NTLM-Relay-Angriff: Wie ein Windows-Default Ihr Netzwerk öffnet

Inhalt in Kürze

• NTLM ist ab Werk aktiv und stammt aus den Neunzigerjahren. Beim NTLM-Relay-Angriff braucht der Angreifer kein Passwort — er fängt eine laufende Anmeldung ab und leitet sie weiter.
• Microsoft führt NTLM seit Juni 2024 offiziell als veraltet (deprecated) und hat Ende Januar 2026 einen Plan vorgelegt, NTLM im Netzwerk standardmäßig abzuschalten. Empfohlener Nachfolger ist Kerberos.
• Die gefährlichen Defaults: fehlende SMB-Signierung, kein LDAP-Channel-Binding und exponierte Active Directory Certificate Services (Stichwort PetitPotam).
• Härtung ist machbar — aber nur kontrolliert und getestet. Managed IT prüft die AD-Konfiguration regelmäßig und schließt diese Lücken, bevor sie ausgenutzt werden.

Ihr Netzwerk hat ein Sicherheitsrisiko, das Sie nie aktiviert haben — weil es ab Werk an war. NTLM ist ein Anmeldeverfahren aus den Neunzigerjahren, das Microsoft aus Kompatibilitätsgründen bis heute mitliefert und das in vielen Windows-Umgebungen standardmäßig läuft. Beim NTLM-Relay-Angriff (oft auch ohne Bindestriche als NTLM Relay Angriff gesucht) braucht der Angreifer Ihr Passwort gar nicht. Genau diese unscheinbaren Standardeinstellungen sind der Grund, warum sich ein Angreifer einmal im Netz oft erstaunlich schnell bis zum Domänencontroller vorarbeitet. Dieser Artikel erklärt — übersetzt für Entscheider, nicht als Admin-Tutorial —, wie das funktioniert und wie Sie die Lücke schließen.

Was ist NTLM-Authentifizierung und warum ist sie bis heute aktiv?

NTLM (NT LAN Manager, ausgeschrieben New Technology LAN Manager) ist ein altes Microsoft-Authentifizierungsverfahren, das Kerberos eigentlich ablösen sollte. Es bestätigt über einen Challenge-Response-Mechanismus, dass ein Benutzer wirklich der ist, der er vorgibt zu sein. Das moderne Authentifizierungsprotokoll im Active Directory ist seit Jahren Kerberos — doch die NTLM-Authentifizierung ist aus Kompatibilitätsgründen in vielen Unternehmensnetzwerken weiterhin per Default aktiv.

Der Unterschied zu modernen Authentifizierungsprotokollen ist entscheidend: Kerberos nutzt für die Netzwerkauthentifizierung ein zentral ausgestelltes Ticket Granting Ticket, das nicht einfach weitergereicht werden kann. NTLM dagegen ist genau hier anfällig — die Anmeldung lässt sich abfangen und an einen anderen Dienst weiterleiten. Genau dieser Konstruktionsfehler macht NTLM zur Schwachstelle, über die ein Angreifer unbefugten Zugriff erlangt, ohne ein einziges Passwort zu kompromittieren.

Microsoft führt NTLM seit Juni 2024 in der Liste veralteter Windows-Funktionen. NTLMv1 ist ab Windows 11 24H2 und Windows Server 2025 entfernt. Ende Januar 2026 hat Microsoft einen Drei-Stufen-Plan nachgelegt: erst eine bessere Protokollierung, in der zweiten Jahreshälfte 2026 Ersatzfunktionen für Fälle, in denen Windows heute noch auf NTLM ausweicht, danach NTLM im Netzwerk standardmäßig aus — mit der nächsten großen Windows-Server-Version. Einen Termin dafür nennt Microsoft nicht. Das berichtet borncity zum NTLM-Abschaltplan. Der empfohlene Nachfolger ist Kerberos. „Deprecated” heißt aber nicht „abgeschaltet”: In Ihrem Netz läuft NTLM heute mit hoher Wahrscheinlichkeit weiter.

Am Leben halten es Legacy-Software, ältere Geräte und gewohnte Fileserver-Zugriffe. Wo eine Anwendung Kerberos nicht beherrscht, fallen Clients still auf NTLM zurück. Für die Bestandsumgebung im Mittelstand heißt das: Solange niemand die NTLM-Nutzung aktiv auditiert, weiß kaum jemand, wo das Protokoll überhaupt noch verwendet wird — und genau diese blinden Flecken sind der Hebel für einen Angreifer.

