Das Sicherheitsupdate von Microsoft vom Februar 2025 führt eine wichtige Änderung bei der zertifikatsbasierten Authentifizierung ein, indem es die starke Zertifikatszuordnung auf Active Directory-Domänencontrollern (DCs) erzwingt. Diese Maßnahme, die das Risiko einer Rechteausweitung mindern soll, stellt sicher, dass die zur Authentifizierung verwendeten Zertifikate eine Sicherheitskennung (SID) enthalten und somit korrekt Benutzern und Geräten in Active Directory (AD) zugeordnet werden.

Organisationen, die für Benutzeranmeldungen, VPN-Zugriffe und Geräteverwaltung auf zertifikatsbasierte Authentifizierung angewiesen sind, müssen umgehend handeln. Ab Februar 2025 werden Authentifizierungsanfragen mit schwachen Zuordnungen standardmäßig abgelehnt, und bis September 2025 wird der Kompatibilitätsmodus endgültig entfernt. Um Serviceausfälle zu vermeiden, sollten Unternehmen ihre PKI-Infrastruktur überprüfen , Zertifikatvorlagen aktualisieren und nicht konforme Zertifikate vor diesen Fristen neu ausstellen.

Grundlegendes zur Durchsetzung einer starken Zertifikatszuordnung

Microsoft führte im Mai 2022 mit dem Update KB5014754 die strenge Durchsetzung der Zertifikatszuordnung ein , um Sicherheitslücken ( CVE-2022-34691 , CVE-2022-26931 und CVE-2022-26923 ) in der zertifikatsbasierten Authentifizierung von Active Directory zu beheben. Diese Sicherheitslücken ermöglichten es Angreifern, die Authentifizierung zu umgehen und ihre Berechtigungen zu erweitern. Um dem entgegenzuwirken, schrieb Microsoft die Aufnahme einer Sicherheitskennung (SID) in die ausgestellten Zertifikate vor, um eine korrekte Identitätszuordnung zu gewährleisten.

Ursprünglich arbeiteten Domänencontroller im Kompatibilitätsmodus, der die Authentifizierung mit nicht konformen Zertifikaten erlaubte und Warnungen protokollierte. Seit Februar 2025 ist jedoch der vollständige Erzwingungsmodus standardmäßig aktiviert, sodass Authentifizierungsversuche mit schwachen Zuordnungen fehlschlagen. Bis zum 10. September 2025 wird der Kompatibilitätsmodus vollständig abgeschafft, wodurch die SID-basierte Zertifikatszuordnung für alle Authentifizierungsszenarien obligatorisch wird.

Diese Maßnahme betrifft verschiedene Authentifizierungsmechanismen, darunter Benutzeranmeldungen, VPN-Zugriff, MDM-registrierte Geräte und Zertifikate, die über Microsoft NDES oder Offline-Vorlagen ausgestellt wurden. Unternehmen müssen ihre PKI-Konfigurationen überprüfen, Zertifikatvorlagen aktualisieren und die Einhaltung der Vorgaben sicherstellen, um Authentifizierungsfehler zu vermeiden.

Wichtige Änderungen bei der Durchsetzung einer starken Zertifikatszuordnung

SID-Erweiterungsanforderung
- Zertifikate müssen eine nicht kritische Erweiterung mit der Objektkennung (OID) 1.3.6.1.4.1.311.25.2 enthalten.
- Diese Erweiterung bettet die Sicherheitskennung (SID) des Prinzipals (Benutzer oder Gerät) ein, um eine korrekte Zuordnung in Active Directory zu gewährleisten.
Verhaltensänderungen des Domänencontrollers
- DCs erzwingen SID-basierte Zertifikatszuordnungen und lehnen nicht konforme Authentifizierungsversuche ab.
- Ereignisprotokolle zeigen Authentifizierungsfehler aufgrund fehlender oder falscher SID-Erweiterungen an.
Phasenweise Durchsetzungsmodi
- Kompatibilitätsmodus (aktueller Standardmodus): Schwache Zertifikatszuordnungen sind zulässig, Ereignisse werden jedoch zur administrativen Überprüfung protokolliert.
- Vollständiger Durchsetzungsmodus (obligatorisch ab Februar 2025): Authentifizierungsanfragen mit schwachen Zuordnungen werden jetzt standardmäßig abgelehnt.
- Letzter Termin (10. September 2025): Der Kompatibilitätsmodus wird entfernt, wodurch strenge SID-basierte Zuordnungen für alle Authentifizierungsanforderungen erzwungen werden.

Wichtige betroffene Bereiche

Organisationen, die auf zertifikatsbasierte Authentifizierung angewiesen sind, müssen ihre Umgebungen bewerten, um Störungen in den folgenden Bereichen zu vermeiden:

Benutzeranmeldungen und Wi-Fi-Authentifizierung – Zertifikate verwendet für Benutzer- und Geräteauthentifizierung muss die richtige SID-Erweiterung enthalten.

VPN-Zugriff (z. B. Always On VPN) – Für die VPN-Authentifizierung verwendete Zertifikate müssen den neuen Mapping-Standards entsprechen.

MDM-registrierte Geräte (Microsoft Intune PKCS/SCEP) – Zertifikate ausgestellt über Intunes PKCS- oder SCEP-Konnektoren benötigen SID-Erweiterungsupdates gültig bleiben.

Über Offline-Vorlagen oder Microsoft NDES ausgestellte Zertifikate – Organisationen, die Zertifikate über Offline-Vorlagen oder den Network Device Enrollment Service (NDES) ausstellen, müssen ihre Konfigurationen aktualisieren.

Auswirkungen auf verschiedene Umgebungen

Lokale Active Directory-Umgebungen
- Wenn Patches seit Mai 2022 (KB5014754) konsequent angewendet wurden, können vorhandene Zertifikate bereits die SID-Anforderung erfüllen.
- Organisationen müssen manuell überprüfen, ob ihre Zertifizierungsstellenvorlagen (CA) so konfiguriert sind, dass sie OID 1.3.6.1.4.1.311.25.2 in neu ausgestellten Zertifikaten enthalten.
  Wie kann ich diese Vorlagen verfolgen?
Hybridumgebungen (On-Prem AD + Intune oder AAD Sync)
- Organisationen mit Microsoft Intune für die Zertifikatsausstellung muss Aktualisieren Sie ihren PKCS-Zertifikatskonnektor ermöglichen SID-basierte Zuordnungen.
- Führen Sie den folgenden Befehl auf dem Intune Certificate Connector-Server aus, um SID-Erweiterungen zu aktivieren:
  Set-ItemProperty -Pfad „HKLM:\SOFTWARE\Microsoft\MicrosoftIntune\PFXCertificateConnector“ -Name EnableSidSecurityExtension -Wert 1 -Force
- SCEP-Zertifikate: Stellen Sie sicher, dass die SAN-Einstellungen (Subject Alternative Name) in Intune die lokale Sicherheitskennung enthalten.
  URI={{OnPremisesSecurityIdentifier}}
Nur-Cloud-Umgebungen (Azure AD mit Zertifikatauthentifizierung)
- Organisationen, die ausschließlich die Azure-Authentifizierung verwenden, mit Zertifikate müssen ihre Authentifizierungsabläufe überprüfen.
- Die Neuausstellung nicht konformer Zertifikate kann erforderlich sein, wenn das Authentifizierungs-Backend keine SID-Erweiterungen unterstützt.

Identifizieren und Korrigieren gefährdeter Zertifikate

Starke vs. schwache Zertifikatszuordnungen

Microsoft unterstützt sechs Zuordnungstypen für die Zuordnung von Zertifikaten zu Active Directory-Benutzern über das Attribut „altSecurityIdentities“.

Zuordnungstyp	Format	Stabilität
X509IssuerSerialNumber	X509: Ausstellername 1234567890	Strong
X509SKI	X509: 123456789abcdef	Strong
X509SHA1PublicKey	X509: 123456789abcdef	Strong
X509IssuerSubject	X509: Ausstellername, Betreffname	Schwach
X509SubjectOnly	X509: Betreffname	Schwach
X509RFC822	X509:[E-Mail geschützt]	Schwach

Organisationen wird empfohlen, auf starke Mapping-Formate zu migrieren, um die Durchsetzungsvorschriften von Microsoft einzuhalten.

