Microsoft Entra Connect synchronisiert beide – und mit ihm jedes schwache Konto, jede vergessene Berechtigung, jeden alten Dienstaccount. Ein einziger Fehler im lokalen Active Directory reicht, um den Weg in Microsoft 365 zu öffnen, unabhängig davon, wie gut der Cloud-Tenant abgesichert ist. Das zeigt Günter Born am 19. Oktober 2026 anhand eines vierstufigen Angriffspfads vom lokalen AD bis in die Cloud.

Für einen Betrieb dieser Größe ist das kein abstraktes Risiko. Der Verizon Data Breach Investigations Report 2026 registrierte in 39 Prozent der Vorfälle Missbrauch von Zugangsdaten, in 13 Prozent als initialen Zugriffspunkt. 58 Prozent der befragten Organisationen berichten, dass ehemalige Mitarbeiter nach ihrem Ausscheiden Zugriff behalten haben; 76 Prozent können dauerhaften Zugriff nicht sofort widerrufen, sobald er nicht mehr benötigt wird. Die Identity Defined Security Alliance zählte 2025, dass 86 Prozent der Unternehmen im vergangenen Jahr einen identitätsbezogenen Vorfall erlebten.

In der Praxis sieht das so aus: Ein Dienstaccount mit einem Passwort aus 2022, eine Gruppenrichtlinie, die ein Passwort im Klartext ablegt, ein Gastkonto, das nach einem Projekt niemand mehr gelöscht hat. Das läuft still, bis jemand es findet. Oder ein Angreifer. Und weil in vielen hybriden Umgebungen dasselbe Passwort auch für Microsoft 365 gilt, reicht ein gestohlenes Passwort, um beides zu öffnen – vorausgesetzt, Legacy-Protokolle wie POP, IMAP oder SMTP AUTH sind noch aktiv, denn die können keine Multi-Faktor-Authentifizierung abfragen.

Unicode, Namensvalidierung und zwei CVEs

ResetNightmare (CVE-2026-27912) erlaubt unter bestimmten Bedingungen einem Angreifer mit geringen Rechten die vollständige Übernahme einer AD-Domain. KerberLoss (CVE-2026-25177) untergräbt Authentifizierungsmechanismen, zwingt Dienste zu schwächeren Protokollen oder verursacht Ausfälle. Beide Schwachstellen nutzen verborgene Unicode-Zeichen und Lücken in der Namensvalidierung aus – Angreifer erzeugen die Illusion, zwei verschiedene Konten oder Dienste hätten denselben Namen. Microsoft klassifizierte beide als „significant privilege escalation vulnerabilities" (wörtlich: bedeutende Privilegieneskalierungs-Schwachstellen); Semperis bewertete das Risiko als ernst. KerberLoss wurde im März 2026 gepatcht, ResetNightmare im April 2026.

Die Erkennung ist möglich: Änderungen am Verzeichnis lassen sich über die Security Event ID 5136 im Active Directory nachverfolgen. Semperis beschreibt in seinem Directory Services Protector ein manipulationssicheres Monitoring des AD-Replikationsstroms, das Änderungen erfasst, selbst wenn Security-Logging deaktiviert ist oder Agenten funktionsunfähig sind.

Der vierstufige Angriffspfad, den Born beschreibt, verläuft so: Phase 1 – Zugangsdaten stehlen, etwa durch Kerberoasting, alte Passwörter in Group Policy Preferences oder schwache Konten. Phase 2 – Rechte erweitern, über Delegierungen, ACL-Änderungen oder Admin-Rollen in Microsoft 365. Phase 3 – Zugriff sichern, über AdminSDHolder, Gruppenrichtlinien, Gastkonten, App-Einwilligungen oder öffentliche SharePoint-Links. Phase 4 – Aktivitäten verschleiern, durch Deaktivierung der Überwachung auf Domänencontrollern und des Unified Audit Log in Microsoft 365.

Was jetzt zu tun ist

1. AD-Patches verifizieren. Prüfen Sie auf allen Domänencontrollern, dass die Sicherheitsupdates für CVE-2026-27912 (April 2026) und CVE-2026-25177 (März 2026) installiert sind. In organisch gewachsenen Strukturen mit mehreren Domänencontrollern ist das keine Selbstverständlichkeit.
2. Legacy-Authentifizierung abschalten und Admin-Rollen trennen. Blockieren Sie POP, IMAP und SMTP AUTH im Tenant. Verlangen Sie phishingresistente MFA für alle Admin-Rollen. Erstellen Sie separate Cloud-Admin-Konten, die nicht aus dem lokalen AD synchronisiert werden – ein Problem im AD darf kein Problem in der Cloud werden.
3. Monitoring und Gastkonten durchgehen. Aktivieren Sie die Überwachung auf den Domänencontrollern und prüfen Sie, ob Security Event ID 5136 protokolliert wird. In Microsoft 365: Unified Audit Log aktivieren, Aufbewahrungsdauer festlegen, Protokolle an ein SIEM leiten. Gehen Sie Gastkonten, App-Einwilligungen, SharePoint-Freigaben und externe E-Mail-Weiterleitungen durch.

Das Ärgerliche an hybriden Identitätssetups: Man merkt es erst, wenn ein Konto, das seit zwei Jahren niemand mehr braucht, plötzlich der Türöffner ist – und man rückwirkend prüft, wer es damals angelegt hat. Wenn Sie unsicher sind, ob Ihr lokales AD und Ihr Entra-ID-Tenant sauber zusammenarbeiten, schauen wir uns das konkret an: einmal durch die Konten, die Synchronisation und die Legacy-Einstellungen. Hier erreichen Sie uns.

Beitragsbild: panumas nikhomkhai auf Pexels