Die wichtigsten Punkte
- Unterscheiden Sie zwischen gespeicherten Anmeldeinformationen für Netzwerkressourcen und zwischengespeicherten Prüfwerten für die Offline-Anmeldung am Computer, denn beide erfordern unterschiedliche Methoden.
- Automatisieren Sie die Bereinigung gespeicherter Anmeldeinformationen mit PowerShell-Skripten und cmdkey und steuern Sie zwischengespeicherte Anmeldungen über Gruppenrichtlinien- und Registry-Einstellungen.
- Verhindern Sie das Zwischenspeichern von Anmeldeinformationen, indem Sie die Gruppenrichtlinie für die Anzahl zwischengespeicherter Anmeldungen auf null setzen und Credential Guard aktivieren.
- Integrieren Sie die Bereinigung von Anmeldeinformationen in IT-Standardprozesse wie das Offboarding von Beschäftigten und Geräteaustauschzyklen.
- Führen Sie detaillierte Protokolle aller Bereinigungsaktionen und Richtlinienzustände, um auditfähige Compliance-Berichte zu erstellen.
Anmeldedaten, die auf Laptops gespeichert sind, können zu einem ernsthaften Risiko werden, besonders wenn Geräte verloren gehen oder Beschäftigte das Unternehmen verlassen. Zu wissen, wie man zwischengespeicherte Anmeldeinformationen löschen kann, reicht dabei nicht aus. Sie brauchen eine skalierbare Strategie.
In diesem Leitfaden lernen Sie einen vollständigen Prozess kennen, mit dem Sie zwischengespeicherte Anmeldeinformationen in Ihrer gesamten Umgebung aufspüren, bereinigen und künftig verhindern, inklusive Automatisierung und auditsicherer Dokumentation.
Zwischengespeicherte Windows-Anmeldeinformationen Schritt für Schritt entfernen
Das Löschen zwischengespeicherter Anmeldeinformationen ist entscheidend für die Sicherheit und hilft bei der Behebung von Zugriffsproblemen.
📌Anwendungsfall: Sie sollten zwischengespeicherte Windows-Anmeldeinformationen nach einem Sicherheitsvorfall löschen, bei der Neubereitstellung eines Geräts oder wenn ein:e Mitarbeiter:in das Unternehmen verlässt. Außerdem ist es ein gängiger Schritt bei der Fehlerbehebung von Zugriffsproblemen auf Netzwerkressourcen.
📌Voraussetzungen: Ein erfolgreicher Prozess erfordert Vorbereitung. Stellen Sie Folgendes sicher:
- Eine Inventarliste Ihrer Endpunkte (inklusive Betriebssystemversionen wie Windows 11) und der lokalen Admin-Konten.
- Ihre Automatisierungstools (PowerShell, Intune, RMM) sind für die Remote-Ausführung bereit.
- Prüfen Sie, ob grundlegende Sicherheitsrichtlinien wie Credential Guard aktiv sind, um Ihre Absicherung zu stärken, bevor Sie beginnen.
Sind diese Voraussetzungen erfüllt, folgen Sie den Schritten unten.
Schritt 1: Zwischengespeicherte Anmeldeinformationen finden und Risiko einordnen
Suchen Sie zunächst alle gespeicherten Anmeldedaten, um Ihr Sicherheitsrisiko einschätzen zu können. Außerdem müssen Sie zwischen gespeicherten Anmeldeinformationen für Ressourcen und zwischengespeicherten Anmeldeinformationen für die Offline-Anmeldung unterscheiden.
So finden Sie gespeicherte Anmeldeinformationen
Für gespeicherte Passwörter, die den Zugriff auf bestimmte Ressourcen wie Netzwerkfreigaben ermöglichen, nutzen Sie diese Methoden:
- Grafische Ansicht:Öffnen Sie die Windows-Anmeldeinformationsverwaltung über die Suche im Startmenü.
- Befehlszeile: Führen Sie
cmdkey /listin der Eingabeaufforderung (Administrator) aus. - Browser-Speicher: Prüfen Sie die gespeicherten Passwörter in den Einstellungen von Chrome, Firefox usw.
Zwischengespeicherte Anmeldeinformationen verstehen
Zwischengespeicherte Anmeldeinformationen sind gehashte Prüfwerte, die bei der Domänenanmeldung für den Offline-Zugriff erzeugt werden. Sie werden nicht wie gespeicherte Passwörter verwaltet.
- Zweck:Sie ermöglichen die Anmeldung an einem in die Domäne eingebundenen PC, wenn dieser den Server nicht erreichen kann.
- Steuerung: Ausschließlich über die Gruppenrichtlinie Anzahl zwischenzuspeichernder vorheriger Anmeldungen.
- Speicherort: Sicher in der System-Registry abgelegt, nicht in der Anmeldeinformationsverwaltung.
Das Risiko einordnen
Listen Sie alle gefundenen Anmeldeinformationen auf und notieren Sie die zugehörigen Geräte. Die wichtigsten Risiken sind:
- Gespeicherte Anmeldeinformationen: Sie können ausgelesen und für laterale Bewegungen in Ihrem Netzwerk genutzt werden.
- Zwischengespeicherte Anmeldungs-Prüfwerte: Sie erlauben den Offline-Zugriff auf ein Gerät mit einem alten Passwort und umgehen so kürzlich erfolgte Passwortänderungen.
Diese Inventarliste liefert die nötigen Belege, um Ihre gezielte Bereinigung zu planen.
Schritt 2: Bereinigung auf allen Endpunkten automatisieren
Stellen Sie Skripte bereit, um Anmeldeinformationen effizient von mehreren Computern zu entfernen. Die Automatisierung unterscheidet sich zwischen gespeicherten Anmeldeinformationen (für Ressourcen) und zwischengespeicherten Anmeldeinformationen (für die Offline-Anmeldung).
Bereinigung gespeicherter Anmeldeinformationen automatisieren
- Erstellen Sie Ihr Bereitstellungsskript:
- Nutzen Sie ein PowerShell-Skript oder Ihr RMM-Tool, um die Bereinigung auszuführen. Hier ein einfaches PowerShell-Skript, das den Befehl cmdkey zum Auflisten und Löschen von Anmeldeinformationen verwendet:
- Alle gespeicherten Anmeldeinformationen auflisten:
cmdkey /list
-
- Eine bestimmte Anmeldeinformation anhand des Zielnamens löschen:
cmdkey /delete "TARGET_NAME"
Write-Output "Deleted credential for TARGET_NAME"
- Ausführung planen: Führen Sie dies über Ihr RMM oder Intune außerhalb der Geschäftszeiten aus. Stellen Sie sicher, dass die Ausführung mit Administratorrechten erfolgt und alle Aktionen für den Auditnachweis protokolliert werden.
- Prüfen und protokollieren: Konfigurieren Sie Ihr Skript so, dass es eine einfache Protokolldatei erzeugt, die die erfolgreiche Löschung auf jedem Gerät bestätigt. Damit haben Sie sofort einen Nachweis für Audits.
Bereinigung zwischengespeicherter Anmeldeinformationen automatisieren
Zwischengespeicherte Anmeldeinformationen lassen sich nicht nachträglich per Skript bereinigen. Stattdessen müssen Sie eine Gruppenrichtlinie konfigurieren, die ihre Erstellung von vornherein verhindert.
So deaktivieren Sie die Zwischenspeicherung:
- Öffnen Sie den Gruppenrichtlinienverwaltungs-Editor und navigieren Sie zu:
- Computerkonfiguration > Richtlinien > Windows-Einstellungen > Sicherheitseinstellungen > Lokale Richtlinien > Sicherheitsoptionen
- Suchen Sie die Richtlinie Interaktive Anmeldung: Anzahl zwischenzuspeichernder vorheriger Anmeldungen (für den Fall, dass der Domänencontroller nicht verfügbar ist) und doppelklicken Sie darauf.
- Setzen Sie den Wert auf 0 und klicken Sie auf „OK“.
⚠️Wichtige Hinweise:
- Auf bestehenden Geräten ist ein Neustart erforderlich, damit die Änderung wirksam wird.
- Diese Einstellung verhindert nur, dass neue Anmeldeinformationen zwischengespeichert werden. Bereits vorhandene werden nicht gelöscht.
- Für eine einheitliche, netzwerkweite Durchsetzung verteilen Sie diese Richtlinie über Active Directory-Gruppenrichtlinien oder ein MDM wie Microsoft Intune.
Nach Abschluss sind die gespeicherten Anmeldeinformationen für Ressourcen entfernt und Benutzer:innen müssen sich erneut authentifizieren. Die Registry-Änderung verhindert, dass Domänenpasswörter für künftige Offline-Anmeldungen lokal zwischengespeichert werden. Damit sind beide zentralen Risiken adressiert.
Schritt 3: Richtlinien härten, damit das Problem nicht wiederkehrt
Für dauerhafte Sicherheit konfigurieren Sie Richtlinien, die das Zwischenspeichern von Anmeldeinformationen von vornherein unterbinden.
Zentrale Sicherheitskontrollen umsetzen
Nutzen Sie Gruppenrichtlinien oder MDM-Tools wie Intune, um zwei wichtige Einstellungen bereitzustellen. Setzen Sie erstens „Interaktive Anmeldung: Anzahl zwischenzuspeichernder vorheriger Anmeldungen (für den Fall, dass der Domänencontroller nicht verfügbar ist)“ auf 0, um zwischengespeicherte Domänen-Anmeldedaten für die Offline-Anmeldung zu deaktivieren. Aktivieren Sie zweitens Credential Guard auf Windows-Geräten, um Hashes durch hardwarebasierte Isolation zu schützen.
Kontozugriff einschränken
Konfigurieren Sie Richtlinien, die Dienstkonten und hoch privilegierten Gruppen die lokale Anmeldung verweigern. Stellen Sie sicher, dass diese Konten ausschließlich für nicht-interaktive Anmeldungen zugelassen sind. So wird verhindert, dass ihre Anmeldeinformationen während interaktiver Sitzungen zwischengespeichert werden.
Sind diese Richtlinien angewendet, werden Domänen-Anmeldeinformationen nicht mehr lokal gespeichert. Damit entfällt der Angriffsvektor über zwischengespeicherte Anmeldeinformationen und Sie erhalten einen dauerhaften Schutz.
Schritt 4: Bereinigung in Lifecycle-Ereignisse integrieren
Verankern Sie die Pflege von Anmeldeinformationen fest in Ihren IT-Standardprozessen, um dauerhaft sicher zu bleiben. Integrieren Sie dazu an den entscheidenden Punkten gezielte automatisierte Aktionen für gespeicherte und für zwischengespeicherte Anmeldeinformationen.
Für gespeicherte Anmeldeinformationen (Ressourcen-Anmeldungen)
Automatisieren Sie das Entfernen gespeicherter Netzwerkpasswörter bei kritischen Ereignissen.
- In Offboarding-Skripten verwenden: Binden Sie ein cmdkey-Bereinigungsskript ein, um die gespeicherten Anmeldeinformationen ausscheidender Mitarbeiter:innen vom Gerät zu entfernen.
- In Checklisten aufnehmen: Ergänzen Sie Bereinigungsskript für gespeicherte Anmeldeinformationen ausführen in Ihren Offboarding- und Geräteaustausch-Checklisten.
Für zwischengespeicherte Anmeldeinformationen (Offline-Anmeldung)
Diese werden per Richtlinie gesteuert, nicht per Skript. Verankern Sie die Durchsetzung der Richtlinie in Ihrem Bereitstellungszyklus.
- Richtlinie bei der Bereitstellung anwenden: Stellen Sie sicher, dass die Gruppenrichtlinie „Interaktive Anmeldung: Anzahl zwischenzuspeichernder vorheriger Anmeldungen“ auf neuen Geräten ausgerollt wird.
- Richtlinie in Audits prüfen: Nehmen Sie eine Prüfung dieses Richtlinienstatus in Ihre quartalsweisen Sicherheitsreviews auf.