Auditing-Zertifikatvorlagen
Einer der wichtigsten Schritte besteht darin, alle aktiven Zertifikatvorlagen zu überprüfen, um diejenigen zu identifizieren, denen die Erweiterung 1.3.6.1.4.1.311.25.2 fehlt. Verwenden Sie den folgenden Befehl, um die Vorlagendetails zu überprüfen:

certutil -template | findstr „OID=1.3.6.1.4.1.311.25.2“

Vorlagen ohne diese OID erfordern Updates, um den Anforderungen von Microsoft zu entsprechen.

Überwachen von Ereignisprotokollen auf Compliance-Probleme

Unter Berücksichtigung der Frist für die Durchsetzung der Vorschriften sollte eine Richtlinie zur regelmäßigen Überwachung der Domänencontroller-Protokolle auf Authentifizierungsfehler im Zusammenhang mit der Zertifikatszuordnung bestehen. Wichtige zu überwachende Ereignis-IDs sind:

Event ID	Beschreibung
39	Die Zertifikatauthentifizierung ist aufgrund einer fehlenden SID fehlgeschlagen.
40	Schwache Zertifikatszuordnung erkannt
41	Zertifikatszuordnung im vollständigen Durchsetzungsmodus abgelehnt

Verwenden Sie PowerShell, um relevante Protokolle zu filtern:

Get-EventLog -LogName Sicherheit | Where-Object { $_.EventID -in @(39,40,41) }

Dies kann dazu beitragen, nicht konforme Zertifikate vor Ablauf der Durchsetzungsfristen zu identifizieren und zu korrigieren.

Vorübergehende Abschwächung mit dem Kompatibilitätsmodus

Organisationen, die auf den Durchsetzungsmodus nicht vorbereitet sind, können sich für eine vorübergehende Abschwächung entscheiden, indem sie die Domänencontroller bis September 2025 wieder in den Kompatibilitätsmodus versetzen.

So überprüfen Sie, ob der Kompatibilitätsmodus aktiviert ist:

Get-ItemProperty -Pfad „HKLM:\SYSTEM\CurrentControlSet\Services\Kdc“ -Name „StrongCertificateBindingEnforcement“

Wenn der Registrierungsschlüssel „StrongCertificateBindingEnforcement“ nicht vorhanden ist, ist der Domänencontroller nicht konfiguriert. Dies bedeutet, dass sich das System im vollständigen Erzwingungsmodus befindet.

Zum Aktivieren des Kompatibilitätsmodus muss der Registrierungsschlüssel „StrongCertificateBindingEnforcement“ vorhanden sein. So fügen Sie ihn manuell hinzu und aktivieren den Kompatibilitätsmodus:

New-ItemProperty -Pfad „HKLM:\SYSTEM\CurrentControlSet\Services\Kdc“ -Name „StrongCertificateBindingEnforcement“ -PropertyType DWORD -Wert 1 -Force

WARNUNG: Diese Abhilfemaßnahme muss vor September 2025 entfernt werden, um der endgültigen Durchsetzung durch Microsoft zu entsprechen.

Überlegungen zu Enterprise-Zertifizierungsstellen (CA)

Unternehmenszertifizierungsstellen (CAs) müssen sich an diese Änderungen anpassen, um die Ausstellung nicht konformer Zertifikate zu vermeiden.

Neue Zertifikate, die mithilfe von Online-Vorlagen ausgestellt werden, enthalten automatisch die Erweiterung 1.3.6.1.4.1.311.25.2 . Falls bestimmte Zertifikate diese Erweiterung nicht erhalten sollen, können Administratoren folgenden Befehl verwenden:

certutil -dstemplate user msPKI-Enrollment-Flag +0x00080000

Dadurch wird sichergestellt, dass ausgewählte Vorlagen keine starken Zuordnungen erzwingen.

CertSecure Manager: Ihr Compliance-Partner in einer sich verändernden kryptografischen Landschaft

CertSecure Manager unterstützt Unternehmen seit jeher maßgeblich dabei, mit den neuesten Änderungen der kryptografischen Richtlinien Schritt zu halten. Da sich Compliance-Standards ständig weiterentwickeln – sei es durch NIST- Empfehlungen, PCI-DSS-Aktualisierungen oder neue Branchenvorgaben – gewährleistet CertSecure Manager , dass Unternehmen die Anforderungen reibungslos erfüllen.

So bleiben Sie mit CertSecure Manager immer einen Schritt voraus

Proaktive Compliance-Anpassung
CertSecure Manager aktualisiert seinen Compliance-Rahmen kontinuierlich, um ihn an sich entwickelnde Vorschriften wie HIPAA , PCI DSS , DSGVO und NIST 800-131A anzupassen .
Automatisierte Updates für kryptografische Übergänge
Bei Änderungen der kryptografischen Richtlinien, wie etwa der Umstellung auf stärkere Hashing-Algorithmen, Schlüsselgrößen und Rotationsintervalle, automatisiert CertSecure Manager Zertifikatsaktualisierungen und -erneuerungen, um eine unterbrechungsfreie Konformität sicherzustellen.
Echtzeitüberwachung und Richtliniendurchsetzung
Organisationen erhalten sofortige Warnmeldungen zu ablaufenden Zertifikaten und nicht konformen kryptografischen Konfigurationen und verhindern so Sicherheitslücken und behördliche Sanktionen.
Nahtlose Integration mit neuen Standards
Ob es um die Einführung von Post-Quanten-Kryptografie , die Reduzierung der Gültigkeit von TLS-Zertifikaten oder neue Best Practices in der Kryptografie geht – CertSecure Manager lässt sich mühelos in neue Standards integrieren. Dank erweiterter Berichtsfunktionen bleibt Ihr Unternehmen Sicherheitslücken und Ausfällen stets einen Schritt voraus.

Mit CertSecure Manager reduziert Ihr Unternehmen das Risiko von Serviceausfällen aufgrund nicht konformer Zertifikate erheblich, spart Zeit und Ressourcen beim Übergang zu Strong Certificate Mapping und gewährleistet die fortlaufende Einhaltung aller sich entwickelnden Sicherheitsanforderungen. Unsere Lösung erfüllt nicht nur die unmittelbaren Anforderungen der ab Februar 2025 geltenden Vorschriften, sondern bietet auch eine robuste Plattform für das langfristige Zertifikatslebenszyklusmanagement.

Zusätzlich zu CertSecure Manager bietet der PKI-Bewertungsservice von Encryption Consulting eine umfassende Analyse Ihrer PKI-Infrastruktur. Wir unterstützen Ihr Unternehmen bei der Identifizierung von Sicherheitslücken und Schwachstellen in Ihrer PKI. Unser Expertenteam erstellt einen individuellen Fahrplan, der Ihnen hilft, Ihre kryptografischen Richtlinien zu optimieren und die Einhaltung von Branchenstandards sicherzustellen. Ob Sie sich auf bevorstehende regulatorische Änderungen vorbereiten oder Ihre Zertifikatsmanagementstrategie insgesamt stärken möchten – eine PKI-Bewertung liefert Ihnen fundierte Erkenntnisse und konkrete Handlungsempfehlungen.

Fazit

Die strenge Durchsetzung der Zertifikatszuordnung durch Microsoft ist für die Sicherheit von Authentifizierungsprozessen unerlässlich. Unternehmen müssen umgehend handeln, um ihre PKI-Infrastruktur vor dem Stichtag im September 2025 zu überprüfen und zu aktualisieren.

Für fachkundige Beratung und automatisiertes Zertifikatslebenszyklusmanagement sollten Sie sich an Encryption Consulting wenden , um zu erfahren, wie CertSecure Manager die Compliance-Bemühungen Ihres Unternehmens unterstützen kann.

Zusätzliche Referenzen: