Ein Backup soll Sie retten. In einer Active-Directory-Umgebung kann es auch der schnellste Weg zur vollständigen Kompromittierung sein. In Assessments sehen wir manchmal, dass unprivilegierte Benutzer Domain-Controller-Backups lesen, daraus die Anmeldedaten aller Konten der Domäne extrahieren und sich als Domänenadministrator anmelden können. Kein Exploit, keine Malware. Nur ein Backup-System, an dem sich alle Mitarbeitenden mit ihrem normalen Passwort anmelden können.
Angreifer wissen, was Backups wert sind. In einer Sophos-Umfrage von 2024 unter fast 3000 von Ransomware betroffenen Organisationen gaben 94% an, die Angreifer hätten versucht, ihre Backups zu kompromittieren, und 57% dieser Versuche waren erfolgreich [1]. Wo sie es waren, kostete die Wiederherstellung im Median 3 Millionen Dollar. In der Schweiz hat der Incident Responder InfoGuard rund 350 seiner Fälle aus dem vergangenen Jahr ausgewertet. In einem wiederkehrenden Muster genügte ein einziger gestohlener VPN-Login, um neben den Dateiservern auch die Backup-Systeme zu erreichen, und innerhalb von Stunden wurde daraus ein unternehmensweiter Ransomware-Vorfall [4].
Was ein Domain-Controller-Backup enthält
Ein Domain-Controller-Backup ist dazu da, den Domain Controller wiederherzustellen. Deshalb enthält es alles, was der Server zum Betrieb braucht, auch das, was er zum Lesen seiner eigenen Passwörter braucht. Das sind die Anmeldedaten aller Konten im Unternehmen: aller Mitarbeitenden, aller Dienstkonten, des integrierten Administrators und des KRBTGT-Kontos, das jedes Windows-Anmeldeticket signiert. Wer das Backup kopiert, kann alle Anmeldedaten auf dem eigenen Rechner extrahieren, in aller Ruhe und mit frei verfügbaren Werkzeugen. Und für die Anmeldung am Active Directory ist das, was das Backup enthält, so gut wie das Passwort selbst.
Wie es dazu kommt
Die Lücke entsteht fast immer aus zwei Entscheiden, die der Bequemlichkeit halber getroffen werden:
- Das Backup-System ist aus dem normalen Büronetz erreichbar.
- Alle Mitarbeitenden können sich mit ihrem Passwort daran anmelden, ohne zweiten Faktor.
Beide beruhen auf der Annahme, Backups seien weniger heikel als der Domain Controller selbst, obwohl sie dieselben Geheimnisse enthalten. Jeder Entscheid ist für sich nachvollziehbar. Zusammen machen sie jeden, der ein Mitarbeiterlogin hat, potenziell zum Domänenadministrator.
Angreifer wissen, wo sie suchen müssen. In rund jedem zehnten Ransomware-Angriff, den Mandiant 2025 bearbeitet hat, nahmen sie Veeam Backup & Replication, ein weit verbreitetes Backup-Produkt, ins Visier, um Anmeldedaten abzugreifen [2].
"Das Backup ist schon alt" ist keine Verteidigung
Oft wird beruhigt, das lesbare Backup sei Monate alt. Das hilft nicht unbedingt. Das Passwort des integrierten Administrators und das KRBTGT-Konto werden selten geändert, also funktioniert, was ein Angreifer aus einem alten Backup holt, meist auch heute noch.
Backups schützen
Schützen Sie Ihr Backup-System so sorgfältig wie den Domain Controller selbst:
- Nehmen Sie es aus der Domäne. Ein Backup-System, das Active-Directory-Anmeldungen akzeptiert, lässt jedes Domänenkonto an der Tür rütteln. Der Mandiant-Bericht M-Trends 2026 empfiehlt, die Backup-Infrastruktur aus der Active-Directory-Domäne des Unternehmens zu entfernen [3].
- Stellen Sie es in ein eigenes Netz. Bürocomputer und gewöhnliche Server sollten es gar nicht erreichen können. Zugriff sollten nur die Personen haben, die für Backups zuständig sind.
