Windows-Rechteausweitung: Vektoren und Härtung für Verteidiger

Die Rechteausweitung unter Windows ist eine der folgenreichsten Phasen eines echten Angriffs und zugleich eine der am besten verteidigbaren. Dieser Artikel richtet sich an Blue Teams, Detection-Engineers und Systemadministratoren, die die Mechanik verstehen müssen, um sich dagegen zu verteidigen. Wir beschreiben auf konzeptioneller Ebene, wie ein Angreifer, der bereits einen Zugang mit geringen Rechten besitzt, versucht, zu SYSTEM oder Domänenadministrator zu werden, welche Telemetrie diese Versuche sichtbar macht und wie man eine Windows-Umgebung so härtet, dass die häufigsten Vektoren schlicht nicht existieren. Es gibt hier keine einsatzbereiten Payloads: Ziel sind belastbare Erkennung und Absicherung, kein Angriffsleitfaden.

Was Rechteausweitung tatsächlich bedeutet

Rechteausweitung ist der Übergang von einem Sicherheitskontext in einen mächtigeren auf demselben Host oder in derselben Domäne. Verteidiger unterscheiden meist zwei Formen. Die vertikale Ausweitung führt von einem Standardbenutzer mit niedriger Integrität zu einem Konto mit hohen Rechten wie NT AUTHORITY\SYSTEM, einem lokalen Administrator oder einem Domänenadministrator. Die horizontale Ausweitung bewegt sich seitwärts zu einem anderen Benutzer mit ähnlichen Rechten, um an Daten oder Vertrauensbeziehungen zu gelangen, die dem ursprünglichen Konto fehlten. Ausweitung geschieht fast nie isoliert: Sie liegt zwischen Erstzugang und lateraler Bewegung im Angriffszyklus und ist oft der Schritt, an dem aus einer harmlosen Infektion eine vollständige Kompromittierung wird. Deshalb ist das Erkennen von Ausweitungsversuchen wertvoll, selbst wenn sie scheitern, denn ein fehlgeschlagener Versuch verrät einen Zugang, von dem Sie nichts wussten. Aus Verteidigersicht ist jede Ausweitung damit zugleich eine Gelegenheit: Sie markiert den Moment, in dem ein Angreifer seine Absicht offenbart und Spuren hinterlässt, die man auswerten kann.

Wie Windows Privilegien überhaupt durchsetzt

Um die Grenze zu verteidigen, muss man wissen, wo sie verläuft. Windows weist jedem Prozess ein Zugriffstoken zu, das die SID des Benutzers, Gruppen-SIDs, eine Integritätsstufe (Niedrig, Mittel, Hoch, System) und eine Menge von Privilegien wie SeDebugPrivilege, SeImpersonatePrivilege und SeBackupPrivilege trägt. Die Benutzerkontensteuerung (UAC) teilt die Anmeldung eines Administrators in zwei Token: ein gefiltertes Token mittlerer Integrität für den Alltag und ein volles Token hoher Integrität, das erst nach einer Bestätigung erscheint. Die meisten Ausweitungstechniken sind im Kern Versuche, ein Token zu erlangen, das der Benutzer nie besitzen sollte, oder Code in einem Prozess auszuführen, der ein solches Token bereits hält. Token, Integritätsstufen und Privilegien sind daher das gemeinsame Vokabular für jede Erkennung und jede Absicherung, die folgt.

Die häufigen Vektoren und wo sie sitzen

Ausweitungsvektoren bündeln sich in einer Handvoll wiederkehrender Fehlkonfigurationen, und sie defensiv zu benennen erlaubt es, auf ihr Fehlen zu prüfen. Dienst-Fehlkonfigurationen sind der Klassiker: Ein Dienst, der als SYSTEM läuft, dessen Binärdatei oder dessen Ordner aber für unprivilegierte Benutzer beschreibbar ist, erlaubt es, das ausgeführte Programm zu ersetzen. Verwandt ist das Problem des nicht in Anführungszeichen gesetzten Dienstpfads, bei dem ein Pfad mit Leerzeichen dazu führt, dass Windows höher liegende ausführbare Dateien zuerst versucht. Schwache Dienstberechtigungen erlauben, den Binärpfad direkt umzukonfigurieren. Auf Installer-Seite lassen die gepaarten AlwaysInstallElevated-Richtlinien jeden Benutzer Pakete als SYSTEM installieren. Token-Missbrauch nutzt Konten mit Impersonationsrechten aus, häufig bei Web- und Datenbankdienstkonten. DLL-Suchreihenfolge-Hijacking platziert eine Bibliothek dort, wo ein privilegierter Prozess sie lädt. Schließlich lässt Anmeldedatendiebstahl aus dem Speicher, der Registrierung oder Unattend-Dateien einen Angreifer die Ausweitung oft ganz überspringen. Man braucht kein Angriffswerkzeug, um dies zu finden; ein Konfigurationsaudit findet es zuerst. Wichtig ist, jeden Vektor als konkrete, prüfbare Eigenschaft zu formulieren: eine beschreibbare Datei, ein fehlendes Anführungszeichen, ein aktivierter Registrierungsschlüssel, ein überflüssiges Privileg. So wird aus einer diffusen Bedrohung eine Liste messbarer Zustände, die man systematisch schließen kann.

