Active Directory Consulting
Active Directory
High End
Consulting
Warum Active Directory kein Standardprojekt ist
Active Directory ist über 25 Jahre alt – und trotzdem entscheidet es heute mehr denn je darüber, ob ein Angreifer nach dem ersten kompromittierten Client stehen bleibt oder das gesamte Unternehmen übernimmt. Fast jeder erfolgreiche Ransomware-Angriff endet mit Domain-Admin-Rechten. Fast jede gescheiterte Migration endet mit doppelten Identitäten, kaputten Berechtigungen und einem Projekt, das „irgendwann“ fertig wird.
Genau hier setzt Wendel Security an. Andy Wendel gehört zu den erfahrensten Active-Directory-Spezialisten im deutschsprachigen Raum: seit Ende der 1990er-Jahre als Trainer und Berater tätig, Microsoft Certified Trainer und einer von weltweit nur 56 Microsoft Certified Learning Consultants, ausgebildet von Paula Januszkiewicz (CQURE) und Sami Laiho – zwei der international führenden Köpfe für Windows- und Identity-Security.
Was ihn von klassischen Systemhäusern unterscheidet: Er verkauft keine Lizenzen und keine Hardware. Er liefert Architektur, Migration und Absicherung aus einer Hand – und erklärt dabei so, dass Ihr Team das Ergebnis danach selbst betreiben kann.
Die richtige Wahl: Andy Wendel
Über 25 Jahre Active Directory. Vom ersten Windows-2000-Forest bis zur hybriden Entra-ID-Anbindung – die gesamte Entwicklung aus erster Hand begleitet.
Ausgebildet von den Besten. Trainiert von Paula Januszkiewicz (CQURE) und Sami Laiho, international führenden Experten für Windows-Security und Identity.
Trainer und Praktiker zugleich. Microsoft Certified Trainer und Microsoft Certified Learning Consultant – einer von 56 weltweit. Wer komplexe Themen lehren kann, hat sie verstanden.
Enterprise-Erfahrung. Projekte in Konzernen aus [Versicherungswirtschaft, Industrie, öffentlicher Sektor, Hochschulen, Mittelstand] – Referenzen auf Anfrage.
Projektleitung beim Wiederaufbau der Universität Duisburg-Essen nach dem Ransomware-Angriff 2022 – arbeitsfähig in fünf Wochen.
Projektleiter und Architekt in einer Person. Langjährige Erfahrung in der Leitung komplexer Infrastrukturprojekte – mit der technischen Tiefe, jede Entscheidung selbst zu beurteilen.
Geheimschutz-erfahren. Spezialisiert auf geheimhaltungsverpflichtete Umgebungen und VS-NfD; vertrauliche Zusammenarbeit über DRACOON.
PingCastle-Ideengeber. Nutzt PingCastle in jedem Projekt und hat die Weiterentwicklung des Werkzeugs mit Hinweisen aus der Praxis begleitet.
Herstellerunabhängig. Keine Lizenz- oder Hardwareprovision. Die Empfehlung richtet sich ausschließlich nach Ihrer Umgebung.
„Wir helfen Ihnen jetzt, damit Sie uns später nicht (mehr) brauchen.“
Active-Directory-Migration
Ob Fusion, Carve-out, Forest-Konsolidierung oder der Weg aus einer gewachsenen, kompromittierten oder schlicht nicht mehr beherrschbaren Umgebung: AD-Migrationen sind Operationen am offenen Herzen. Jeder Benutzer, jede Anwendung, jeder Dienst hängt daran. Andy Wendel hat Migrationen von wenigen hundert bis zu zehntausenden Objekten geplant und durchgeführt – im laufenden Betrieb, ohne dass die Fachbereiche es gemerkt haben.
Greenfield: Design und Aufbau eines neuen Active Directory
Ein neues Active Directory baut man einmal – und lebt dann zehn bis zwanzig Jahre damit. Entscheidungen zu Forest-Struktur, OU-Design, Tiering und Berechtigungsmodell lassen sich später nur mit enormem Aufwand korrigieren. Deshalb lohnt es sich, den Entwurf von jemandem machen zu lassen, der die Konsequenzen dieser Entscheidungen aus hunderten Kundenumgebungen kennt.
Was Sie bekommen
- Eine belastbare Bestandsaufnahme: Welche Anwendungen hängen wirklich am AD, welche Abhängigkeiten sind undokumentiert, wo liegen die Risiken?
- Ein Migrationskonzept mit Reihenfolge, Koexistenzphase, Rollback-Strategie und klaren Abnahmekriterien pro Welle.
- Durchführung mit den passenden Werkzeugen (ADMT, PowerShell, Drittanbieter-Tools) – nicht nach Lehrbuch, sondern nach Erfahrung.
- Eine dokumentierte, bereinigte Zielumgebung, die nicht die Fehler der alten mitschleppt.
Leistungsumfang
- Anforderungsworkshop mit IT, Security, Fachbereichen und – wo nötig – Betriebsrat und Datenschutz.
- Architekturdokument (Forest-/Domain-Design, Standorte, Replikation, DNS, Tiering, Delegierung, PKI, Monitoring, Backup/Recovery).
- Aufbau der Umgebung inklusive gehärteter Domain Controller, Administrations-Tier, Group-Policy-Baseline und PKI.
- Stresstests und Angriffssimulation gegen die neue Umgebung, bevor der erste produktive Benutzer migriert wird.
- Übergabe mit Betriebshandbuch und Enablement Ihres Teams – auf Wunsch als individuelle Schulung.
Typische Szenarien
Forest- und Domain-Konsolidierung: Zusammenführung mehrerer Forests oder Domains nach Übernahmen, Umstrukturierungen oder historisch gewachsenem Wildwuchs.
Cross-Forest-Migration (Inter-Forest): Benutzer, Gruppen, Computer, Dienstkonten und Ressourcen inklusive SID-History, Trust-Design, Kerberos-Delegierung und Anwendungsabhängigkeiten.
Carve-out / Trennung: Herauslösen einer Geschäftseinheit in einen eigenen, sauberen Forest – inklusive Schnittstellen, die für die Übergangszeit weiterlaufen müssen.
Rip-and-Replace nach Kompromittierung: Wenn einem bestehenden AD nicht mehr vertraut werden kann, ist der kontrollierte Neuaufbau mit selektiver Übernahme oft der einzige belastbare Weg.
Modernisierung: Ablösung veralteter Domain Controller und Funktionsebenen, Bereinigung von Altlasten (SMBv1, NTLMv1, unsichere Delegierungen), Vorbereitung auf hybride Szenarien mit Microsoft Entra ID.
Failover-Cluster, Hyper-V und Datacenter-Dienste: Migration von Infrastrukturdiensten über Domain-Grenzen hinweg – dort, wo Standard-Tools aufhören.
Design-Grundsätze
Security by Design: Enterprise Access Model (Tier 0/1/2), abgesicherte Administrationsumgebung, Privileged Access Workstations, Delegierung nach dem Prinzip der minimalen Rechte – von Anfang an, nicht als späteres Härtungsprojekt.
Betreibbarkeit: Eine OU- und Gruppenstruktur, die Ihr Team versteht, ein GPO-Design ohne Wildwuchs, Namenskonventionen und Prozesse, die auch in fünf Jahren noch eingehalten werden.
Integrierte PKI: Zertifikatsinfrastruktur (Offline-Root, ausstellende CAs, Auto-Enrollment, Certificate-Based Authentication) als fester Bestandteil des Designs – nicht als Nachtrag.
Hybrid-ready: Saubere Anbindung an Microsoft Entra ID, Conditional Access und moderne Authentifizierung, ohne die On-Premises-Sicherheit zu untergraben.
Compliance-fähig: Nachvollziehbare Berechtigungen, Auditierbarkeit und Dokumentation, die Wirtschaftsprüfern, BSI-Grundschutz, ISO 27001 oder NIS-2-Anforderungen standhält.
Geheimschutz und VS-NfD-Umgebungen
Behörden, Rüstungs- und Sicherheitsindustrie, Betreiber kritischer Infrastrukturen: In vielen Umgebungen ist nicht nur das Ergebnis, sondern schon der Weg dorthin schutzbedürftig. Andy Wendel ist auf Projekte in geheimhaltungsverpflichteten Umgebungen spezialisiert und arbeitet routiniert unter den Anforderungen von VS-NfD (Verschlusssache – Nur für den Dienstgebrauch).
Prozesse: Vertrauliche Projektkommunikation und Dokumentenaustausch über zugelassene, in Deutschland betriebene Plattformen wie DRACOON – kein Projektmaterial in US-Clouds oder per E-Mail-Anhang.
Architektur: AD- und PKI-Designs, die Netztrennung, Zonenkonzepte, abgesicherte Administrationspfade und die Nachweispflichten des Geheimschutzes von vornherein berücksichtigen.
Personen: Umsetzung persönlich durch Andy Wendel [und einen kleinen, langjährig eingespielten Partnerkreis] – keine wechselnden Teams, keine Offshore-Ressourcen. [Ü-Prüfung: Stufe/Status hier ergänzen, falls vorhanden.]
Souveränität: Wer digitale Souveränität ernst meint, braucht ein Verzeichnis, das ohne externen Zugriff funktioniert. Genau diese Architektur bauen wir.
