Der iX-Workshop „Active Directory Hardening“ ist ein dreitägiges Hands-on-Training für Windows-Administratoren, die lokale Active-Directory-Umgebungen prüfen und absichern möchten. Er führt von AD-Objekten, Berechtigungen und Anmeldeinformationen über typische Angriffspfade bis zu Erkennung und Schutzmaßnahmen. Geübt wird in einer vorbereiteten Testumgebung – nicht als vollständiges Audit der eigenen Produktionsumgebung.
Für wen ist der Workshop gedacht?
Die Zielgruppe sind Windows-Administratoren, die ein lokal betriebenes Active Directory härten wollen. Vorausgesetzt werden Grundkenntnisse der AD-Administration und praktische Erfahrung mit Windows PowerShell über die Kommandozeile. Für den Zugriff auf die Trainingsumgebung ist ein Rechner mit stabiler Internetverbindung erforderlich. Diese Voraussetzungen machen den Kurs eher zu einer Vertiefung als zu einer Einführung in Active Directory oder PowerShell.
Die offizielle Kursseite von heise conferences nennt eine Gruppengröße von höchstens 10 Teilnehmenden pro Gruppe. Die dort beschriebene Trainingsumgebung ermöglicht praktische Übungen, belegt aber nicht, dass Teilnehmende im Kurs ein Audit ihrer eigenen Umgebung durchführen oder ein unabhängiges Sicherheitsurteil über sie erhalten.
Was behandelt der Kurs?
Die Agenda baut thematisch von den Grundlagen der Verzeichnis- und Zugriffsstruktur zu konkreten Angriffspfaden und Gegenmaßnahmen auf. Dadurch lässt sich einordnen, warum eine Fehlkonfiguration gefährlich sein kann und an welcher Stelle eine Schutzmaßnahme ansetzt.
#1 Best Overall
AD-Objekte, Protokolle und Anmeldeinformationen
- Benutzer-, Computer- und Gruppenobjekte sowie die Entscheidungen, die Zugriff ermöglichen.
- Kerberos und Net-NTLM sowie die Rolle von DHCP, DNS, NetBIOS, LDAP und SMB im Umfeld einer Windows-Domäne.
- Access Tokens, Security Descriptors und Access Control Lists (ACLs), die festlegen, welche Identitäten auf Ressourcen oder Verzeichnisobjekte zugreifen und welche Aktionen sie ausführen können.
- Passwörter, NT-Hashes, AES-Schlüssel und Tickets als unterschiedliche Arten von Anmeldeinformationen beziehungsweise Authentisierungsmaterial.
Fehlkonfigurationen und Angriffspfade
Zu den genannten Themen gehören Password Spraying, Net-NTLM-Relaying, Kerberoasting und AS-REP Roasting. Behandelt werden außerdem Pass-the-Hash-, Pass-the-Key- und Pass-the-Ticket-Szenarien, Seitwärtsbewegung sowie riskante ACLs, Gruppenrichtlinienobjekte (GPOs) und Delegierung. Diese Themen machen deutlich, dass ein Audit nicht bei einer Liste von Servereinstellungen stehen bleiben sollte: Auch Berechtigungswege, die Nutzung von Credentials und die Verbindungen zwischen Systemen beeinflussen das Risiko.
Die Agenda bezieht angrenzende Systeme mit ein, darunter SQL Server, Microsoft Exchange, Entra-ID-Synchronisierung und Active Directory Certificate Services (AD CS), ebenso Vertrauensstellungen zwischen Domänen und Forests. Für eine reale Prüfung sollten diese Übergänge berücksichtigt werden, soweit die jeweilige Organisation sie tatsächlich nutzt.