Wie ein NTLM-Relay-Angriff im KMU-Netz abläuft

Schritt für Schritt erklärt

Ein NTLM-Relay-Angriff setzt voraus, dass der Angreifer bereits im Netz steht — etwa über eine Phishing-Mail oder ein kompromittiertes Gerät. Von dort aus läuft der Angriff in vier Stufen ab:

1. Position im Netz. Der Angreifer hat über ein bösartiges Gerät oder einen geöffneten Anhang einen Fuß in der Tür — noch ohne Adminrechte, aber mit Sicht auf den Netzwerkverkehr.
2. Authentifizierung abfangen oder erzwingen. Er fängt eine laufende Anmeldung ab (etwa per ARP-Poisoning) oder erzwingt sie aktiv (Coercion, z. B. PetitPotam), sodass ein Server sich gegenüber dem Angreifer authentifiziert.
3. Anmeldung weiterleiten (das Relay). Die abgefangenen Anmeldeinformationen werden in Echtzeit an einen anderen Server weitergeleitet — etwa an einen Domänencontroller oder die AD CS.
4. Zielserver gewährt Zugriff. Der Zielserver verarbeitet die Anfrage, als käme sie vom echten Benutzer, und gewährt dessen Rechte.

Warum kein Passwort nötig ist

Der NTLM-Relay-Angriff missbraucht die laufende Anmeldung, nicht das Passwort selbst. Der Angreifer muss keine Anmeldedaten knacken und auch keine NTLM-Hashes aus dem Speicher auslesen — er reicht eine gültige Authentifizierung einfach an die falsche Adresse weiter. Trifft er dabei einen Server- oder Admin-Account, erbt er dessen Berechtigungen.

Von diesem Punkt an beginnt die laterale Ausbreitung Richtung Domänencontroller und Active Directory. Was als kompromittierter Arbeitsplatz begann, wird so binnen kurzer Zeit zur Übernahme der gesamten Domäne. Bei einem NTLM-Relay-Angriff fängt der Angreifer eine Authentifizierung ab, leitet die Anmeldung an einen anderen Server weiter, und der Zielserver verarbeitet die Anfrage so, als ob sie vom legitimen Client käme — die an erster Stelle empfohlene Gegenmaßnahme ist deshalb, die SMB-Signierung zu erzwingen. Diesen Ablauf und die Abwehrlogik beschreibt unter anderem Semperis zur Verteidigung gegen NTLM-Relay-Angriffe.

Die gefährlichen Defaults und NTLM-Schwachstellen im Detail

Ein NTLM-Relay-Angriff funktioniert nur, weil bestimmte Schutzmechanismen in vielen Bestandsumgebungen nicht aktiv sind. Diese Defaults sind die eigentlichen NTLM-Schwachstellen, die ein Netzwerk angreifbar machen:

• SMB-Signierung ist nicht erzwungen. Ohne erzwungene Signierung kann ein abgefangenes SMB-Paket unbemerkt weitergeleitet werden. Genau das macht das Relay erst möglich.
• LDAP Channel Binding und LDAP-Signing fehlen. Sind sie nicht aktiv, lässt sich eine Anmeldung auch gegen den Verzeichnisdienst weiterleiten — der Domain Controller bleibt offen.
• AD CS ohne Extended Protection. Die Microsoft Active Directory Certificate Services laufen über die Webregistrierung der Internet Information Services (IIS) per Hypertext Transfer Protocol und sind ohne EPA besonders anfällig. Wird die Anmeldung dorthin weitergeleitet, fordert der Angreifer im Namen des Opfers ein digitales Zertifikat an — der Angriffsweg, der als PetitPotam bekannt wurde.

PetitPotam (manchmal auch „Petit Potam” geschrieben) ist dabei das bekannteste Beispiel: ein klassischer NTLM-Relay-Angriff, bei dem ein AD-CS-Server zur Zielscheibe wird. Microsoft empfiehlt zur Abwehr, Extended Protection for Authentication zu aktivieren, die NTLM Authentication auf allen AD CS-Servern in Ihrer Domäne abzusichern und nur HTTPS-Verbindungen zuzulassen. Praktisch heißt das, NTLM auf allen AD CS-Servern hinter EPA zu zwingen, sodass eine weitergeleitete Anmeldung dort nicht mehr akzeptiert wird. Die konkreten Schritte stehen in der Microsoft-Anleitung KB5005413 zur Abwehr von NTLM-Relayangriffen auf AD CS. Wer seine AD-CS-Server hier nicht patchen lässt und korrekt konfiguriert, lässt eine bekannte Lücke offen stehen. Der Schutz vor NTLM-Relay-Angriffen besteht also aus mehreren Bausteinen, die zusammenwirken müssen.