Erkennung: die Telemetrie, die Ausweitung sichtbar macht

Ausweitung ist laut, wenn man auf den richtigen Kanälen lauscht. Aktivieren und leiten Sie das Windows-Sicherheitsprotokoll zusammen mit Sysmon und Ihrem EDR weiter und richten Sie die Erkennung auf einige belastbare Signale aus. Ereignis-ID 4672 ("Dem neuen Anmeldevorgang wurden besondere Berechtigungen zugewiesen") wird ausgelöst, wenn eine Sitzung sensible Privilegien wie SeDebugPrivilege erhält; korrelieren Sie sie mit dem Konto und dem übergeordneten Prozess. Ereignisse 4673 und 4674 erfassen privilegierte Dienst- und Objektoperationen. Dienstbasierte Ausweitung zeigt sich über 7045 (ein neuer Dienst wurde installiert) und 4697 sowie Sysmon-Ereignis-ID 1 (Prozesserstellung) mit einer unerwarteten Eltern-Kind-Kette wie services.exe, das cmd.exe startet. Token-Manipulation und Injektion erscheinen als Sysmon-Ereignis-ID 8 (CreateRemoteThread) und 10 (ProcessAccess) gegen lsass.exe mit verdächtigen Zugriffsmasken. Registrierungsbasierte Vektoren wie AlwaysInstallElevated zeigen sich als Sysmon-Ereignis-ID 13. Die stärksten Erkennungen kombinieren dies: ein Prozess mittlerer Integrität, der plötzlich ein Kind hoher Integrität erzeugt, oder ein Dienstkonto, das Impersonation erlangt und dann eine Shell startet. Entscheidend ist, dass diese Signale weitergeleitet und zentral aufbewahrt werden, denn ein lokal gelöschtes Protokoll nützt niemandem. Ergänzen Sie die Ereignisprotokolle mit Befehlszeilen-Aufzeichnung und PowerShell-Skriptblock-Protokollierung, damit die eigentliche Aktion und nicht nur ihr Name sichtbar wird.

Erkennungen bauen, die reale Umgebungen überstehen

Rohe Ereignis-IDs erzeugen Rauschen, formen Sie sie also zu verhaltensbasierten Regeln. Alarmieren Sie bei Integritätsstufen-Übergängen: ein Prozessbaum, in dem ein Elternprozess mittlerer Integrität ohne legitimes UAC-Zustimmungsereignis ein Kind hoher oder System-Integrität erzeugt, ist untersuchenswert. Bilden Sie eine Baseline Ihrer legitimen Dienste und alarmieren Sie, wenn 7045 einen Dienst mit einem Binärpfad in C:\Users, C:\Windows\Temp oder einem anderen benutzerbeschreibbaren Ort installiert. Achten Sie auf Konten mit SeImpersonatePrivilege, die interaktive Shells starten. Ordnen Sie jede Regel den MITRE ATT&CK-Techniken unter der Taktik Privilege Escalation (TA0004) zu, damit Lücken sichtbar werden, und validieren Sie die Regeln mit einer autorisierten Purple-Team-Übung, statt anzunehmen, dass sie auslösen. Speisen Sie die Alarme in einen Triage-Workflow, der Token, Elternkette und geändertes Artefakt erfasst, denn diese drei Fakten rekonstruieren meist die ganze Technik.

Absicherung und Härtung, die die Vektoren entfernt

Die beste Ausweitungserkennung ist ein Vektor, der nicht mehr existiert. Erzwingen Sie das Prinzip der geringsten Rechte: Standardbenutzer sollten nie lokale Administratoren sein, und Dienstkonten sollten Group Managed Service Accounts mit genau dem nötigen Umfang sein. Prüfen und korrigieren Sie die Datei- und Ordner-ACLs jedes Dienstbinärpfads, damit Nicht-Administratoren nicht darauf schreiben können, und lösen Sie jeden nicht zitierten Dienstpfad auf. Setzen Sie beide AlwaysInstallElevated-Werte per Gruppenrichtlinie auf deaktiviert. Entfernen Sie sensible Privilegien wie SeImpersonatePrivilege von Konten, die sie nicht brauchen, und isolieren Sie Anmeldedaten mit Credential Guard sowie aktivem LSA-Schutz (RunAsPPL), um Speicherdiebstahl zu erschweren. Halten Sie Systeme gepatcht, da viele Ausweitungs-Exploits bekannte lokale Schwachstellen nutzen. Setzen Sie Anwendungssteuerung (WDAC oder AppLocker) ein, damit eine platzierte Binärdatei selbst dann nicht ausführbar ist, wenn eine ACL nachlässig wird. Überwachen Sie schließlich den Missbrauch von Treiberladevorgängen, da signierte, aber verwundbare Treiber eine zunehmend häufige Ausweitungsbrücke sind.

Fallstricke, die ein gutes Programm schwächen

Mehrere wiederkehrende Fehler höhlen eine Ausweitungsverteidigung aus. Der erste ist Protokollieren ohne Weiterleiten: Die Ereignisse existieren am Endpunkt, erreichen aber nie das SIEM, sodass der Angreifer, der das lokale Protokoll löscht, den einzigen Beweis vernichtet. Der zweite ist Alarmmüdigkeit durch rohe 4672-Ereignisse, die für legitime Administratoren ständig auslösen; ohne Baseline lernen Analysten, das eine wichtige zu ignorieren. Der dritte ist übermäßiges Vertrauen in UAC als Sicherheitsgrenze — Microsoft selbst behandelt Standard-UAC nicht als solche. Der vierte sind veraltete Dienst-ACLs, die Drittanbieter-Installer lange nach der ersten Härtung einführen, weshalb Auditierung fortlaufend sein muss. Schließlich vergessen Teams oft geplante Aufgaben und Autostart-Ordner, die dasselbe Muster wie Dienste bieten und dieselbe Prüfung verdienen.

Eine praktische Härtungs- und Erkennungs-Checkliste

Verwenden Sie dies als wiederkehrendes Audit, nicht als einmaliges Projekt. 1) Bestätigen Sie, dass kein Standardbenutzer lokaler Administrator ist. 2) Zählen Sie Dienstbinärpfade auf und prüfen Sie, dass keiner für Nicht-Administratoren beschreibbar ist. 3) Lösen Sie jeden nicht zitierten Dienstpfad auf. 4) Prüfen Sie, dass beide AlwaysInstallElevated-Werte deaktiviert sind. 5) Überprüfen Sie, welche Konten SeImpersonatePrivilege, SeDebugPrivilege und SeBackupPrivilege halten, und entziehen Sie das Unnötige. 6) Aktivieren Sie Credential Guard und LSA-Schutz, wo unterstützt. 7) Setzen Sie WDAC oder AppLocker im Erzwingungsmodus ein. 8) Senden Sie Sicherheits-, Sysmon- und EDR-Protokolle an das SIEM und bestätigen Sie die Aufnahme. 9) Alarmieren Sie bei Integritätssprüngen, verdächtigen 7045-Pfaden und lsass.exe-Zugriff. 10) Validieren Sie die ganze Kette vierteljährlich mit einem autorisierten Purple-Team-Test.

Häufig gestellte Fragen

Ist das Deaktivieren von UAC je akzeptabel, um Bestätigungen zu reduzieren? Nein. Auch wenn Microsoft Standard-UAC nicht als formale Sicherheitsgrenze einstuft, erhöht es dennoch die Kosten vieler Ausweitungstechniken und liefert das Zustimmungsereignis, auf das mehrere Erkennungen angewiesen sind. Reduzieren Sie Bestätigungen durch korrekte Anwendungspaketierung und geringste Rechte, nie durch Abschalten von UAC.

Brauchen wir noch Host-Erkennungen, wenn wir ein starkes EDR haben? Ja. EDR ist mächtig, aber nicht allwissend, und die Kombination aus Sysmon und weitergeleiteten Sicherheitsprotokollen liefert eine unabhängige Beweisquelle, die überlebt, wenn ein Angreifer den Agenten manipuliert. Tiefenverteidigung gilt auch für Ihre eigene Sichtbarkeit, nicht nur für den Weg des Angreifers.

Fazit

Windows-Rechteausweitung wirkt einschüchternd, weil sie viele benannte Techniken hat, doch aus Sicht des Verteidigers reduziert sie sich auf eine kleine Menge vermeidbarer Fehlkonfigurationen und eine kleine Menge wertvoller Signale. Entfernen Sie beschreibbare Dienstbinärdateien, nicht zitierte Pfade, überflüssige Privilegien und die AlwaysInstallElevated-Richtlinie, und Sie beseitigen den Großteil der Angriffsfläche direkt. Leiten Sie das Sicherheitsprotokoll mit Sysmon und Ihrem EDR weiter, alarmieren Sie bei Integritätsübergängen und verdächtigen Dienstinstallationen und validieren Sie die Abdeckung mit autorisierten Tests, dann sehen Sie die verbleibenden Versuche. Den Angriff zu verstehen ist hier nur nützlich, soweit es die Verteidigung konkret macht — und unter Windows liegt die Verteidigung gut in Reichweite.