- Beschränken Sie, wer sich anmelden kann. Eine kleine, namentlich bekannte Gruppe von Backup-Administratoren, keine geteilten oder allgemeinen Konten.
- Verlangen Sie einen zweiten Faktor für jede Anmeldung am Backup-System.
- Lassen Sie Backup-Jobs unter eigenen Konten laufen, nur mit den nötigen Rechten, nie unter einem Administratorkonto.
- Verschlüsseln Sie Backups, damit eine gestohlene Kopie nicht lesbar ist.
Drei Fragen für ein unprivilegiertes Konto
Melden Sie sich mit einem unprivilegierten Benutzerkonto an, nicht mit einem Administratorkonto, und prüfen Sie:
- Erreicht es den Login-Bildschirm des Backup-Systems?
- Kann es Freigaben oder Ordner öffnen, in denen Backups liegen?
- Kann es ein Domain-Controller-Backup öffnen oder kopieren?
Dreimal Nein, und die Massnahmen oben sorgen dafür, dass es so bleibt. Einmal Ja, und der nächste Abschnitt gilt.
Ein Backup, das jedes Benutzerkonto lesen kann, ist ein Sicherheitsvorfall
Stellt sich heraus, dass unprivilegierte Benutzerkonten ein Domain-Controller-Backup lesen können, ist das keine Einstellung, die man still korrigiert. Gehen Sie davon aus, dass alle Anmeldedaten darin offengelegt sind, und handeln Sie danach: Ändern Sie das Passwort des integrierten Administrators und die Passwörter aller privilegierten Konten und Dienstkonten, prüfen Sie, was sonst noch mit abgelegt war, und setzen Sie das KRBTGT-Konto zweimal zurück. Warten Sie, bis die erste Zurücksetzung jeden Domain Controller erreicht hat, bevor Sie die zweite vornehmen; erst dann funktionieren gestohlene Anmeldetickets nicht mehr.
Ein Domain-Controller-Backup enthält Personendaten über alle, die ein Konto in der Domäne haben. Ein lesbares Backup gilt deshalb als Verletzung der Datensicherheit nach Schweizer Datenschutzrecht, unabhängig davon, ob es tatsächlich jemand geöffnet hat. Führt dies voraussichtlich zu einem hohen Risiko für die betroffenen Personen, muss die Verletzung so rasch als möglich dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) gemeldet werden.
Was es Ihnen bringt
Die Massnahmen oben schützen mehr als die Domain-Controller-Backups. Sie bringen das ganze Backup-System ausser Reichweite unprivilegierter Konten und damit auch ausser Reichweite eines Angreifers, der einen Zugang gestohlen hat. In der erwähnten Sophos-Umfrage bezahlten Organisationen mit nicht kompromittierten Backups für die Wiederherstellung im Median 375'000 Dollar, ein Achtel dessen, was Organisationen mit kompromittierten Backups bezahlten [1]. Die Backups von Anfang an zu schützen, ist eine Frage der Konfiguration. Ein offengelegtes Backup ist ein Sicherheitsvorfall, und die Aufarbeitung ist langwierig, teuer und belastet den Betrieb.
Die Lehre in einem Satz
Ein Domain-Controller-Backup enthält die Anmeldedaten aller Konten Ihrer Domäne - schützen Sie es wie den Domain Controller selbst.
Wenn eine der drei Fragen keine klare Antwort hat, schauen wir sie gerne mit Ihnen an: [email protected].
Quellen
- Sophos, The Impact of Compromised Backups on Ransomware Outcomes, Umfrage unter 2974 IT- und Cybersecurity-Fachleuten in Organisationen, die von Ransomware betroffen waren, durchgeführt von Vanson Bourne Anfang 2024. zurück
- Google Threat Intelligence Group, Ransomware Under Pressure: Tactics, Techniques, and Procedures in a Shifting Threat Landscape, 16. März 2026. zurück
- Mandiant, M-Trends 2026, Executive Edition. zurück
- InfoGuard, Sandro Bachmann, Cyberangriffe ohne Hollywood-Hacking: 350 analysierte Fälle. Drei Muster., 25. Juni 2026. zurück
AYS AG, Zürich. Cybersicherheit und Forensik.