Fernhilfe erlaubt. Domänenzugriff gewonnen.
Themenstand: 03.11.2026 · Für den Blog aufbereitet am 06.11.2026. Auf Basis vorhandener Postingtexte neu ausgearbeitet.
Ein vermeintlicher Teams-Supportkontakt kann zum Einstieg werden. Besonders teuer wird das, wenn dahinter falsch konfigurierte Zertifikatsdienste warten.
Der erste Schritt sieht nach Unterstützung aus
Microsoft beschrieb am 30. Oktober 2026 zwei untersuchte Einbrüche, bei denen Angreifer per Teams als IT- oder Helpdesk-Personal auftraten. Sie überzeugten Benutzer, eine interaktive Fernzugriffssitzung zuzulassen, hauptsächlich über Quick Assist. Dafür wurde keine Schwachstelle in Teams ausgenutzt.
Der wichtige Übergang liegt in der erteilten Fernsteuerung. Ein bekannter Produktname bestätigt nicht die Identität der Person am anderen Ende. Ein unerwarteter Supportkontakt sollte deshalb über einen bekannten internen Weg geprüft werden, bevor eine Sitzung und anschließend die Kontrolle über den Arbeitsplatz freigegeben werden.
Die nächste Identität kommt als Zertifikat
Nach dem Einstieg untersuchten die Angreifer die Zertifikatsdienste des Active Directory. In einem Fall missbrauchten sie eine fehlerhaft konfigurierte Vorlage, um Anmeldezertifikate für privilegierte Konten zu erhalten. Im anderen führte eine weitergeleitete Windows-Authentifizierung zur Ausstellung eines Zertifikats für ein Domänencontroller-Konto.
Diese Angriffspfade werden häufig mit ESC1 und ESC8 bezeichnet. Für die Verteidigung muss man die Kürzel nicht auswendig aufsagen können. Entscheidend ist, ob eine Vorlage unpassende Identitätsangaben und zu breite Beantragungsrechte erlaubt oder ob ein Registrierungsdienst eine weitergeleitete Anmeldung ohne wirksamen Schutz akzeptiert.
Den Registrierungsdienst gezielt härten
Microsofts Anleitung KB5005413 beschreibt Schutzmaßnahmen gegen solche Weiterleitungsangriffe auf Zertifikatsdienste. Dazu gehören Extended Protection for Authentication, also eine zusätzliche Bindung der Anmeldung, und die Abschaltung ungeschützter HTTP-Zugänge. HTTPS allein sollte nicht mit vollständig wirksamem Schutz gegen jede Weiterleitungsvariante gleichgesetzt werden.
Zusätzlich würde ich prüfen, welche Registrierungsdienste überhaupt benötigt werden, wer Zertifikate beantragen darf und welche Identitäten die Vorlagen zulassen. Die Änderung sollte mit den abhängigen Anwendungen getestet werden. Ein nicht mehr benötigter Dienst braucht keine zusätzliche Ausnahme, nur damit eine alte Konfiguration weiterbestehen kann.
Ein Passwortreset beendet nicht jede Folge
Ein bereits ausgestelltes Anmeldezertifikat verschwindet nicht durch einen Passwortwechsel. Auch schon ausgestellte Kerberos-Tickets müssen im Untersuchungskontext gesondert betrachtet werden. Bei einer Bereinigung gehören daher Zertifikate, Sitzungen und die ursprünglich übernommenen Endgeräte zusammen in die Zeitleiste.
Meine Frage, Maurizio Schmidt: Wo endet bei euch die erlaubte Fernhilfe und wo beginnt eine unabhängig überprüfte Berechtigung? Eine zugelassene Supportsoftware kann in der falschen Sitzung zum Werkzeug des Angreifers werden. Die wirksame Antwort verbindet verifizierten Support, begrenzte Fernwartung und geprüfte Zertifikatskonfiguration.