- KYBERNA AI
-
ITSM & ESM Software
- ITSM & ESM Software ky2help®
- Lösung nach Branchen
- Bauunternehmen & Baugewerbe
- Finanzdienstleistungen & Banken
- Gesundheitswesen & Kliniken
- Hospitality & Hotelgruppen
- Industrie & Fertigung
- IT-Dienstleister, MSPs & Systemhäuser
- Öffentliche Verwaltung & Behörden
- Sicherheitsdienste & Leitstellen
- Telekommunikation & Netzbetreiber
- Versicherungen & Sozialversicherungen
- ky2help® Referenzen
- Kontakt
- ITSM & ESM Wissenswelt
- Glossar
- IT Services
- eAuktion
- Über uns
- News & Blog
- Support
Glossar
Fachbegriffe einfach erklärt
Active Directory: Verzeichnisdienst, Berechtigungen und IT-Governance
Active Directory (AD) ist der Verzeichnisdienst von Microsoft, über den Unternehmen Identitäten, Gruppen und Zugriffsrechte in Windows-Netzwerken zentral steuern. Die Serverrolle Active Directory Domain Services (AD DS) authentifiziert Benutzer und Computer, hält fest, welchen Gruppen jemand angehört, und setzt Sicherheitsvorgaben über Gruppenrichtlinien durch. In vielen Unternehmen ist AD damit der zentrale Kontrollpunkt für die Frage, wer worauf zugreifen darf.
Für Organisationen mit erhöhten Anforderungen an Governance und Nachweisbarkeit, etwa im Finanzsektor, im Gesundheitswesen oder in der öffentlichen Verwaltung, reicht es deshalb nicht, AD technisch zu betreiben. Ebenso wichtig ist, dass jede Berechtigungsänderung beantragt, genehmigt und nachvollziehbar dokumentiert wird.
Kurz zusammengefasst
- Rolle: AD DS ist Identitätsquelle, Anmeldedienst (Kerberos) und Richtlinienverteiler (Gruppenrichtlinien) für das Windows-Netz.
- Risiko: Wer hochprivilegierte AD-Konten übernimmt, kontrolliert praktisch die gesamte Windows-Umgebung. Domain Controller gehören deshalb zur höchsten Schutzstufe.
- Cloud: Microsoft Entra ID (bis 2023 Azure AD) ist ein eigenständiger Cloud-Dienst mit eigenem Rollen- und Richtlinienmodell, kein Domain Controller in der Cloud.
- Governance: Ein dokumentiertes Berechtigungskonzept, das Vier-Augen-Prinzip bei Rechtevergaben und regelmässige Rezertifizierungen machen AD prüfbar.
Stand: November 2026 · Fachliche Grundlage: Microsoft Learn und Schweizer Rechtsquellen (Verweise am Ende des Artikels)
Aufbau von Active Directory aus Sicht der Sicherheit
Die Struktur von AD bestimmt, wo Verantwortung liegt und wie weit ein Angreifer nach einer Kompromittierung kommt. Die Begriffe lassen sich deshalb gut entlang ihrer Grenzen erklären:
- Gesamtstruktur (Forest): die oberste Einheit und laut Microsoft die eigentliche Sicherheitsgrenze. Alle Domänen einer Gesamtstruktur teilen Schema und Konfiguration. Wer die Gesamtstruktur kontrolliert, kontrolliert alle Domänen darin.
- Domäne: eine Verwaltungs- und Replikationseinheit innerhalb der Gesamtstruktur, zum Beispiel ad.firma.ch. Mehrere Domänen mit zusammenhängendem Namensraum bilden eine Struktur (Tree).
- Organisationseinheit (OU): die Ebene, auf der Verwaltungsrechte delegiert und Gruppenrichtlinien verknüpft werden. Eine sauber geplante OU-Struktur ist die Voraussetzung dafür, dass etwa der Service Desk Kennwörter zurücksetzen kann, ohne Domänen-Admin zu sein.
- Domain Controller (DC): Server, die die Verzeichnisdatenbank (NTDS.dit) halten und untereinander replizieren. Weil sie die Kennwort-Hashes aller Konten enthalten, sind sie besonders schutzbedürftig.
