Kerberos gehärtet
Identitäten & Zugriffe
Stand 20.01.2026erfüllthoch
Bewertung durch HoliSec (alle Quellen) · Lauf vom 20.01.2026 · Verantwortlich: IT-Leitung (Daniel Steiner)
IST-Zustand
krbtgt am 02./04.12.2025 zweimal rotiert (Alter 12 Tage), AES256 aktiviert; Delegation: nur srv-ts01 mit uneingeschränkter Delegation (siehe AD-11); halbjährliche Rotation geplant.
Soll-Zustand
Delegation kontrolliert
Empfehlung
— (erfüllt)
Evidenz
Dokumente
Noch keine Dokumente zu dieser Anforderung – z. B. Richtlinie, Netzplan, Vertrag oder Foto als Nachweis.
Technische Prüfpunkte
Active-Directory-Hygiene (srv-dc01)AD-HygieneDomänencontroller-Audit
| Status | Prüfpunkt | Ist-Zustand | Soll |
|---|---|---|---|
| erfüllt | krbtgt-Passwortalter | 47 Tage (zuletzt 2025-12-04) | regelmaessige Rotation (<=180 Tage) |
| erfüllt | AES-Verschluesselung (krbtgt) | AES_ENABLED | AES_ENABLED |
| erfüllt | krbtgt Passwort-Alter (Tage) | 47 | <= 180 |
Maßnahmen
Verlauf
- Lauf vom 20.1.2026: erfüllt20.10.2026, 07:15
- Zweimal rotiert, AES aktiv — das Golden-Ticket-Risiko aus dem Erst-Check ist damit geschlossen. Nächste Rotation Juni 2020.10.2026, 07:15
- Lauf vom 16.12.2025: erfüllt20.10.2026, 07:15
- Lauf vom 18.11.2025: nicht erfüllt20.10.2026, 07:15
- Lauf vom 14.10.2025: nicht erfüllt20.10.2026, 07:15
- Maßnahme angelegt: krbtgt rotieren und AES aktivieren20.10.2026, 07:15
Kommentare
- Zweimal rotiert, AES aktiv — das Golden-Ticket-Risiko aus dem Erst-Check ist damit geschlossen. Nächste Rotation Juni 2026 (Kalendereintrag IT-Leitung).20.10.2026, 07:15