---
title: Kerberos: Wie funktioniert das Authentifizierungsprotokoll
url: https://www.vidrasec.com/de/blog/kerberos/
description: Wie funktioniert eigentlich das Kerberos Protokoll? Eine möglichst kurze Erklärung des doch sehr komplexen Protokolls.
date: 2025-01-15
---


Kerberos funktioniert ähnlich wie ein Reisepass: Eine Passbehörde stellt den Pass aus, nachdem sich die Person identifiziert hat. Mit diesem Pass kann man dann zur Grenze gehen und sich dort ausweisen.

## Kerberos und die Reisepass-Analogie

Zwei zentrale Prinzipien dieser Analogie treffen auch auf Kerberos zu:

1. Die Grenzbeamten können den Pass unabhängig überprüfen, ohne mit der Passbehörde sprechen zu müssen.
2. Der Pass dient nur zur Identifikation. Ob man reisen darf, entscheiden die Grenzbeamten.

## Der Ablauf der Authentifizierung mit Kerberos

1. **Authentifizierung beim Domain Controller**
   Der User authentifiziert sich beim **Domain Controller**. Der Domain Controller stellt ein **Ticket-Granting Ticket (TGT)** aus, das mit dem geheimen **KRBTGT-Hash** signiert ist. Einem Schlüssel, den nur der Domain Controller kennt.

2. **Sicherer Austausch des Session Keys**
   Zusätzlich sendet der Domain Controller einen **Session Key**, der mit dem **NT-Hash (bzw. dem verschlüsselten Passwort-Derivat) des Users** verschlüsselt ist. Nur der User kann diesen Schlüssel entschlüsseln und damit weiterarbeiten.

3. **Wichtige Sicherheitsaspekte**
   - Kerberos authentifiziert den User durch den Besitz eines gültigen **TGT**, überprüft jedoch nicht explizit das Passwort bei jeder Anfrage.
   - Die verschlüsselte Information basiert auf dem Userpasswort, was bedeutet, dass ein Angreifer das Ticket abfangen und durch **Offline-Brute-Force-Angriffe** versuchen kann, das **KlartextPassword** zu knacken. Das ist besonders problematisch, wenn das Flag: `Do not require Kerberos preauthentication` gesetzt ist. Das bedeutet, dass jeder User im Active Directory ein Ticket für einen gewissen User ausstellen kann. Um das Ticket zu benutzen wird aber das Passwort dieses Users gebraucht. Dieser Angriff nennt sich **AS-REP Roasting**.

4. **Golden Ticket Attack**
   Ein besonders problematischer Angriff ist der **Golden Ticket Attack**: Falls ein Angreifer den **KRBTGT-Hash** kennt, kann er sich selbst **beliebige TGTs generieren** und so uneingeschränkten Zugriff erhalten.

## Zugriff auf Dienste mit Kerberos

Nachdem sich der User authentifiziert hat, kann er auf einen Service zugreifen:

1. Der User fordert beim Domain Controller ein **Service Ticket (TGS)** für den gewünschten Service an.
2. Der Domain Controller stellt das **Service Ticket** aus, das mit dem **Passwort-Hash des Service-Kontos** verschlüsselt ist.
3. Der User sendet dieses Ticket an den **Service Server** (das System auf dem er sich einloggen will), um Zugriff zu erhalten.
4. Der Service Server überprüft das Ticket, indem er es mit seinem eigenen Passwort-Hash entschlüsselt. Ist das Ticket gültig, gewährt der Service den Zugriff.

## Sicherheitsempfehlungen

- **Starke Service-Konto-Passwörter verwenden**:
  Da Service-Tickets mit dem **Passwort-Hash des Service-Kontos** verschlüsselt sind, sollten Service-Accounts sichere, lange Passwörter haben. Ein schwaches Passwort könnte mit **Kerberoasting**-Angriffen geknackt werden.

- **KRBTGT-Hash regelmäßig rotieren**:
  Falls der **KRBTGT-Hash** kompromittiert wurde, müssen Administratoren ihn **zweimal** rotieren, um Golden-Ticket-Angriffe zu verhindern.

- **Kerberos Pre-Authentication aktivieren**:
  Dadurch wird verhindert, dass ein Angreifer **AS-REP Roasting** durchführen kann, indem er unverschlüsselte Ticket-Daten sammelt.

Kerberos ist ein leistungsfähiges Authentifizierungsprotokoll, aber es muss sicher konfiguriert und überwacht werden, um Angriffe zu verhindern.

Diese Informationen finden sich auch in diesem Video:

[YouTube video](https://youtu.be/gvudH6ViBjA?si=59ZnA8O6UB7eWCHQ)

Ob eure Kerberos-Konfiguration solchen Angriffen standhält, lässt sich am zuverlässigsten mit einem [Interner IT-Infrastruktur-Penetrationstest](/de/services/internal-it-infrastructure-penetration-test/) überprüfen.

## Fragen und Kontakt

[**Bei weiteren Fragen zur Sicherheit von Windows und Active Directory wende dich gerne an VidraSec.**](/de/contact/)