Erkennung und Schutzmaßnahmen
Auf der Abwehrseite nennt die Kursbeschreibung geschärfte Log- und Audit-Einstellungen, zentrale Protokollauswertung, Honeypots beziehungsweise Honigtoken, Maßnahmen gegen den Erstzugriff, AppLocker, sichere Gruppenrichtlinien, LAPS, Tiering und Least Privilege. Die Übungen nutzen laut Anbieter eine vorbereitete Trainingsumgebung, Windows-Funktionen und Open-Source-Tools. Die Agenda beschreibt damit konkrete Lern- und Übungsthemen, aber keinen Wirksamkeitsnachweis für eine Teilnehmerumgebung.
Wie lässt sich ein AD-Audit in eine Hardening-Reihenfolge übersetzen?
Microsofts Empfehlungen zur Active-Directory-Sicherheit legen nahe, Schutz nicht auf einzelne Einstellungen zu reduzieren. Sinnvoll ist, zuerst die Angriffsfläche und privilegierten Pfade sichtbar zu machen, dann unnötige Rechte und riskante Anmeldungen einzuschränken, anschließend Änderungen und sensible Objekte zu überwachen und auch für einen möglichen Kompromittierungsfall vorbereitet zu sein. Das ist eine praktische Arbeitsreihenfolge, kein vom Workshop zugesicherter Auditprozess.
Recommended Free Tools
Rank #3
- Mastering Active Directory: Design, deploy, and protect Active Directory Domain Services for Windows Server 2022, 3rd Edition
- ABIS BOOK
- Packt Publishing
- Umgebung und Abhängigkeiten erfassen. Inventarisieren Sie Domänen, Forests, Vertrauensstellungen, Domain Controller und Identitätsinfrastruktur. Beziehen Sie angrenzende Systeme wie PKI, Systemmanagement, Exchange, SQL Server oder Entra-ID-Synchronisierung ein, sofern vorhanden. Microsoft nennt unvollständiges Patchen, veraltete Anwendungen und Betriebssysteme, Fehlkonfigurationen sowie Lücken beim Antivirus- und Antimalware-Schutz als häufige Einstiegspunkte.
- Privilegierte Identitäten und Rechtepfade prüfen. Kontrollieren Sie Konten und Gruppen mit hohen Rechten, ihre Mitgliedschaften, Delegierungen und ACLs. Microsoft hebt Enterprise Admins, Domain Admins und Administrators als Gruppen mit standardmäßig höchsten AD-Rechten hervor. Zusätzlich müssen organisationsspezifische privilegierte Gruppen und Konten berücksichtigt werden. Suchen Sie nach unnötigen Privilegien und danach, ob alltägliche Arbeit mit privilegierten Konten erledigt wird.
- Riskante Anmeldungen begrenzen. Trennen Sie administrative Tätigkeiten soweit möglich von normalen Benutzeraufgaben. Microsoft empfiehlt sichere Administrationshosts, auf denen keine nicht administrativen Anwendungen wie E-Mail, Browser oder Office ausgeführt werden, und MFA für privilegierte Konten oder Verwaltungsaufgaben. Die Leitlinie lautet: „Never administer a trusted system from a less-trusted host.“
- Konfigurationen und Änderungen absichern. Überprüfen Sie GPOs, Berechtigungen und Delegierungen auf zu breite oder unerwartete Rechte. Microsoft empfiehlt, Sicherheitsbaselines über Gruppenrichtlinien durchzusetzen und Domain Controller besonders zu schützen. In der Kursagenda ergänzen LAPS, AppLocker, Tiering und Least Privilege diese Schutzthemen; konkrete Einführungsschritte müssen zur jeweiligen Windows- und Organisationsumgebung passen.
