Dienstkonten werden einmal angelegt, mit Kennwörtern, die niemand ändert, und mit mehr Rechten als nötig, „damit es läuft“. Niemand fühlt sich zuständig, und sie werden selten überprüft.
Was sich bewährt hat
Inventar: alle Dienstkonten erfassen, Zweck und Verantwortliche festhalten.
Minimale Rechte: nur, was der Dienst braucht, keine Domänenadministratoren.
Lange Zufallskennwörter oder verwaltete Dienstkonten (gMSA), die das Kennwort automatisch rotieren.
Interaktive Anmeldung verbieten, wo möglich.
Kennwörter im Tresor ablegen, nicht in Skripten oder Konfigurationsdateien.
Überwachung: ungewöhnliche Anmeldungen von Dienstkonten melden.
Aufräumen: Konten ohne Verwendung deaktivieren und löschen.
Warum es sich lohnt
Gut verwaltete Dienstkonten verhindern Angriffe wie Kerberoasting und begrenzen den Schaden, wenn ein Dienst kompromittiert wird.