So fügen Sie lokale MFA für Windows Server hinzu

Windows Server-Umgebungen sind weiterhin ein Hauptziel für Ransomware, Anmeldeinformationsdiebstahl und laterale Bewegungsangriffe, vor allem weil Remote Desktop Protocol (RDP) und Active Directory standardmäßig auf passwortbasierter Authentifizierung beruhen.

Sobald ein Angreifer Zugriff auf einen einzigen Satz von Anmeldeinformationen erlangt hat, kann er sich systemübergreifend bewegen, seine Berechtigungen ausweiten und kritische Infrastrukturen gefährden. Daher ist die Multi-Faktor-Authentifizierung nicht länger optional, sondern eine grundlegende Sicherheitsanforderung für jedes Unternehmen, das Windows Server lokal betreibt.

Die Implementierung einer lokalen Multi-Faktor-Authentifizierung (MFA) für Windows Server fügt Domänenanmeldungen, RDP-Sitzungen und dem administrativen Zugriff eine wichtige Verifizierungsebene hinzu. Im Gegensatz zu Cloud-Plattformen bietet Windows Server jedoch keinen vollständig nativen, eigenständigen MFA-Mechanismus für alle Anmeldeszenarien. Unternehmen müssen daher den für ihre Architektur passenden Ansatz wählen, der auch ohne Internetverbindung funktioniert.

Was ist On-Prem MFA für Windows Server?

Eine On-Premise -MFA-Lösung ist eine Multi-Faktor-Authentifizierungslösung, bei der der Authentifizierungsprozess innerhalb Ihrer lokalen Infrastruktur abgewickelt und direkt in Active Directory integriert wird, anstatt sich vollständig auf einen Cloud-Identitätsanbieter zu verlassen.

In einer typischen Windows Server-Umgebung wird es zur Sicherung folgender Punkte verwendet:

• Remote Desktop (RDP)-Zugriff
• Active Directory-Benutzeranmeldungen
• Domänenadministratorsitzungen
• VPN-Authentifizierung
• Lokaler Konsolenzugriff

Eine vollständige Active Directory MFA-Lösung für lokale Anwendungen umfasst einen Authentifizierungsserver oder -agenten, eine Zwei-Faktor-Methode wie Push-Benachrichtigung , Einmalpasswort (OTP) oder Hardware-Token sowie Richtliniensteuerungen, die festlegen, wann MFA erforderlich ist.

Dieser Ansatz wird häufig von Organisationen angewendet, die:

• Erfordern Datenresidenz und Infrastrukturkontrolle
• Betrieb in Netzwerken mit geringer Konnektivität oder isolierten Netzwerken
• Für interne Serveranmeldungen ist eine Multi-Faktor-Authentifizierung erforderlich.
• Muss regulatorischen oder Cyberversicherungsanforderungen entsprechen

Die lokale Windows Server MFA stellt sicher, dass selbst wenn ein Angreifer ein Passwort stiehlt, der Zugriff auf kritische Systeme ohne den zweiten Authentifizierungsfaktor nicht gewährt werden kann.

Kurzvergleich: Alle Möglichkeiten, MFA zu Windows Server hinzuzufügen

Methode 1: Microsoft Entra MFA mit NPS-Erweiterung

Dies ist der am weitesten verbreitete Ansatz, um MFA in extern zugängliche RDP-Umgebungen einzuführen und gleichzeitig das lokale Active Directory weiterhin zu nutzen.

Funktionsweise

1. Der Benutzer initiiert eine RDP-Verbindung über das RD-Gateway.
2. Das RD-Gateway leitet die Authentifizierungsanfrage an den NPS-Server weiter.
3. NPS validiert Benutzernamen und Passwort anhand von Active Directory.
4. Die NPS-Erweiterung sendet die MFA-Anfrage an Microsoft Entra ID.
5. Der Benutzer gibt den zweiten Faktor an.
6. Der Zugriff auf den Windows-Server wurde gewährt.