- Überwachung und Wiederherstellung einplanen. Konfigurieren Sie Audit-Policies und zentrale Protokollauswertung so, dass Änderungen an sensiblen AD-Objekten und verdächtige Aktivitäten erkennbar werden. Definieren Sie außerdem, wie bei einer Kompromittierung reagiert und die Umgebung wiederhergestellt wird. Microsoft weist ausdrücklich darauf hin, dass keine Abwehr vollkommen ist: „While you can protect your AD from outside attacks, no defense is ever truly perfect.“
Microsoft Learn weist seine Best Practices für Windows Server 2016, 2019, 2022 und 2025 aus. Das ist die dort genannte Versionsabdeckung der Dokumentation, keine Aussage, dass jede einzelne Empfehlung ohne Anpassung auf jede Domäne oder Konfiguration passt.
Was bringen LAPS, Tiering und Least Privilege?
Diese Begriffe stehen für unterschiedliche, sich ergänzende Ansätze. Sie reduzieren nicht dasselbe Risiko und sind keine Garantie gegen einen Einbruch.
Rank #4
- Used Book in Good Condition
- LAPS: Die Kursagenda führt LAPS als Hardening-Thema auf. Es geht um die Absicherung lokaler Administratorkonten auf verwalteten Rechnern; die konkrete Einführung und die passende LAPS-Variante richten sich nach der vorhandenen Windows-Umgebung.
- Tiering: Verwaltungszugänge und Systeme werden nach Vertrauens- beziehungsweise Schutzebenen getrennt. Das soll verhindern, dass ein weniger geschützter Bereich zum Sprungbrett für höher privilegierte Systeme wird. Die genaue Tierstruktur muss zur Umgebung passen.
- Least Privilege: Konten und Gruppen erhalten nur die Rechte, die sie für ihre Aufgaben benötigen. Das betrifft nicht allein die drei von Microsoft hervorgehobenen privilegierten Gruppen, sondern ebenso organisationsspezifische Gruppen, Delegierungen und ACLs.
- AppLocker und sichere GPOs: Die Agenda nennt diese als Bausteine, um Anwendungen und Konfigurationen kontrollierter zu steuern. Welche Regeln praktikabel sind, hängt von den eingesetzten Anwendungen und betrieblichen Anforderungen ab.
Was bietet das Trainingsformat – und was nicht?
Die Kursseite beschreibt einen angeleiteten Workshop über drei Tage mit Übungen in einer bereitgestellten Testumgebung und digital bereitgestellten Unterlagen. Das Format verbindet theoretische Themen mit praktischer Arbeit; laut heise conferences ist die Gruppe auf höchstens 10 Teilnehmende begrenzt. Der Nutzen für die eigene Umgebung hängt davon ab, ob Teilnehmende das Gelernte anschließend auf ihre Architektur, Richtlinien und Betriebsabläufe übertragen.
Die Kursbeschreibung belegt weder ein Audit der eigenen Produktionsumgebung noch einen individuellen Maßnahmenbericht oder die erfolgreiche Umsetzung von Schutzmaßnahmen nach dem Kurs. Wer ein belastbares Audit-Ergebnis für die eigene Organisation braucht, sollte dafür zusätzlich Umfang, Zugriffsrechte, Dokumentation, Verantwortlichkeiten und Abnahmekriterien festlegen. Der Workshop kann Wissen und Übung vermitteln, ersetzt diese Auftragsklärung aber nicht.
Free tools Windows power users keep installed
One-click scans. No signup required.
Workshop oder selbstständiges Lernen?
Die belegten Lernwege unterscheiden sich vor allem durch Anleitung und Praxisformat. Microsoft Learn stellt herstellerseitige Sicherheitsleitlinien bereit; der Workshop ergänzt sie um angeleitete Übungen in einer Trainingsumgebung. Die folgende Gegenüberstellung beschränkt sich auf Angaben, die für die beiden Optionen ausgewiesen sind.
