Windows Server 2025 bekam eine neue Funktion. Angreifer bekamen SYSTEM

Ein Angriff, der nicht sterben will

Relay-Angriffe, bei denen sich der Angreifer als Mittelsmann positioniert, gehören zu den häufigsten Vektoren, die wir sowohl bei eigenen Pentests als auch bei aufsehenerregenden Einbrüchen und Ransomware-Fällen sehen. In einem typischen Netzwerk findet sich immer irgendein Rechner, Dienst oder Nutzer, den man dazu bringen kann, seinen Authentifizierungsverkehr über die Maschine des Angreifers zu leiten. Von dort ist es ein kurzer Schritt zur Rechteausweitung und zur seitlichen Bewegung im Netzwerk.

Manchmal hat es der Angreifer allerdings schwerer. Wenig Verkehr, eine Handvoll Dienste, buchstäblich ein paar Nutzer im Netz und niemand, an den sich die abgefangene Authentifizierung zurückschicken ließe. Dann kommt NTLM-Reflection ins Spiel: das Zurücklenken der Authentifizierung an dieselbe Maschine, von der sie ausging. Ein Relay auf sich selbst. Wenn kein anderes Ziel zur Hand ist, ist das einer der einfacheren Wege hinein.

Windows kennt dieses Problem seit 2008, als das Bulletin MS08-068 die klassische Variante von SMB zu SMB blockierte. Fast zwei Jahrzehnte lang patchte Microsoft eine Variante nach der anderen, und die Branche verkündete alle paar Jahre, Reflection sei endgültig tot. Jedes Mal kam es in neuer Verkleidung zurück.

Im Juni 2025 zeigten Forscher von Synacktiv (mit Beiträgen weiterer Teams), dass ein geschickt präparierter DNS-Name genügt, um das System zu täuschen und eine lokale Authentifizierung zu erzwingen. Das war CVE-2025-33073. Der Mechanismus heißt CMTI, also CredMarshalTargetInfo: An den Zielnamen werden zusätzliche Daten angehängt, die LSASS erst ganz am Ende abschneidet, sodass die Authentifizierung für einen anderen Namen erzeugt wird, als es scheint. Diese Schwachstelle steht seit Oktober 2025 im Katalog Known Exploited Vulnerabilities der CISA, mit einer Frist zur Behebung für Bundesbehörden zum 10. November. Keine akademische Kuriosität, sondern etwas, das in echten Einbrüchen genutzt wird.

Warum ein Patch nicht genügte

Microsofts Fix vom Juni 2025 änderte den Treiber mrxsmb.sys so, dass er Verbindungen zu Namen mit angehängten Daten ablehnt. Er schloss einen konkreten Pfad. An der Ursache rührte er nicht.

Synacktiv fiel das sofort auf. Aus ihrer Sicht behandelte der Patch das Symptom: Er entfernte einen Trick, nicht die grundsätzliche Möglichkeit, dass sich Windows-Komponenten dazu bringen lassen, lokale Authentifizierung zurückzulenken. Das Team um Guillaume André kehrte zum Thema zurück und veröffentlichte im April 2026 eine zweiteilige Untersuchung, in der es eine Umgehung des Patches sowie zwei neue Schwachstellen beschreibt. Die erste davon ist CVE-2026-24294. Der Titel ihres Vortrags auf der Black Hat Asia 2026 trifft die Lage gut: „das Geschenk, das immer weiter schenkt“.

Für einen Verteidiger folgt daraus eine Erkenntnis. Ein Update zu installieren und das Risiko zu verstehen sind zwei verschiedene Dinge. Ein enger Patch schließt den gemeldeten Exploit, lässt aber eine ganze Klasse von Verhalten unberührt, und dann erscheint das nächste CVE zur selben Sache.

Der Vektor: beliebiger TCP-Port und SMB-Multiplexing

In Windows 11 24H2 und Windows Server 2025 kam die Möglichkeit hinzu, eine SMB-Freigabe auf einem beliebigen TCP-Port einzubinden, nicht nur auf dem klassischen 445. Das geschieht mit dem Parameter /tcpport. Die Funktion selbst ist sinnvoll, denn sie schafft Flexibilität bei ungewöhnlichen Bereitstellungen. Das Problem liegt nicht in ihr. Das Problem ist, was ein alter Angriff damit anstellen kann.

Der Mechanismus ist kurz. Der Angreifer stellt einen lokalen SMB-Server auf einem nicht standardmäßigen Port bereit und bindet die Freigabe ein, was eine dauerhafte TCP-Verbindung öffnet:

net use \\127.0.0.1\share /tcpport:12345

Dann bringt er einen privilegierten Prozess dazu (LSASS läuft als SYSTEM), nach demselben UNC-Pfad zu greifen. Weil die TCP-Verbindung bereits besteht, nutzt Windows sie lieber erneut, statt eine neue aufzubauen. Die privilegierte NTLM-Sitzung läuft über den Transport des Angreifers und wird an den echten SMB-Dienst auf Port 445 zurückgelenkt. Das Ergebnis: eine Sitzung mit SYSTEM-Rechten.

NTLM-Reflection ist nicht gestorben. Es hat nur den Transport gewechselt.

Was das über einen Server hinaus bedeutet

SYSTEM auf einer einzelnen Maschine ist schon ein schlechter Tag. Doch dabei bleibt es selten.

Hat der übernommene Server uneingeschränkte Delegierung (Unconstrained Delegation) aktiviert, kann der Angreifer die Authentifizierung eines Domänencontrollers erzwingen. Im LSASS-Speicher landet dann das TGT des Computerkontos des DC. Von dort ist es ein direkter Weg zu DCSync und zur Übernahme der gesamten Active-Directory-Domäne. Ein Sprung vom lokalen Nutzer zum Domänenadministrator. Diese Konsequenz lohnt es sich der Geschäftsleitung zu zeigen, bevor die Frage „aber wir haben doch alles gepatcht“ zurückkommt.

Wer wirklich im Visier steht

Windows Server 2025 in der Standardkonfiguration, in der SMB-Signierung nicht erzwungen ist, ist das kritische Szenario. Der beschriebene Pfad funktioniert und führt direkt zu SYSTEM.

Windows 11 24H2 erzwingt standardmäßig ausgehende SMB-Signierung, was dieses konkrete Relay blockiert. Und hier zeigt sich die Falle des Wortes „standardmäßig“. Neue Systeme kommen mit sinnvollen Einstellungen: erforderliche SMB-Signierung, Channel Binding für LDAP, EPA beim ADCS-Web-Enrollment, NTLMv1 deaktiviert. Auf einem vollständig gepatchten Server 2025 ist die klassische Relay-Kette blockiert.

Das Problem ist, dass fast niemand eine vollständig einheitliche Umgebung hat. Ein Domänencontroller auf Server 2019, den niemand aktualisiert hat, genügt. Ein ADCS-Server ohne aktiviertes EPA genügt. Der Angriff geht nicht nach dem stärksten Glied, sondern nach dem schwächsten, und in gemischter Infrastruktur findet sich immer eines. Hinzu kommt die ganze Familie von Koerzitionstechniken, die der Angreifer zur Hand hat: PetitPotam (über MS-EFSRPC), PrinterBug über den Druckdienst, DFSCoerce, ShadowCoerce. Ein Teil davon funktioniert ohne Authentifizierung auf einem Standard-Server 2019 oder 2022. Und wenn Sie SMB-Signierung erzwingen, bleibt noch die Koerzition über WebDAV, die diesen ganzen Schutz umgeht, weil sie auf Dienste über HTTP zielt.

Wie man sich schützt

Klassisches Antivirus und EDR haben damit ein Problem, denn der gesamte Angriff besteht aus gültigen net use-Befehlen und protokollkonformem SMB-Verkehr. Es gibt keine bösartige Datei zu erkennen. Die Erkennung muss auf Verhalten schauen, nicht auf Signaturen: ungewöhnlicher SMB-Verkehr auf hohe Ports, SMB-Authentifizierungen von Prozessen, die sie nicht erzeugen sollten, Koerzitionssequenzen in der Netzwerktelemetrie.

Auf der Konfigurationsseite sollten Sie das in Schichten angehen, denn keine einzelne Option schließt alle Pfade.

Sofort erledigen:

• Spielen Sie die Patches für CVE-2026-24294 (März 2026) und das frühere CVE-2025-33073 (Juni 2025) ein, mit besonderer Priorität für Windows Server 2025.
• Aktivieren Sie das NTLM-Auditing. Die Werkzeuge sind seit Ende 2025 in 24H2 und Server 2025 verfügbar und zeigen, wo NTLM tatsächlich noch arbeitet. Sie beheben nicht, was Sie nicht sehen.
• Erzwingen Sie SMB-Signierung auf Servern und Clients, nicht nur auf Domänencontrollern. Das ist eine Barriere auf Protokollebene. Den Zustand prüfen Sie mit Get-SmbServerConfiguration | Select RequireSecuritySignature und erzwingen ihn mit Set-SmbServerConfiguration -RequireSecuritySignature $true.

Die tiefere Schicht, denn der Angreifer sucht ohnehin nach einem Weg daran vorbei:

• Erzwingen Sie Signierung und Channel Binding für LDAP auf Domänencontrollern (LdapEnforceChannelBinding auf 2 gesetzt), um das Relay zu LDAP zu schließen.
• Aktivieren Sie EPA beim ADCS-Web-Enrollment. Das ist ein direkter Schutz vor einem Relay zum Zertifikatsdienst (dem ESC8-Pfad), den SMB-Signierung allein nicht abfängt.
• Kappen Sie die Koerzitionsvektoren: deaktivieren Sie den Druckdienst dort, wo er nicht gebraucht wird, setzen Sie RPC-Filter ein (netsh rpc filter), die entfernte Aufrufe gefährlicher Schnittstellen einschränken, deaktivieren Sie LLMNR und NBT-NS.
• Schränken Sie ein, dass SMB-Verbindungen auf anderen Ports als 445 aufgebaut werden können, und überwachen Sie die Nutzung von net use und New-SmbMapping auf ungewöhnlichen Ports.

Denken Sie an den Zeitfaktor. Sobald ein öffentlicher PoC existiert (und für CVE-2026-24294 existiert er), wird das Fenster zwischen Offenlegung und Ausnutzungsversuchen kurz. Das ist kein Fix für „das nächste Wartungsfenster in einem Quartal“.

Die echte Lösung ist strategisch

Hier kommen wir zum Kern. NTLM ist ein Protokoll aus dem Jahr 1993, entworfen für eine Welt einzelner Arbeitsplätze und einfacher Arbeitsgruppen. Microsoft hat es 2024 offiziell für veraltet erklärt und sagt selbst klar, dass ein Teil seiner Schwächen nicht zu patchen ist, weil er in der Konstruktion selbst steckt. Reflection, Pass-the-Hash und Relay sind keine getrennten Fehler. Es sind Symptome desselben alternden Mechanismus.

Deshalb hat Microsoft das Auslaufen von NTLM in drei Phasen aufgesetzt. Phase eins ist Audit und Sichtbarkeit, schon jetzt in 24H2 und Server 2025 verfügbar. Phase zwei, geplant für die zweite Hälfte 2026, ergänzt IAKerb und einen lokalen KDC, also Funktionen, die die häufigsten Gründe beseitigen, aus denen Systeme überhaupt zu NTLM greifen (keine Verbindung zum Domänencontroller, lokale Konten). Phase drei, mit dem nächsten großen Release von Windows Server, deaktiviert das Netzwerk-NTLM standardmäßig. Das Protokoll bleibt als bewusst aktivierbare Option im System, aber das Sicherheitsnetz verschwindet.

Für die Geschäftsleitung läuft es auf einen Satz hinaus: Ein NTLM-CVE nach dem anderen zu patchen ist Brandbekämpfung, und das Ziel ist der Wechsel zu Kerberos. Die Zeit zwischen jetzt und dieser standardmäßigen Abschaltung ist das Fenster, um Abhängigkeiten zu erfassen und zu migrieren, bevor ein anderes System oder ein anderer Angreifer es für Sie tut.

Zum Schluss

Das Unangenehmste an dieser Schwachstelle ist, dass sie vom Angreifer nichts Ausgeklügeltes verlangt. Ehrlich gesagt: Bei internen Tests mögen wir Primitive dieser Art, denn es ist ein sauberer, einstufiger Weg zu SYSTEM, und von dort meist ein kurzer Sprung zur ganzen Domäne. Genau deshalb lohnt es sich, dass jemand das bei Ihnen prüft, bevor es jemand weniger Wohlgesinnter tut.

Die Frage lautet: Ist auf Ihren 2025-Servern die SMB-Signierung wirklich erzwungen oder nur „für später geplant“? Und wissen Sie, wie viel in Ihrem Netzwerk noch NTLM spricht?