In fast jedem gewachsenen Windows-Netzwerk gibt es einen Server, an den sich niemand mehr richtig erinnert: die Active-Directory-Zertifizierungsstelle. Irgendwann eingerichtet, damit WLAN, VPN, Domänencontroller und interne Webdienste ihre Zertifikate bekommen, seitdem läuft sie einfach. Kein Ticket, keine Rückfrage, kein Eintrag im Patch-Bericht.
Diese Unauffälligkeit ist das Problem. Denn die Zertifizierungsstelle entscheidet darüber, wem in Ihrer Domäne geglaubt wird. Wer sie manipulieren kann, kann sich als beliebiger Rechner ausgeben, auch als Domänencontroller. Genau das ermöglicht die Schwachstelle CVE-2026-54121, von den Entdeckern Certighost genannt. Seit dem 24. Juli 2026 liegt dafür ein funktionsfähiger Proof-of-Concept öffentlich vor.
Dieser Beitrag zeigt, wie Sie in wenigen Minuten prüfen, ob Sie betroffen sind, welche Sofortmaßnahmen greifen, was Sie tun können, wenn ein Update gerade nicht möglich ist, und wie Sie Ihre Zertifizierungsstelle dauerhaft so behandeln, wie sie es verdient: als Tier-0-System.
Das Wichtigste in 30 Sekunden
Was ist passiert? Microsoft hat CVE-2026-54121, genannt Certighost, am 14. Juli 2026 mit den Juli-Updates geschlossen. Am 24. Juli 2026 haben die Melder Aniq Fakhrul und Muhammad Ali einen vollständigen Exploit samt technischer Analyse veröffentlicht.
Wie schwer ist die Lücke? Microsoft bewertet sie mit CVSS 8.8 als kritische Fehlberechtigung. Ursprünglich stufte Microsoft die Ausnutzung als weniger wahrscheinlich ein, diese Einschätzung ist mit dem öffentlichen Exploit überholt.
Wer ist betroffen? Jede Umgebung mit einer eigenen Active-Directory-Zertifizierungsstelle im lokalen Active Directory. Reine Microsoft-365-Umgebungen ohne lokales AD sind vom Kern dieser Lücke nicht betroffen.
Was braucht der Angreifer? Ein gewöhnliches Domänenkonto und Netzwerkzugang. Keine Adminrechte, keine Nutzerinteraktion.
Wird sie ausgenutzt? Zum Stand der Recherche am 3. August 2026 lagen keine öffentlichen Berichte über Angriffe in freier Wildbahn vor. Das kann sich mit einem öffentlichen Exploit jederzeit ändern.
Ihr nächster Schritt: Klären, ob Sie eine Zertifizierungsstelle betreiben. Wenn ja: Juli-2026-Update prüfen und einspielen. Wenn das nicht sofort geht: den anfälligen Codepfad per Richtlinien-Flag deaktivieren.
Was ist eigentlich AD CS, und warum betrifft es Sie wahrscheinlich doch
Die Active Directory Certificate Services (AD CS, deutsch Active-Directory-Zertifikatdienste) sind eine Serverrolle von Windows Server. Sie machen aus Ihrem Unternehmen eine eigene kleine Zertifizierungsstelle: Sie stellen digitale Zertifikate aus, mit denen sich Geräte, Nutzer und Dienste gegenseitig ausweisen, Verbindungen verschlüsseln und Signaturen prüfen lassen.
Viele IT-Verantwortliche in kleineren Unternehmen gehen davon aus, das Thema betreffe sie nicht, weil sie keine PKI betreiben. Häufig gibt es die Zertifizierungsstelle trotzdem, weil ein anderes Projekt sie mitgebracht hat. Typische Auslöser:
WLAN mit Zertifikatsanmeldung über 802.1X und EAP-TLS statt WLAN-Passwort
VPN-Zugänge, die Gerätezertifikate voraussetzen
LDAPS, also verschlüsselter Verzeichniszugriff für Anwendungen
interne Webdienste, Intranet-Portale oder Management-Konsolen mit HTTPS
Gerätezertifikate für Notebooks, Drucker oder Telefonanlagen
Betroffenheits-Check: Haben wir eine Zertifizierungsstelle?
Öffnen Sie den Server-Manager auf Ihren Windows-Servern und prüfen Sie, ob die Rolle Active Directory-Zertifikatdienste installiert ist.
Prüfen Sie in der Verwaltungskonsole der Zertifizierungsstelle (certsrv.msc), ob eine Zertifizierungsstelle aktiv ist und Anträge bearbeitet.
Prüfen Sie, welche Zertifizierungsstellen im Verzeichnis veröffentlicht sind. Auch stillgelegte Stellen hinterlassen dort Spuren und werden von Clients weiterhin als vertrauenswürdig behandelt.
Fragen Sie Ihren IT-Dienstleister, ob im Rahmen älterer Projekte für WLAN, VPN oder LDAPS eine Zertifizierungsstelle eingerichtet wurde.
Klären Sie, und das ist erfahrungsgemäß der wichtigste Punkt: Wer ist heute für diesen Server zuständig, und wann wurde er zuletzt gepatcht?
Wenn Sie mindestens eine dieser Fragen mit ja oder weiß nicht beantworten, betrifft Sie dieser Beitrag.
Was Certighost technisch tut
Um Certighost zu verstehen, hilft ein Blick darauf, was die Zertifizierungsstelle bei einem Antrag tun muss: Sie prüft, wer da eigentlich anfragt. Dazu schaut sie im Verzeichnis nach dem zugehörigen Objekt.
In bestimmten Szenarien mit mehreren Domänencontrollern gibt es dafür einen optionalen Zusatzschritt: Die Zertifizierungsstelle darf bei einem anderen Host nachfragen, um das Objekt zu finden. Welcher Host das ist und nach welchem Prinzipal gesucht werden soll, kann der Antragsteller im Zertifikatsantrag über zwei Attribute mitgeben. Genau dieser Wegweiser lässt sich verbiegen.
| Schritt | Was der Angreifer tut | Was er dafür braucht | Ergebnis |
|---|---|---|---|
| 1 | Meldet sich mit einem normalen Domänenkonto an und legt ein eigenes Computerkonto an | Ein gültiges Domänenkonto sowie die Standardeinstellung, die Nutzern das Anlegen von Computerkonten erlaubt | Ein von ihm kontrollierter, gültiger Domänen-Prinzipal |
| 2 | Stellt einen Zertifikatsantrag, in dem er die Zusatzabfrage auf einen von ihm kontrollierten Host lenkt | Netzwerkzugang zur Zertifizierungsstelle | Die Zertifizierungsstelle fragt beim Angreifer-Host nach Identitätsdaten |
| 3 | Liefert die Identitätsdaten eines Domänencontrollers zurück | Der eigene Prinzipal aus Schritt 1 besteht die Prüfungen | Es wird ein Zertifikat ausgestellt, das den Domänencontroller ausweist |
| 4 | Meldet sich mit diesem Zertifikat als Domänencontroller an | Standard-Kerberos-Anmeldung per Zertifikat (PKINIT) | Kerberos-Anmeldeinformationen des Domänencontroller-Kontos |
| 5 | Nutzt die Replikationsrechte dieses Kontos | keine weiteren | Auslesen des zentralen Kerberos-Schlüssels der Domäne |
Vom Zertifikat zur kompletten Domäne
Der entscheidende Punkt für die Risikobewertung liegt in Schritt 4 und 5. Ein Zertifikat, das einen Domänencontroller ausweist, ist kein Zertifikatsproblem mehr, es ist ein Generalschlüssel.
PKINIT heißt die Standardfunktion, mit der sich ein Konto per Zertifikat statt per Passwort bei Kerberos anmelden kann. Sie ist kein Angriffswerkzeug, sondern normaler Betrieb, nur eben mit dem falschen Zertifikat.
Domänencontroller-Konten besitzen das Recht, Verzeichnisdaten zu replizieren. Wer sich als Domänencontroller ausgibt, darf also alle Passwort-Hashes abfragen.
Am Ende steht das Geheimnis des krbtgt-Kontos. Es ist der Hauptschlüssel für Kerberos in der Domäne. Wer ihn besitzt, kann sich beliebige Anmeldungen selbst ausstellen, auch nach einem Passwortwechsel und auch nach dem Patch. Genau deshalb ist ein solcher Vorfall so aufwendig zu bereinigen.
Das ist derselbe Mechanismus, der auch andere Angriffe auf das Active Directory so wirkungsvoll macht: nicht das spektakuläre Eindringen, sondern die stille Ausweitung vorhandener Rechte. Wie das über schwache Verschlüsselung funktioniert, haben wir am Beispiel der RC4-Härtung im Active Directory beschrieben.
Wie akut ist die Lage?
| Datum | Ereignis |
|---|---|
| Mai 2026 | Aniq Fakhrul und Muhammad Ali melden die Schwachstelle an Microsoft |
| 14. Juli 2026 | Microsoft veröffentlicht Sicherheitsupdates für betroffene Windows- und Windows-Server-Versionen, Einschätzung: Ausnutzung weniger wahrscheinlich |
| 24. Juli 2026 | Die Melder veröffentlichen einen vollständigen Proof-of-Concept samt technischer Analyse |
| 27. Juli 2026 | Fachberichterstattung, Microsoft Threat Intelligence warnt öffentlich und empfiehlt, die Juli-Updates priorisiert zu installieren |
| 28. Juli 2026 | Microsoft veröffentlicht einen eigenen Leitfaden zur Erkennung mit Microsoft Defender |
| 3. August 2026 | Stand der Recherche für diesen Beitrag: keine öffentlichen Berichte über Angriffe in freier Wildbahn |
Die Einordnung lautet also: kein Notfall, aber ein sich schließendes Zeitfenster. Zwischen einem öffentlichen Exploit und den ersten breit gestreuten Angriffsversuchen liegen erfahrungsgemäß Tage bis Wochen, bei der SharePoint-Angriffswelle im Juli 2026 waren es Stunden. Wer jetzt handelt, arbeitet präventiv. Wer wartet, arbeitet möglicherweise forensisch.
Sofortmaßnahmen: Was Sie in der nächsten Stunde tun
Für die Prüfung genügt in der Regel Leseberechtigung auf Serverrollen und Zertifizierungsstelle. Änderungen erfordern Administratorrechte auf dem CA-Server. Planen Sie ein kurzes Wartungsfenster ein, da der Zertifikatsdienst neu gestartet werden muss.
Zertifizierungsstellen inventarisieren. Alle Server mit der Rolle Active Directory-Zertifikatdienste erfassen, inklusive stillgelegter oder vergessener Systeme. Verantwortlichkeit je Server schriftlich festhalten.
Patchstand prüfen. Auf jedem CA-Server kontrollieren, ob die Sicherheitsupdates vom 14. Juli 2026 installiert sind. Achtung: CA-Server werden häufig aus automatischen Wartungsfenstern ausgenommen, weil sie nicht angefasst werden dürfen. Genau dort fehlen die Updates.
Fehlende Updates einspielen. Priorität wie bei einem Domänencontroller, also vor Arbeitsplatzrechnern und vor Anwendungsservern.
Wenn ein sofortiges Update nicht möglich ist: den anfälligen Codepfad deaktivieren, siehe nächster Abschnitt.
Erkennung aktivieren. Prüfen, ob Microsoft Defender auf den CA-Servern aktiv ist und ob die zugehörigen Alarme sichtbar sind.
Zertifikatsanträge der letzten Wochen sichten. Auffällig sind Anträge, die Zertifikate für Computerkonten ausstellen, ohne dass ein Projekt dazu passt, insbesondere Anträge mit Bezug zu Domänencontrollern.
