Was ist Privilege Escalation?

Privilege Escalation, auf Deutsch Rechteausweitung, ist der Übergang von einem begrenzten Zugriff zu Berechtigungen, die dem Benutzer oder Prozess nicht zustehen. Angreifer nutzen sie meist nach einem ersten Zugang, um Sicherheitskontrollen zu umgehen, mehr Daten zu erreichen, Persistenz einzurichten oder weitere Systeme zu kompromittieren.

Vertikal oder horizontal?

Horizontale Eskalation überschneidet sich mit Broken Access Control und insbesondere IDOR. Die angegriffene Rolle ist nicht zwingend mächtiger, der Zugriff überschreitet aber die zulässige Objekt- oder Mandantengrenze.

Wie entsteht eine Rechteausweitung?

• Software-Schwachstellen: Fehler im Betriebssystemkern, privilegierten Diensten, Treibern oder Management-Agenten ermöglichen Codeausführung mit höheren Rechten.
• Fehlkonfiguration: Schreibbare Skripte, unsichere Dienstpfade, überbreite sudo-Regeln, gefährliche SUID-Dateien oder schwache Dateirechte.
• Zugangsdaten und Tokens: Passwörter, API-Schlüssel, Sitzungstokens oder Cloud-Credentials liegen in Dateien, Prozessen, Metadaten oder Backups offen.
• Falsche Autorisierung: Die Anwendung prüft Rolle oder Eigentümer nur in der Oberfläche, nicht serverseitig für jede Aktion.
• Vertrauensbeziehungen: Ein Dienstkonto darf andere Rollen übernehmen, Deployment-Pipelines verändern oder privilegierte Systeme fernsteuern.

Häufig entsteht die Eskalation erst aus einer Kette kleinerer Probleme. Ein lesbares Konfigurationsfile, ein wiederverwendetes Passwort und ein zu weit berechtigtes Dienstkonto können zusammen kritischer sein als jeder einzelne Befund.

Wie unterscheidet sie sich je nach Umgebung?

Warum ist Privilege Escalation so relevant?

Ein initialer Zugang besitzt häufig nur geringe Rechte. Erst die Ausweitung erlaubt das Abschalten von Schutzsoftware, Auslesen fremder Geheimnisse, Erstellen neuer Konten oder Manipulieren von Backups. Danach erleichtern erhöhte Rechte die laterale Bewegung. Lokaler Administratorzugriff ist jedoch nicht automatisch Domänenadministrator; gute Vertrauensgrenzen verhindern, dass eine einzelne Eskalation die gesamte Umgebung entscheidet.

Wie wird sie verhindert?

1. Least Privilege: Benutzer, Dienste, Pipelines und Automationskonten erhalten nur notwendige, zeitlich passende Rechte.
2. Administration trennen: Eigene Konten und gehärtete Geräte für privilegierte Aufgaben; Rechte bei Bedarf zeitlich begrenzt aktivieren.
3. Patchen und härten: Betriebssysteme, Treiber und privilegierte Werkzeuge aktuell halten; unsichere Standardrechte entfernen.
4. Geheimnisse schützen: Keine Credentials in Skripten oder Images; kurze Laufzeiten, Rotation und verwaltete Identitäten bevorzugen.
5. Grenzen einziehen: Administrative Tiers, Segmentierung und getrennte Backup-Identitäten begrenzen Folgeschäden.
6. Serverseitig autorisieren: Jede Funktion und jedes Objekt gegen die aktuelle Identität und den Mandanten prüfen.

Wie lässt sie sich erkennen?

Relevante Signale sind neue Gruppenmitgliedschaften und Rollenbindungen, ungewöhnliche sudo- oder UAC-Nutzung, Änderungen an Diensten und geplanten Aufgaben, Zugriffe auf Credential Stores, neu erstellte Schlüssel sowie Rollenübernahmen aus untypischem Kontext. Einzelereignisse können legitim sein; die Kombination mit vorausgegangenem Login, Prozessbaum, Gerät und Änderungsauftrag liefert die nötige Einordnung. Kritische Berechtigungsänderungen sollten zusätzlich genehmigt und regelmäßig rezertifiziert werden.

Wie wird sie getestet?

Ein Test beginnt mit dem tatsächlich erreichten niedrigen Zugriff und inventarisiert Berechtigungen, Vertrauensbeziehungen, Dateien, Dienste und Tokens. Gefundene Wege werden möglichst risikoarm verifiziert. Kernel-Exploits, Credential Dumping oder Änderungen produktiver Rollen können Systeme beeinträchtigen und benötigen eine ausdrückliche Freigabe. Der Bericht sollte nicht nur den letzten Exploit, sondern die vollständige Kette, Voraussetzungen, erreichte Rechte und wirksame Unterbrechungspunkte beschreiben.