Die Abschaltung von NTLM und RC4 war erst der Anfang. Mit LDAP Signing und Channel Binding treibt Microsoft die nächste Active-Directory-Härtung voran. Wer noch mit unsigniertem LDAP arbeitet, sollte jetzt handeln, auch wenn die genaue Enforcement-Strategie für bestehende Umgebungen differenzierter ist, als oft dargestellt.
Für IT-Administratoren bedeutet das konkrete Handlungsbedarfe in Anwendungen, VPN-Systemen und Netzwerkgeräten, wenn die Konfiguration nicht rechtzeitig angepasst wird.
Was ist LDAP und wo liegt das Problem?
LDAP (Lightweight Directory Access Protocol) ist das Protokoll, über das Clients, Anwendungen und Dienste mit dem Active Directory kommunizieren. Jede Benutzeranmeldung, jede Gruppenrichtlinienauswertung und jede Abfrage von Verzeichnisinformationen läuft im Hintergrund über LDAP.
Das Problem: Standardmäßig erlaubt Active Directory auf älteren Windows-Server-Versionen unsigniertes LDAP über Port 389, also Verbindungen ohne kryptografische Integritätsprüfung. Ein Angreifer im Netzwerk kann diese Verbindungen abfangen, manipulieren oder für Relay-Angriffe missbrauchen.
Wichtig: LDAP Relay ist einer der häufigsten Funde in Active-Directory-Pentests. Er erfordert kein Administratorrecht und ist in nahezu jeder ungehärteten Umgebung ausnutzbar.
Die zwei Schutzmaßnahmen im Überblick
LDAP Signing
LDAP Signing stellt sicher, dass jede LDAP-Nachricht mit einer digitalen Signatur versehen wird. Ohne Signierung kann ein Angreifer die Kommunikation zwischen Client und Domain Controller unbemerkt manipulieren. Mit aktiviertem Signing wird jede manipulierte Nachricht vom Domain Controller abgelehnt.
LDAP Channel Binding
Channel Binding geht einen Schritt weiter: Es bindet die LDAP-Authentifizierung an den zugrundeliegenden TLS-Kanal. Ein Angreifer, der eine Authentifizierung abfängt und weiterleitet, kann die gestohlenen Credentials nicht auf einem anderen Kanal wiederverwenden, weil die Bindung nicht übereinstimmt.
Kurz gefasst: Signing schützt die Integrität der Nachricht. Channel Binding schützt die Authentifizierung vor Weiterleitung. Beide Maßnahmen zusammen schließen den Angriffsvektor vollständig.
Microsofts Härtungsstrategie: Was wirklich gilt
Wichtiger Hinweis: Die folgende Darstellung ersetzt eine vereinfachte Zeitleiste (Phasen März / September 2026), die in anderen Quellen kursiert. Diese spezifischen globalen Enforcement-Fristen für bestehende Domain Controller sind durch keine offizielle Microsoft-Dokumentation (KB4520412, Microsoft Learn) gedeckt. Die tatsächliche Strategie ist differenzierter und hängt von der eingesetzten Windows-Server-Version ab.
Windows Server 2025: LDAP Signing standardmäßig erzwungen
Ab Windows Server 2025 erzwingt Microsoft LDAP Signing standardmäßig für neu aufgesetzte Domain Controller, über die neue Gruppenrichtlinie Domain controller: LDAP server signing requirements Enforcement. Diese Policy ist standardmäßig auf „Not Configured“ gesetzt, was effektiv „Require Signing“ entspricht. Bei einem Upgrade von einer älteren Version auf WS2025 bleiben bestehende Einstellungen unverändert erhalten.
WS 2019 / 2022: Bestehende DCs ohne automatisches Enforcement
Auf bestehenden Domain Controllern vor Windows Server 2025 verändert Microsoft die LDAP-Einstellungen nicht automatisch per Update. Die alten Standardwerte bleiben aktiv: LDAP Signing steht auf „Optional“, Channel Binding auf „Never“. Administratoren müssen die Konfiguration aktiv und manuell über Gruppenrichtlinien oder den Registry-Key LDAPServerIntegrity = 2 ändern.
Channel Binding: Auch in WS2025 kein neuer Standard
Channel Binding ist auch in Windows Server 2025 weiterhin auf „Never“ als Standard gesetzt. Microsoft hat hier, anders als beim LDAP Signing für neue WS2025-DCs, keine Änderung am Standardverhalten vorgenommen. Die Konfiguration muss explizit durch Administratoren aktiviert werden.
Wer auf seinen Domain Controllern Event ID 2887 oder 2889 sieht, hat aktive LDAP-Clients, die nach einer manuellen oder policy-basierten Enforcement-Aktivierung keine Verbindung mehr aufbauen können. Jetzt ist der richtige Zeitpunkt zu handeln.
Relevante Event IDs für das Auditing
LDAP Signing (alle unterstützten Windows-Server-Versionen)
-
2886: LDAP-Signing ist nicht aktiviert (Startwarnung des DC-Dienstes) -
2887: Tägliche Zusammenfassung, Anzahl unsignierter Binds -
2888: Client hat Signing angefordert, DC ist nicht konfiguriert -
2889: Protokolliert spezifische Clients ohne Signing (mit IP/Hostname)
Channel Binding (ab WS 2019 / 2022 mit KB4520412)
-
3039: Client hat kein Channel Binding Token geliefert -
3040: Tägliche Zusammenfassung, Binds ohne CBT (wenn Policy auf „Never“) -
3041: Startwarnung, CBT-Policy ist auf „Never“ gesetzt
Neu in Windows Server 2025
-
3074: Channel-Binding-Fehler eines Clients (identifiziert nicht-konforme Geräte) -
3075: Channel-Binding-Policy wurde auf eine restriktivere Stufe geändert
Konkrete Auswirkungen
Anwendungen mit LDAP-Anbindung
Jede Software, die Benutzer gegen das Active Directory authentifiziert, nutzt LDAP im Hintergrund. Typischerweise betroffen sind VPN-Gateways und Firewalls mit AD-Authentifizierung (Cisco, Fortinet, Palo Alto), Webapplikationen mit LDAP-Bind (Confluence, Jira, GitLab, OTRS), Monitoring-Systeme und SIEM-Lösungen, HR- und ERP-Systeme mit AD-Integration sowie Drittanbieter-Tools mit hartkodierten LDAP-Konfigurationen.
Linux- und Unix-Systeme
Systeme, die per SSSD, nslcd oder pam_ldap gegen Active Directory authentifizieren, sind häufig ohne Signing konfiguriert. Die Standardkonfiguration vieler Linux-Distributionen nutzt schlichten LDAP auf Port 389.
Netzwerkgeräte und Drucker
Switches mit 802.1X-Authentifizierung über LDAP, NAS-Systeme mit AD-Integration sowie ältere Druckersysteme können oft kein Channel Binding unterstützen. Besonders betroffen sind Synology, QNAP sowie ältere Geräte von HP, Canon und Ricoh.
Zertifikatsinfrastruktur
Oft übersehen: Channel Binding erfordert ein gültiges TLS-Zertifikat auf den Domain Controllern. Umgebungen ohne interne PKI oder mit abgelaufenen DC-Zertifikaten müssen diese Infrastruktur zuerst aufbauen.
Das Sicherheitsrisiko: Typische Angriffskette
Initialer Zugang
Angreifer kompromittiert einen Client im internen Netzwerk, etwa via Phishing oder einer ungepatchten Schwachstelle.
Responder starten
Ein Tool wie Responder wird gestartet. Der Angreifer beantwortet LLMNR/NBT-NS-Anfragen im Netzwerk gefälscht.
Credentials abfangen
Ein Client versucht, sich gegen einen vermeintlichen Dienst zu authentifizieren. Die Credentials landen beim Angreifer.
Relay gegen Domain Controller
Die gestohlene Authentifizierung wird direkt gegen den LDAP-Port des Domain Controllers weitergeleitet.
