--- title: "Active-Directory-Pentest inkl. Entra ID (hybrid)" url: https://mr-cyber.com/de/leistungen/active-directory-pentest language: de-DE description: "Manueller Active-Directory-Pentest. Berechtigungen, privilegierte Konten, Wege zum Domain-Admin und Entra ID hybrid. Festpreis ab 3.400 €, Retest inklusive." --- # Active-Directory-Pentest Ein Active-Directory-Pentest prüft, wie leicht aus einem normalen Benutzerkonto die Kontrolle über Ihre gesamte Windows-Domäne wird. Mr Cyber prüft Berechtigungen, privilegierte Konten, Richtlinien und die hybride Anbindung an Entra ID und testet die realen Angriffswege anschließend manuell – zum Festpreis und mit kostenlosem Retest. Festpreis **ab 3.400 €** · 4 Testtage · Retest inklusive [Festpreis berechnen](https://mr-cyber.com/de/angebot?service=ad) Lieber erst sprechen? [Gespräch buchen](https://mr-cyber.com/de/kontakt#book) Ein normales Konto, drei Schritte, Domain Admins. - **4–8 Testtage**4 Testtage im Einstiegspreis - **MITRE ATT&CK**\+ 4 weitere Standards - **Bericht + Gespräch**innerhalb von 5 Werktagen - **Kostenloser Retest**innerhalb von 60 Tagen ## Für wen - Mittelständler, deren IT auf Windows und Active Directory läuft - Unternehmen mit NIS2-Pflicht oder ISO-27001- bzw. TISAX-Audit - Teams, die die Folgen eines Ransomware-Angriffs begrenzen wollen - Unternehmen nach einer Übernahme, einer Domänenmigration oder jahrelangem Wildwuchs ## Was wir testen ### Privilegierte Konten - Domänen- und Enterprise-Admins und ihre Nutzung - Service-Accounts und ihre Rechte - Trennung von Admin- und Alltagskonten ### Berechtigungen & Delegation - Rechte auf Benutzer, Gruppen und Organisationseinheiten - Delegationen und vererbte Berechtigungen - Wege vom normalen Benutzer zum Domain-Admin ### Richtlinien & Authentifizierung - Kennwort- und Sperrrichtlinien - Veraltete Protokolle und Authentifizierungseinstellungen - Gruppenrichtlinien und ihre Sicherheitseinstellungen ### Infrastruktur - Domänencontroller und ihre Härtung - Zertifikatsdienste (AD CS) - Vertrauensstellungen zwischen Domänen und Forests ### Hybride Identität - Synchronisierung mit Entra ID - Admin-Rollen und Conditional Access, auf Wunsch - Rechte, die aus der Cloud in die Domäne reichen und umgekehrt ## So testen wir Ihr Active Directory. Fünf Phasen, ein Tester. Derselbe erfahrene Tester vom Scope bis zum Retest. Testtage im Einstiegspreis 4 Werktage bis zum Bericht 5 Tage für den kostenlosen Retest 60 In der Regel 4–8 Testtage, abhängig von Benutzerzahl, Domänen und der Anbindung an Entra ID. 1. Phase 1 ### Scope & Starttermin Preis und Starttermin online oder im Gespräch. NDA, unterschriebener Scope und schriftliche Freigabe kommen vor dem ersten Test. Termin nach Wahl 2. Phase 2 ### Verzeichnis-Kartierung Benutzer, Gruppen, Vertrauensstellungen und Richtlinien erfasst. Testtag 1 3. Phase 3 ### Rechtepfade Wege von einem normalen Konto zu Admin-Rechten. Ab Testtag 2 4. Phase 4 ### Bericht & Abschlussgespräch Prüffähiger Bericht und Ticket-Datei, danach ein Gespräch. Innerhalb von 5 Werktagen 5. Phase 5 ### Kostenloser Retest Ihre Behebungen erneut getestet und schriftlich bestätigt. Innerhalb von 60 Tagen ## Methodik & Standards - MITRE ATT&CK - PTES - NIST SP 800-115 - CIS Benchmarks (Windows Server) - CVSS 3.1 ## So testen wir Active Directory Wir starten mit einem normalen Domänen-Benutzerkonto, also dem Zugang, den fast jeder Angreifer nach einer einzigen Phishing-Mail hat. Von dort erfassen wir, wie Ihr Verzeichnis konfiguriert ist, und suchen nach Wegen zum Domain-Admin. Die relevanten Wege bestätigen wir anschließend manuell. ### Sicher für Ihre Domäne Prüfungen, die Konten sperren oder Domänencontroller belasten könnten, stimmen wir vorab ab oder lassen sie weg. Änderungen am Verzeichnis gibt es nur mit Ihrer ausdrücklichen Freigabe. ### Kritische Befunde warten nicht auf den Bericht Erreichen wir Domain-Admin-Rechte oder finden etwas Dringendes, erfahren Sie es noch am selben Tag. ### Ein Härtungsplan in klarer Reihenfolge Der Bericht zeigt jeden Angriffsweg und die Maßnahmen, die die meisten davon schließen. Ihre IT weiß, was sie zuerst ändern sollte. ### Passende Prüfungen Entra ID und Microsoft 365 prüfen wir im [Cloud-Pentest](https://mr-cyber.com/de/leistungen/cloud-penetrationstest#m365). Wenn Sie sehen wollen, was ein Angreifer mit Domänenzugriff tatsächlich tut und was Ihr Team erkennt, fragen Sie nach einem [Assumed-Breach-Test](https://mr-cyber.com/de/leistungen/red-teaming#assumedbreach). ## Was Sie erhalten - Management-Summary für Geschäftsleitung und Prüfer - Angriffswege zum Domain-Admin, Schritt für Schritt - Jeder Befund mit Nachweis und Empfehlung - CVSS-3.1-Bewertung plus Geschäftsrisiko und priorisierter Härtungsplan - Abschlussgespräch mit Ihrer IT - Kostenloser Retest und aktualisierter Bericht ### Immer inklusive - Kostenloser Retest innerhalb von 60 Tagen - Abschlussgespräch mit Ihrem Team - NDA, AVV und Testfreigabe mit dem Angebot - Kritische Befunde noch am selben Tag gemeldet - Test-Stopp jederzeit auf Ihren Zuruf - Prüffähiger Bericht (PDF) - Importfertige Tickets für Jira, ServiceNow, GitLab, Azure DevOps und GitHub - E-Mail-Import für Helpdesks wie OTRS/Znuny, Zammad, TOPdesk und Matrix42 Pentest-Bericht · Admin & Söhne GmbH · MC-2026-024 Risiko: Kritisch CVSS 3.1 · 9.8 Offen · Retest inklusive ### Domänen-Adminrechte ganz ohne Benutzerkonto erreichbar Domäne ad.admin-soehne.example · Dienstkonto „svc-backup“ CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H #### Beschreibung Ein technisches Konto der Backup-Software hat volle Administratorrechte in der Windows-Domäne und ein kurzes Passwort, das nie abläuft. Eine alte Einstellung an diesem Konto erlaubt jedem Gerät im Firmennetz, eine verschlüsselte Kopie des Passworts abzurufen, ganz ohne Anmeldung. Weil das Passwort schwach ist, ließ sich daraus innerhalb von Stunden das echte Passwort ermitteln. #### Reproduktion 1. Einen Testlaptop ohne Firmenkonto mit einem Büronetz verbinden. 2. Die verschlüsselten Passwortdaten des Dienstkontos abrufen, was die alte Einstellung ohne Anmeldung erlaubt. 3. Das Passwort offline ermitteln und mit dem Kunden bestätigen: Es gewährt Domänen-Administratorrechte. ``` Konto: svc-backup · Mitglied von: Domain Admins Alte Einstellung: Passwortdaten ohne Anmeldung abrufbar = ja Passwort zuletzt geändert: vor über 5 Jahren Offline ermittelt: ja (unter 3 Stunden) ``` #### Geschäftliche Auswirkung Ein Gerät an irgendeiner Netzwerkdose im Büro oder ein infizierter PC führt zur vollen Kontrolle über alle Windows-Rechner, Server und E-Mail-Konten, auch über den Backup-Server. Das ist der Weg, auf dem Ransomware-Gruppen eine ganze Firma samt Backups verschlüsseln: wochenlanger Stillstand, und nach NIS2 haftet die Geschäftsleitung persönlich. #### Empfehlung Die alte Einstellung abschalten, das Passwort durch ein langes Zufallspasswort ersetzen oder auf ein verwaltetes Dienstkonto umstellen, das sein Passwort selbst wechselt. Domänen-Admin-Rechte entfernen und nur die für Backups nötigen Rechte vergeben. Alle anderen Konten auf dieselbe Einstellung prüfen und eine Backup-Kopie offline halten. CWE-521 (Weak Password Requirements) · CWE-250 (Execution with Unnecessary Privileges) · MITRE ATT&CK T1558.004 (AS-REP Roasting), T1078.002 (Domain Accounts) ## Festpreis ab [3.400 €](https://mr-cyber.com/de/angebot?service=ad) 4 Testtage · Bericht in 5 Werktagen · Retest inklusive Leistungen ausschließlich für Unternehmen. · [Wie sich der Preis zusammensetzt](https://mr-cyber.com/de/preise) ## Häufige Fragen Was kostet ein Active-Directory-Pentest? Festpreise beginnen bei 3.400 € für eine Domäne mit bis zu 500 Benutzern. Mehr Benutzer, mehrere Domänen oder Forests und Entra ID erhöhen den Aufwand. Das Anfrageformular zeigt Ihren verbindlichen Festpreis sofort, das schriftliche Angebot (PDF) erhalten Sie direkt nach Ihrer Anfrage per E-Mail. Sperrt der Test Konten oder bremst er die Domäne? Nein. Wir stimmen vorab ab, welche Prüfungen laufen, vermeiden alles, was Konten sperren oder Domänencontroller belasten könnte, und ändern nichts ohne Ihre ausdrückliche Freigabe. Was brauchen Sie von uns? Ein normales Domänen-Benutzerkonto, einen Netzzugang über virtuelle Maschine oder VPN, die Domänen im Scope und einen Notfallkontakt. Was ist der Unterschied zum internen Penetrationstest? Ein interner Test betrachtet das gesamte Netz und nutzt das Active Directory, wo es hilft. Der AD-Pentest konzentriert sich auf das Verzeichnis selbst und prüft seine Konfiguration vollständig, auch Wege, die ein interner Test in der verfügbaren Zeit nicht erreicht. Wir nutzen schon ein AD-Prüftool. Wozu dann ein Pentest? Prüftools listen Einstellungen auf. Ein Tester prüft, welche sich in Ihrer Umgebung zu einem echten Weg zum Domain-Admin verketten lassen und welche Maßnahmen die meisten Wege auf einmal schließen.