass sich delegierte Berechtigungen zu unkontrolliertem Zugriff anhäufen.

Was ist Active Directory-Delegierung?

Die Active Directory-Delegierung ermöglicht es Administratoren, Benutzern oder Gruppen aufgabenspezifische erhöhte Berechtigungen zu erteilen, ohne sie zu privilegierten Gruppen wie Domänen-Admins oder Konten-Operatoren hinzuzufügen.

Diese Gruppen verfügen über uneingeschränkte domänenweite Berechtigungen: Jedes Konto in den Domänen-Admins kann jedes Objekt im Verzeichnis lesen und schreiben, unabhängig davon, wie eng die tatsächliche Aufgabenanforderung ist.

Die Active Directory-Delegierung wendet Zugriffssteuerungseinträge (ACEs) auf eine bestimmte Organisationseinheit (OU) oder Objektklasse an und beschränkt die Berechtigung auf genau das, was die Rolle erfordert.

Ein Helpdesk-Techniker, der zum Zurücksetzen von Passwörtern in einer OU delegiert wurde, erhält dieses Recht nur innerhalb dieses Bereichs. Die Berechtigung erstreckt sich nicht auf andere OUs, und das Konto erscheint in keiner privilegierten Gruppe.

So entwickeln Sie ein AD-Delegierungsmodell

Ein Delegationsmodell definiert die administrativen Rollen in Ihrer Umgebung, die Rechte, die jede Rolle besitzt, und die OU-Struktur, die den Geltungsbereich dieser Rechte festlegt. Ohne ein solches Modell sammeln sich delegierte Berechtigungen informell an und werden unmöglich zu prüfen.

Schritt 1: Rollen erstellen

Definieren Sie zunächst zwei Ebenen von Administratorrollen: Dienstadministratoren und Datenadministratoren.

1. Dienstadministratoren verwalten die Active Directory-Infrastruktur selbst. Diese Ebene umfasst Enterprise Admins, Domain Admins und alle Konten, die die AD-Replikation, Domänendienste oder von kritischen Systemen genutzte Dienstkonten betreuen. Jedes Mitglied dieser Ebene kann jedes Objekt in der Domäne beeinflussen, halten Sie sie daher so klein, wie es die Umgebung zulässt.
2. Datenadministratoren verwalten Objekte innerhalb des Verzeichnisses, ohne die zugrunde liegende Infrastruktur zu berühren. Organisieren Sie diese Ebene nach Geltungsbereich:

• Tier 1 (regionale Administratoren): Verwalten von Benutzer- und Gruppenobjekten innerhalb einer definierten geografischen Region oder Geschäftseinheit.
• Tier 2 (Abteilungsadministratoren): Verwalten von Benutzerkonten innerhalb einer bestimmten Abteilung oder Funktion.
• Tier 3 (Help Desk): Führen Sie eingeschränkte Vorgänge wie Passwort-Zurücksetzungen und Konto-Entsperrungen innerhalb einer zugewiesenen OU aus.

Halten Sie die Anzahl der Rollen gering. Jede zusätzliche Rolle erzeugt einen Berechtigungssatz, der dokumentiert, zugewiesen und überprüft werden muss. Die Vermehrung von Rollen ist eine Hauptursache für die Ansammlung unkontrollierter Zugriffe in ausgereiften AD-Umgebungen.

Schritt 2: Verantwortlichkeiten zuweisen

Dokumentieren Sie für jede Rolle, welche Rechte gelten, für welche Objektklassen und in welchen OUs. Ordnen Sie jede Zuweisung drei Dimensionen zu:

1. Häufigkeit: Wie oft die Rolle die Aufgabe ausführt; dies bestimmt den Überprüfungsrhythmus und ob der Einsatz automatisierter Tools gerechtfertigt ist.
2. Wichtigkeit: Ob die Aufgabe geschäftskritisch oder eine routinemäßige administrative Tätigkeit ist, wirkt sich auf die Genehmigungsschwellen für die anfängliche Vergabe aus.
3. Schwierigkeit: Ob die Aufgabe technisches Urteilsvermögen erfordert oder von einem Generalisten ausgeführt werden kann; dies bestimmt die Anforderungen an Schulung und Einarbeitung.

Verwenden Sie standardmäßige Active Directory-Zugriffssteuerungslisten (ACLs) für gängige Vorgänge und erweiterte Rechte für Vorgänge wie das Erzwingen einer Kennwortänderung oder das Anwenden von Gruppenrichtlinien. Dokumentieren Sie jede Zuweisung zum Zeitpunkt der Delegierung; nicht dokumentierte Rechte sind bei Zugriffsüberprüfungen und Audits unsichtbar.

