Multi-Faktor-Authentifizierung gehört heute zum Standard, besonders bei privilegierten Konten. In der Cloud längst Standard, tun sich on-prem Administratoren deutlich schwerer. Aber selbst eine starke Anmeldung löst nicht jedes Problem: Was passiert, wenn ein erfolgreich authentifizierter Administrator anschließend dauerhaft weitreichende Berechtigungen besitzt?

Gerade in Tier 0 reicht es nicht, nur die Anmeldung abzusichern. Auch die Vergabe administrativer Rechte muss Teil des Sicherheitskonzepts sein. Warum die konsequente Trennung privilegierter Systeme und Accounts dabei so entscheidend ist, zeigen wir ausführlich in unserem Beitrag Datensicherheit durch Tiering: Schutz auf jeder Ebene. In dem Artikel ordnen wir Tier 0, Tier 1 und Tier 2 ein und zeigen dir, warum insbesondere Identitätssysteme, Domain Controller und Zertifizierungsstellen besonders geschützt werden müssen.

Für MFA im T0 Bereich setzen wir auf SCAMA, kurz für Smart Card Authentication Mechanism Assurance, an. Der Ansatz verbindet zertifikatsbasierte Authentifizierung mit einer dynamischen, rollenbezogenen Berechtigungsvergabe.

Das eigentliche Risiko: permanente Berechtigungen

Ein gestohlenes Admin-Passwort ist gefährlich. Noch kritischer wird es, wenn mit dem betroffenen Account dauerhaft privilegierte Gruppenmitgliedschaften verbunden sind.

Klassische MFA schützt zunächst den Anmeldevorgang. Die anschließende Autorisierung bleibt davon jedoch häufig unberührt: Nach erfolgreicher Anmeldung verfügt der Account über sämtliche fest zugewiesenen Rechte.

SCAMA verfolgt deshalb einen anderen Ansatz:

Nicht der Account allein entscheidet über die Adminrechte, sondern die Kombination aus Account und erfolgreicher zertifikatsbasierter Authentifizierung.

Der privilegierte Account besitzt die entsprechende Rolle also nicht permanent. Die benötigten Rechte entstehen erst durch die Anmeldung mit einem passenden Smartcard-Zertifikat. Das entkoppelt die Adminrechte vom Passwort.

Wie funktioniert SCAMA?

SCAMA basiert auf Standardfunktionen von Active Directory Domain Services, kurz AD DS, und Active Directory Certificate Services, kurz AD CS. Eine im Zertifikat hinterlegte Issuance Policy wird dabei mit einer universellen Active-Directory-Gruppe verknüpft.

Vereinfacht läuft die Authentifizierung folgendermaßen ab:

1. 1. 1. Der Administrator besitzt zunächst keine permanente SCAMA-Rollenmitgliedschaft.
      2. Er authentifiziert sich mit einem passenden Smartcard-Zertifikat.
      3. Das Zertifikat enthält eine ID für die benötigte administrative Rolle.
      4. Diese ID ist einer universellen AD-Gruppe zugeordnet.
      5. Die dynamische Gruppenzugehörigkeit wird in das Kerberos-Ticket beziehungsweise dessen Privilege Attribute Certificate, kurz PAC, aufgenommen.
      6. Die daraus entstehenden Rechte gelten innerhalb der Lebensdauer dieses Tickets.

Der zugrunde liegende Mechanismus wird als Authentication Mechanism Assurance, kurz AMA, bezeichnet. Dabei kann die Mitgliedschaft in einer Sicherheitsgruppe davon abhängig gemacht werden, dass sich ein Benutzer nachweislich mit einer starken Authentifizierungsmethode wie einer Smartcard angemeldet hat. Eine ausführliche technische Einordnung bietet der Fachbeitrag Authentication Mechanism Assurance zur Absicherung administrativer Konten.

Die Berechtigung hängt damit nicht nur von der Identität des Accounts ab, sondern auch vom tatsächlich verwendeten Authentifizierungsmechanismus.

SCAMA verbindet JIT und JEA und MFA

Sicherheitstechnisch kombiniert SCAMA zwei wichtige Prinzipien moderner Administration.

Just-in-Time Administration

Privilegierte Berechtigungen werden nicht dauerhaft vergeben. Sie entstehen im Kontext der zertifikatsbasierten Anmeldung und gelten nur temporär im Kerberos-Ticket.

Nach Ablauf des Tickets stehen die über SCAMA bereitgestellten Rechte nicht mehr zur Verfügung. Die Ticket-Lebensdauer sollte dabei bewusst an das Sicherheits- und Betriebskonzept des Unternehmens angepasst werden.

Just Enough Administration

Unterschiedliche administrative Rollen können über spezifische Zertifikate abgebildet werden. Administratoren erhalten dadurch nicht pauschal alle denkbaren Rechte, sondern die Berechtigungen, die sie für ihre jeweilige Aufgabe benötigen.

„Starke Authentifizierung und MFA  ist für Tier 0 unverzichtbar. Wirklich interessant wird es aber dort, wo die Art der Authentifizierung gleichzeitig darüber entscheidet, ob und wie lange administrative Rechte entstehen. Genau diese Verbindung von Authentifizierung und Autorisierung macht SCAMA zu einem wirkungsvollen Baustein für den Schutz privilegierter Identitäten.“ – Fabian Böhm, Geschäftsführer und Security Architect bei TEAL

Mehr als klassische Smartcard-MFA

Bei einer klassischen Smartcard-Anmeldung steht meist die Absicherung des Logins im Vordergrund:

Smartcard und PIN → stärkere Authentifizierung

SCAMA erweitert dieses Prinzip:

Authentifizierungsmechanismus → Rolleninformation → temporäre Autorisierung

Das Zertifikat bestätigt somit nicht nur die Identität des Administrators. Über die darin enthaltene ID liefert es gleichzeitig die Information, welche administrative Rolle im aktuellen Kontext wirksam werden darf.