Regelmäßige Wartung einplanen
Konfigurieren Sie Ihr Skript für gespeicherte Anmeldeinformationen so, dass es monatlich über Ihr RMM läuft und angesammelte Anmeldedaten entfernt. Bei zwischengespeicherten Anmeldeinformationen ist die laufende Durchsetzung per Richtlinie die Wartung.
Schritt 5: Nachweise und Behebungsmaßnahmen dokumentieren
Führen Sie eine lückenlose Dokumentation, um Compliance nachzuweisen und Ihren Sicherheitsstatus nachzuverfolgen.
Einheitliche Protokollierung einführen
Halten Sie für jede Bereinigungsaktion diese zentralen Angaben in einem zentralen System fest:
- Gerätename und Benutzer- bzw. Dienstkonto
- Konkret entfernte Anmeldeinformationen
- Datum und Uhrzeit der Aktion
- Name der Techniker:in, die die Bereinigung durchgeführt hat
- Ergebnisse der anschließenden Überprüfung
Monatliche Compliance-Berichte erstellen
Erstellen Sie regelmäßige Zusammenfassungen, die Folgendes enthalten:
- Gesamtzahl der entfernten Anmeldeinformationen
- Geräte, die die Richtlinien nicht einhalten
- Verbleibende Hochrisiko-Konten, die Aufmerksamkeit erfordern
- Trends bei der Ansammlung von Anmeldeinformationen in Ihrer Umgebung
Diese Dokumentation schafft einen prüffähigen Nachweis für proaktives Sicherheitsmanagement. Wenn Auditor:innen Ihre Prozesse prüfen, haben Sie klare Belege für eine konsistente Pflege der Anmeldeinformationen und die Einhaltung Ihrer Sicherheitsrichtlinien.
Verwaltung von Anmeldeinformationen mit NinjaOne vereinfachen
NinjaOne zentralisiert und automatisiert die Sicherheit von Anmeldeinformationen: Es verwaltet gespeicherte Anmeldeinformationen und setzt Richtlinien für zwischengespeicherte Anmeldungen durch.
- Gespeicherte Anmeldeinformationen finden und bereinigen: Führen Sie Skripte aus, um gespeicherte Anmeldedaten in der Windows-Anmeldeinformationsverwaltung aufzuspüren und zu entfernen.
- Richtlinien durchsetzen und überwachen: Rollen Sie kritische Gruppenrichtlinien aus und überprüfen Sie sie, etwa die Deaktivierung der Zwischenspeicherung von Anmeldeinformationen, und überwachen Sie Schutzmechanismen wie Credential Guard.
- Zentraler Auditnachweis: Sammeln Sie Protokolle und Nachweise automatisiert ein, für eine sofort einsatzbereite Compliance-Berichterstattung.
So entsteht ein skalierbares, automatisiertes System für dauerhafte Sicherheit von Anmeldeinformationen und jederzeitige Auditbereitschaft.
Senken Sie das Risiko durch gespeicherte Anmeldedaten im großen Maßstab. Finden, bereinigen und dokumentieren Sie zwischengespeicherte Anmeldeinformationen mit richtliniengesteuerter Automatisierung.
→ Bereinigung zwischengespeicherter Anmeldeinformationen automatisieren mit NinjaOne
Sichern Sie Ihre Umgebung durch die Verwaltung zwischengespeicherter Anmeldeinformationen
Zwischengespeicherte Anmeldeinformationen manuell zu löschen ist eine reaktive Notlösung. Echte Sicherheit entsteht durch ein proaktives System. Mit automatisierter Bereinigung, präventiven Richtlinien, der Integration in IT-Lifecycles und einer detaillierten Protokollierung bauen Sie eine robuste Verteidigung gegen Angriffe auf Anmeldeinformationen auf.
Dieser durchgängige Prozess verwandelt eine verbreitete Schwachstelle in eine dokumentierte, kontrollierte Sicherheitspraxis, die technische wie regulatorische Anforderungen erfüllt.
Verwandte Themen:
