---
adresse: "https://qvestcon.com/dora-update-markus-junge/it-findings-versicherung_122f07bb/"
titel: "RC4 im Active Directory: Ausnahmen finden…"
beschreibung: "Security-Insider berichtet am 27.10.2026, dass Windows-Domänencontroller nach dem Juli-Update keinen Audit-Modus…"
sprache: "de-DE"
stand: "2026-10-27"
---

Qvestcon News

# RC4 im Active Directory: Ausnahmen finden und abbauen

Security-Insider berichtet am 27.10.2026, dass Windows-Domä­nen­con­trol­ler nach dem Juli-Update keinen Audit-Modus für RC4 mehr kennen. RC4 (Rivest Cipher 4) bleibt nur dort erlaubt, wo ein Konto oder der Domä­nen­stan­dard es ausdrücklich zulässt. Kerberos nutzt RC4 als RC4-HMAC mit dem NT-Hash des Kennworts ohne Salt als Schlüssel. Solche Tickets lassen sich offline deutlich schneller knacken als AES-Tickets. Für jedes Konto mit Service Principal Name darf jeder angemeldete Benutzer ein Dienstticket anfordern. Die Sicher­heits­lü­cke CVE-2026-20833 ermöglicht laut Microsoft dieses sogenannte Kerberoasting mit RC4-Tickets. Der Beitrag zeigt, wie Admi­nis­tra­to­ren verbliebene Ausnahmen über Windows-Ereig­nis­pro­to­kolle und PowerShell-Skripte aufspüren. Praxishinweis von Qvestcon: Banken und Versicherer sollten die Konten mit gesetztem RC4-Merkmal als Liste führen, jedem Konto einen Ver­ant­wort­li­chen zuordnen und einen Termin zum Abbau festlegen. Diese Liste gehört in den Nachweis der IT-Sicherheit. Aus unserer Erfahrung bei Kunden aus Versicherung und Bank sind es meist Alt­an­wen­dun­gen und Dienstkonten, die RC4 weiter benötigen.

[Dienstleister](https://qvestcon.com/news/dienstleister/)27.10.2026

Security-Insider berichtet am 27.10.2026, dass Windows-Domä­nen­con­trol­ler nach dem Juli-Update keinen Audit-Modus für RC4 mehr kennen. RC4 (Rivest Cipher 4) bleibt nur dort erlaubt, wo ein Konto oder der Domä­nen­stan­dard es ausdrücklich zulässt. Kerberos nutzt RC4 als RC4-HMAC mit dem NT-Hash des Kennworts ohne Salt als Schlüssel. Solche Tickets lassen sich offline deutlich schneller knacken als AES-Tickets. Für jedes Konto mit Service Principal Name darf jeder angemeldete Benutzer ein Dienstticket anfordern. Die Sicher­heits­lü­cke CVE-2026-20833 ermöglicht laut Microsoft dieses sogenannte Kerberoasting mit RC4-Tickets. Der Beitrag zeigt, wie Admi­nis­tra­to­ren verbliebene Ausnahmen über Windows-Ereig­nis­pro­to­kolle und PowerShell-Skripte aufspüren. Praxishinweis von Qvestcon: Banken und Versicherer sollten die Konten mit gesetztem RC4-Merkmal als Liste führen, jedem Konto einen Ver­ant­wort­li­chen zuordnen und einen Termin zum Abbau festlegen. Diese Liste gehört in den Nachweis der IT-Sicherheit. Aus unserer Erfahrung bei Kunden aus Versicherung und Bank sind es meist Alt­an­wen­dun­gen und Dienstkonten, die RC4 weiter benötigen.

- [#Acti­ve­Di­rec­tory](https://qvestcon.com/stichwoerter/a/#activedirectory)
- [#Kerberos](https://qvestcon.com/stichwoerter/k-l/#kerberos)
- [#ITSicherheit](https://qvestcon.com/stichwoerter/i-j/#itsicherheit)
- [#Banken](https://qvestcon.com/stichwoerter/b/#banken)
- [#Versicherer](https://qvestcon.com/stichwoerter/v-z/#versicherer)
- [#Finanz­dienst­leis­ter](https://qvestcon.com/stichwoerter/f-h/#finanzdienstleister)
- [#Prü­fungs­pla­nung](https://qvestcon.com/stichwoerter/m-p/#pruefungsplanung)
- [#Qvestcon](https://qvestcon.com/stichwoerter/q-s/#qvestcon)
- [#MarkusJunge](https://qvestcon.com/stichwoerter/m-p/#markusjunge)

[Ori­gi­nal­quelle: Security-Insider →](https://www.security-insider.de/active-directory-rc4-ausnahmen-finden-4768-4769-kdcsvc-a-7b8e372ef68e50753da7b9de3d815b90/?cmp=nl-7916f526-b0f5-4bde-b341-d019ee9db8d2&uuid=A3B680B6-862E-4C0F-9B9B-F6448A5D7486)

Diese Einordnung bezieht sich auf die verlinkte Ori­gi­nal­quelle. Sie ist keine Rechts­be­ra­tung im Einzelfall.

[Kostenloses Erstgespräch anfragen →](https://qvestcon.com/kontakt/?von=News%3A%20RC4%20im%20Active%20Directory%3A%20Ausnahmen%20finden%20und%20abbauen#erstgespraech)

[Weitere Meldungen in Dienstleister](https://qvestcon.com/news/dienstleister/) · [alle Qvestcon-News](https://qvestcon.com/news/)