Windows & Server

Active Directory Certificate Services (AD CS)

Allgemeine Infos

Active Directory Certificate Services (AD CS) ist die Serverrolle, mit der Unternehmen eine eigene Public-Key-Infrastruktur (PKI) betreiben. Die Zertifizierungsstelle (CA) stellt Zertifikate für Webserver, Benutzer- und Computerauthentifizierung, WLAN und VPN (802.1X), IPsec, S/MIME, EFS, Smartcard-Anmeldung und Codesignatur aus.

Eine Enterprise-CA ist in Active Directory integriert: Sie nutzt Zertifikatvorlagen, übernimmt Identitätsdaten aus dem Verzeichnis und verteilt Zertifikate per Gruppenrichtlinie automatisch (Autoenrollment). Eine eigenständige (Standalone) CA arbeitet ohne diese Integration und dient meist als offline gehaltene Stammzertifizierungsstelle.

AD CS ist ein beliebtes Angriffsziel. Fehlkonfigurierte Zertifikatvorlagen, etwa solche, bei denen der Antragsteller den Namen frei wählen darf, erlauben die Übernahme privilegierter Konten; die Sicherheitsforschung führt diese Muster unter Kürzeln wie ESC1 oder ESC8. Neu ist laut Microsoft Learn die Unterstützung des Post-Quanten-Signaturverfahrens ML-DSA für CAs, Vorlagen und Online-Responder.

Funktionsweise & Details

AD CS besteht aus mehreren Rollendiensten:

  1. Zertifizierungsstelle (CA): Stamm- und untergeordnete CAs stellen Zertifikate aus und veröffentlichen Sperrlisten (CRL).
  2. Zertifizierungsstellen-Webregistrierung: Zertifikatsanforderung und CRL-Abruf per Browser.
  3. Online-Responder: beantwortet OCSP-Anfragen zum Sperrstatus einzelner Zertifikate.
  4. Registrierungsdienst für Netzwerkgeräte (NDES): Zertifikate für Router, Switches und andere Geräte ohne Domänenkonto, auch als Basis für SCEP mit Intune.
  5. Zertifikatregistrierungsrichtlinien- und Zertifikatregistrierungs-Webdienst (CEP/CES): Registrierung für Clients außerhalb der Domäne.

Üblich ist eine zweistufige Hierarchie: Eine offline gehaltene Stamm-CA signiert eine oder mehrere ausstellende Enterprise-CAs. Per TPM-Schlüsselnachweis kann die CA zusätzlich prüfen, dass ein privater Schlüssel in einem Hardware-TPM liegt.

Vorteile & Nutzen

  • Interne Dienste erhalten vertrauenswürdige Zertifikate ohne Kosten pro Zertifikat bei externen Anbietern.
  • Autoenrollment per Gruppenrichtlinie verteilt und erneuert Zertifikate ohne Handarbeit.
  • Zertifikatbasierte Authentifizierung für WLAN und VPN ist schwerer zu missbrauchen als Benutzername und Kennwort.
  • Vorlagen legen zentral Schlüssellänge, Laufzeit und Verwendungszweck fest.
  • Grundlage für Smartcard-Anmeldung, S/MIME und Codesignatur im eigenen Haus.

Praxisbeispiel

Ein Medizintechnikhersteller mit 400 Mitarbeitenden stellt sein WLAN von einem gemeinsamen Kennwort auf 802.1X mit EAP-TLS um. Die IT baut eine Offline-Stamm-CA und eine ausstellende Enterprise-CA auf, verteilt Computerzertifikate per Autoenrollment und lässt den NPS die Zertifikate prüfen. Vor dem Go-live prüft ein externer Dienstleister alle Zertifikatvorlagen auf bekannte Fehlkonfigurationen. Ergebnis: Geräte verbinden sich automatisch, und ein ausgemustertes Notebook verliert mit dem Sperren seines Zertifikats den WLAN-Zugang.

Worauf sollte man achten?

  • Halte die Stamm-CA offline und schütze ihren privaten Schlüssel, am besten in einem HSM, weil ihre Kompromittierung die gesamte PKI entwertet.
  • Prüfe alle Vorlagen auf die Option, dass der Antragsteller den Antragstellernamen selbst angibt, und auf zu weit gefasste Registrierungsrechte.
  • Behandle CA-Server wie Domain Controller (Tier 0): eigene Admin-Konten, kein Internetzugriff, Überwachung der CA-Ereignisse.
  • Plane die CRL-Verteilpunkte so, dass sie auch von außen erreichbar sind, sonst scheitern VPN- und Webverbindungen an der Sperrprüfung.
  • Dokumentiere die Laufzeiten der CA-Zertifikate und plane die Erneuerung frühzeitig.

Lizenz & Verfügbarkeit

Serverrolle in Windows Server Standard und Datacenter (2016 bis 2025), keine Zusatzlizenz und keine Gebühren pro ausgestelltem Zertifikat; für Benutzer und Geräte gelten die Windows Server CALs. Stand: Oktober 2026.

Fazit

AD CS ist für Unternehmen mit Active Directory der übliche Weg zu einer eigenen PKI. Weil die CA ein bevorzugtes Angriffsziel ist, gehört eine regelmäßige Prüfung der Vorlagen fest zum Betrieb.

Weiterführende Links

Verwandte Artikel