NTLM ist eines der hartnäckigsten Legacy-Themen in Windows-Netzwerken. Viele Unternehmen nutzen längst Kerberos, moderne Windows-Versionen und aktuelle Server – trotzdem taucht NTLM weiter auf, sobald Namensauflösung, Service Principal Names, alte Anwendungen oder technische Konten nicht sauber konfiguriert sind. Genau dieses Fallback-Verhalten macht NTLM sicherheitsrelevant.
Microsoft hat NTLMv1 aus Windows Server 2025 entfernt und NTLMv2 als veraltet eingestuft. NTLMv2 funktioniert weiterhin, soll aber in einer zukünftigen Windows-Server-Version entfernt werden. Der Grund ist nicht, dass jede NTLM-Anmeldung automatisch unsicher wäre. Das Problem ist, dass NTLM im Vergleich zu Kerberos weniger starke Serveridentität bietet und dadurch bestimmte Angriffsklassen erleichtert.
Wie Angreifer NTLM ausnutzen
Ein typisches Angriffsmuster beginnt nicht damit, dass jemand ein Passwort kennt. Stattdessen versucht ein Angreifer, ein Windows-System dazu zu bringen, sich an einem unerwarteten Ziel per NTLM zu authentifizieren. Gelingt das, kann die resultierende Authentifizierung in schlecht gehärteten Umgebungen gegen andere Dienste weitergereicht werden. Dieses Prinzip wird als NTLM Relay bezeichnet.
Ein zweites Risiko ist Pass-the-Hash. In bestimmten Windows-Authentifizierungsszenarien kann ein gestohlener NT-Hash ausreichen, um sich gegenüber einem Dienst auszuweisen, ohne das ursprüngliche Klartextpasswort zu kennen. Deshalb sind Credential Guard, Schutz privilegierter Konten, Segmentierung und das Vermeiden unnötiger NTLM-Pfade so wichtig.
Das dritte Problem ist der unbemerkte Fallback. Ein Benutzer denkt, er verwendet einen normalen SMB- oder Applikationszugriff, tatsächlich fällt die Verbindung wegen eines IP-Zugriffs, eines problematischen Alias, eines fehlenden SPN oder einer alten Anwendung auf NTLM zurück. Microsoft weist ausdrücklich darauf hin, dass beispielsweise Verbindungen über IP-Adressen oder ungeeignete CNAME-Konfigurationen Kerberos verhindern können.
Warum SMB Signing so wichtig ist
SMB Signing schützt Datenintegrität und erschwert Relay-Angriffe erheblich. In Windows Server 2025 und Windows 11 24H2 ist SMB Signing für ein- und ausgehende SMB-Verbindungen standardmäßig erforderlich. Ältere Systeme und historisch gewachsene Konfigurationen können jedoch weiterhin Lücken enthalten. Deshalb sollte Signing nicht nur als Versionsmerkmal betrachtet, sondern tatsächlich auf Servern und Clients überprüft werden.
Zusätzlich unterstützt Windows inzwischen gezieltes NTLM Blocking für SMB. Damit lässt sich verhindern, dass ein Client bei Remote-SMB-Verbindungen überhaupt NTLM verwendet. Das ist besonders wertvoll, wenn Kerberos technisch möglich ist und nur alte Gewohnheiten oder Fehlkonfigurationen den Fallback auslösen.
Woran Unternehmen erkennen, dass sie noch ein NTLM-Problem haben
Warnzeichen sind NTLM-Authentifizierungen auf Domain Controllern, Anwendungen mit IP-basierten Verbindungen, alte Service Accounts, SMB-Zugriffe ohne saubere SPNs, Appliances mit veralteten Authentifizierungsbibliotheken und technische Prozesse, die nur mit lokalen Namen statt FQDNs arbeiten. Auch Management-Tools und geplante Tasks können NTLM unbemerkt konservieren.
Wichtig ist deshalb, NTLM nicht blind abzuschalten. Zuerst muss sichtbar werden, wer, wann, wohin und warum NTLM verwendet. Windows Server 2025 bietet dafür deutlich erweiterte Audit-Informationen. Erst nach dieser Inventarisierung sollte man Abhängigkeiten auf Kerberos oder Negotiate umstellen und anschließend Blockierregeln stufenweise verschärfen.
Die wichtigsten Schutzmaßnahmen
Priorität haben Kerberos beziehungsweise Negotiate, korrekt gepflegte SPNs, funktionierende DNS-Auflösung, SMB Signing, Credential Guard, eingeschränkte lokale Administratorrechte und die Trennung privilegierter Konten von normalen Benutzerkonten. Gleichzeitig sollten unnötige NTLM-Ausnahmen dokumentiert, zeitlich befristet und regelmäßig überprüft werden.
Fazit
NTLM ist heute weniger ein einzelnes Protokollproblem als ein Indikator für technische Altlasten. Je weniger NTLM eine Umgebung benötigt, desto kleiner wird die Angriffsfläche für Relay-, Hash- und Fallback-Szenarien. Der sicherste Weg ist deshalb nicht ein spontaner Schalter auf „Block“, sondern ein kontrolliertes Programm aus Audit, Kerberos-Bereinigung, Hardening und anschließender Durchsetzung.
Quellen und weiterführende Hinweise
Microsoft Learn: Deprecated features in Windows Server.
Microsoft Learn: SMB security hardening und NTLM blocking on SMB.