Privilegierte Gruppen
Einige integrierte Gruppen haben weitreichende Rechte: «Organisations-Admins» und «Schema-Admins» wirken auf die gesamte Gesamtstruktur, «Domänen-Admins» auf eine Domäne. Hinzu kommen Gruppen wie «Administratoren», «Konten-Operatoren» oder «Sicherungs-Operatoren». Ihre Mitglieder sollten wenige, namentlich bekannt und dokumentiert sein. Microsoft empfiehlt, die Gruppen der Organisations- und Schema-Admins im Normalbetrieb leer zu lassen.
Anmeldung und Verzeichniszugriff
Für die Anmeldung in der Domäne nutzt AD Kerberos, Anwendungen greifen über LDAP auf das Verzeichnis zu, und über DNS finden Clients die Domain Controller. Sicherheitsrelevant sind vor allem Altlasten: Microsoft hat NTLM als veraltet eingestuft und NTLMv1 aus Windows 11 24H2 und Windows Server 2025 entfernt. LDAP-Verbindungen sollten signiert oder verschlüsselt laufen. Gruppenrichtlinien setzen Vorgaben wie Kennwortregeln, Überwachungsrichtlinien oder Firewall-Einstellungen auf allen Geräten durch.
Ergänzende Rollen wie Active Directory Certificate Services (AD CS) für eine eigene Zertifizierungsstelle oder Active Directory Federation Services (AD FS) für Verbundanmeldungen sind eigenständige Dienste. Sie brauchen denselben Schutz wie die Domain Controller, weil ein Angreifer über sie ebenfalls an privilegierte Identitäten gelangen kann.
Active Directory und Microsoft Entra ID: wo Kontrolle und Daten liegen
Microsoft Entra ID hiess bis 2023 Azure Active Directory. Der Name legt eine Cloud-Variante von AD nahe, tatsächlich ist Entra ID ein eigenständiger Dienst mit eigenem Rollenmodell und eigenen Protokollen (OpenID Connect, OAuth 2.0, SAML). OUs und Gruppenrichtlinien gibt es dort nicht. Wer LDAP oder Kerberos für Anwendungen in Azure benötigt, nutzt den separaten Dienst Microsoft Entra Domain Services.
| Active Directory (AD DS) | Microsoft Entra ID |
|---|---|
| Betrieb und Verantwortung | |
| Eigene Server, Betrieb und Patching durch das Unternehmen oder seinen Dienstleister | Cloud-Dienst, Betrieb durch Microsoft, Konfiguration durch den Kunden |
| Speicherort der Daten | |
| Eigenes Rechenzentrum oder gewählter Hoster | Microsoft-Rechenzentren, Region abhängig vom Land bei der Einrichtung des Mandanten |
| Administratorrollen | |
| Integrierte Gruppen wie Domänen-Admins, Delegation über OUs | Rollen wie Globaler Administrator, befristete Aktivierung mit Privileged Identity Management (ab Entra ID P2) |
| Richtlinien | |
| Gruppenrichtlinien für Computer und Benutzer | Bedingter Zugriff (ab Entra ID P1), etwa MFA oder Gerätestatus als Bedingung |
| Nachweise | |
| Ereignisprotokolle der Domain Controller | Anmelde- und Audit-Logs mit begrenzter Aufbewahrung, Export etwa in ein SIEM |
Hybride Umgebungen
In hybriden Umgebungen synchronisiert Microsoft Entra Connect Sync oder Cloud Sync die Identitäten aus AD nach Entra ID. Für die Governance heisst das: AD bleibt Ursprung der Identität, Änderungen wirken in der Cloud erst nach der Synchronisierung, und der Synchronisierungsserver muss so geschützt werden wie ein Domain Controller, weil er weitreichende Rechte in beiden Welten hat.
Für Schweizer Unternehmen ist die Wahl auch eine Frage der Datenhaltung. Das Datenschutzgesetz (DSG) verlangt eine dem Risiko angemessene Datensicherheit und regelt die Bekanntgabe von Personendaten ins Ausland. Wo Identitätsdaten gespeichert werden, gehört deshalb in die Dokumentation des Berechtigungskonzepts.