Ergebnis dokumentieren. Wer betroffen war, was getan wurde, wann. Diese Dokumentation brauchen Sie ohnehin, für die eigene Nachvollziehbarkeit und, falls Sie unter NIS2 fallen, als Nachweis eines funktionierenden Schwachstellenmanagements.
Wenn Sie jetzt nicht patchen können
Die betroffene Funktion ist ein optionaler Zusatzschritt, kein Kernbestandteil der Zertifikatsausstellung. Sie lässt sich daher gezielt abschalten. Die Melder beschreiben dafür einen Weg über die Richtlinien-Konfiguration der Zertifizierungsstelle mit dem Werkzeug certutil, anschließend muss der Zertifikatsdienst neu gestartet werden.
Den konkreten Befehl nennen wir hier bewusst nicht: Er stammt aus der Forscher-Veröffentlichung und ist in unserer Umgebung nicht verifiziert. Ein fehlerhaftes Richtlinien-Flag auf einer Zertifizierungsstelle richtet mehr Schaden an als die Lücke selbst. Die Syntax finden Sie in der certutil-Dokumentation von Microsoft sowie in den unten verlinkten Quellen. Wenn Sie unsicher sind, sprechen Sie uns an, statt auf einem Tier-0-System zu experimentieren.
Behandeln Sie diesen Weg als Übergangslösung mit Ablaufdatum, nicht als Ersatz für das Update. Notieren Sie Datum, betroffenen Server und geplanten Patchtermin.
Härten statt nur patchen: AD CS als Tier-0-System behandeln
Certighost ist nicht die erste Schwachstelle in den Zertifikatsdiensten und wird nicht die letzte sein. Der eigentliche Hebel liegt darin, die Zertifizierungsstelle künftig so zu schützen wie einen Domänencontroller. Microsoft empfiehlt ausdrücklich, AD-CS-Server als Tier-0-Systeme zu behandeln.
Tier 0 bezeichnet dabei die Systeme, deren Kompromittierung gleichbedeutend mit der Kompromittierung der gesamten Umgebung ist: Domänencontroller, Zertifizierungsstellen, Identitäts- und Management-Systeme. Der Gedanke ist einfach: Diese Systeme werden nicht nebenbei verwaltet.
| Maßnahme | Wirkung | Aufwand | Priorität |
|---|---|---|---|
| Juli-2026-Updates auf allen CA-Servern einspielen | Schließt Certighost | Niedrig | Sofort |
| CA-Server in das reguläre Patch- und Monitoring-Regime aufnehmen | Verhindert die Wiederholung des Grundproblems vergessener Server | Niedrig | Sofort |
| Ungenutzte Zertifikatsvorlagen deaktivieren | Reduziert die Angriffsfläche deutlich, viele Vorlagen stammen aus abgeschlossenen Projekten | Mittel | Hoch |
| Enrollment-Rechte einschränken, also wer welche Vorlage beantragen darf | Verhindert, dass beliebige Nutzer sensible Zertifikatstypen anfordern | Mittel | Hoch |
| Zertifizierungsstelle auf einem dedizierten Server betreiben, nicht zusammen mit Datei- oder Anwendungsdiensten | Trennt Tier 0 von alltäglicher Angriffsfläche | Hoch | Mittel |
| Anzahl der Konten mit Adminrechten auf CA-Servern reduzieren | Weniger Wege zur Kompromittierung | Mittel | Hoch |
| Möglichkeit für normale Nutzer einschränken, Computerkonten anzulegen | Entzieht dieser und ähnlichen Angriffsketten eine Voraussetzung | Mittel | Hoch |
| Überwachung der Zertifikatsausstellung einrichten, etwa mit dem AD-CS-Sensor von Defender for Identity | Auffällige Anträge werden sichtbar, statt unbemerkt zu bleiben | Mittel | Hoch |
| Stillgelegte Zertifizierungsstellen ordentlich außer Betrieb nehmen | Entfernt vertrauenswürdige Aussteller, die niemand mehr pflegt | Mittel | Mittel |
| Regelmäßiges Active-Directory-Audit etablieren | Findet solche Altlasten, bevor eine Schwachstelle sie findet | Niedrig, extern | Hoch |
Die letzte Zeile ist keine Marketingzeile, sondern die praktische Konsequenz aus allen darüberliegenden: Die meisten dieser Punkte scheitern nicht an Technik, sondern daran, dass niemand einen vollständigen Überblick hat. Genau diese Bestandsaufnahme leistet ein Active Directory Audit.
