← Zurück zur Übersicht
Protokolle

LDAP & AD

Verzeichnisdienste & Active Directory

LDAPActive DirectoryADVerzeichnisDNAuthentifizierung

LDAP (Lightweight Directory Access Protocol) ist das Protokoll für Verzeichnisdienste. Microsoft Active Directory basiert darauf und ist der Standard für Benutzerverwaltung und Authentifizierung in Windows-Unternehmensumgebungen.

Rootdc=example,dc=comou=UsersOrganizational Unitou=ComputersOrganizational Unitcn=ThomasDN: cn=Thomas,ou=Userscn=AdminsGruppecn=PC001Computer-Objektcn=PC002Computer-ObjektActive Directory DiensteKerberos · DNS · LDAP · SYSVOL/GPO · ReplicationLDAP Port 389 · LDAPS Port 636 (TLS)

Entstehung und Beteiligte

LDAP wurde Anfang der 1990er-Jahre von Tim Howes, Steve Kille und Wengyik Yeong entwickelt. Es vereinfachte den Zugriff auf das schwere X.500-Verzeichnisprotokoll. Microsoft Active Directory erschien mit Windows 2000 und kombinierte LDAP mit Kerberos, DNS und eigener Replikation.

Welches Problem sollte gelöst werden?

Organisationen wollten Personen, Gruppen, Geräte und Dienste in einem hierarchischen Verzeichnis suchen und zentral verwalten. X.500 war für normale TCP/IP-Clients zu aufwendig.

Technische Hürden und Lösungen

Schema, eindeutige Distinguished Names, Replikation, Zugriffsrechte und konsistente Änderungen sind anspruchsvoll. LDAP ist nur das Zugriffsprotokoll; Active Directory ergänzt viele Dienste. Unverschlüsseltes Simple Bind kann Kennwörter offenlegen.

Standardisierung und Einordnung

Internetprotokolle werden überwiegend in offenen RFC-Dokumenten beschrieben. Ein RFC kann ein historischer Vorschlag, ein aktueller Standard oder inzwischen überholt sein. Implementierungen müssen nicht nur das Papier befolgen, sondern mit fehlerhaften Gegenstellen, Paketverlust, Zeitüberschreitungen, Sicherheitsangriffen und jahrzehntealten Erweiterungen umgehen. Interoperabilität entsteht dadurch, dass unabhängige Hersteller dieselben Zustandsautomaten, Nachrichtenformate und Fehlerfälle testen.

Technik im praktischen Betrieb

Für den produktiven Einsatz zählt die konkrete Protokollversion. Alte und neue Varianten können denselben Port verwenden, besitzen aber völlig unterschiedliche Sicherheits- und Funktionsmerkmale. Administratoren sollten daher Aushandlung, Zertifikate, Timeouts, maximale Nachrichtengrößen und Fehlercodes sichtbar machen. Proxys, NAT und Firewalls verändern häufig den Datenpfad. Gute Tests erfolgen aus derselben Netzposition wie die betroffene Anwendung und prüfen nicht nur einen offenen Port, sondern einen vollständigen gültigen Vorgang.

Warum das Thema heute noch relevant ist

Die ursprüngliche Entstehungszeit erklärt viele heutige Sicherheitslücken: Frühe Internetgemeinschaften waren klein und Vertrauen wurde vorausgesetzt. Authentifizierung, Verschlüsselung und Missbrauchsschutz kamen oft erst später als Erweiterung hinzu. Moderne Implementierungen müssen deshalb sichere Voreinstellungen verwenden, alte Varianten abschalten und dennoch mit Gegenstellen kommunizieren, die einen älteren Stand besitzen. Versionsnummer, Aushandlung und tatsächlich aktive Option sind aussagekräftiger als der bloße Protokollname.

Daten und Meilensteine

  • 1993: frühe LDAP-Spezifikation.
  • LDAPv3 wurde 1997 standardisiert.
  • TCP 389 dient LDAP, 636 traditionell LDAPS.
  • Active Directory nutzt LDAP, ist aber nicht mit LDAP allein gleichzusetzen.

Was ist LDAP?

LDAP (Lightweight Directory Access Protocol, RFC 4511) ist ein Protokoll für den Zugriff auf hierarchische Verzeichnisdienste. Ein Verzeichnisdienst ist wie ein Telefonbuch: optimiert für häufiges Lesen, seltenes Schreiben.

Die Datenstruktur ist ein Baum (DIT – Directory Information Tree). Jeder Eintrag hat einen Distinguished Name (DN) – z.B. "cn=Thomas,ou=Users,dc=example,dc=com". Einträge haben Attribute (cn, mail, telephoneNumber, member...).

Microsoft Active Directory

Active Directory (AD) ist Microsofts LDAP-Implementierung und der De-facto-Standard für Unternehmens-IT. AD verwaltet Nutzer, Computer, Gruppen und Richtlinien (GPOs) in einer Domäne.

Komponenten: Domain Controller (DC) – Server, der AD hostet. Kerberos – Authentifizierungsprotokoll in AD (Port 88). DNS – AD ist stark DNS-abhängig. SYSVOL – Freigabe für GPOs und Skripte. Group Policy (GPO) – zentrale Richtlinienverwaltung für Sicherheitseinstellungen, Software-Deployment.

LDAP-Sicherheit

LDAP überträgt standardmäßig unverschlüsselt. LDAPS (LDAP über TLS, Port 636) oder STARTTLS (Port 389) sind Pflicht in Produktionsumgebungen. Pass-the-Hash/Pass-the-Ticket-Angriffe nutzen Schwächen in Kerberos/NTLM aus.

Best Practices: Tier-Modell (Admin-Konten für verschiedene Privilegstufen), Protected Users-Gruppe, LAPS (Local Administrator Password Solution), nicht standardmäßige Admin-Accounts, regelmäßige AD-Audits.