Berechtigungskonzept und kontrollierte Serviceprozesse
Ein Berechtigungskonzept beschreibt, nach welchen Regeln Zugriffsrechte vergeben, geändert und entzogen werden. Für AD heisst das konkret:
- Rollen definieren: Für jede Funktion ist festgelegt, welche Sicherheitsgruppen sie standardmässig erhält. Abweichungen sind begründete Ausnahmen.
- Ressourcenverantwortliche benennen: Für jede Freigabe und jede Fachanwendung genehmigt eine benannte Person den Zugriff fachlich. Die IT setzt um, entscheidet aber nicht über die Berechtigung.
- Vier-Augen-Prinzip: Wer Rechte beantragt, genehmigt sie nicht selbst. Mitgliedschaften in privilegierten Gruppen erfordern eine zusätzliche Freigabe.
- Funktionstrennung: Unvereinbare Aufgaben, etwa Zahlungen erfassen und freigeben, werden nicht im selben Konto kombiniert.
- Rezertifizierung: Ressourcenverantwortliche bestätigen in festen Abständen, dass die vergebenen Rechte noch nötig sind.
Vom Antrag zum Nachweis
Prüfbar wird ein Berechtigungskonzept erst, wenn jede Änderung einen festen Weg geht: Antrag mit Begründung, Genehmigung durch die verantwortliche Person, Umsetzung im AD durch die IT, Rückmeldung an die antragstellende Person. Liegen diese Schritte in einem Ticket, kann die IT bei einem Audit für jede Gruppenmitgliedschaft zeigen, wer sie wann genehmigt hat. Änderungen an der AD-Struktur selbst, etwa neue Gruppenrichtlinien oder Vertrauensstellungen, laufen über das Change Management mit Risikobewertung.
Regulatorischer Rahmen in der Schweiz
Der Bedarf an kontrollierten Berechtigungsprozessen ergibt sich oft aus mehreren Quellen. Das DSG verpflichtet zu angemessenen technischen und organisatorischen Massnahmen der Datensicherheit. Banken und Wertpapierhäuser müssen zudem das FINMA-Rundschreiben 2023/1 «Operationelle Risiken und Resilienz – Banken» umsetzen, das auch das Management von IKT-Risiken regelt. Betreiber kritischer Infrastrukturen müssen Cyberangriffe seit dem 1. April 2025 innert 24 Stunden dem Bundesamt für Cybersicherheit (BACS) melden. Welche Pflichten im Einzelfall gelten, hängt von Branche und Aufsicht ab und gehört in die Abstimmung mit der Compliance-Funktion.
Was ky2help® dazu beitragen kann
ky2help® bildet solche Abläufe als Workflows ab und unterstützt im Standard Schnittstellen zu Active Directory (AD/LDAP) und zu Azure AD, heute Microsoft Entra ID, einschliesslich Single Sign-on. Die Libera AG hat mit dem integrierten Prozessdesigner einen On- und Offboarding-Prozess für die Personalabteilung in Eigenregie umgesetzt. Beim Personalamt des Kantons Thurgau sind die abgebildeten HR-Prozesse lückenlos nachvollziehbar, dokumentiert und archiviert. Betrieben wird ky2help® als SaaS mit eigener Instanz in einem Rechenzentrum in der Schweiz oder in Deutschland oder On-Premises.
Active Directory härten: Massnahmen nach Priorität
Microsoft empfiehlt im Enterprise Access Model, Identitätssysteme in Schutzebenen zu denken. Für die Planung hilft eine Reihenfolge nach Wirkung:
Priorität 1: die Kontrollebene schützen
- Domain Controller, AD CS, Entra Connect und die zugehörigen Admin-Konten als höchste Schutzebene behandeln.
- Verwaltung nur von abgesicherten Admin-Arbeitsplätzen aus (Privileged Access Workstations).
- Privilegierte Gruppen minimal besetzen, Notfallkonten dokumentieren und ihre Nutzung überwachen.
Priorität 2: Angriffsflächen verkleinern
- Windows LAPS für eindeutige lokale Administratorkennwörter einsetzen.
- Gruppenverwaltete Dienstkonten (gMSA) statt Dienstkonten mit statischen Kennwörtern verwenden. Das erschwert Kerberoasting.
- NTLM schrittweise zurückdrängen, LDAP-Signierung und Kanalbindung erzwingen.
