Das Passwort-Reset-Dilemma
Wenn ein Active-Directory-Kompromiss entdeckt wird, ist das erste Reflex oft, schnell Passwörter zu ändern. Doch hier liegt ein häufig übersehenes Problem: Ein Passwort-Reset reicht nicht aus, um Angreifer aus dem System zu entfernen.
Cached Credentials als Hintertür
Windows speichert Anmeldedaten lokal im Credential Manager und in LSASS-Speicher, um Offline-Authentifizierung zu ermöglichen. Das ist praktisch — ermöglicht aber auch Angreifern, nach einem Passwort-Reset noch mit alten Credentials zu arbeiten. Diese Cached Credentials können Stunden oder sogar Tage gültig bleiben, je nach Konfiguration.
Auch wenn das Passwort geändert wird: Die gecachten Werte ermöglichen es Angreifern, sich weiterhin zu authentifizieren, solange sie lokalen Zugriff haben oder diese Credentials exfiltriert haben.
Kerberos Tickets — der zweite Vektor
Kerberos Tickets sind ein weiterer kritischer Faktor. Ein Angreifer mit TGT (Ticket Granting Ticket) kann sich authentifizieren, bis das Ticket abläuft — typischerweise nach 10 Stunden. Ein Passwort-Reset invalidiert dieses Ticket nicht automatisch.
Selbst wenn ein Benutzer sein Passwort ändert, behalten bereits ausgestellte Kerberos Tickets ihre Gültigkeit. Das bedeutet: Angreifer können über gestohlene Tickets weitermachen, ohne dass das neue Passwort ihnen in die Quere kommt.
Was wirklich hilft
Eine effektive Response erfordert mehrere Schritte parallel:
- Sofortige LSASS-Speicherbereinigung auf betroffenen Systemen
- Kerberos Ticket-Invalidierung: User zwingen, sich neu anzumelden
- Token Revocation: Alle aktiven Session-Tokens aufräumen
- Credential Guard aktivieren: Zukünftige Cached-Credential-Diebstähle verhindern
- Extended Auditing: Monitoren, welche Sessions nach dem Reset noch aktiv sind
Fazit für Security Teams
Active-Directory-Breaches verlangen orchestrierte Incident Response, nicht nur Passwort-Rotation. Ohne parallele Maßnahmen zur Entfernung von Cached Credentials und Ticket-Invalidierung können Angreifer trotz Reset im System bleiben. Das ist ein blinder Fleck, den viele Security-Teams noch nicht haben.