Schritt 3: Definieren Sie ein OU-Sicherheitsmodell

Entwerfen Sie eine OU-Hierarchie, die Ihre Delegationsgrenzen widerspiegelt, bevor Sie Berechtigungen vergeben. Platzieren Sie privilegierte und administrative Konten in OUs, die von den Objekten getrennt sind, die sie verwalten: Ein Domänenadministrator-Konto, das in derselben OU wie die von ihm verwalteten Benutzer gespeichert ist, kann über eine OU-übergreifende Rechteausweitung angegriffen werden.

Erstellen Sie auf oberster Ebene OUs, die zu Ihrem Verwaltungsmodell passen – sei es geografisch, organisatorisch oder funktional. Erstellen Sie innerhalb jeder übergeordneten OU Unter-OUs, die den Zuständigkeitsbereichen der Datenadministratoren entsprechen.

Erstellen Sie für jeden Bereich eine dedizierte Sicherheitsgruppe und wenden Sie delegierte Rechte auf die Gruppe statt auf einzelne Konten an.

Diese Struktur begrenzt die vererbungsbasierte Rechteausweitung: Ein auf Unter-OU-Ebene delegierter Administrator kann keine Objekte in übergeordneten oder gleichrangigen OUs beeinflussen, sofern ihm nicht auf dieser Ebene ausdrücklich Rechte gewährt wurden. Überprüfen Sie die OU-Struktur immer dann, wenn sich das Organisationsmodell ändert.

So delegieren Sie die Kontrolle in Active Directory

Der Assistent zum Zuweisen der Objektverwaltung in Active Directory-Benutzer und -Computer (ADUC) ist das wichtigste Werkzeug zum Anwenden delegierter Rechte. Er schreibt ACL-Einträge direkt in die von Ihnen ausgewählte OU oder den Container und erstellt eine Berechtigungszuweisung, die später über die Registerkarte „Sicherheit“ der OU überprüft werden kann.

Schritt 1: Öffnen Sie den Assistenten zum Zuweisen der Objektverwaltung

Aktivieren Sie in ADUC die erweiterten Funktionen im Menü „Ansicht“, falls diese noch nicht aktiv sind. Navigieren Sie zu der OU, auf die Sie die Delegierung anwenden möchten, klicken Sie mit der rechten Maustaste darauf und wählen Sie „Objektverwaltung zuweisen“. Der Assistent wendet die Rechte nur auf die ausgewählte OU und deren Inhalte an; übergeordnete OUs bleiben davon unberührt.

Schritt 2: Benutzer oder Gruppen auswählen

Fügen Sie im Bereich „Benutzer“ oder „Gruppen“ die Sicherheitsgruppe hinzu, die die Administratorrolle repräsentiert, der delegierte Rechte zugewiesen werden.

Durch die gruppenbasierte Zuweisung können Sie Zugriffe hinzufügen oder entfernen, indem Sie die Mitgliedschaft ändern, anstatt die ACL der OU direkt anzupassen. So bleibt die Berechtigungsstruktur überprüfbar und umkehrbar.

Rechte, die einzelnen Konten zugewiesen werden, erzeugen ACEs, die auch nach Rollenwechseln und Offboarding bestehen bleiben, sofern sie nicht manuell entfernt werden.

Schritt 3: Zu delegierende Aufgaben auswählen

Wählen Sie „Die folgenden häufigen Aufgaben delegieren“ für Standardvorgänge wie das Erstellen oder Löschen von Benutzerkonten, das Zurücksetzen von Passwörtern, das Lesen von Benutzerinformationen oder das Verwalten von Gruppenmitgliedschaften.

Für Rechte außerhalb der vordefinierten Liste, einschließlich erweiterter Rechte wie „Kennwortänderung erzwingen“ oder „Gruppenrichtlinie anwenden“, wählen Sie „Benutzerdefinierte Aufgabe zum Delegieren erstellen“.

Schritt 4: Den Umfang der Delegierung festlegen

Legen Sie für benutzerdefinierte Aufgaben fest, für welche Objektklassen die Delegierung gilt (Benutzerobjekte, Computerobjekte oder Gruppenobjekte) und ob die Berechtigung für die OU selbst, für Objekte innerhalb der OU oder für beides gilt. Beschränken Sie den Umfang so eng, wie es die dokumentierten Verantwortlichkeiten der Rolle erfordern.

Schritt 5: Abschließen und überprüfen

Überprüfen Sie nach Abschluss des Assistenten das Ergebnis, indem Sie in ADUC mit der rechten Maustaste auf die OU klicken, „Eigenschaften“ auswählen und die Registerkarte „Sicherheit“ öffnen. Vergewissern Sie sich, dass der erwartete ACE mit den richtigen Berechtigungen und dem richtigen Geltungsbereich aufgeführt ist.

Testen Sie dies, indem Sie sich als Mitglied der delegierten Gruppe anmelden und sowohl zulässige als auch ausgeschlossene Vorgänge ausführen, um zu bestätigen, dass die Delegierung genau wie beabsichtigt funktioniert.

Best Practices für die Active Directory-Delegierung

Ein Delegierungsmodell und der Assistent zum Zuweisen der Objektverwaltung bilden die technische Grundlage. Diese Verfahren erhalten die Sicherheit dieser Grundlage, während sich Umgebung und Organisation weiterentwickeln.

Dokumentieren Sie jede Delegierung zum Zeitpunkt der Zuweisung

Erfassen Sie nach jedem Durchlauf des Assistenten zum Zuweisen der Objektverwaltung die OU, die Gruppe, die die Rechte erhält, die konkret gewährten Berechtigungen und die geschäftliche Begründung in einem zentralen Zugriffsregister, bevor dieser Zugriff genutzt wird.

Der Assistent erzeugt kein eigenes Protokoll; er wendet ACEs auf den Sicherheitsdeskriptor der OU an, ohne die Aktion, den Genehmiger oder die Begründung für die Vergabe zu erfassen. Undokumentierte ACEs werden bei Zugriffsüberprüfungen und Audits unsichtbar, und nach einem Personalwechsel verlieren sie ihre einzige Kontextquelle.

Eine Tabelle, ein ITSM-Ticket oder ein dediziertes IAM-System erfüllen alle diesen Zweck. Entscheidend ist, dass die Dokumentation vorliegt, bevor der Zugriff genutzt wird, und dass sie die geschäftliche Begründung abdeckt, nicht nur den technischen Umfang.

Weisen Sie delegierte Rechte Sicherheitsgruppen zu, nicht einzelnen Konten

Wenn Rechte einem einzelnen Konto zugewiesen werden, bleiben sie in der ACL der OU bestehen, selbst nachdem die betreffende Person das Unternehmen verlassen hat, ihre Rolle gewechselt hat oder ihr Konto deaktiviert wurde.

Der ACE bleibt mit der SID des Kontos verknüpft und wird im Rahmen der Standard-Offboarding-Schritte nicht automatisch entfernt.

Die einer Sicherheitsgruppe zugewiesenen Rechte werden entzogen, indem das Konto beim Offboarding aus der Gruppe entfernt wird. Dies passt zu standardmäßigen IAM-Workflows, schafft einen sauberen Prüfpfad und skaliert mit dem Wachstum oder den Veränderungen des Teams.

Änderungen an Gruppenmitgliedschaften erzeugen Ereignisse im Sicherheitsprotokoll; direkte ACE-Änderungen an OUs erfordern spezifische Einstellungen der Überwachungsrichtlinie, um gleichwertige Nachweise zu erzeugen.

Wenden Sie das Prinzip der geringsten Rechte auf jede Delegierung an

Gewähren Sie jeder Rolle nur die Rechte, die sie zur Ausführung ihrer dokumentierten Aufgaben benötigt, und verwenden Sie dabei den engsten OU-Geltungsbereich und den spezifischsten Berechtigungssatz, den die Arbeit erfordert.

Das Prinzip der geringsten Rechte auf die Delegierung angewendet bedeutet, Rechte auf die relevante Sub-OU statt auf die übergeordnete OU zu beschränken und bestimmte erweiterte Rechte statt eines umfassenden Schreibzugriffs auszuwählen. Es umfasst außerdem, zusammengesetzte Aufgaben in separate Delegierungen aufzuteilen, anstatt umfassendere Berechtigungen zu gewähren, um mehrere Fälle abzudecken.

Testen Sie eine Delegierung nach dem Anwenden, indem Sie sich als Mitglied der delegierten Gruppe anmelden und bestätigen, dass nur die beabsichtigten Vorgänge erfolgreich sind und ausgeschlossene Vorgänge fehlschlagen.

