EtcSecBeta
Gratis testenAnmeldenRegistrieren

Identity Security Blog

Expert insights on Active Directory and Azure security vulnerabilities, hardening guides, and remediation best practices.

123 articles
Entra Delegierte versus Anwendungsberechtigungen der Graph API: Das Consent-Modell, das die meisten Tenants falsch verstehen
AzureApplicationsPermissions

Entra Delegierte versus Anwendungsberechtigungen der Graph API: Das Consent-Modell, das die meisten Tenants falsch verstehen

Delegierte Graph-Berechtigungen sind nicht die sicheren. Ein tenant-weiter AllPrincipals-Grant autorisiert eine App im Voraus gegen jeden Benutzer im Verzeichnis — und liegt in einer Sammlung, die App-Rollen-Reviews nie lesen.

PrintNightmare, Point-and-Print, GPO haerten, Active Directory: Der Fix mit zwei Werten, den niemand fertiggestellt hat
ADGPOCompliance

PrintNightmare, Point-and-Print, GPO haerten, Active Directory: Der Fix mit zwei Werten, den niemand fertiggestellt hat

Den Print Spooler auf Ihren Domänencontrollern zu stoppen hat ein privilegiertes Ziel entfernt und den Treiberinstallationspfad auf jeder Workstation offen gelassen. PrintNightmare ist ein Fix mit zwei Registry-Werten — hier ist die Hälfte, die die meisten Umgebungen nie abgeschlossen haben.

ADCS ESC2, ESC3, ESC5, ESC7: Zertifikatseskalationspfade zwischen den bekannten Techniken
ADADCSAttack Paths

ADCS ESC2, ESC3, ESC5, ESC7: Zertifikatseskalationspfade zwischen den bekannten Techniken

ADCS ESC2, ESC3, ESC5 und ESC7 schließen die Lücke zwischen den bekannten Pfaden ESC1-ESC8 und ESC9-ESC11: breite EKUs, Enrollment Agents und ACLs auf PKI-/CA-Objekten.

Conditional Access Session Controls, Sign-In Frequency, Benannte Standorte: Was ein aktives Token wirklich widerruft
AzureConditional AccessIdentity

Conditional Access Session Controls, Sign-In Frequency, Benannte Standorte: Was ein aktives Token wirklich widerruft

Die Sign-in-Häufigkeit widerruft kein bereits bestehendes Token — sie greift erst, wenn die Sitzung das nächste Mal ausgewertet wird. Hier erfährst du, wann Entra ID eine Richtlinie tatsächlich neu prüft, warum die kontinuierliche Zugriffsauswertung länderbasierte benannte Standorte ignoriert, und wie du beides auditierst.

Entra Conditional Access Lizenzueberschreitung Warnung: Was das neue Banner wirklich bedeutet
AzureConditional AccessIdentity

Entra Conditional Access Lizenzueberschreitung Warnung: Was das neue Banner wirklich bedeutet

Entra warnt jetzt, dass Ihre Conditional-Access-Richtlinien mehr Benutzer schützen, als Ihre Lizenzen erlauben. Das Banner ist informativ — aber die zugrunde liegende Zahl unterschätzt Ihre tatsächliche P1-Exposition.

LDAP Channel Binding, Domain Controller, NTLM Relay, LDAPS: Die Hälfte der Empfehlung von 2020, die niemand abgeschlossen hat
ADNetworkAdvanced

LDAP Channel Binding, Domain Controller, NTLM Relay, LDAPS: Die Hälfte der Empfehlung von 2020, die niemand abgeschlossen hat

LDAP-Signierung und LDAP Channel Binding sind zwei getrennte Kontrollen, keine einzige. Signierung lässt Port 636 offen für Relay-Angriffe, und der Channel-Binding-Wert existiert erst, wenn Sie ihn selbst anlegen.

Active Directory SPN-Duplikat, WriteSPN-Missbrauch, Kerberos-Downgrade: Ein Blick auf CVE-2026-25177 (KerberLoss)
ADKerberosPermissions

Active Directory SPN-Duplikat, WriteSPN-Missbrauch, Kerberos-Downgrade: Ein Blick auf CVE-2026-25177 (KerberLoss)

CVE-2026-25177 (KerberLoss) erlaubte jedem Inhaber von WriteSPN-Rechten, ein SPN-Duplikat mit unsichtbaren Unicode-Zeichen zu platzieren, Kerberos forstweit zu brechen und Clients auf NTLM zurückzustufen.

