Prüfprogramm Sicherheit von Active Directory und Entra ID.
Wie Sie prüfen, ob die zentralen Verzeichnisdienste gegen Übernahme geschützt sind, privilegierte Rechte eng begrenzt bleiben und eine Wiederherstellung nach einem Angriff möglich ist.
Stand: 13. Oktober 2026 · Muster, keine Rechtsberatung
Muster als PDF herunterladen 8 Seiten, ohne Anmeldung
Als Excel-Vorlage herunterladen mit Spalten für Ergebnis und Bemerkung, ohne Anmeldung
Prüfungsziel
Die Prüfung beurteilt, ob Active Directory und Entra ID nach einem klaren Administrationsmodell betrieben werden, ob hochprivilegierte Gruppen und Konten minimal und überwacht sind und ob Anmeldeverfahren, Dienstkonten, Gastzugänge und die Synchronisation zwischen beiden Verzeichnissen sicher eingerichtet sind. Sie beurteilt außerdem, ob der Verzeichnisdienst nach einer Kompromittierung wiederhergestellt werden kann.
Geltungsbereich
- Lokales Active Directory mit allen Domänen und Domänencontrollern
- Entra ID Mandant einschließlich bedingter Zugriffe, Gastkonten und Anwendungsregistrierungen
- Synchronisation zwischen lokalem Verzeichnis und Entra ID
- Nicht Gegenstand: Berechtigungen innerhalb einzelner Fachanwendungen
Prüfprogramm
| Nr. | Kriterium | Fundstelle | Prüfhandlung | Erwartete Nachweise |
|---|---|---|---|---|
| 1 | Verantwortung und Betriebskonzept für die Verzeichnisdienste sind dokumentiert und aktuell. | BSI APP.2.1; BSI APP.2.2 | Betriebskonzept lesen und mit der tatsächlichen Domänen- und Mandantenstruktur abgleichen. | Betriebskonzept, Übersicht der Domänen und Vertrauensstellungen |
| 2 | Ein gestuftes Administrationsmodell trennt die Verwaltung der Verzeichnisdienste von der Verwaltung von Servern und Arbeitsplätzen. | BSI APP.2.2; ISO/IEC 27001:2022 Anhang A 8.2 | Modell erläutern lassen und prüfen, ob Domänenadministratoren sich nur an dafür vorgesehenen Systemen anmelden. | Beschreibung des Administrationsmodells, Anmelderestriktionen, Anmeldeprotokolle |
| 3 | Hochprivilegierte Gruppen und Rollen haben nur wenige, persönlich zugeordnete Mitglieder und werden regelmäßig überprüft. | ISO/IEC 27001:2022 Anhang A 8.2; BSI APP.2.2 | Mitglieder der hochprivilegierten Gruppen und Entra-Rollen auslesen und mit genehmigten Zuordnungen abgleichen. | Auslesung der Gruppen und Rollen, Genehmigungen, Rezertifizierungsprotokoll |
| 4 | Administrative Anmeldungen und Fernzugriffe sind mit mehreren Faktoren geschützt; Regeln für bedingten Zugriff sind ohne ungeprüfte Lücken. | § 30 Abs. 2 Nr. 10 BSIG; ISO/IEC 27001:2022 Anhang A 8.5 | Regeln für bedingten Zugriff auswerten, Ausnahmen auflisten und den Registrierungsstand der Faktoren prüfen. | Export der Regeln für bedingten Zugriff, Ausnahmeliste, Registrierungsbericht |
| 5 | Notfallzugangskonten sind eingerichtet, geschützt hinterlegt, überwacht und werden getestet. | ISO/IEC 27001:2022 Anhang A 8.2 | Anzahl, Hinterlegung und Überwachung der Notfallzugangskonten prüfen und den letzten Test ansehen. | Notfallzugangsregelung, Alarmregel für Anmeldungen, Testprotokoll |
| 6 | Konten werden bei Eintritt, Wechsel und Austritt zeitnah angepasst; inaktive Konten werden deaktiviert. | ISO/IEC 27001:2022 Anhang A 5.16 und 5.18; BSI ORP.4 | Konten ohne Anmeldung seit 90 Tagen auslesen und fünf Austritte auf zeitnahe Deaktivierung prüfen. | Liste inaktiver Konten, Austrittsmeldungen, Deaktivierungszeitpunkte |
| 7 | Dienstkonten haben Verantwortliche, nur notwendige Rechte und starke, gewechselte oder verwaltete Kennwörter. | ISO/IEC 27001:2022 Anhang A 5.17; BSI APP.2.2 | Dienstkonten auslesen, privilegierte Dienstkonten markieren und Alter der Kennwörter sowie Verantwortliche prüfen. | Liste der Dienstkonten mit Verantwortlichen, Kennwortalter, Rechte |
| 8 | Kennwortregeln sind angemessen, und veraltete Anmeldeprotokolle und Verschlüsselungsverfahren sind abgeschaltet. | ISO/IEC 27001:2022 Anhang A 8.5; BSI APP.2.2 | Kennwortrichtlinien und Einstellungen zu veralteten Protokollen auslesen; Ergebnisse eines Prüfwerkzeugs für Verzeichnisdienste ansehen. | Richtlinienauszug, Bericht des Prüfwerkzeugs |
| 9 | Der Server für die Synchronisation zwischen lokalem Verzeichnis und Entra ID ist wie ein Domänencontroller geschützt. | ISO/IEC 27001:2022 Anhang A 8.2 | Administration, Netzzugang und Berechtigungen des Synchronisationsservers und seiner Dienstkonten prüfen. | Systemdokumentation, Mitglieder der lokalen Administratoren, Rechte des Synchronisationskontos |
| 10 | Gastkonten und externe Identitäten werden genehmigt, befristet und regelmäßig überprüft. | ISO/IEC 27001:2022 Anhang A 5.16 | Gastkonten auslesen, älteste und inaktive Gäste markieren und den Überprüfungsprozess nachvollziehen. | Liste der Gastkonten, Einstellungen für Einladungen, Überprüfungsnachweise |
| 11 | Anwendungsregistrierungen und erteilte Einwilligungen werden kontrolliert; Nutzer können Anwendungen keine weitreichenden Rechte erteilen. | ISO/IEC 27001:2022 Anhang A 5.18 | Einstellungen zur Einwilligung durch Nutzer prüfen und Anwendungen mit hohen Berechtigungen auflisten. | Einwilligungseinstellungen, Liste der Anwendungen mit Berechtigungen |
| 12 | Anmeldungen und Änderungen an Verzeichnisobjekten werden protokolliert, zentral ausgewertet und bei Auffälligkeiten alarmiert. | ISO/IEC 27001:2022 Anhang A 8.15 und 8.16; BSI APP.2.2 | Überwachungsregeln für Änderungen an privilegierten Gruppen ansehen und einen Alarm nachvollziehen. | Überwachungsrichtlinie, Regelkatalog, Alarmbeispiel |
| 13 | Eine Wiederherstellung des Verzeichnisdienstes nach Kompromittierung ist geplant, gesichert und getestet. | ISO/IEC 27001:2022 Anhang A 8.13; BSI APP.2.2 | Wiederherstellungsplan lesen, Sicherungen der Domänencontroller prüfen und den letzten Wiederherstellungstest ansehen. | Wiederherstellungsplan, Sicherungsnachweise, Testprotokoll |
Unterlagen zur Anforderung
- Betriebskonzept der Verzeichnisdienste und Administrationsmodell
- Auslesung privilegierter Gruppen und Entra-Rollen
- Export der Regeln für bedingten Zugriff mit Ausnahmen
- Regelung zu Notfallzugangskonten
- Liste der Dienstkonten mit Verantwortlichen
- Liste der Gastkonten und Anwendungen mit Berechtigungen
- Bericht eines Prüfwerkzeugs für Verzeichnisdienste
- Wiederherstellungsplan und Testprotokoll
Typische Feststellungen
- Domänenadministratoren melden sich an normalen Arbeitsplätzen an.
- Hochprivilegierte Gruppen enthalten Dienstkonten und ausgeschiedene Mitarbeitende.
- Ausnahmen vom zweiten Faktor sind breit gefasst und nicht befristet.
- Dienstkonten haben seit Jahren unveränderte Kennwörter und Administratorrechte.
- Gastkonten bleiben nach Projektende aktiv.
- Eine Wiederherstellung des Verzeichnisdienstes wurde nie geübt.
Hinweis zu Fundstellen
Die Fundstellen verweisen auf Gesetze, Verordnungen und Standards, damit Sie die Anforderung im Original nachlesen können. Normtexte sind nicht abgedruckt. Kriterien und Prüfhandlungen sind eigene Formulierungen und ersetzen weder den Wortlaut der Vorschriften noch eine Rechtsberatung. Ob und in welchem Umfang eine Vorschrift für Ihre Organisation gilt, klären Sie vor der Prüfung.
Das vollständige Paket
Dieses Muster zeigt Ziel, Prüfzeilen und Unterlagen auf einer Seite. Zu Ihrem konkreten Prüfthema erstellt ProAuditMap das vollständige Paket: Prüfungsplan, Prüfprogramm je Prüfdimension, Unterlagenkatalog, Interviewleitfäden, Zeitplan, Kommunikation und Berichtsvorlage. Sie prüfen den Entwurf, geben ihn frei und exportieren nach Excel und Word.
Konto anlegen Vollständiges Beispielpaket ansehen Preise ansehen