Zwei anonymisierte Auszüge aus abgeschlossenen Pentest-Engagements: Branche und Größenordnung sind genannt, Namen, Standorte und identifizierbare Details bewusst nicht.
Anonymisiert: Kein Kunde ist namentlich oder anhand von Details identifizierbar. Beide Fälle wurden vor Veröffentlichung mit dem jeweiligen Kunden abgestimmt.
Ein mittelständisches Produktionsunternehmen mit zwei Werksstandorten beauftragte einen verdeckten physischen Penetrationstest, um die Wirksamkeit von Perimeterschutz, Zugangskontrolle und Wachdienst realistisch zu überprüfen.
Nach mehrtägiger Reconnaissance beider Standorte (Beobachtung der Zufahrten, Schrankenanlagen und des Patrouillenrhythmus des Wachdienstes) ergaben sich zwei unterschiedliche Angriffswege:
Standort A: Eine bauliche Schwachstelle (eine ausreichend breite Lücke zwischen Schranke und angrenzender Wand) ermöglichte mehrfachen, unbemerkten Zugang zum Firmengelände, ohne die eigentliche Zufahrtskontrolle zu passieren.
Standort B: Nach Beobachtung des Patrouillenrhythmus wurde das Zeitfenster genutzt, in dem der Empfangsbereich (zugleich Sitz des Wachdienstes) unbesetzt war. Der Zugang zum Gelände erfolgte durch Unterkriechen der Schranke; auch hier war der Abstand zum Boden ausreichend groß, um ungehindert durchzukommen. Von dort aus erfolgte der Zugang zum Gebäude über ein zuvor identifiziertes, gekipptes Fenster, dessen Kippstellung ausreichte, um es schnell zu öffnen. Es führte in einen an den Empfang angrenzenden Raum; das Fenster wurde danach wieder in Kippstellung zurückgesetzt, um keine Spuren zu hinterlassen.
Am unbesetzten Empfangsarbeitsplatz fand sich ein frei zugänglicher Schlüsselkasten, aus dem der Schlüssel des Reinigungsdienstes entnommen wurde. Mit diesem ließen sich ebenfalls einige Innentüren öffnen. Zusätzlich war am selben Arbeitsplatz die laufende Kameraüberwachung des Wachdienstes ohne weitere Zugriffsbeschränkung einsehbar, wodurch sich in Echtzeit verfolgen ließ, wann der Wachdienst von seiner Patrouille zurückkehrt. Das vergrößerte das Zeitfenster für einen unbemerkten Rückzug erheblich. Das Gebäude wurde anschließend über den Haupteingang verlassen, der mit dem entwendeten Schlüssel geöffnet und danach wieder verschlossen wurde, um den Ausgangszustand wiederherzustellen.
Als im vereinbarten Scope nicht weiter vertiefte Erweiterungsmöglichkeit wurde dokumentiert: Eine schnelle Kopie des Schlüssels vor der Rückgabe hätte dauerhaften, unentdeckten physischen Zugriff auf die damit erreichbaren Bereiche ermöglicht.
Mehrere unabhängige physische Schwachstellen (bauliche Perimeterlücke, unzureichend gesichertes Kippfenster, frei zugänglicher Schlüsselkasten an einem zeitweise unbesetzten Empfang, fehlende Zugriffsbeschränkung auf die Kameraüberwachung) summierten sich zu vollständigem, unentdecktem physischem Zugang inklusive eines Schlüssels, mit dem sich mehrere Innentüren öffnen ließen. Die eigene Sicherheitsinfrastruktur des Unternehmens, die Kameraüberwachung, ließ sich zudem gegen den eigenen Wachdienst verwenden, um dessen Bewegungen zu antizipieren.
Empfohlen wurden die bauliche Schließung der Perimeterlücken (Schranke und Kippfenster), ein vernünftiges Schlüsselmanagement anstelle des offenen Schlüsselkastens, das konsequente Geschlossenhalten von Fenstern bei unbesetzten Räumen sowie eine verbindliche Bildschirmsperre an unbesetzten Arbeitsplätzen. Die konkrete Umsetzung erfolgte in Abstimmung mit dem Kunden; Details dazu unterliegen der Vertraulichkeit des Mandats.
Ein größeres Unternehmen aus dem Medizinbereich beauftragte einen internen Infrastruktur-Pentest im Assumed-Breach-Szenario: Startpunkt war ein gewöhnliches Domänenbenutzerkonto ohne erhöhte Rechte, wie es ein Angreifer nach einer erfolgreichen Phishing-Kampagne typischerweise erlangen würde. Der Kunde betrieb während des Tests aktiv SIEM/SOC-Monitoring.
In den Active Directory Certificate Services (AD CS) der Umgebung wurde eine als „ESC8“ bekannte Fehlkonfigurationsklasse ausgenutzt: Der Web-Enrollment-Dienst der internen Zertifizierungsstelle nahm Zertifikatsanfragen über HTTP entgegen, ohne ausreichenden Schutz gegen NTLM-Relay-Angriffe. Durch gezieltes Erzwingen einer NTLM-Authentifizierung eines hochprivilegierten Kontos und Weiterleitung (Relay) dieser Authentifizierung an den verwundbaren Enrollment-Endpunkt ließ sich ein clientseitiges Authentifizierungszertifikat im Namen dieses privilegierten Kontos ausstellen. Mit diesem Zertifikat konnte anschließend eine vollwertige Authentifizierung als das kompromittierte Konto erfolgen – im konkreten Fall bis zur vollständigen Domain-Admin-Berechtigung.
Aus einem einzelnen, nicht privilegierten Standardbenutzerkonto ließ sich auf diesem Weg vollständige Kontrolle über die gesamte Active-Directory-Domäne erlangen, ein klassischer Fall vollständiger Domänenkompromittierung ausgehend von minimalen Ausgangsrechten. Trotz aktivem SIEM/SOC-Betrieb wurde der gesamte Angriffspfad zu keinem Zeitpunkt erkannt oder alarmiert, ein deutlicher Hinweis auf eine Erkennungslücke bei zertifikatsbasierten AD-CS-Angriffstechniken, die sich von klassischeren, häufiger überwachten Privilege-Escalation-Pfaden unterscheiden.
Empfohlen wurden die Härtung der AD-CS-Enrollment-Dienste entsprechend bekannter ESC-Schwachstellenklassen (u. a. Absicherung/Deaktivierung von HTTP-Enrollment, Erzwingung von Kanalbindung/Extended Protection for Authentication), ein systematisches Review sämtlicher Zertifikatsvorlagen auf riskante Konfigurationen sowie, angesichts der ausgebliebenen Erkennung, eine gezielte Erweiterung der SIEM-Detektionslogik um AD-CS-/Zertifikatsmissbrauchs-Indikatoren. Konkret umgesetzte Maßnahmen beim Kunden unterliegen der Vertraulichkeit des Mandats.
Diese Fälle sind reale Auszüge – keine Vorlagen. Jedes Engagement ist individuell. Sprecht uns unverbindlich an.
Unverbindliches Gespräch buchen