- Privilegierte Konten in die Gruppe «Geschützte Benutzer» (Protected Users) aufnehmen.
Priorität 3: erkennen, nachweisen, wiederherstellen
- Sicherheitsereignisse der DCs zentral sammeln und so lange aufbewahren, wie interne Vorgaben und Aufsicht es verlangen. Werkzeuge wie Microsoft Defender for Identity oder ein SIEM erkennen typische Angriffsmuster.
- Änderungen an privilegierten Gruppen und Gruppenrichtlinien alarmieren und mit genehmigten Changes abgleichen.
- Die Wiederherstellung der Gesamtstruktur nach Microsofts Leitfaden planen und testen, mit offline gelagerten Sicherungen.
- Mehrfaktor-Authentifizierung ergänzen: AD selbst bringt keine MFA für beliebige Anwendungen mit. Für privilegierte Zugriffe kommen Smartcards, Windows Hello for Business oder MFA über Entra ID infrage.
Grundlagen zu Schutzzielen und Managementsystemen finden Sie im Glossar unter Informationssicherheit und ISO 27001.
Häufige Fragen zu Active Directory und Governance
Was ist Active Directory?
Active Directory ist der Verzeichnisdienst von Microsoft für Windows-Netzwerke. Er verwaltet Benutzer, Gruppen und Computer zentral, prüft Anmeldungen und steuert über Gruppen und Gruppenrichtlinien, wer worauf zugreifen darf.
Worin unterscheiden sich Active Directory und Microsoft Entra ID bei der Datenhaltung?
Ein lokales Active Directory läuft auf eigenen Domain Controllern im eigenen Rechenzentrum oder bei einem gewählten Hoster. Microsoft Entra ID ist ein Cloud-Dienst, dessen Daten in Microsoft-Rechenzentren liegen. Die Region richtet sich nach dem Land, das bei der Einrichtung des Mandanten angegeben wurde.
Was gehört in ein Berechtigungskonzept für Active Directory?
Rollen mit ihren Standardgruppen, benannte Verantwortliche für Freigaben und Anwendungen, der Genehmigungsweg mit Vier-Augen-Prinzip, Regeln für privilegierte Konten, Vorgaben zur Funktionstrennung und der Rhythmus der Rezertifizierung.
Wie oft sollten AD-Berechtigungen überprüft werden?
Eine allgemeingültige Frist gibt es nicht, sie sollte sich am Risiko orientieren. Verbreitet ist eine jährliche Rezertifizierung normaler Berechtigungen und eine kürzere, etwa vierteljährliche Prüfung privilegierter Gruppen. Branchenvorgaben und Aufsicht können strengere Regeln verlangen.
Warum gelten Domain Controller als besonders schutzbedürftig?
Domain Controller speichern die Kennwort-Hashes aller Konten und entscheiden über jede Anmeldung in der Domäne. Wer einen DC kontrolliert, kann sich beliebige Rechte verschaffen. Deshalb gehören DCs mit ihren Admin-Konten zur höchsten Schutzebene.
Unterstützt ky2help® kontrollierte Berechtigungsprozesse?
ky2help® bildet Antrag, Genehmigung und Umsetzung als Workflow ab und unterstützt im Standard Schnittstellen zu Active Directory (AD/LDAP) und Azure AD, heute Microsoft Entra ID, inklusive Single Sign-on. Wie das in Ihrer Umgebung aussehen kann, zeigen wir in einer Live-Demo.
Quellen und weiterführende Artikel
Quellen
- Microsoft Learn: Das logische Modell von Active Directory
- Microsoft Learn: Administrative Modelle mit minimalen Rechten
- Microsoft Learn: Enterprise Access Model
- Microsoft Learn: Microsoft Entra ID und Datenresidenz
- Microsoft Learn: Veraltete Funktionen in Windows (NTLM)
- Microsoft Learn: Leitfaden zur Wiederherstellung der Gesamtstruktur
- Fedlex: Bundesgesetz über den Datenschutz (DSG)
- FINMA: Rundschreiben (u. a. 2023/1)
Weiterlesen
Alle Glossar-Artikel in der Übersicht
Erfahren Sie, wie Microsofts Verzeichnisdienst Benutzer, Geräte und Rechte zentral verwaltet – sicher & zukunftsfähig für Unternehmen.
Mehr zu Active Directory
Was ist eine API? Erfahren Sie, wie Programmierschnittstellen Anwendungen verbinden, Prozesse automatisieren und Innovation in der digitalen Wirtschaft ermöglichen.
Was ist Authentifizierung? Erfahren Sie, wie Identitäten geprüft, Konten geschützt und moderne Anmeldeverfahren wie Zwei-Faktor-Authentifizierung Ihre Sicherheit erhöhen.
Was ist ein Backlog? Erfahren Sie, wie priorisierte Aufgabenlisten Teams helfen, Projekte agil zu steuern, Prioritäten zu setzen und Fortschritte transparent zu machen.
Erfahren Sie, wie eine Balanced Scorecard Unternehmen hilft, Strategie, Ziele und Kennzahlen zu verbinden und Erfolge messbar zu machen.
Das Change Advisory Board (CAB) berät bei der Bewertung und Freigabe von Changes im IT Service Management. Erfahren Sie, wann ein CAB gebraucht wird und wie ITIL 4 die Freigabe regelt.
Mehr zum CAB
Gesteuerter Change-Prozess mit Risikoanalyse, CAB-Freigaben und Kommunikation, um Ausfallzeiten zu reduzieren und Releasessicher in Produktionsumgebungen zu bringen.
Erfahren Sie, wie KI-gestützte Chatbots Kommunikation automatisieren, Kundenservice verbessern und Prozesse effizienter gestalten.
Was ist Continuous Integration? Erfahren Sie, wie automatisierte Builds und Tests Entwicklungsprozesse beschleunigen, Fehler vermeiden und Softwarequalität steigern.
Zentrale Konfigurationsdatenbank mit CIs und Beziehungen für Transparenz, Abhängigkeits-/Impact-Analysen, Audit-Sicherheit und Change-/Incident-Beschleunigung.
Was ist CSI? Erfahren Sie, wie Continual Service Improvement in ITIL hilft, IT-Services dauerhaft zu optimieren, Qualität zu steigern und Kundenzufriedenheit zu sichern.
Der Customer Effort Score ist eine Kennzahl, die beschreibt, wie viel Aufwand ein Kunde betreiben muss, um sein Anliegen mit einem Unternehmen zu lösen.
Was ist DevOps? Erfahren Sie, wie Entwicklung und IT-Betrieb durch Automatisierung, Zusammenarbeit und CI/CD zu schnelleren, stabileren Software-Releases führen.
Was ist die DSGVO? Erfahren Sie, wie die Datenschutz-Grundverordnungpersonenbezogene Daten schützt, welche Pflichten Unternehmen haben und welche Rechte Betroffene haben.
Was ist ESM? Erfahren Sie, wie Enterprise Service Management Prozesse vereinheitlicht, Services digitalisiert und alle Abteilungen effizient miteinander verbindet.
Was ist Hardware Asset Management? Erfahren Sie, wie Unternehmen mit HAM ihre IT-Geräte effizient verwalten, Kosten senken und Sicherheit im gesamten Lebenszyklus sichern.
Ein Helpdesk ist die zentrale Schnittstelle zwischen den Anwendern eines Unternehmens und den dafür zuständigen Support-Teams.
Ein Incident ist eine Beeinträchtigung eines IT-Services, die dazu führt, dass der Service nicht wie vorgesehen genutzt werden kann.
Erfahren Sie, wie der internationale Standard Unternehmen hilft, Informationssicherheit systematisch aufzubauen, Risiken zu minimieren und Vertrauen zu schaffen.
Erfahren Sie, wie das Framework IT-Prozesse strukturiert, Qualität sichert und die IT an den Geschäftszielen ausrichtet – praxisnah und modern mit ITIL 4 oder ITIL 5.
IT Service Management (ITSM) beschreibt die Gesamtheit spezialisierter organisatorischer Fähigkeiten, um IT-Services effizient zu betreiben.
Erfahren Sie, wie die japanische Kaizen-Methode durch kleine, stetige Verbesserungen Prozesse optimiert, Qualität steigert und Mitarbeitende einbindet.
Erfahren Sie, wie die Kanban-Methode durch Visualisierung, Flusssteuerung und kleine Verbesserungen Teams effizienter und flexibler arbeiten lässt.
Key Performance Indicators (KPIs) machen Ziele messbar, bewerten Leistung und unterstützen datenbasierte Entscheidungen im Unternehmen.
Erfahren Sie, wie KI funktioniert, wo sie eingesetzt wird und warum sie unsere Arbeitswelt verändert – zwischen Innovation und Verantwortung.
Machine Learning ist ein Teilgebiet der Künstlichen Intelligenz (KI). Es ermöglicht Systemen, Muster und Zusammenhänge in Daten eigenständig zu erkennen.
Erfahren Sie, wie Multi-Faktor-Authentifizierung funktioniert, warum sie Konten wirksam schützt und welche Methoden besonders sicher und benutzerfreundlich sind.
Erfahren Sie, wie die systematische Überwachung von IT-Systemen Leistung, Sicherheit und Verfügbarkeit verbessert – für stabile und effiziente Prozesse.
Erfahren Sie, wie Natural Language Processing funktioniert, wo es eingesetzt wird und warum es Kommunikation, Analyse und Serviceprozesse revolutioniert.
Der Net Promoter Score (NPS) gehört zu den bekanntesten Kennzahlen zur Messung von Kundenzufriedenheit und -loyalität im Umfeld von IT-Ticket-Systemen.
Der Net Promoter Score (NPS) gehört zu den bekanntesten Kennzahlen zur Messung von Kundenzufriedenheit und -loyalität im Umfeld von IT-Ticket-Systemen.
Operational Level Agreements (OLA) regelt interne Zusammenarbeit, unterstützt SLA-Ziele unterstützen und macht Serviceprozesse verlässlicher.
Operational Performance Indicator (OPI) sind ein zentrales Instrument, um die Leistungsfähigkeit operativer Prozesse in Unternehmen messbar zu machen.
Predictive Maintenance ist ein moderner Instandhaltungsansatz, der nicht auf starre Intervalle setzt, sondern auf datenbasierte Vorhersagen.
Die Root Cause Analysis (RCA) ist eine strukturierte Methode, um Ursachen eines Problems oder einer Störung zu identifizieren und zu beseitigen.
Was ist eine REST API? Erfahren Sie, wie REST-Schnittstellen Systeme verbinden, Daten austauschen und moderne Anwendungen schnell, flexibel und skalierbar machen.
Was ist eine Root Cause Analysis? Lernen Sie Methoden wie 5 Why, Ishikawa und Fehlerbaum kennen und erfahren Sie, welche Methode zu welcher Störung passt.
Was ist Scrum? Erfahren Sie, wie das agile Framework Teams hilft, flexibel zu arbeiten, schneller Ergebnisse zu liefern und Projekte kontinuierlich zu verbessern.
Verständlich erklärt: Wie Service Level Agreements Leistungen definieren, Qualität messbar machen und Servicebeziehungen strukturieren.
Was ist SSO? Erfahren Sie, wie Single Sign-On funktioniert, wie es Sicherheit und Komfort verbindet und warum es in modernen IT-Landschaften unverzichtbar ist.
Erfahren Sie, wie das Software Asset Management (SAM) Softwarebestände transparent macht, Kosten optimiert und Compliance sowie IT-Sicherheit stärkt.
Kompakt erklärt: Wie Sprints Teams helfen, in kurzen Zyklen zu planen, zu liefern und sich kontinuierlich zu verbessern.
Was ist eine SOP? Erfahren Sie, wie Standard Operating Procedures Abläufe standardisieren, Qualität sichern und Organisationen zuverlässiger machen.
Erfahren Sie, wie User Experience entsteht, warum sie entscheidend für Erfolg und Zufriedenheit ist und wie gute Nutzererlebnisse gestaltet werden.
Webhooks ermöglichen es, Ereignisse aus einem System in Echtzeit an ein anderes zu übermitteln, ohne dass ständige Abfragen erforderlich sind.
Was ist ein Workflow? Erfahren Sie, wie strukturierte Abläufe Prozesse vereinfachen, Qualität sichern und Unternehmen effizienter machen.
KYBERNA AG
