Microsoft's Sicherheitsupdate vom Februar 2025 führt eine wichtige Änderung in der zertifikatsbasierten Authentifizierung ein, indem die starke Zertifikatszuordnung auf Active Directory-Domänencontrollern (DCs) erzwungen wird. Diese Durchsetzung zielt darauf ab, das Risiko einer Rechteausweitung zu minimieren und stellt sicher, dass die zur Authentifizierung verwendeten Zertifikate eine Sicherheitskennung (SID) enthalten und sie so Benutzern und Geräten in Active Directory (AD) korrekt zuordnen.

Organisationen, die auf zertifikatsbasierte Authentifizierung für Benutzeranmeldungen, VPN-Zugriff und Geräteverwaltung angewiesen sind, müssen schnell handeln. Ab Februar 2025, Authentifizierungsanfragen mit schwachen Zuordnungen werden standardmäßig abgelehnt, und bis September 2025 wird der Kompatibilitätsmodus dauerhaft entfernt. Um Serviceunterbrechungen zu vermeiden, sollten Unternehmen ihre PKI-Infrastruktur, Zertifikatvorlagen aktualisieren und nicht konforme Zertifikate vor Ablauf dieser Fristen erneut ausstellen.

Grundlegendes zur Durchsetzung einer starken Zertifikatszuordnung

Microsoft hat die starke Durchsetzung der Zertifikatszuordnung eingeführt im Mai 2022 KB5014754 Update zur Behebung von Sicherheitslücken (CVE-2022-34691, CVE-2022-26931 und CVE-2022-26923) in der zertifikatsbasierten Authentifizierung von Active Directory. Diese Sicherheitslücken ermöglichten es Angreifern, die Authentifizierung zu umgehen und Berechtigungen zu erweitern. Um dem entgegenzuwirken, hat Microsoft die Aufnahme einer Sicherheitskennung (SID) in ausgestellte Zertifikate vorgeschrieben, um eine genaue Identitätszuordnung zu gewährleisten.

Ursprünglich wurden Domänencontroller in Kompatibilitätsmodus, der die Authentifizierung mit nicht konformen Zertifikaten ermöglicht und gleichzeitig Warnungen protokolliert. Ab Februar 2025 ist der vollständige Durchsetzungsmodus jedoch bereits standardmäßig aktiviert, was bedeutet, dass Authentifizierungsversuche mit schwachen Zuordnungen fehlschlagen. Bis zum 10. September 2025 wird der Kompatibilitätsmodus vollständig abgeschafft, wodurch SID-basiertes Zertifikat-Mapping obligatorisch für alle Authentifizierungsszenarien.

Diese Durchsetzung betrifft verschiedene Authentifizierungsmechanismen, einschließlich Benutzeranmeldungen, VPN-Zugriff, MDM-registrierte Geräte und Zertifikate, die über Microsoft NDES oder Offline-Vorlagen. Organisationen müssen ihre PKI-Konfigurationen bewerten, Zertifikatvorlagen aktualisieren und die Konformität sicherstellen, um Authentifizierungsfehler zu vermeiden.

Wichtige Änderungen bei der Durchsetzung einer starken Zertifikatszuordnung

SID-Erweiterungsanforderung
- Zertifikate müssen eine nicht kritische Erweiterung mit der Objektkennung (OID) 1.3.6.1.4.1.311.25.2 enthalten.
- Diese Erweiterung bettet die Sicherheitskennung (SID) des Auftraggebers (Benutzer oder Gerät), um eine ordnungsgemäße Zuordnung in Active Directory sicherzustellen.
Verhaltensänderungen des Domänencontrollers
- DCs erzwingen SID-basierte Zertifikatszuordnungen und lehnen nicht konforme Authentifizierungsversuche ab.
- Ereignisprotokolle zeigen Authentifizierungsfehler aufgrund fehlender oder falscher SID-Erweiterungen an.
Phasenweise Durchsetzungsmodi
- Kompatibilitätsmodus (aktueller Standardmodus): Schwache Zertifikatszuordnungen sind zulässig, Ereignisse werden jedoch zur administrativen Überprüfung protokolliert.
- Vollständiger Durchsetzungsmodus (obligatorisch ab Februar 2025): Authentifizierungsanfragen mit schwachen Zuordnungen werden jetzt standardmäßig abgelehnt.
- Letzter Termin (10. September 2025): Der Kompatibilitätsmodus wird entfernt, wodurch strenge SID-basierte Zuordnungen für alle Authentifizierungsanforderungen erzwungen werden.

