Active Directory: Alte Bäume retten oder neu pflanzen?

Das Active Directory wiederherzustellen hat nach einem Cyberangriff hohe Priorität. Meist können andere Recovery-Teams gar nicht anfangen, wenn der Verzeichnisdienst noch nicht läuft. Ob man alles neu aufsetzen muss oder den alten Bestand noch retten kann, darüber entscheidet die Vorbereitung.

Von Guido Grillenmeier

Administratoren bezeichnen die Gesamtstruktur eines Microsoft Active Directory (AD) oft liebevoll als Wald und die darunterliegende Struktur der AD-Domänen als Bäume. Steht aber der ganze Active-Directory-Wald mit all seinen Bäumen nicht mehr zur Verfügung – zum Beispiel wegen eines Ransomwareangriffs, der alle Systeme verschlüsselt hat –, stellt sich die Frage: Muss man wieder von vorn mit der Bepflanzung eines ganz neuen Waldes beginnen oder sind die Bäume noch irgendwie zu retten? Die richtige Antwort hängt von mehreren Faktoren ab. Dieser Artikel beschreibt, welche Optionen zur Verfügung stehen und was die richtige Vorgehensweise ist, um das eigene Active Directory nach einem Super-GAU wiederherzustellen.

Das AD dient als Schaltzentrale für die Verwaltung von Unternehmensidentitäten und deren Berechtigungen auf diversen Serversystemen – also auch in den kritischsten Geschäftsanwendungen (Abbildung 1). Durch verschiedene Gruppen entsteht ein Berechtigungskonzept für den Zugriff auf die Daten des Unternehmens. Erst die Mitgliedschaft in solchen Gruppen berechtigt Nutzer anschließend für den Zugriff auf entsprechende Daten und Applikationen.