Wie Sie die Lücke schließen (Härtung)

Die gute Nachricht: Die Maßnahmen gegen einen NTLM-Relay-Angriff sind bekannt und mit Windows-Bordmitteln umsetzbar. Microsoft hat im Dezember 2024 erweiterte Maßnahmen angekündigt — Extended Protection for Authentication wird als Standardabwehr über mehrere Dienste eingeführt, und LDAP-Channel-Binding ist in Windows Server 2025 standardmäßig aktiviert. Das berichtet heise zu Microsofts Maßnahmen gegen NTLM-Relay-Angriffe. Dazu kommt die SMB-Signierung: Laut Microsoft-Dokumentation zur SMB-Signierung verlangen Windows 11 24H2 Pro, Enterprise und Education sie ab Werk für ausgehende und eingehende Verbindungen. Windows Server 2025 verlangt sie nur für ausgehende. Ein Dateiserver erzwingt die Signierung für eingehende Verbindungen also nicht von sich aus, auch unter Windows Server 2025 nicht.

Für Bestandsumgebungen heißt das: Was bei einem neuen System ab Werk passt, müssen Sie auf bestehenden Servern aktiv nachziehen.

Auf Protokoll-Ebene

Die erste Verteidigungslinie liegt bei den Protokollen selbst. Hier setzt die Härtung an, bevor man überhaupt über das Deaktivieren von NTLM nachdenkt:

• SMB-Signierung erzwingen. So lassen sich abgefangene Pakete nicht mehr weiterreichen — die wirksamste Einzelmaßnahme gegen das Relay.
• LDAP-Signing und LDAP Channel Binding aktivieren. Damit ist auch der Verzeichnisdienst gegen weitergeleitete Anmeldungen geschützt.
• Extended Protection for Authentication (EPA) einschalten — für AD CS, LDAP und Exchange.
• AD CS auf HTTPS umstellen. Das bedeutet, HTTP auf den AD CS-Servern zu deaktivieren — gemäß Microsoft KB5005413 — und EPA für die Webregistrierung auf „Required" zu setzen.

Wichtig ist, diese Einstellungen zentral über ein Group Policy Object zu konfigurieren statt Server für Server von Hand. So bleibt der Zustand nachvollziehbar und lässt sich später bei der Erkennung von Abweichungen überprüfen.

NTLM zurückdrängen

Parallel geht es darum, die Abhängigkeit von NTLM Schritt für Schritt zu senken. Das Ziel ist nicht der Knopfdruck, sondern der kontrollierte Rückbau:

• NTLM-Nutzung auditieren. Per Gruppenrichtlinie protokollieren, wo NTLM überhaupt noch verwendet wird — das ist die Voraussetzung für jeden weiteren Schritt. Ein Netzwerk-Scan-Tool wie Nmap hilft dabei, exponierte Dienste sichtbar zu machen.
• NTLMv2 erzwingen und schwächere Varianten abschalten, bevor man weitergeht.
• NTLM Schritt für Schritt einschränken. Deaktivieren Sie die NTLM-Authentifizierung dort, wo kein Dienst sie mehr braucht — auf den Domänencontrollern beginnend — und bereiten Sie die Migration Richtung Kerberos vor.
• Netzwerk segmentieren, um die laterale Ausbreitung ausgehend von einem kompromittierten Gerät zu bremsen, falls ein Angreifer doch einmal Fuß fasst.

Wie viel ein konsequent geschütztes Netz ausmacht, sehen wir in der Praxis regelmäßig — auch jenseits des reinen Protokoll-Tunings:

Das Zwiebelprinzip in der IT-Sicherheit erfordert mehrere Schichten an Schutzmechanismen.

Philip KraatzGeschäftsführer, hagel IT-Services GmbH

Vor dem vollständigen Abschalten von NTLM empfiehlt es sich, zunächst NTLMv2 zu erzwingen und eine Bestandsaufnahme der NTLM-Nutzung durchzuführen, da sonst Anwendungen und Dienste ausfallen können. Wer hier abkürzt, tauscht ein Sicherheitsrisiko gegen einen Betriebsausfall — beides will niemand. Eine strukturierte Trennung der Netzbereiche unterstützt zusätzlich; die Grundlagen dazu erklären wir in unserem Beitrag zu Netzwerksegmentierung und -isolation.

Diese Übersicht zeigt die zentralen Stellschrauben. Welche davon bei Ihnen offen sind, entscheidet am Ende der Blick in Ihre konkrete AD-Konfiguration — die Tabelle sortiert nur, wo das Risiko sitzt.

Warum Managed IT solche Defaults proaktiv schließt

Standardeinstellungen sind auf Kompatibilität ausgelegt, nicht auf maximale Sicherheit — und genau das ist der Kern des Problems. Niemand hat NTLM bewusst eingeschaltet; es ist einfach nie ausgeschaltet worden. Die Sicherheitsrisiken von NTLM in Unternehmensnetzwerken bleiben so jahrelang unbemerkt im Hintergrund. Härtung braucht deshalb eine Bestandsaufnahme, Tests und ein kontrolliertes Ausrollen, sonst gehen Anwendungen kaputt. Man kann eben nicht einfach am Montag „deaktivieren Sie NTLM” auf die Aufgabenliste schreiben — NTLM einschränken ist ein Prozess. Das ist kein Projekt für einen Nachmittag, sondern eine Aufgabe, die regelmäßig auf den Tisch gehört.

Genau hier liegt der Unterschied zwischen reaktiver und proaktiver IT. Managed IT prüft die Active-Directory- und Server-Konfiguration regelmäßig, erkennt offene Defaults wie fehlende SMB-Signierung oder ungesicherte AD CS und schließt sie, bevor sie ausgenutzt werden. Wie wir den laufenden Schutz organisieren, zeigt unser Überblick zur Netzwerksicherheit für Unternehmen. Ein zweiter wirksamer Hebel auf den Endgeräten: konsequent ohne Admin-Rechte auf den PCs zu arbeiten, damit ein kompromittiertes Gerät dem Angreifer möglichst wenig Spielraum lässt.

Aus der Praxis

Die unangenehme Wahrheit: NTLM läuft im Hintergrund, ohne dass es jemand bemerkt. Das Protokoll ist unsichtbar, bis ein Angreifer es benutzt. Genau deshalb beginnt eine ehrliche Härtung nicht mit Technik, sondern mit einer nüchternen Bestandsaufnahme.

Wir starten jede Zusammenarbeit mit einer Cyber-Risikoanalyse gemeinsam mit der Geschäftsführung. Nicht um Angst zu machen, sondern um ehrlich zu sehen, wo Sie stehen — und was als Erstes passieren muss.

Jens HagelGründer, hagel IT-Services GmbH

Wie real die Folgen sind, zeigt das BKA-Bundeslagebild Cybercrime 2025: 1.041 angezeigte Ransomware-Angriffe, nach 950 im Vorjahr. Um ein ganzes Netz zu verschlüsseln, brauchen Täter weitreichende Rechte. Ein gelungener Relay auf einen Domänencontroller oder die AD CS kann sie liefern.

Dass auch der Mittelstand betroffen ist, zeigen die Gespräche mit Neukunden immer wieder:

Wenn Sie tiefer einsteigen wollen, wie ein modernes Verzeichnis aufgebaut wird, lohnt unser Vergleich von Azure AD und lokaler AD für moderne IT-Infrastrukturen sowie unser Beitrag zum Windows Server im Mittelstand mit Microsoft-Partner. Und weil viele Angriffe genau über das Einfallstor Mensch beginnen, hilft unser Leitfaden zum Thema Phishing erkennen und Social Engineering abwehren.

Ihr nächster Schritt

Ein NTLM-Relay-Angriff ist kein theoretisches Restrisiko, sondern eine direkte Folge von Defaults, die in Bestandsnetzen unbemerkt mitlaufen. Die Lücke lässt sich schließen — aber nur kontrolliert, getestet und ohne den laufenden Betrieb zu sprengen. Das ist genau die Art Arbeit, die im Tagesgeschäft liegen bleibt, bis es zu spät ist.

Wir nehmen die Active-Directory- und Server-Konfiguration auf, prüfen gefährliche Defaults wie fehlende SMB-Signierung und offenes NTLM und schließen die Lücken Schritt für Schritt — für Unternehmen mit 5 bis 150 Mitarbeitern in Hamburg, Bremen, Kiel und Lübeck. Wie wir das im Rahmen laufender Betreuung absichern, zeigt unser Managed IT Services-Angebot ab rund 50 Euro pro Arbeitsplatz und Monat. Sie haben bereits eine eigene IT und brauchen nur Verstärkung bei der Härtung? Dann ist unser Co-Managed IT-Modell der richtige Weg. Den Gesamtüberblick über unsere Arbeit als IT-Dienstleister in Hamburg finden Sie auf der Standortseite.