Woran Sie einen Angriff erkennen
Erkennung ist bei dieser Lücke besonders wichtig, weil der Angriff aus lauter legitimen Einzelschritten besteht: ein Zertifikatsantrag, eine Kerberos-Anmeldung, eine Verzeichnisreplikation. Auffällig ist erst die Kombination.
Microsoft Defender meldet Ausnutzungsversuche mit einem eigenen Alarm zu Certighost sowie mit Hinweisen auf Aktivität typischer Angriffswerkzeuge gegen die Zertifikatsdienste.
Der AD-CS-Sensor von Microsoft Defender for Identity überwacht Zertifizierungsstellen gezielt: verdächtige Zertifikatsausstellungen, Änderungen an der Audit-Konfiguration, gelöschte Einträge in der Zertifikatsdatenbank. Microsoft weist zusätzlich auf die Sicherheitsbewertung zu nicht überwachten AD-CS-Servern hin, sie zeigt Ihnen, welche CA-Server überhaupt nicht überwacht werden.
Zertifikatsantrags-Protokolle der Zertifizierungsstelle: Zertifikate für Computerkonten ohne passenden Anlass, ungewöhnliche Antragszeitpunkte, Anträge von Konten, die üblicherweise keine Zertifikate beantragen.
Anmelde- und Replikationsereignisse auf Domänencontrollern: Replikationsanfragen von Systemen, die keine Domänencontroller sind.
Wenn Ihnen die laufende Auswertung solcher Signale fehlt, ist genau das der Zweck von Microsoft Defender XDR im Managed Service: Die Alarme entstehen ohnehin, jemand muss sie nur sehen und bewerten.
Typische Fehler
Die Zertifizierungsstelle läuft auf einem Mehrzweckserver. Datei- oder Anwendungsdienste auf demselben System bringen Angriffsfläche mit, die auf einem Tier-0-System nichts zu suchen hat.
Alle Nutzer dürfen alles beantragen. Enrollment-Rechte werden bei der Einrichtung großzügig gesetzt und danach nie geprüft.
Vorlagen aus abgeschlossenen Projekten bleiben aktiv. Jede ungenutzte Zertifikatsvorlage ist ein Weg, der nicht gebraucht wird.
Niemand ist zuständig. Die Zertifizierungsstelle hat der Dienstleister vor sieben Jahren eingerichtet, lautet die häufigste und teuerste Antwort.
Kein Monitoring. Ohne Überwachung der Zertifikatsausstellung fällt ein Missbrauch schlicht nicht auf.
Der Patch gilt als Abschluss. Er schließt diese Lücke. Er ändert nichts daran, dass die Zertifizierungsstelle morgen wieder ungepatcht sein wird, wenn sie nicht in den regulären Prozess kommt.
Häufige Fragen zu Certighost und AD CS
Nein. Die Lücke betrifft die Active Directory Certificate Services im lokalen Active Directory. Reine Cloud-Umgebungen ohne lokales AD und ohne eigene Zertifizierungsstelle sind vom Kern dieser Schwachstelle nicht betroffen. In hybriden Umgebungen sollten Sie dennoch prüfen, ob eine Zertifizierungsstelle vorhanden ist.
Über die installierten Serverrollen, dort heißt sie Active Directory-Zertifikatdienste, über die Verwaltungskonsole certsrv.msc und über die im Verzeichnis veröffentlichten Zertifizierungsstellen. Häufig läuft die Zertifizierungsstelle auf einem älteren Windows Server, der aus einem WLAN- oder VPN-Projekt stammt.
Für diese Schwachstelle ja: Das Update prüft das Ziel der Zusatzabfrage, bevor sie ausgeführt wird. Die grundsätzliche Härtung der Zertifizierungsstelle, also Vorlagen, Rechte und Überwachung, sollten Sie unabhängig davon angehen.
Zum Stand der Recherche am 3. August 2026 lagen keine öffentlichen Berichte über Angriffe in freier Wildbahn vor. Da ein funktionsfähiger Exploit öffentlich verfügbar ist, kann sich das kurzfristig ändern. Den aktuellen Stand prüfen Sie im Microsoft Security Update Guide und im KEV-Katalog der US-Behörde CISA.
Nein. Ein gewöhnliches Domänenkonto mit Netzwerkzugang genügt, Nutzerinteraktion ist nicht erforderlich. Genau das macht die Lücke unangenehm: Ein einzelnes erfolgreiches Phishing genügt als Ausgangspunkt.
Auch die Übergangslösung erfordert einen Neustart des Zertifikatsdienstes. Planen Sie ein kurzes Wartungsfenster ein. Der Ausfall betrifft die Ausstellung neuer Zertifikate, nicht die Gültigkeit bereits ausgestellter.
Über die Defender-Alarme zu Certighost, den AD-CS-Sensor von Defender for Identity und die Zertifikatsantrags-Protokolle der Zertifizierungsstelle. Auffällig sind Zertifikate für Computerkonten ohne passenden Anlass.
Fazit und nächste Schritte
Certighost ist ein guter Anlass, eine unbequeme Frage zu stellen: Welche Systeme in Ihrem Netzwerk sind eigentlich Tier 0, und wer kümmert sich um sie? Die Zertifizierungsstelle steht in dieser Liste meist zu Recht ganz oben und wird trotzdem am seltensten angefasst.
Sofort: Zertifizierungsstellen inventarisieren und Patchstand der Juli-2026-Updates prüfen. Fehlt das Update und ist es kurzfristig nicht einspielbar, den anfälligen Codepfad deaktivieren.
Diese Woche: Zertifikatsvorlagen und Enrollment-Rechte aufräumen, Überwachung der Zertifikatsausstellung einrichten, Zuständigkeit für die Zertifizierungsstelle schriftlich festhalten.
Strategisch: Tier-0-Systeme in ein wiederkehrendes Prüfregime überführen, also Patchstand, Rechte, Überwachung und Dokumentation.
Für die Angriffssicht bietet sich ein Pentest an, für die laufende Auswertung von Sicherheitsalarmen Microsoft Defender XDR im Managed Service. Wenn es akut ist: unsere IT-Notfallhilfe ist rund um die Uhr erreichbar. Kommende Termine finden Sie in unserer Webinar-Übersicht.
Quellen
Microsoft Security Update Guide, CVE-2026-54121, Schwachstellenbeschreibung, betroffene Produkte und Updates, 14.07.2026
Microsoft Tech Community: Detecting CVE-2026-54121 (Certighost) with Microsoft Defender, 28.07.2026
Microsoft Learn: Security Assessment, Unmonitored ADCS servers
CISA Known Exploited Vulnerabilities Catalog, zum Abgleich des aktuellen Ausnutzungsstatus
Help Net Security: PoC exploit released for critical AD CS domain-takeover flaw, 27.07.2026
heise online zur Certighost-Warnung von Microsoft, Juli 2026
Vergessene Tier-0-Systeme sichtbar machen
Unsicher, welche Zertifizierungsstellen, Dienstkonten und Altlasten in Ihrem Active Directory tatsächlich existieren? Unser Active Directory Audit nimmt Ihre Umgebung strukturiert auf und priorisiert die Befunde, bevor eine Schwachstelle diese Arbeit für Sie erledigt.