Wichtige betroffene Bereiche

Organisationen, die auf zertifikatsbasierte Authentifizierung angewiesen sind, müssen ihre Umgebungen bewerten, um Störungen in den folgenden Bereichen zu vermeiden:

Benutzeranmeldungen und Wi-Fi-Authentifizierung – Zertifikate verwendet für Benutzer- und Geräteauthentifizierung muss die richtige SID-Erweiterung enthalten.

VPN-Zugriff (z. B. Always On VPN) – Für die VPN-Authentifizierung verwendete Zertifikate müssen den neuen Mapping-Standards entsprechen.

MDM-registrierte Geräte (Microsoft Intune PKCS/SCEP) – Zertifikate ausgestellt über Intunes PKCS- oder SCEP-Konnektoren benötigen SID-Erweiterungsupdates gültig bleiben.

Über Offline-Vorlagen oder Microsoft NDES ausgestellte Zertifikate – Organisationen, die Zertifikate über Offline-Vorlagen oder den Network Device Enrollment Service (NDES) ausstellen, müssen ihre Konfigurationen aktualisieren.

Auswirkungen auf verschiedene Umgebungen

Lokale Active Directory-Umgebungen
- Wenn Patches seit Mai 2022 (KB5014754) konsequent angewendet wurden, können vorhandene Zertifikate bereits die SID-Anforderung erfüllen.
- Organisationen müssen manuell überprüfen, ob ihre Zertifizierungsstellenvorlagen (CA) so konfiguriert sind, dass sie OID 1.3.6.1.4.1.311.25.2 in neu ausgestellten Zertifikaten enthalten.
  Wie kann ich diese Vorlagen verfolgen?
Hybridumgebungen (On-Prem AD + Intune oder AAD Sync)
- Organisationen mit Microsoft Intune für die Zertifikatsausstellung muss Aktualisieren Sie ihren PKCS-Zertifikatskonnektor ermöglichen SID-basierte Zuordnungen.
- Führen Sie den folgenden Befehl auf dem Intune Certificate Connector-Server aus, um SID-Erweiterungen zu aktivieren:
  Set-ItemProperty -Pfad „HKLM:\SOFTWARE\Microsoft\MicrosoftIntune\PFXCertificateConnector“ -Name EnableSidSecurityExtension -Wert 1 -Force
- SCEP-Zertifikate: Stellen Sie sicher, dass die SAN-Einstellungen (Subject Alternative Name) in Intune die lokale Sicherheitskennung enthalten.
  URI={{OnPremisesSecurityIdentifier}}
Nur-Cloud-Umgebungen (Azure AD mit Zertifikatauthentifizierung)
- Organisationen, die ausschließlich die Azure-Authentifizierung verwenden, mit Zertifikate müssen ihre Authentifizierungsabläufe überprüfen.
- Die Neuausstellung nicht konformer Zertifikate kann erforderlich sein, wenn das Authentifizierungs-Backend keine SID-Erweiterungen unterstützt.

Identifizieren und Korrigieren gefährdeter Zertifikate

Starke vs. schwache Zertifikatszuordnungen

Microsoft unterstützt sechs Zuordnungstypen für die Zuordnung von Zertifikaten zu Active Directory-Benutzern über das Attribut „altSecurityIdentities“.

