Eine Sicherheitslücke mit der Kennung CVE-2026-56155 sollte nicht allein wegen ihrer Bezeichnung als bestätigt oder kritisch behandelt werden. Prüfe zuerst, ob die Kennung in der offiziellen CVE-Datenbank, im Microsoft Security Response Center und in den verfügbaren ADFS-Sicherheitsinformationen tatsächlich veröffentlicht und einem Produkt zugeordnet ist. Bis zur verlässlichen Einordnung sind vor allem exponierte ADFS-Endpunkte, ungewöhnliche Anmeldeereignisse und der Patchstand der Federation-Server zu kontrollieren.
Wichtig ist außerdem die Abgrenzung: Active Directory Federation Services (AD FS) kann Anmeldungen für viele Anwendungen ermöglichen. Ein kompromittierter Federation-Server kann deshalb weitreichende Folgen haben, während eine rein interne Installation ein anderes Risikoprofil besitzt als ein aus dem Internet erreichbarer Endpunkt. Die folgenden Maßnahmen helfen bei der Prüfung, ohne eine nicht bestätigte technische Eigenschaft der genannten Kennung vorauszusetzen.
Existiert die Kennung bereits in einer belastbaren Sicherheitsmeldung?
Öffne die offizielle CVE-Datenbank und suche nach der vollständigen Kennung. Ergänzend sollte die Suche im Microsoft Security Response Center, in den Microsoft-Sicherheitsupdates und in der Dokumentation der eingesetzten Windows-Server-Version erfolgen. Entscheidend sind nicht Blogbeiträge oder automatisch erzeugte Listen, sondern eine nachvollziehbare Zuordnung zu einer betroffenen Komponente, einer Versionsspanne, einer Fehlerart und einer verfügbaren Abhilfe.
Fehlt die Kennung dort oder wird sie nur als reservierter beziehungsweise noch nicht vollständig beschriebener Eintrag angezeigt, darfst du keine konkrete Ausnutzungsmethode, keinen CVSS-Wert und keine betroffenen ADFS-Versionen annehmen. Halte die Prüfung mit dem Abrufdatum fest und kontrolliere die offiziellen Quellen später erneut. Eine fehlerhafte oder verfrühte Meldung kann sonst zu unnötigen Änderungen an produktiven Federation-Servern führen.
AD FS zuerst sauber erfassen
- Ermittle alle AD-FS-Farm-Mitglieder und ihre aktuellen Patchstände.
- Prüfe, ob Web Application Proxy oder andere Reverse-Proxy-Komponenten vorgeschaltet sind.
- Dokumentiere Zertifikate für Service Communications, Token Signing und Token Decryption einschließlich Ablaufdaten.
- Liste die vertrauenden Parteien und die dafür verwendeten Protokolle auf.
- Halte fest, welche Administratorkonten und Dienstkonten Zugriff auf AD FS besitzen.
Die Versionsprüfung erfolgt je nach Servergeneration über die installierten Windows-Updates, die Serverinformationen und die AD-FS-Verwaltung. Bei einer Farm müssen alle relevanten Knoten berücksichtigt werden. Ein einzelner aktualisierter Server schützt die Umgebung nicht zuverlässig, wenn ein weiterer Knoten weiterhin einen verwundbaren Stand ausliefert.
Internetexponierte Endpunkte reduzieren
Ein AD-FS-Endpunkt sollte nur dann aus dem Internet erreichbar sein, wenn die veröffentlichte Anwendung ihn benötigt. Prüfe Firewall-Regeln, Reverse-Proxy-Konfigurationen, DNS-Einträge und die Veröffentlichungsregeln des Web Application Proxy. Nicht benötigte Verwaltungs- oder Testendpunkte gehören nicht in die öffentliche Erreichbarkeit.
Vermeide kurzfristige Änderungen, die den Anmeldebetrieb ohne Rückfallebene unterbrechen. Sichere zunächst die bestehende Konfiguration und dokumentiere, welche Anwendung welchen Endpunkt verwendet. Eine restriktivere Netzwerkregel ist nur dann sinnvoll, wenn dadurch keine notwendige Authentifizierungskette unterbrochen wird.
Patchmanagement für die Federation-Server
Wenn Microsoft eine passende Sicherheitskorrektur veröffentlicht hat, installiere sie nach dem üblichen Change-Prozess. Prüfe vorab die genaue Windows-Server-Version, die Voraussetzungen des Updates, die Reihenfolge für Farm-Mitglieder und die Möglichkeit eines kontrollierten Rollbacks. Erstelle kein blindes Update-Skript für eine unbekannte oder nicht bestätigte Kennung.
- Stelle sicher, dass aktuelle System- und Konfigurationssicherungen vorhanden sind.
- Prüfe den Updateverlauf und gleiche die installierte Version mit der Microsoft-Sicherheitsmeldung ab.
- Teste das Update zunächst auf einem geeigneten Farm-Mitglied oder in einer vergleichbaren Umgebung.
- Überwache anschließend Anmeldungen, Token-Ausstellung und die Erreichbarkeit der vertrauenden Anwendungen.
- Aktualisiere die übrigen Server nach dem freigegebenen Wartungsplan.
Nach der Installation sollte nicht nur der Neustart erfolgreich sein. Teste auch interne und externe Anmeldungen, mehrstufige Authentifizierung, die wichtigsten vertrauenden Parteien sowie den Zugriff über eventuell vorhandene Proxy-Server. Abweichungen gehören in die Änderungsdokumentation und müssen vor dem nächsten Farm-Mitglied bewertet werden.
Zertifikate, Schlüssel und Dienstkonten absichern
AD FS schützt signierte und verschlüsselte Token mit wichtigen Zertifikaten. Prüfe Ablaufdaten, Speicherorte, Berechtigungen und die gesicherte Aufbewahrung der privaten Schlüssel. Ein Zertifikatswechsel ist kein Ersatz für ein Sicherheitsupdate, kann aber nach einem bestätigten Schlüsselverlust erforderlich werden.
Kontrolliere die Berechtigungen der AD-FS-Dienstkonten und der administrativen Gruppen. Verwende für die Administration möglichst getrennte Konten mit dem geringsten erforderlichen Privileg. Änderungen an Token-Signing- oder Token-Decryption-Zertifikaten dürfen nur nach einer geplanten Prüfung der abhängigen Anwendungen erfolgen, weil falsche oder nicht synchronisierte Zertifikate Anmeldungen breiter Störungen verursachen können.
Protokolle auf verdächtige Anmeldungen prüfen
Untersuche die AD-FS- und Windows-Ereignisprotokolle für den Zeitraum, in dem eine ungewöhnliche Aktivität vermutet wird. Achte auf wiederholte fehlgeschlagene Anmeldungen, unbekannte Quelladressen, ungewöhnliche Benutzeragenten, neue Vertrauensstellungen, unerwartete Konfigurationsänderungen und erfolgreiche Anmeldungen außerhalb der üblichen Zeiten.
Checkliste für die Absicherung
- Ist die CVE-Kennung in offiziellen Sicherheitsquellen bestätigt und einer konkreten ADFS-Komponente zugeordnet?
- Sind alle Farm-Mitglieder und Web Application Proxy-Server inventarisiert?
- Wurde der Patchstand jedes Servers einzeln geprüft?
- Sind öffentliche Endpunkte und veröffentlichte Anwendungen dokumentiert?
- Existieren aktuelle Backups und eine getestete Wiederherstellungsstrategie?
- Wurden Zertifikate, Dienstkonten und administrative Berechtigungen kontrolliert?
- Sind relevante Ereignisprotokolle zentral gesichert und auswertbar?
- Ist ein Ansprechpartner für Microsoft-Sicherheitsmeldungen und die Vorfallbearbeitung festgelegt?
Häufige Fragen zur Sicherheitsprüfung bei AD FS
Kann die Kennung ohne weitere Prüfung als Microsoft-Sicherheitslücke behandelt werden?
Nein. Eine CVE-Nummer allein bestätigt weder die betroffene Software noch die technische Auswirkung. Prüfe die Kennung in offiziellen CVE- und Microsoft-Quellen und gleiche sie mit deiner Serverversion ab.
Was sollte bei einer tatsächlich bestätigten Schwachstelle zuerst geschehen?
Zuerst werden Betroffenheit, Erreichbarkeit und Patchstand ermittelt. Danach folgen die von Microsoft vorgesehene Sicherheitskorrektur sowie eine kontrollierte Prüfung der Anmeldefunktionen.
Ist ein Neustart des AD-FS-Servers eine ausreichende Maßnahme?
Ein Neustart kann vorübergehende Betriebsfehler beseitigen, schließt aber keine Sicherheitslücke. Er ersetzt weder die Ursachenprüfung noch ein erforderliches Update oder die Bewertung kompromittierter Zugangsdaten.
Wie lässt sich feststellen, ob AD FS aus dem Internet erreichbar ist?
Prüfe die DNS-Auflösung, Firewall- und Reverse-Proxy-Regeln sowie die Veröffentlichung über Web Application Proxy. Die Prüfung sollte aus der Netzwerkperspektive erfolgen, aus der externe Benutzer den Dienst erreichen.
Was ist bei verdächtigen Anmeldeereignissen zu tun?
Sichere zunächst die relevanten Protokolle und beziehe die zuständige Sicherheits- oder Incident-Response-Stelle ein. Je nach Befund können Kontosperrungen, eine erzwungene Anmeldung mit zusätzlicher Prüfung und die Untersuchung der Federation-Server erforderlich sein.
Kann eine Migration zu Microsoft Entra ID das Risiko vollständig beseitigen?
Eine Migration kann die Abhängigkeit von einer lokalen AD-FS-Farm verringern, ist aber ein eigenes Identitätsprojekt. Anwendungen, Authentifizierungsverfahren, Zertifikate und Notfallzugänge müssen vor einer Umstellung geprüft werden.
Warum müssen alle Farm-Mitglieder kontrolliert werden?
AD FS verteilt den Betrieb auf mehrere Server. Bleibt ein einzelner Knoten ungepatcht oder falsch veröffentlicht, kann er weiterhin Anfragen annehmen und das Schutzkonzept der Farm schwächen.
Der nächste sinnvolle Schritt
Beginne mit der offiziellen Validierung der Kennung und einer Bestandsaufnahme der eigenen AD-FS-Umgebung. Erst wenn die betroffene Version und die empfohlene Abhilfe feststehen, solltest du produktive Konfigurationen ändern. So bleibt die Reaktion nachvollziehbar, vermeidet unnötige Ausfälle und richtet die Schutzmaßnahmen auf ein tatsächlich belegtes Risiko aus.
