Active Directory und Identitätsverwaltung: das Rückgrat der Firmen-IT
Active Directory ist das unsichtbare Fundament hinter Anmeldung, Rechten und Sicherheit eines ganzen Unternehmens. Ist es gesund, weiß niemand davon. Wird es vernachlässigt, wird es zum größten Sicherheitsloch.
Inhalt
Was Active Directory löst
Active Directory ist ein zentrales Verzeichnis, das Benutzer, Computer und deren Rechte verwaltet. Statt Passwörter und Zugriffe auf jedem Gerät einzeln zu regeln, verwalten Sie sie an einem Ort. Anmeldung, Zugriff auf freigegebene Ordner, Richtlinien auf Computern — alles stützt sich darauf.
Struktur: Organisationseinheiten und Gruppen
Eine klare Struktur ist ein Fundament, das sich später schwer korrigieren lässt. Zwei Prinzipien, die jahrelang tragen:
- Organisationseinheiten (OUs) danach ordnen, wie Sie Richtlinien verwalten — meist nach Abteilung oder Standort, nicht nach Laune.
- Rechte über Gruppen vergeben, nie an einzelne Benutzer. Ein neuer Mitarbeiter kommt einfach in die richtige Gruppe und erbt genau das, was er haben soll.
Ein bewährtes Modell: Benutzer → Rollengruppe → Zugriffsgruppe → Ressource. Klingt komplex, hält die Rechte aber auch nach Jahren und Dutzenden Änderungen übersichtlich.
Gruppenrichtlinien (GPO)
Gruppenrichtlinien erlauben es, das Verhalten hunderter Computer auf einmal festzulegen — von Sicherheitsregeln über Laufwerkszuordnung bis zum Deaktivieren riskanter Funktionen. Empfehlungen:
- Wenige, durchdachte Richtlinien sind besser als viele überlappende.
- Jede Richtlinie klar benennen, damit ihr Zweck aus dem Namen hervorgeht.
- Änderungen an einer kleinen Gruppe testen, bevor Sie sie firmenweit ausrollen.
Sicherheit und Konten
Active Directory ist ein Hauptziel — wer AD kontrolliert, kontrolliert das Unternehmen. Das Minimum, das nicht fehlen sollte:
- Getrennte Administratorkonten — nie mit dem Konto administrieren, mit dem Sie E-Mail lesen.
- Eine starke Passwortrichtlinie und Mehrfaktor-Authentifizierung, wo möglich.
- Regelmäßige Prüfung der Mitgliedschaft in sensiblen Gruppen (Domänenadministratoren und Co.).
- Konten ausgeschiedener Mitarbeiter sofort deaktivieren, nicht überstürzt löschen.
Das häufigste Loch ist nicht ein schwaches Passwort, sondern ein vergessenes Konto mit hohen Rechten, das seit Jahren niemand nutzt und an das niemand denkt.
Pflege und Ordnung
AD verstopft mit der Zeit — tote Konten, leere Gruppen und Computer, die es nicht mehr gibt, sammeln sich an. Räumen Sie regelmäßig (mindestens jährlich) auf: ungenutzte Konten deaktivieren, leere Gruppen entfernen und prüfen, ob die Struktur noch der Realität entspricht. Ordnung im AD ist zugleich Sicherheit.
AD entwerfen oder aufräumen lassen?
Ich prüfe Ihr Active Directory und schlage Struktur und Sicherheitseinstellungen vor. Das Erstgespräch ist kostenlos.
Beratung vereinbaren