Zuordnungstyp	Format	Stabilität
X509IssuerSerialNumber	X509: Ausstellername 1234567890	Strong
X509SKI	X509: 123456789abcdef	Strong
X509SHA1PublicKey	X509: 123456789abcdef	Strong
X509IssuerSubject	X509: Ausstellername, Betreffname	Schwach
X509SubjectOnly	X509: Betreffname	Schwach
X509RFC822	X509:[E-Mail geschützt]	Schwach

Organisationen wird empfohlen, auf starke Mapping-Formate zu migrieren, um die Durchsetzungsvorschriften von Microsoft einzuhalten.

Auditing-Zertifikatvorlagen
Einer der wichtigsten Schritte besteht darin, alle aktiven Zertifikatvorlagen zu überprüfen, um diejenigen zu identifizieren, denen die Erweiterung 1.3.6.1.4.1.311.25.2 fehlt. Verwenden Sie den folgenden Befehl, um die Vorlagendetails zu überprüfen:

certutil -template | findstr „OID=1.3.6.1.4.1.311.25.2“

Vorlagen ohne diese OID erfordern Updates, um den Anforderungen von Microsoft zu entsprechen.

Überwachen von Ereignisprotokollen auf Compliance-Probleme

Unter Berücksichtigung der Durchsetzungsfrist sollte es eine Richtlinie zur regelmäßigen Überwachung geben Domänencontroller-Protokolle für Authentifizierungsfehler im Zusammenhang mit der Zertifikatszuordnung. Schlüssel Zu überwachende Ereignis-IDs umfasst:

Event ID	Beschreibung
39	Die Zertifikatauthentifizierung ist aufgrund einer fehlenden SID fehlgeschlagen.
40	Schwache Zertifikatszuordnung erkannt
41	Zertifikatszuordnung im vollständigen Durchsetzungsmodus abgelehnt

Verwenden Sie PowerShell, um relevante Protokolle zu filtern:

Get-EventLog -LogName Sicherheit | Where-Object { $_.EventID -in @(39,40,41) }

Dies kann dazu beitragen, nicht konforme Zertifikate vor Ablauf der Durchsetzungsfristen zu identifizieren und zu korrigieren.

Vorübergehende Abschwächung mit dem Kompatibilitätsmodus

Organisationen, die auf den Durchsetzungsmodus nicht vorbereitet sind, können sich für eine vorübergehende Abschwächung entscheiden, indem sie die Domänencontroller bis September 2025 wieder in den Kompatibilitätsmodus versetzen.

So überprüfen Sie, ob der Kompatibilitätsmodus aktiviert ist:

Get-ItemProperty -Pfad „HKLM:\SYSTEM\CurrentControlSet\Services\Kdc“ -Name „StrongCertificateBindingEnforcement“

Wenn der Registrierungsschlüssel Starke Zertifikatsbindungserzwingung nicht vorhanden ist, ist der Domänencontroller nicht konfiguriert. Dies bedeutet, dass sich das System im vollständigen Durchsetzungsmodus befindet.

Um den Kompatibilitätsmodus zu aktivieren, Starke Zertifikatsbindungserzwingung Registratur Haupt sollte vorhanden sein. So fügen Sie es manuell hinzu und aktivieren den Kompatibilitätsmodus:

New-ItemProperty -Pfad „HKLM:\SYSTEM\CurrentControlSet\Services\Kdc“ -Name „StrongCertificateBindingEnforcement“ -PropertyType DWORD -Wert 1 -Force

WARNUNG: Diese Abhilfemaßnahme muss vor September 2025 entfernt werden, um der endgültigen Durchsetzung durch Microsoft zu entsprechen.

Überlegungen zu Enterprise-Zertifizierungsstellen (CA)

Unternehmen Zertifizierungsstellen (CAs) müssen sich an diese Änderungen anpassen, um die Ausstellung nicht konformer Zertifikate zu vermeiden.

Neue Zertifikate, die mit Online-Vorlagen ausgestellt werden, enthalten automatisch die 1.3.6.1.4.1.311.25.2 Erweiterung. Wenn bestimmte Zertifikate vom Erhalt dieser Erweiterung ausgeschlossen werden sollen, können Administratoren den folgenden Befehl verwenden:

certutil -dstemplate user msPKI-Enrollment-Flag +0x00080000

Dadurch wird sichergestellt, dass ausgewählte Vorlagen keine starken Zuordnungen erzwingen.

