Toni Schlack Fachinformatiker für Systemintegration (IHK)

NTLM – Windows-Authentifizierungsprotokoll

NTLM steht für NT LAN Manager und ist ein Authentifizierungsprotokoll von Microsoft, das ursprünglich mit Windows NT eingeführt wurde. Es dient dazu, Benutzeranmeldungen innerhalb von Netzwerken zu überprüfen, ohne dass Passwörter im Klartext übertragen werden.

📌 Grundprinzip

NTLM basiert auf einem Challenge-Response-Verfahren:

1. Der Benutzer sendet seinen Benutzernamen an den Server.
2. Der Server antwortet mit einer Zufallszahl (Challenge).
3. Der Client verschlüsselt diese Zahl mit einem Hash des Passworts (ohne das Passwort direkt zu senden).
4. Der Server prüft, ob das Ergebnis mit seinem eigenen Vergleichswert übereinstimmt.

🔐 Das Passwort selbst wird nicht über das Netzwerk übertragen – nur ein daraus abgeleiteter Hashwert.

🏷️ Varianten

⚙️ Verwendung

NTLM wird heute hauptsächlich in folgenden Szenarien verwendet:

• Alte Netzwerke / Legacy-Systeme
• Standalone-Rechner ohne Active Directory
• Fallback, wenn keine Kerberos-Authentifizierung möglich ist
• Remote Desktop-Verbindungen über ältere Clients

🔓 Kritik & Sicherheitsrisiken

NTLM gilt heute als unsicher, insbesondere in der Version NTLMv1. Die wichtigsten Schwachstellen:

• 🧠 Pass-the-Hash-Angriffe (Angreifer verwenden Hashes direkt)
• 🔁 Relay-Angriffe (Weiterleitung von Authentifizierungsdaten)
• ❌ Keine starke Integrität oder Verschlüsselung wie bei moderneren Protokollen

Daher empfiehlt Microsoft, Kerberos (das moderne Standardprotokoll in Active Directory-Umgebungen) zu verwenden, wo immer möglich.

✅ Best Practices

• NTLM deaktivieren, wenn nicht unbedingt nötig
• Nur NTLMv2 zulassen, LM und NTLMv1 sperren
• Einsatz von Kerberos bevorzugen
• Authentifizierung nur über gesicherte Kanäle (z. B. VPN oder TLS)
• Verwendung von Multi-Faktor-Authentifizierung

📚 Siehe auch

• Kerberos – modernes Authentifizierungsprotokoll
• Active Directory
• Microsoft Security Guidelines zu NTLM

Werbung