Diese Methode schützt RDP-Sitzungen, ohne den Windows-Anmeldeprozess zu verändern.

Voraussetzungen:

• Active Directory-Domänendienste
• Microsoft Entra ID-Mandant mit aktivierter Multi-Faktor-Authentifizierung
• Azure AD Connect für die Identitätssynchronisierung
• Netzwerkrichtlinienserver auf einem Mitgliedsserver installiert
• RD-Gateway-Rolle konfiguriert

Schritt-für-Schritt-Konfiguration

Schritt 1 – Identitäten synchronisieren:

Installieren Sie Azure AD Connect und synchronisieren Sie die lokalen AD-Benutzer mit Entra ID.

Schritt 2 – NPS-Rolle installieren:

Fügen Sie die Rolle „Netzwerkrichtlinien- und Zugriffsdienste“ auf einem Mitgliedsserver hinzu (installieren Sie sie nicht auf einem Domänencontroller).

Schritt 3 – NPS-Erweiterung für Entra MFA installieren:

Laden Sie die Erweiterung herunter, installieren Sie sie und registrieren Sie sie mithilfe des Konfigurations-PowerShell-Skripts bei Ihrem Entra-Mandanten.

Schritt 4 – RD-Gateway-Richtlinien konfigurieren:

Konfigurieren Sie das RD-Gateway so, dass der NPS-Server zur Verbindungsautorisierung verwendet wird.

Schritt 5 – RADIUS-Clients konfigurieren:

Fügen Sie das RD-Gateway als RADIUS-Client in NPS hinzu.

Schritt 6 – Testen Sie den Authentifizierungsablauf:

Überprüfen Sie, ob RDP-Anmeldungen den zweiten Faktor auslösen.

Vorteile

• Native Microsoft-Integration
• Hohe Sicherheit für internetseitige RDP-Verbindungen
• Zentralisierte MFA-Richtlinien in Entra ID
• Auf den Zielservern ist kein Agent erforderlich.

Einschränkungen

• Erfordert eine Internetverbindung
• Sichert keine Konsolenanmeldungen
• Erfordert RD-Gateway-Architektur
• Kein vollständig lokaler MFA-Ablauf

Beste Anwendungsfälle

• Hybride Identitätsumgebungen
• Sicherung des externen RDP-Zugriffs
• Organisationen, die bereits Microsoft Entra verwenden

Methode 2: AD FS mit MFA-Adapter

Active Directory Federation Services ermöglicht die Durchsetzung der Multi-Faktor-Authentifizierung (MFA) während der Authentifizierung mithilfe eines registrierten MFA-Adapters.

Funktionsweise

1. Der Benutzer authentifiziert sich bei AD FS.
2. AD FS validiert Anmeldeinformationen anhand von Active Directory.
3. Der MFA-Adapter löst den zweiten Faktor aus.
4. Der Zugriff wird nach erfolgreicher Verifizierung gewährt.

Diese Methode wird häufig verwendet, wenn AD FS bereits für die Anwendungsföderation eingesetzt wird.

Bereitstellungsablauf

Schritt 1 – AD FS installieren und konfigurieren:

Stellen Sie AD FS mit den entsprechenden Zertifikaten bereit und stellen Sie eine Vertrauensstellung mit Active Directory her.

Schritt 2 – MFA-Adapter registrieren:

Installieren und registrieren Sie den MFA-Anbieter auf dem AD FS-Server.

Schritt 3 – Globale Authentifizierungsrichtlinie konfigurieren:

Aktivieren Sie die Multi-Faktor-Authentifizierung für den Intranet- und/oder Extranet-Zugriff.

Schritt 4 – Zugriffskontrollrichtlinien definieren:

Geben Sie an, welche Benutzer oder Anwendungen die Multi-Faktor-Authentifizierung (MFA) erfordern.

Schritt 5 – Authentifizierungsszenarien testen:

Überprüfung des internen und externen Zugriffs.

Vorteile

• Vollständig kontrollierbar innerhalb der On-Premise-Infrastruktur
• Funktioniert mit föderierten Anwendungen
• Flexible, auf Richtlinien basierende Durchsetzung

Einschränkungen

• Komplexe Infrastruktur
• Nicht für die direkte Anmeldung an der Windows Server-Konsole vorgesehen.
• Erfordert Fachkenntnisse und Wartung im Bereich AD FS.

Beste Anwendungsfälle

• Organisationen mit bestehender AD FS-Implementierung
• MFA für föderierte Anwendungen und Dienste
• Compliance-gesteuerte Umgebungen

Methode 3: Drittanbieter-MFA-Anmeldeinformationsanbieter für die Windows Server-Anmeldung

Dies ist die umfassendste Methode zur Implementierung von Active Directory MFA lokal, da sie beides schützt:

• RDP-Sitzungen
• Lokale Konsolenanmeldungen

ohne dass ein RD-Gateway oder eine Föderation erforderlich ist.

Funktionsweise

1. Auf dem Windows Server ist ein MFA-Anmeldeinformationsanbieter installiert.
2. Beim Login fängt der Provider die Authentifizierungsanfrage ab.
3. Benutzername und Passwort werden anhand von Active Directory validiert.
4. Die zweite Faktorprüfung wird ausgelöst.
5. Die Sitzung beginnt erst nach erfolgreicher Verifizierung.

Bereitstellungsarchitektur

Ein typischer Einsatz umfasst:

• MFA-Server oder -Dienst (lokal oder hybrid)
• AD-Integration mittels LDAP/LDAPS
• Richtlinienmodul für die Zugriffskontrolle
• Benutzer-Selbstbedienungsportal für die Registrierung
• Redundante Knoten für hohe Verfügbarkeit

Schritt-für-Schritt-Implementierung

Schritt 1 – MFA-Server installieren:

Implementieren Sie den MFA-Authentifizierungsserver in Ihrem Rechenzentrum.

Schritt 2 – Integration mit Active Directory:

LDAP/LDAPS-Synchronisierung für Benutzer und Gruppen konfigurieren.

Schritt 3 – Windows-Anmeldeagent installieren:

Den Anmeldeinformationsanbieter auf den Ziel-Windows-Servern bereitstellen.

Schritt 4 – Authentifizierungsrichtlinien definieren:

Multi-Faktor-Authentifizierung für RDP-, Konsolen- und privilegierte Benutzer anwenden.

Schritt 5 – Benutzer registrieren:

Nutzer registrieren ihren zweiten Faktor:

• Push-Benachrichtigung
• TOTP
• Hardware-Token
• Biometrische Daten (sofern unterstützt).

Schritt 6 – Hochverfügbarkeit konfigurieren:

Um Single Points of Failure zu vermeiden, sollten sekundäre MFA-Server eingesetzt werden.

Vorteile

• Funktioniert sowohl für RDP- als auch für Konsolenzugriff
• Option für eine vollständige On-Premise-Bereitstellung
• Offline-MFA-Unterstützung
• Keine Abhängigkeit vom RD-Gateway
• Granulare Richtlinienkontrolle

Einschränkungen

• Erfordert die Installation eines Agenten auf den Servern
• Erste Bereitstellungsplanung für Redundanz

Beste Anwendungsfälle

• Sicherung des internen Serverzugriffs
• Schutz der Domänenadministrator-Logins
• Umgebungen mit eingeschränkter oder keiner Internetverbindung
• Regulatorische Anforderungen und Anforderungen an den Datenspeicherort

miniOrange für Windows Server MFA

miniOrange bietet eine einheitliche MFA-Plattform, die sich direkt in Active Directory integriert und Windows Server MFA für Anmeldungen, RDP-Sitzungen und administrative Zugriffe ermöglicht. Sie unterstützt vollständig lokale, hybride und hochverfügbare Bereitstellungen und bietet mehrere Authentifizierungsmethoden sowie eine zentrale Richtlinienverwaltung.

Methode 4: Windows Hello for Business

Windows Hello for Business ist Microsofts Framework für passwortlose Authentifizierung, das Folgendes verwendet:

• Ein gerätegebundener privater Schlüssel
• Eine Benutzergeste (PIN oder biometrische Daten)

Zusammen bilden diese eine aussagekräftige, mehrstufige Qualifikationsnachweis.

Funktionsweise

1. Der Benutzer meldet sich mit einem vertrauenswürdigen Gerät an.
2. Der im TPM gespeicherte private Schlüssel dient der Authentifizierung.
3. Die PIN oder die biometrischen Daten entriegeln den Schlüssel.
4. Active Directory oder Entra validiert die Anmeldeinformationen.

Bereitstellungsmodelle

Nur Cloud – Verwendet Entra ID

Hybrid – Funktioniert mit On-Premise AD + Entra

Lokal – Erfordert AD CS und PKI

Anforderungen an die Infrastruktur

• Public-Key-Infrastruktur (PKI)
• TPM-fähige Endpunkte
• Geräteregistrierung
• Gruppenrichtlinien- oder Intune-Konfiguration

Vorteile

• Eliminiert Passwörter
• Phishing-resistente Authentifizierung
• Nahtlose Benutzererfahrung
• Keine externe MFA-Aufforderung

Einschränkungen

• Funktioniert nur auf unterstützten Geräten
• Nicht ideal für gemeinsam genutzte Server
• Erfordert eine sorgfältige Planung für ein lokales PKI-Modell

Beste Anwendungsfälle

• Verwaltete Workstation-Anmeldungen
• Passwortlose Strategie
• Moderne Identitätsimplementierungen

Häufige Fehler bei der Bereitstellung von MFA auf Windows Server

Die Multi-Faktor-Authentifizierung (MFA) erhöht die Sicherheit von Windows Servern erheblich. Eine fehlerhafte Implementierung kann jedoch zu Betriebsstörungen führen oder kritische Zugriffspfade ungeschützt lassen. Sorgfältige Planung ist daher unerlässlich, um sicherzustellen, dass MFA RDP-Zugriffe, Administratorkonten und Serveranmeldungen schützt, ohne wichtige Dienste oder den Wiederherstellungszugriff für Administratoren zu beeinträchtigen.

Installation von NPS auf einem Domänencontroller

Die direkte Platzierung des Netzwerkrichtlinienservers (NPS) auf einem Domänencontroller erhöht die Angriffsfläche Ihrer kritischsten Identitätsinfrastruktur. Wird die NPS-Rolle kompromittiert, kann dies direkte Auswirkungen auf Active Directory haben. Stellen Sie den NPS daher immer auf einem dedizierten Mitgliedsserver bereit und beschränken Sie dessen Zugriff mithilfe von Netzwerksegmentierung und dem Prinzip der minimalen Berechtigungen.

Keine Planung für Offline-Authentifizierungsszenarien

Viele Organisationen setzen bei der Implementierung von MFA auf eine unterbrechungsfreie Internetverbindung. In der Praxis können Netzwerkausfälle, isolierte Server oder Disaster-Recovery-Szenarien die Cloud-Verifizierung blockieren und Administratoren am Anmelden hindern. Eine korrekte On-Premise-MFA-Implementierung muss daher Offline-Authentifizierungsmethoden wie die Validierung zwischengespeicherter Einmalpasswörter (OTP) oder lokal verfügbare Authentifizierungsserver unterstützen.

Benutzername stimmt nicht zwischen AD- und MFA-Identitätsspeicher überein

Fehler bei der Multi-Faktor-Authentifizierung (MFA) treten häufig auf, wenn das Benutzernamenformat in Active Directory nicht mit der von der MFA-Lösung verwendeten Identität übereinstimmt. Unterschiede bei UPN, sAMAccountName oder E-Mail-basierten Anmeldungen können Authentifizierungsabläufe unterbrechen. Die Standardisierung von Identitätsattributen und die Validierung von Synchronisierungsregeln vor der Implementierung verhindern Anmeldeunterbrechungen.

Keine Hochverfügbarkeit für MFA-Server

Der Einsatz eines einzelnen MFA-Servers stellt einen Single Point of Failure dar. Fällt der Authentifizierungsdienst aus, können Administratoren von kritischen Systemen ausgesperrt werden. Produktionsumgebungen sollten daher stets redundante MFA-Server, Lastverteilung und Failover-Tests umfassen, um einen unterbrechungsfreien Zugriff zu gewährleisten.

Schwacher Benutzerregistrierungs- und Wiederherstellungsprozess

Ein schlecht konzipierter Registrierungsprozess führt zu unvollständigen Registrierungen, Benutzersperrungen und einem Anstieg der Helpdesk-Anfragen. Unternehmen müssen ein sicheres Self-Service-Registrierungsportal bereitstellen, mehrere Authentifizierungsmethoden pro Benutzer ermöglichen und robuste Wiederherstellungsmechanismen definieren, die die MFA-Sicherheitskontrollen nicht umgehen.

Bewährte Sicherheitspraktiken für MFA-Server

Die Implementierung von MFA verbessert die Serversicherheit, doch ein starker Schutz erfordert eine korrekte Konfiguration und entsprechende Betriebskontrollen. Die Einhaltung bewährter Sicherheitspraktiken trägt dazu bei, dass MFA Windows Server-Zugriffspunkte und Administratorkonten zuverlässig schützt.

MFA-Infrastruktur von zentralen Identitätssystemen isolieren

MFA-Server sollten nicht auf Domänencontrollern oder kritischen Anwendungsservern installiert werden. Sie sollten auf gehärteten, dedizierten Systemen mit eingeschränkter ein- und ausgehender Kommunikation bereitgestellt werden. Dies reduziert das Risiko einer lateralen Ausbreitung, falls ein anderer Server in der Umgebung kompromittiert wird.

Verwenden Sie die am wenigsten privilegierten Servicekonten.

Das für die Integration von MFA in Active Directory verwendete Dienstkonto sollte lediglich über die erforderlichen Leseberechtigungen verfügen. Vermeiden Sie die Verwendung von Domänenadministratorkonten für LDAP- oder Synchronisierungsaufgaben. Dadurch wird das Risiko einer möglichen Sicherheitslücke im MFA-Dienst minimiert.

Phishing-resistente Authentifizierungsfaktoren erzwingen

Nicht alle Zwei-Faktor-Authentifizierungsverfahren bieten das gleiche Sicherheitsniveau. Push-Genehmigungen mit Nummernabgleich, FIDO-basierte Verfahren und Biometrie bieten einen stärkeren Schutz als SMS-basierte Einmalpasswörter (OTP). Die Auswahl sicherer Authentifizierungsmethoden in einer phishingresistenten MFA-Lösung ist unerlässlich, um den privilegierten Zugriff auf Windows-Server zu schützen.

Überwachen und protokollieren Sie alle Authentifizierungsereignisse

MFA-Protokolle liefern wichtige Einblicke in Anmeldeversuche, die Durchsetzung von Richtlinien und verdächtiges Verhalten. Leiten Sie Authentifizierungsprotokolle an ein SIEM- oder zentrales Überwachungssystem weiter, um Folgendes zu erkennen:

• Wiederholte MFA-Ablehnungen
• Anmeldeversuche von ungewöhnlichen Standorten
• Umgehungsversuche
• Zugriffsmuster für privilegierte Konten

Dies verbessert sowohl die Reaktion auf Sicherheitsvorfälle als auch das Compliance-Reporting.

Regelmäßige Tests der Notfallwiederherstellung

Hohe Verfügbarkeit sollte nicht länger eine bloße Designannahme bleiben. Simulieren Sie Ausfälle des primären MFA-Servers, testen Sie Backup-Authentifizierungsknoten und validieren Sie Offline-Anmeldeverfahren. So stellen Sie sicher, dass Administratoren auch während realer Vorfälle auf Windows-Server zugreifen können, ohne die MFA deaktivieren zu müssen.

Fazit

Die Absicherung von Windows Server mit lokaler Multi-Faktor-Authentifizierung (MFA) ist eine der effektivsten Methoden, um unberechtigten Zugriff zu verhindern, Active Directory zu schützen und die Verbreitung von Ransomware im Netzwerk zu stoppen. Die geeignete Vorgehensweise hängt von Ihrer Infrastruktur, Ihren Verbindungsanforderungen und den zu schützenden Anmeldedaten ab.

Durch die Vermeidung häufiger Implementierungsfehler und die Einhaltung bewährter Sicherheitspraktiken wie Hochverfügbarkeit, Identitätsstandardisierung, Infrastrukturisolation und starke Authentifizierungsmethoden können Unternehmen eine robuste MFA-Architektur aufbauen, die auch in Offline- oder Notfallwiederherstellungsszenarien funktioniert.

Eine moderne Lösung wie miniOrange ermöglicht die zentrale Richtliniensteuerung, mehrere Bereitstellungsmodelle und die sichere Durchsetzung der Multi-Faktor-Authentifizierung für die Windows-Anmeldung, ohne bestehende Active Directory-Workflows zu stören.

Häufig gestellte Fragen

Unterstützt Windows Server MFA nativ?

Nein. Windows Server bietet keinen vollständig nativen, eigenständigen MFA-Mechanismus für RDP- oder Konsolenanmeldungen. Sie müssen Microsoft Entra MFA, AD FS mit einem MFA-Adapter, Windows Hello for Business oder eine in Active Directory integrierte Drittanbieterlösung verwenden.

Kann ich die Multi-Faktor-Authentifizierung für die lokale Windows-Anmeldung aktivieren?

Ja. Die Multi-Faktor-Authentifizierung (MFA) für lokale oder interaktive Anmeldungen kann mithilfe eines Anmeldeinformationsanbieters aktiviert werden, der sich direkt in den Windows-Anmeldeprozess integriert und die Benutzer anhand von Active Directory validiert, bevor der Zugriff gewährt wird.

Wie lässt sich Active Directory MFA am besten lokal implementieren?

Die umfassendste Methode ist der Einsatz einer MFA-Lösung, die sich in Active Directory integriert und sowohl RDP- als auch Konsolenanmeldungen schützt, ohne auf ein RD-Gateway oder eine ständige Internetverbindung angewiesen zu sein.

Ist NPS MFA sicher?

Ja, bei korrekter Implementierung hinter einem RD-Gateway mit gehärteten Netzwerkrichtlinien, dedizierten Servern und kontinuierlicher Überwachung. Es schützt jedoch primär den externen RDP-Zugriff und sichert keine lokalen Serveranmeldungen.

Kann eine lokale Multi-Faktor-Authentifizierung ohne Internetzugang funktionieren?

Ja. Viele lokale MFA-Lösungen unterstützen die Offline-Authentifizierung mittels lokal validierter OTPs, zwischengespeicherter Richtlinien oder lokaler Authentifizierungsserver und gewährleisten so den Zugriff auch bei Netzwerkausfällen.

Welche Ports werden für MFA-Server benötigt?

Die Portanforderungen hängen von der MFA-Lösung und der Integrationsmethode ab. Häufig verwendete Ports sind LDAP oder LDAPS für die Active Directory-Kommunikation, RADIUS für Authentifizierungsanfragen und HTTPS für Verwaltungsportale und die Benutzerregistrierung.