Delegierte Berechtigungen mindestens vierteljährlich überprüfen

Planen Sie regelmäßige Zugriffsüberprüfungen, um ACEs in sensiblen OUs aufzulisten und zu bestätigen, dass jeder Eintrag weiterhin eine aktuelle geschäftliche Anforderung widerspiegelt.

Öffnen Sie die Registerkarte „Sicherheit“ für die Ziel-OU (nur sichtbar, wenn in ADUC die erweiterten Funktionen aktiviert sind) und überprüfen Sie sowohl explizite als auch vererbte Einträge. Entfernen Sie jeden ACE, der zu einer Gruppe ohne aktive Mitglieder oder dokumentierten Zweck gehört.

Das Erkennen delegierter Berechtigungen in Active Directory im großen Maßstab erfordert PowerShell oder speziell entwickelte Tools; die native ADUC-Oberfläche zeigt den aktuellen Berechtigungsstatus an, erfasst jedoch nichts darüber, wann ein ACE erstellt wurde oder wer es erstellt hat.

Vierteljährliche Überprüfungen erkennen Berechtigungsabweichungen, bevor sie sich zu einem Rückstau undokumentierter Zugriffe anhäufen, der die Prüfung von Umgebungen erschwert.

Separate Konten für privilegierte Vorgänge verwenden

Fordern Sie Administratoren auf, bei der Ausführung delegierter Aufgaben ein dediziertes Administratorkonto zu verwenden, das von dem Konto getrennt ist, das sie für E-Mails und die tägliche Arbeit nutzen.

Das Standardkonto wickelt routinemäßige Aktivitäten ab und weist das Risikoprofil einer gewöhnlichen Benutzeranmeldung auf; das Admin-Konto wird nur aktiviert, wenn ein Vorgang mit erhöhten Rechten erforderlich ist, und sollte keinen Zugriff auf E-Mail, Webbrowsing oder eine Workstation haben, die mit nicht vertrauenswürdigen Inhalten arbeitet.

Eine Strategie zur Verwaltung privilegierter Konten, die Administratorkonten von Anmeldedaten für den täglichen Gebrauch trennt, ist eine der wirksamsten Kontrollmaßnahmen gegen anmeldedatenbasierte laterale Bewegungen.

Die Isolierung des Berechtigungsumfangs begrenzt, was ein Angreifer durch die Kompromittierung einer einzelnen Anmeldeinformation erreichen kann, und macht die Aktivität privilegierter Konten getrennt vom routinemäßigen Nutzerverhalten überprüfbar.

Gehen Sie über zu Just-in-Time-Zugriff für hochprivilegierte Delegierungen

Beseitigen Sie für die Rollen mit den höchsten Berechtigungen den dauerhaften delegierten Zugriff vollständig und ersetzen Sie ihn durch Just-in-Time-Zugriff, der erhöhte Berechtigungen nur für die Dauer einer genehmigten Aufgabe gewährt und sie automatisch widerruft, wenn die Aufgabe beendet ist.

Dauerhaft delegierter Zugriff bedeutet, dass jedes Konto mit diesen Rechten permanent durch Diebstahl von Anmeldedaten, Phishing oder laterale Bewegung gefährdet ist – unabhängig davon, wie selten das Konto tatsächlich genutzt wird.

Just-in-Time-Zugriff verkürzt das Zeitfenster, in dem eine kompromittierte Anmeldeinformation delegierte Rechte ausnutzen kann, reduziert den ACE-Umfang, den vierteljährliche Überprüfungen abdecken müssen, und erzeugt einen Genehmigungs- und Sitzungsnachweis, der die Prüfnachweise für regulierte Umgebungen stärkt.

Überlegungen bei der Delegierung bestimmter Berechtigungen

Jeder der folgenden Berechtigungstypen birgt Sicherheitsauswirkungen, die der Assistent zum Zuweisen der Objektverwaltung nicht aufzeigt.

Passwort zurücksetzen und Konto entsperren

Prüfen Sie zunächst die OU-Grenze. Eine Rolle, die zum Zurücksetzen von Passwörtern in einer OU delegiert ist, die Domänenadministratorkonten oder Dienstkonten enthält, verfügt über einen Pfad zum Zurücksetzen von Anmeldeinformationen für den Tier-Zero-Zugriff; der Berechtigungsumfang ist technisch korrekt, der OU-Umfang jedoch nicht. Stellen Sie sicher, dass die OU nur Standardbenutzerkonten enthält, bevor Sie die Delegierung anwenden.

Verwaltung von Gruppenmitgliedschaften

Überprüfen Sie die betroffenen Gruppen auf geschützte Mitglieder (Domänen-Admins, Organisations-Admins, Konten-Operatoren), bevor Sie diese Delegierung anwenden.

