Active Directory allein reicht nicht mehr — warum Microsoft auf mehrschichtige Identitätssicherheit drängt

Zwei Jahrzehnte lang war Active Directory die zentrale Antwort auf die Frage, wer in einem Unternehmensnetzwerk worauf zugreifen darf. Nach Angaben von Microsoft reicht genau dieses Modell für die heutige IT-Landschaft nicht mehr aus — nicht weil AD plötzlich unsicherer geworden wäre, sondern weil sich die Angriffsfläche längst über den Bereich hinausbewegt hat, den AD überhaupt kontrollieren kann.

Wofür Active Directory ursprünglich gebaut wurde

AD wurde für ein Netzwerk mit klarem Innen und Außen entworfen: Geräte im Firmennetz, ein zentraler Domain Controller, Kerberos-Tickets für die Authentifizierung innerhalb dieses Perimeters. Dieses Modell funktioniert gut, solange sich die meisten Zugriffe tatsächlich innerhalb dieses Perimeters abspielen — und genau diese Annahme trägt in vielen Unternehmen inzwischen nicht mehr.

Warum das Modell heute nicht mehr passt

Hybrid Work, Cloud-Anwendungen und KI-gestützte Dienste laufen laut Microsoft zunehmend außerhalb dieses Perimeters, dem Domain Controller nicht unterworfen. Mitarbeiter melden sich von privaten Geräten, öffentlichem WLAN oder direkt bei Cloud-Diensten wie Microsoft 365 an, ohne dass ein klassischer AD-Domain-Join dazwischenliegt. Hinzu kommen KI-gestützte Dienste, die im Hintergrund über Service-Konten und API-Zugriffe auf Unternehmensdaten zugreifen — ein Nutzungsmuster, für das klassische AD-Gruppen und Organisationseinheiten schlicht nicht konzipiert wurden. Klassische AD-Angriffstechniken wie Kerberoasting, Pass-the-Hash oder Golden-Ticket-Angriffe zielen genau auf die Mechanismen, mit denen AD innerhalb des Netzwerks Vertrauen herstellt — sobald ein Angreifer dort Fuß gefasst hat, sind sie vergleichsweise gut dokumentiert und automatisierbar. Nach aktuellem Kenntnisstand adressieren klassische AD-Härtungsmaßnahmen aber nicht die Zugriffe, die AD von vornherein nie gesehen hat.

Was Microsoft stattdessen empfiehlt

Microsoft positioniert seine Cloud-Identitätsplattform Entra ID als Ergänzung, nicht als Ersatz für lokales AD in hybriden Umgebungen. Zentrale Bausteine dieses Ansatzes: Conditional Access, das den Zugriff nicht nur an Benutzername und Passwort, sondern an Gerätezustand (Device Compliance), Standort und Risikobewertung koppelt; Continuous Access Evaluation (CAE), das eine einmal ausgestellte Sitzung in Echtzeit widerrufen kann, wenn sich das Risiko ändert; Token Protection, das gestohlene Zugriffstoken an das ausstellende Gerät bindet und damit unbrauchbar macht, sobald sie auf einem anderen System auftauchen; sowie Entra ID Protection zur automatisierten Erkennung riskanter Anmeldungen. Für privilegierte Konten kommt Privileged Identity Management (PIM) hinzu, das administrative Rechte nur zeitlich befristet statt dauerhaft vergibt. Passkeys und FIDO2-Sicherheitsschlüssel ersetzen dabei zunehmend das klassische Passwort als schwächstes Glied.

Unsere Einschätzung

Dass Microsoft ausgerechnet jetzt so deutlich wird, überrascht wenig — das Unternehmen verkauft mit Entra ID selbst die Alternative. Der Kern der Aussage bleibt trotzdem richtig: Ein Sicherheitsmodell, das ausschließlich auf lokalem AD beruht, deckt Zugriffe über Cloud-Dienste und KI-Anwendungen gar nicht ab, weil diese Zugriffe technisch nie durch den Domain Controller laufen. Für Unternehmen mit hybrider Infrastruktur bedeutet das keinen Ersatz von AD, sondern eine zusätzliche Schicht: Zero-Trust-Prinzipien, die Identität und Gerätezustand bei jedem Zugriff neu bewerten, statt sich auf ein einmal erteiltes Netzwerk-Vertrauen zu verlassen.

Was Sie in Ihrer Umgebung einordnen können: Wie viele Ihrer Cloud- und KI-Dienste werden aktuell rein über Benutzername und Passwort abgesichert, ohne Conditional Access oder vergleichbare Kontrollen? Das ist der Punkt, an dem klassische AD-Härtung ihre Grenze erreicht.

Quellen: Petri.com — „Microsoft Says Active Directory Alone is No Longer Enough for Modern Identity Security“ (https://petri.com/microsoft-organizations-move-beyond-active-directory/)