Die entsprechenden universellen AD-Gruppen bleiben absichtlich leer. Ihre Mitgliedschaft wird ausschließlich dynamisch über SCAMA erzeugt. Permanente Mitglieder würden diesen Sicherheitsmechanismus umgehen.

SCAMA geht über die reine Absicherung des Anmeldevorgangs hinaus. Es verbindet die zertifikatsbasierte Authentifizierung zusätzlich mit der dynamischen Vergabe einer Rolle.

Die PKI ist Teil des Tier-0-Sicherheitskonzepts

SCAMA ist keine isolierte Konfiguration innerhalb von Active Directory. Zertifikate, Issuance Policies und eindeutige Object Identifiers, OIDs, werden zu zentralen Bestandteilen der Berechtigungsvergabe.

Für eine belastbare Umsetzung werden insbesondere folgende Komponenten benötigt:

• • eine Issuing CA, die die benötigten Issuance Policies unterstützt
  • eindeutig definierte und zentral verwaltete OIDs
  • universelle AD-Gruppen für die Rollenzuordnung
  • Smartcards oder geeignete Hardware-Token
  • ein kontrollierter Ausstellungsprozess, idealerweise mit Vier-Augen-Prinzip
  • ein klar definiertes Rollen- und Berechtigungsmodell

Ohne Lifecycle funktioniert SCAMA nicht

Eine technische Implementierung endet nicht mit der Erstellung eines Zertifikat-Templates. Im laufenden Betrieb müssen mindestens drei zentrale Prozesse geregelt sein:

• • Request: Wie wird ein SCAMA-Zertifikat beantragt, geprüft und ausgestellt?
  • Renewal: Wie wird ein Zertifikat kontrolliert verlängert oder ersetzt?
  • Revocation: Wie wird es bei Rollenwechsel, Verlust oder Sicherheitsvorfällen widerrufen?

Darüber hinaus sollten Prozesse für die erstmalige Verwendung, PIN-Reset, Unblocking und den Austausch defekter oder verlorener Hardware-Token definiert werden.

Fehlen diese Abläufe, entsteht schnell eine technisch funktionierende, aber operativ schwer beherrschbare Lösung.

Typische Stolpersteine bei der Einführung

SCAMA kann nur dann wirksam sein, wenn bestehende Berechtigungswege konsequent berücksichtigt werden.

Besonders wichtig sind:

• • Permanente Gruppenmitgliedschaften: Bestehende Tier-0- und Built-in-Gruppen müssen geprüft und gegebenenfalls bereinigt werden. Andernfalls lassen sich die über SCAMA vorgesehenen dynamischen Rollen umgehen.
  • Break-Glass-Accounts: Notfallkonten benötigen ein separates, streng kontrolliertes Konzept und sollten nicht beiläufig in das reguläre Rollenmodell integriert werden.
  • Unklare Rollen: Zertifikate bzw. SCAMA kann ein unsauberes Berechtigungsmodell nicht reparieren. Die benötigten administrativen Rollen müssen vorher eindeutig definiert sein.
  • Unterschätzte PKI-Abhängigkeiten: OID-Verwaltung, Zertifikatsprofile, Sperrprozesse und die Absicherung der Zertifizierungsstellen gehören zum Gesamtdesign.
  • Fehlende Betriebsprozesse: Ausstellung, Erneuerung und Widerruf müssen von Beginn an berücksichtigt und dokumentiert werden.

Hinzu kommt eine wichtige Einschränkung: Authentication Mechanism Assurance schützt nicht automatisch vor Angriffen wie Pass-the-Hash oder Pass-the-Ticket. Auch bei einer Smartcard-Anmeldung können weiterhin sicherheitsrelevante Artefakte wie Ticket Granting Tickets zum Ziel eines Angriffs werden. SCAMA ist deshalb ein Baustein innerhalb einer mehrschichtigen Sicherheitsarchitektur, aber kein Ersatz für Systemhärtung, sichere Admin-Arbeitsplätze, Monitoring und Attack Path Management.

Fazit: Adminrechte sollten kein dauerhafter Zustand sein

SCAMA macht aus Smartcard-Authentifizierung mehr als einen zusätzlichen Faktor bei der Anmeldung. Der verwendete Authentifizierungsmechanismus wird unmittelbar mit der Vergabe privilegierter Rollen verbunden.

Dadurch können administrative Berechtigungen:

• • rollenbezogen,
  • zertifikatsgebunden,
  • zeitlich begrenzt
  • und innerhalb des Kerberos-Kontexts

bereitgestellt werden.

Gerade für Tier 0 entsteht damit eine wirkungsvolle Kombination aus starker Authentifizierung, Just-in-Time Administration und Just Enough Administration.

Entscheidend ist jedoch, SCAMA nicht als reine PKI-Funktion zu betrachten. Rollenmodell, bestehende Gruppenmitgliedschaften, administrative Arbeitsplätze sowie der vollständige Zertifikats- und Smartcard-Lifecycle müssen Teil derselben Sicherheitsarchitektur sein.

SCAMA ist daher ein wertvoller Bestandteil eines umfassenden Tier-0-Konzepts. Wie wir dich bei der Klassifizierung, Trennung und Absicherung kritischer Systeme sowie hochprivilegierter Admin-Konten unterstützen, zeigen wir auf unserer Themenseite: Datensicherheit durch Microsoft Tiering

Denn für besonders kritische Konten sollte MFA nicht bei der Anmeldung aufhören!