CVE-2026-50481 Azure Active Directory Rechteausweitung: Der CVSS-9,9-Fehler, den Sie nicht patchen können
AzurePrivileged AccessIdentity

CVE-2026-50481 Azure Active Directory Rechteausweitung: Der CVSS-9,9-Fehler, den Sie nicht patchen können

Microsoft bewertete CVE-2026-50481 als CVSS-9,9-Rechteausweitung in Azure Active Directory — und lieferte keinen Patch. Hier ist, was Sie in Ihrem eigenen Mandanten trotzdem überprüfen können.

ResetNightmare CVE-2026-27912, Kerberos Passwortaenderung, Active Directory: Ein selbst gesetzter userPrincipalName genügt, um einen Domain Admin zurückzusetzen
ADKerberosPassword

ResetNightmare CVE-2026-27912, Kerberos Passwortaenderung, Active Directory: Ein selbst gesetzter userPrincipalName genügt, um einen Domain Admin zurückzusetzen

CVE-2026-27912 erlaubt es einem Angreifer, der den userPrincipalName eines beliebigen Kontos schreiben kann, das Passwort eines Domain Admin über das Kerberos-Passwortänderungsprotokoll zurückzusetzen — weil dieser Ablauf niemals eine TGS-REQ durchführt.

Windows Hello for Business Standalone MFA-Faktor Entra Oktober 2026: Die zweite Passkey-Pflicht entfällt
AzureConditional AccessIdentity

Windows Hello for Business Standalone MFA-Faktor Entra Oktober 2026: Die zweite Passkey-Pflicht entfällt

Ab Anfang Oktober 2026 behandelt Entra Windows Hello for Business und macOS Platform SSO als eigenständige MFA-Faktoren. Es ist keine Konfigurationsänderung erforderlich — genau das ist das Problem.

Entra ID Tenant Standardbenutzereinstellungen schränken App-Registrierung, Gruppenerstellung und Admin-Center-Zugriff ein
AzureApplicationsConfig

Entra ID Tenant Standardbenutzereinstellungen schränken App-Registrierung, Gruppenerstellung und Admin-Center-Zugriff ein

Die Entra ID Tenant Standardbenutzereinstellungen schränken App-Registrierung und Gruppenerstellung erst ein, sobald ein Administrator sie ändert. Bis dahin kann das jeder Benutzer. Hier sind die vier Schalter, die die Lücke schliessen.

Kerberos Armoring (FAST): Active Directory Flexible Authentication Secure Tunneling ist standardmäßig deaktiviert
ADKerberosGPO

Kerberos Armoring (FAST): Active Directory Flexible Authentication Secure Tunneling ist standardmäßig deaktiviert

Kerberos-Armoring (FAST) schützt die Pre-Authentication-Daten in AD, doch beide Gruppenrichtlinien-Einstellungen, die es aktivieren, sind standardmäßig „Not Configured". Erkennung und stufenweiser Rollout.

Identity-Security-Ressourcen

Entdecken Sie die Identity-Security-Seiten zu diesem Thema

Entdecken Sie detaillierte Seiten zu Active Directory, Entra ID, dem ETC-Collector-Deployment und direkten Produktvergleichen.

Active Directory Security Audit

Sehen Sie sich die Landingpage zu Tier 0, Kerberos, Delegation, ADCS und Remediation-Prioritaten an.

Seite offnen
Microsoft Entra ID Security Audit

Sehen Sie die Entra-ID-Seite zu Conditional Access, MFA, PIM, App-Berechtigungen und Gast-Zugriff.

Seite offnen
PingCastle Alternative

Vergleichen Sie PingCastle mit ETC Collector fur wiederkehrende AD-Audits und Standalone-Collection-Workflows.

Seite offnen
Purple Knight Alternative

Vergleichen Sie Purple Knight mit ETC Collector fur AD- und Entra-ID-Reviews mit wiederkehrendem Follow-up.

Seite offnen
ETC Collector

Prufen Sie ETC Collector, seine lokalen Deployment-Modi und wie Teams Standalone- oder wiederkehrende Audits betreiben.

Seite offnen