CertSecure Manager: Ihr Compliance-Partner in einer sich verändernden kryptografischen Landschaft

CertSecure Manager unterstützt Unternehmen dabei, über die neuesten kryptografischen Richtlinienänderungen auf dem Laufenden zu bleiben. Mit der Weiterentwicklung von Compliance-Standards – sei es durch NIST Empfehlungen, PCI DSS-Updates oder neue Branchenmandate –CertSecure Manager stellt sicher, dass Unternehmen ohne Unterbrechung konform bleiben.

So bleiben Sie mit CertSecure Manager immer einen Schritt voraus

Proaktive Compliance-Anpassung
CertSecure Manager aktualisiert sein Compliance-Framework kontinuierlich, um es an sich entwickelnde Vorschriften anzupassen, wie HIPAA, PCI DSS, Datenschutzund NIST 800-131A.
Automatisierte Updates für kryptografische Übergänge
Bei Änderungen der kryptografischen Richtlinien, wie etwa der Umstellung auf stärkere Hashing-Algorithmen, Schlüsselgrößen und Rotationsintervalle, automatisiert CertSecure Manager Zertifikatsaktualisierungen und -erneuerungen, um eine unterbrechungsfreie Konformität sicherzustellen.
Echtzeitüberwachung und Richtliniendurchsetzung
Organisationen erhalten sofortige Warnmeldungen zu ablaufenden Zertifikaten und nicht konformen kryptografischen Konfigurationen und verhindern so Sicherheitslücken und behördliche Sanktionen.
Nahtlose Integration mit neuen Standards
Ob es Post-Quanten-Kryptographie Annahme, TLS-Zertifikat Ob Gültigkeitseinbußen oder neue kryptografische Best Practices – CertSecure Manager lässt sich problemlos in neue Standards integrieren. Dank erweiterter Berichtsfunktionen bleibt Ihr Unternehmen Schwachstellen und Ausfällen immer einen Schritt voraus.

Mit CertSecure Managerreduziert Ihr Unternehmen das Risiko von Serviceunterbrechungen aufgrund nicht konformer Zertifikate erheblich, spart Zeit und Ressourcen bei der Umstellung auf Strong Certificate Mapping und gewährleistet die kontinuierliche Einhaltung aller sich entwickelnden Sicherheitsanforderungen. Unsere Lösung erfüllt nicht nur die unmittelbaren Anforderungen für die Durchsetzung im Februar 2025, sondern bietet auch eine robuste Plattform für die langfristige Verwaltung des Zertifikatslebenszyklus.

Zusätzlich zu CertSecure Manager, PKI-Bewertungsservice von Encryption Consulting bietet eine umfassende Bewertung Ihrer PKI-Infrastruktur. Unser Service hilft Ihrem Unternehmen, Sicherheitslücken und Schwachstellen in Ihrer PKI zu identifizieren. Unser Expertenteam erstellt einen individuellen Plan, der Sie bei der Optimierung Ihrer kryptografischen Richtlinien und der Einhaltung von Branchenstandards unterstützt. Ob Sie sich auf bevorstehende regulatorische Änderungen vorbereiten oder Ihre allgemeine Zertifikatsmanagementstrategie stärken – eine PKI-Bewertung liefert Ihnen Expertenwissen und umsetzbare Empfehlungen.

Fazit

Microsofts Strong Certificate Mapping Enforcement ist entscheidend für die Sicherung von Authentifizierungsprozessen. Unternehmen müssen umgehend handeln, um ihre PKI-Infrastruktur zu prüfen und zu aktualisieren, bevor die September 2025 Frist.

Für fachkundige Beratung und automatisiertes Zertifikatslebenszyklusmanagement sollten Sie Folgendes in Betracht ziehen: Kontaktaufnahme mit Encryption Consulting um herauszufinden, wie CertSecure Manager die Compliance-Bemühungen Ihres Unternehmens unterstützen kann.

Zusätzliche Referenzen: