Die Ankündigung von Microsoft, das Authentifizierungsprotokoll NTLM schrittweise zu deaktivieren, ist eine der größten Änderungen in der Windows-Security-Architektur der letzten 20 Jahre. Für IT-Administratoren bedeutet dies konkrete Maßnahmen, Risiken und dringenden Handlungsbedarf.
⚠️ Dieser Artikel erklärt:
- Warum NTLM verschwindet
- Die vollständige Zeitleiste
- Auswirkungen auf Active Directory, Drucker, NAS und Legacy-Systeme
- Was Administratoren jetzt prüfen müssen
- Wie Risiken erkannt und behoben werden können
- Wie Security Audits und Pentests helfen können
- Wie Mint Secure unterstützen kann
Was ist NTLM und warum wird es abgeschafft?
NTLM (NT LAN Manager) ist ein Authentifizierungsprotokoll aus den frühen Windows-NT-Versionen. Es wird verwendet für:
- Netzwerk-Logins
- SMB-Freigaben
- Authentifizierung gegenüber Servern ohne Kerberos-Trust
- Legacy-Systeme und Geräte
Das Problem: NTLM ist anfällig für moderne Angriffe:
- Pass-the-Hash-Angriffe
- NTLM-Relay-Angriffe
- Credential Theft
- Lateral Movement
Ein Klartextpasswort ist nicht erforderlich, ein Hash genügt. NTLM ist daher ein primärer Angriffsvektor moderner Ransomware-Angriffe. 🛡️
📅 Offizielle Zeitleiste
Phase 1: Deprecation und Vorbereitung (2022–2024)
Status: aktiv / gestartet
- NTLM als deprecated markiert
- NTLMv1 vollständig entfernt
- Audit-Mechanismen eingeführt
- Neue Security Features integriert
Typische betroffene Systeme: alte NAS-Systeme, Legacy-Drucker und -Scanner, Linux-Systeme mit alten Samba-Versionen, alte Unternehmensanwendungen.
Phase 2: Audit- und Reduktionsphase (2024–2026)
Status: aktuell aktiv, kritischste Phase ⚠️
Microsoft stellt neue Mechanismen bereit:
- NTLM Audit Mode
- NTLM Blocking Policies
- Kerberos-Verbesserungen
- Erweiterte Event Logs
Relevante Event-IDs: 4624, 4776, 8001 bis 8004. Diese zeigen Quelle, Zielsystem, Benutzer und Prozess. 🔍
Phase 3: Standardmäßige Deaktivierung (ab ca. 2026)
- NTLM standardmäßig deaktiviert
- Nur noch optional aktivierbar
- Legacy-Systeme beginnen auszufallen
Phase 4: Vollständige Entfernung
- NTLM vollständig entfernt
- Nur Kerberos und moderne Authentifizierung verbleiben
Konkrete Auswirkungen
Active Directory
- Workgroup-Systeme
- Nicht domain-joined Geräte
- Trust-Probleme
- Falsch konfigurierte SPNs
Drucker und Multifunktionsgeräte
- Scan-to-Folder fällt aus
- SMB-Authentifizierung schlägt fehl
Typisch betroffen: ältere HP-, Canon-, Kyocera- und Ricoh-Geräte.
NAS-Systeme
- Alte Synology-Systeme
- Alte QNAP-Firmware
- Alte Windows-Fileserver
Linux-Systeme mit Samba
Ältere Samba-Versionen nutzen NTLM und müssen aktualisiert werden.
Legacy-Anwendungen
- ERP-Systeme
- Web-Anwendungen
- IIS-Anwendungen
- Backup-Systeme
Was Administratoren jetzt tun müssen
NTLM-Auditing aktivieren
GPO-Setting: Network Security: Restrict NTLM: Audit NTLM authentication in this domain
Legacy-Systeme inventarisieren
Drucker, NAS-Systeme, Server und Applikationen erfassen.
Active Directory prüfen
SPNs, Delegation, Trusts und Service-Accounts kontrollieren.
NTLM Blocking im Audit Mode testen
Restrict NTLM: Deny All (zuerst im Audit Mode).
Security Audit und Pentesting durchführen
Credential Theft erkennen, Angriffspfade identifizieren, Domain-Kompromittierung verhindern.
Security-Risiko: Angriffskette
Mint Secure GmbH
Wie Mint Secure euch dabei unterstützt
Als spezialisierter IT-Security-Dienstleister unterstützen wir Unternehmen bei der sicheren Migration und Absicherung ihrer Infrastruktur.
NTLM Audit
Wir analysieren, wo NTLM verwendet wird, welche Systeme betroffen sind und welche Risiken bestehen.
AD Security Audit
Wir prüfen Delegationen, Trust-Beziehungen, Kerberos-Konfiguration, Privilegien und Fehlkonfigurationen.
AD Penetration Testing
Wir simulieren NTLM-Relay-Angriffe, Pass-the-Hash und Lateral Movement, um Angriffspfade zu identifizieren und zu eliminieren.
Legacy-System-Analyse
Wir prüfen Drucker, NAS-Systeme, Applikationen und Embedded Devices und entwickeln Migrationsstrategien.
Migrationsplanung
Wir unterstützen bei der NTLM-Abschaltung, der Kerberos-Migration und der Infrastrukturmodernisierung.
Unsicher, wie stark ihr von NTLM abhängt?
Wir werten eure Systeme gemeinsam mit euch aus. Jetzt Kontakt aufnehmen.
Fazit
Die Abschaltung von NTLM ist eine fundamentale Sicherheitsänderung.
Unternehmen, die jetzt handeln, vermeiden Ausfälle, erhöhen ihre Sicherheit und reduzieren die Angriffsfläche erheblich.
Jetzt ist der richtige Zeitpunkt zu handeln. Mint Secure unterstützt euch dabei, von der ersten Bestandsaufnahme bis zur vollständigen Migration. Sprecht uns an.