| Aspekt | iX-Workshop | Microsoft-Dokumentation |
|---|---|---|
| Format | Dreitägiger angeleiteter Hands-on-Workshop in einer vorbereiteten Testumgebung (heise conferences) | Eigenständige Nutzung frei zugänglicher Herstellerdokumentation (Microsoft Learn) |
| Praxis und Feedback | Praktische Übungen sind Teil des Formats; individueller Bezug zur eigenen Produktionsumgebung ist nicht ausgewiesen (heise conferences) | Individuelles Feedback oder angeleitete Laborübungen sind auf der genannten Best-Practices-Seite nicht ausgewiesen (Microsoft Learn) |
| Voraussetzungen | AD-Administrationsgrundkenntnisse, PowerShell über die Kommandozeile und ein Rechner mit stabiler Internetverbindung (heise conferences) | Ein bestimmtes Vorwissen oder eine erforderliche Hardware ist auf der genannten Best-Practices-Seite nicht ausgewiesen (Microsoft Learn) |
| Bezug zur eigenen Umgebung | Übungen finden in einer bereitgestellten Testumgebung statt; ein vollständiges Produktionsaudit ist nicht ausgewiesen (heise conferences) | Die Empfehlungen sind nach Microsofts Angaben für Windows Server 2016, 2019, 2022 und 2025 ausgewiesen; individuelle Umsetzung bleibt der Organisation überlassen (Microsoft Learn) |
| Zeit, Kosten und Termine | Dauer: drei Tage. Preis und konkrete offene Termine: auf der undatierten Kursseite nicht angegeben; vor einer Buchung aktuell beim Anbieter prüfen (heise conferences, abgerufen am 4. Oktober 2026). | Der Zeitaufwand für selbstständiges Lernen ist nicht festgelegt; die genannte Dokumentation ist frei zugänglich (Microsoft Learn). |
Wie sollte man den Kurs auswählen und vorbereiten?
Ein Workshop passt besonders dann, wenn bereits Grundlagen vorhanden sind und strukturierte Übungen zu Angriffspfaden, Rechten, Erkennung und Gegenmaßnahmen gewünscht sind. Wer zunächst eigene Produktionsrisiken bewerten muss, sollte die Kursinhalte mit einem konkreten internen Prüfauftrag verbinden, statt die Laborübungen mit einer Prüfung der eigenen Domäne gleichzusetzen.
- Prüfen Sie vor der Buchung beim Anbieter den aktuellen Termin, Preis, Leistungsumfang und die technischen Zugangsanforderungen; die undatierte Kursseite kann sich ändern.
- Frischen Sie die Grundlagen zu AD-Objekten, Gruppen, GPOs und PowerShell-Kommandos auf, damit die Übungen nicht an den genannten Einstiegsvoraussetzungen scheitern.
- Notieren Sie Fragen aus der eigenen Umgebung, etwa zu privilegierten Konten, Vertrauensstellungen, ACLs, Delegierung, Protokollierung und angrenzenden Identitätssystemen. Nutzen Sie ausschließlich freigegebene, nicht sensible Beispiele in der Trainingsumgebung.
- Planen Sie nach dem Training Zeit ein, Empfehlungen gegen die eigene Architektur, Änderungsprozesse und Betriebsanforderungen zu prüfen, bevor Sie sie produktiv ausrollen.
Fazit
Der iX-Workshop ist ein dreitägiges, praxisorientiertes Training für Administratoren mit AD- und PowerShell-Grundkenntnissen. Seine Agenda reicht von Kerberos, Credentials und Rechtepfaden bis zu Logging, LAPS, Tiering und Least Privilege. Für die Absicherung einer realen Domäne bleibt entscheidend, privilegierte Identitäten, Berechtigungen, angrenzende Systeme und Überwachung gemeinsam zu betrachten – und einen Plan für den Fall vorzusehen, dass Schutzmaßnahmen nicht ausreichen.
Quick Recap
Product prices and availability are accurate as of the date/time indicated and are subject to change. Any price and availability information displayed on Amazon at the time of purchase will apply.
Do these 3 things before closing this tab:
1Repair Windows errors before they cause bigger problems2Fix the driver behind crashes, sound loss and screen glitches3Clear out junk files and repair common Windows errors