Der SDProp-Prozess von Active Directory wendet alle 60 Minuten erneut AdminSDHolder-ACEs auf diese Konten an und überschreibt dabei stillschweigend benutzerdefinierte Delegierungen.

Jede Delegierung, die auf diese Konten angewendet wird, hat keinen Bestand, und schon der bloße Versuch, sie anzuwenden, ist ein Signal zur Untersuchung.

Berechtigungen für Gruppenrichtlinienobjekte

Die Delegierung von Gruppenrichtlinien ist in drei Rechte unterteilt (Erstellen, Bearbeiten und Verknüpfen), wobei das Verknüpfungsrecht standardmäßig nicht zusammen mit den anderen Rechten gewährt werden sollte.

Das Verknüpfen eines GPOs wendet dessen Einstellungen sofort auf jedes Objekt in der Ziel-OU und deren untergeordneten Objekten an. Behandeln Sie das Verknüpfungsrecht als separate, erhöhte Berechtigung, die eine eigene Genehmigung erfordert.

Verwaltung von Computerkonten

Setzen Sie ms-DS-MachineAccountQuota auf null, bevor Sie die Verwaltung von Computerkonten delegieren; der Standardwert von 10 erlaubt es jedem authentifizierten Benutzer, Computer ganz ohne Delegierung in die Domäne aufzunehmen.

Beachten Sie außerdem, dass die standardmäßige Delegierung von Computerkonten den Schreibzugriff auf SPNs umfasst; lassen Sie dieses Recht aus der Zuweisung heraus, sofern die Rolle es nicht ausdrücklich erfordert, da der Schreibzugriff auf SPNs ein Kerberoasting-Risiko schafft.

Einstellungen für die Delegierung der Kerberos-Authentifizierung

Die Kerberos-Delegierung ist ein separates Attribut von der Active Directory-Delegierung der Kontrolle; sie wird nicht über den Assistenten zum Zuweisen der Objektverwaltung festgelegt und wird bei Delegierungsüberprüfungen leicht übersehen.

Prüfen Sie beim Auditieren delegierter Konten, ob eines davon auch eine uneingeschränkte Kerberos-Delegierung besitzt. Falls ja, behandeln Sie dieses Konto unabhängig von seiner OU als Tier 0, da ein kompromittierter Dienst mit uneingeschränkter Delegierung jedes TGT offenlegt, das der Domänencontroller an ihn übergeben hat.

Wie Netwrix bei der Active Directory-Delegierung hilft

Die Active-Directory-Delegierung verteilt die Kontrolle über die gesamte Umgebung, und jede verteilte Berechtigung ist eine potenzielle Lücke, wenn sie ungeprüft oder undokumentiert bleibt.

Rollen sammeln im Laufe der Zeit Rechte an, Gruppen nehmen Mitglieder auf, die sie nicht enthalten sollten, und ACEs, die für ein bestimmtes Projekt angewendet wurden, verbleiben lange nach Projektende auf den OUs.

Ohne kontinuierliche Transparenz über Berechtigungsänderungen können Sicherheitsteams die Zugriffslage nicht aufrechterhalten, die das Delegationsmodell durchsetzen sollte.

Die Verwaltung delegierter Zugriffe erfordert es, Berechtigungsänderungen in Echtzeit zu erkennen, Abweichungen zu identifizieren, bevor sie ausnutzbar werden, und belastbare Nachweise für Zugriffsüberprüfungen und Compliance-Audits zu erstellen.

Netwrix Auditor überwacht AD-Berechtigungsänderungen in Echtzeit und erstellt den Vorher-Nachher-Prüfpfad, der Zugriffsüberprüfungen und regulatorische Nachweise unterstützt.

Netwrix Access Analyzer ordnet effektive Zugriffe über verschachtelte Gruppen und OU-Vererbung zu, um übermäßige oder veraltete delegierte Rechte aufzudecken, bevor sie zu Audit-Beanstandungen werden.

Gemeinsam bieten sie Sicherheitsteams kontinuierliche Transparenz sowohl über die stattfindenden Änderungen als auch über den Zugriffszustand, den diese Änderungen erzeugen.

Fordern Sie eine Demo an, um zu sehen, wie Netwrix Ihnen helfen kann, die Delegierung in Active Directory zu steuern, Berechtigungsabweichungen zu erkennen und einen belastbaren Prüfpfad aufrechtzuerhalten.