Domain Compromise
Ohne Signing oder Channel Binding wird die Verbindung akzeptiert. Admin-Accounts anlegen, Delegation oder vollständige Domain-Übernahme werden möglich.
Kein Administratorrecht erforderlich. Diese Angriffsmethode ist mit Toolkits wie Impacket und ntlmrelayx seit Jahren standardisiert und taucht in nahezu jedem Active-Directory-Pentest auf.
Mint Secure GmbH
Was Administratoren jetzt tun müssen
Auditing aktivieren und auswerten
Auf allen Domain Controllern die Event-IDs 2886 bis 2889 auswerten. Auf WS2019/2022 zusätzlich 3039 bis 3041, auf WS2025 auch 3074/3075. Betroffene Clients identifizieren.
Betroffene Systeme inventarisieren
Quell-IPs und Hostnamen aus den Audit-Events auflisten, Besitzer ermitteln und nach Migrationspfad kategorisieren.
Domain Controller mit TLS-Zertifikaten ausstatten
Channel Binding setzt gültige DC-Zertifikate voraus, entweder über Microsoft AD CS oder eine externe CA.
Anwendungen auf LDAPS migrieren
Applikationen von plain LDAP (Port 389) auf LDAPS (Port 636) oder LDAP mit StartTLS umstellen.
Enforcement testweise aktivieren
Registry-Key LDAPServerIntegrity = 2 auf einem Test-DC setzen und Auswirkungen beobachten, bevor der Wert auf alle DCs ausgerollt wird.
Security Audit und Pentesting durchführen
Erst durch einen gezielten LDAP-Relay-Test wird sichtbar, ob die Konfiguration greift und ob weitere Angriffspfade bestehen.
PowerShell-Abfrage zur Analyse
Get-WinEvent -LogName "Directory Service" |
Where-Object { $_.Id -in @(2887, 2889) } |
Select-Object TimeCreated, Id, Message |
Export-Csv ldap_audit.csv -NoTypeInformation
Wie Mint Secure euch dabei unterstützt
Als spezialisierter IT-Security-Dienstleister unterstützt Mint Secure Unternehmen bei der sicheren Migration und Absicherung ihrer Active-Directory-Infrastruktur.
LDAP Audit
Wir identifizieren alle Clients und Anwendungen, die noch unsignierte LDAP-Verbindungen nutzen, bevor Microsoft sie blockiert.
AD Penetration Testing
Wir simulieren LDAP Relay, NTLM Relay und Credential-Angriffe, um reale Angriffspfade in eurer Umgebung sichtbar zu machen.
Härtung & Migration
Wir begleiten die Migration auf LDAPS, konfigurieren Channel Binding und validieren die Umsetzung anschließend im Test.
AD Security Audit
Ganzheitliche Prüfung von Delegierungen, Trust-Beziehungen, Privilegien und Protokollkonfiguration im gesamten Active Directory.
Unsicher, wie stark ihr betroffen seid? Wir werten eure Domain-Controller-Logs gemeinsam mit euch aus. Jetzt Kontakt aufnehmen.
Fazit
LDAP Signing und Channel Binding sind keine neuen Konzepte, aber mit Windows Server 2025 hat sich die Lage konkret verändert.
Neue DC-Deployments mit WS2025 erzwingen LDAP Signing standardmäßig. Bestehende Umgebungen (WS2019/2022) sind davon nicht automatisch betroffen, aber das Risiko durch LDAP Relay ist real und wird in nahezu jedem Pentest ausgenutzt.
Unternehmen, die jetzt handeln, vermeiden ungeplante Ausfälle, schließen einen der meistgenutzten Angriffsvektoren in Active-Directory-Umgebungen und reduzieren das Risiko einer Domain-Kompromittierung erheblich. Mint Secure unterstützt euch dabei von der Analyse bis zur Umsetzung. Sprecht uns an.
Quellen: Microsoft Learn, LDAP signing for AD DS · KB4520412 · Microsoft Tech Community, LDAP Channel Binding and Signing Requirements Server 2025 Updates · TrustedSec, LDAP Channel Binding and LDAP Signing (Jan. 2026)