Projektleitung für Identitäts- und Infrastrukturprojekte
Die meisten AD-Projekte scheitern nicht an der Technik, sondern an der Steuerung: unklare Verantwortlichkeiten, unterschätzte Anwendungsabhängigkeiten, Fachbereiche, die erst nach dem Umzug erfahren, dass sich etwas ändert. Andy Wendel übernimmt auf Wunsch die Gesamtprojektleitung – von der Anforderungsaufnahme über Dienstleistersteuerung und Lenkungsausschuss bis zur Abnahme. Mit dem Vorteil, dass der Projektleiter jedes technische Detail selbst beurteilen kann und sich nicht auf die Einschätzung Dritter verlassen muss.
Review, Redesign und Härtung bestehender Umgebungen
Nicht jedes AD muss neu gebaut werden. Oft reicht ein ehrlicher Blick von außen: Wo sind die Wege zum Domain Admin, die niemand kennt? Welche Dienstkonten haben seit 2011 dasselbe Kennwort? Welche Delegierungen hat der Vor-Vorgänger eingerichtet? Das AD-Security-Review liefert eine priorisierte Maßnahmenliste – und auf Wunsch die Umsetzung gleich mit. Ergänzend führen wir Penetrationstests durch, die gezielt Identitäts- und Verzeichnisdienste ins Visier nehmen.
PingCastle – nicht nur angewendet, sondern mitgeprägt
Jedes Review beginnt mit PingCastle, dem De-facto-Standard für die Bewertung der Active-Directory-Sicherheit. Andy Wendel setzt das Werkzeug seit Jahren in jeder Kundenumgebung ein und hat die Weiterentwicklung von PingCastle als Ideengeber begleitet – Prüfregeln und Auswertungen, die heute Standard sind, gehen zum Teil auf Hinweise aus seiner Projektpraxis zurück. Der Unterschied zum reinen Report: Sie bekommen nicht nur den Score, sondern die Einordnung, welche Befunde in Ihrer Umgebung wirklich Angriffswege sind, welche Scheinrisiken bleiben dürfen und in welcher Reihenfolge sich Ihr Score nachhaltig verbessert.
Was in einer Krise zählt
Priorisierung statt Perfektion: Zuerst das, was den Betrieb wieder ermöglicht – Identitäten, Authentifizierung, Kernanwendungen. Alles andere kommt in geordneten Wellen danach.
Sauberer Neuaufbau: Kein Zurückspielen kompromittierter Domain Controller. Ein neuer Forest mit Tiering und kontrollierter Übernahme dessen, was nachweislich vertrauenswürdig ist.
Steuerung aller Beteiligten: Forensiker, Versicherer, Behörden, Dienstleister, Rektorat oder Vorstand, Kommunikation nach innen und außen – ein Projektleiter, der den Überblick behält.
Der Weg zurück zur Normalität: Betriebshandbuch, Monitoring und Prozesse, damit die neue Umgebung nicht in zwei Jahren wieder da steht, wo die alte war.
Incident Response und Wiederaufbau nach Ransomware
Wenn das Active Directory kompromittiert ist, zählt jeder Tag. Dann braucht es keinen Berater, der Konzepte schreibt, sondern einen Projektleiter, der Forensik, Wiederaufbau, Dienstleister, Fachbereiche und Geschäftsführung gleichzeitig steuert – und der weiß, welche Reihenfolge funktioniert.
Fallbeispiel Universität Duisburg-Essen: Nach dem Ransomware-Angriff auf die Universität Duisburg-Essen (November 2022) übernahm Andy Wendel die Projektleitung für den Wiederaufbau der Identitäts- und Verzeichnisinfrastruktur. Ergebnis: Eine Hochschule mit rund 40.000 Studierenden und mehreren tausend Beschäftigten war innerhalb von fünf Wochen wieder arbeitsfähig – auf einem sauberen, gehärteten Fundament statt auf einer notdürftig geflickten Altumgebung.
So arbeiten wir
Assessment. Wir analysieren Ihre bestehende Umgebung technisch und organisatorisch – mit Werkzeugen, Interviews und einem geübten Blick für das, was in keiner Dokumentation steht.
Design. Sie erhalten ein Architektur- oder Migrationskonzept, das Entscheidungen begründet statt sie nur aufzulisten. Entscheidungsträger verstehen es, Administratoren können danach arbeiten.
Proof. Kritische Schritte werden in einer Testumgebung durchgespielt. Rollback-Pfade werden nicht beschrieben, sondern ausprobiert.
Umsetzung. Migration oder Aufbau in klar abgegrenzten Wellen, mit definierten Abnahmekriterien und ohne Überraschungen für die Fachbereiche.
Übergabe und Enablement. Dokumentation, Betriebshandbuch und Wissenstransfer an Ihr Team. Ziel ist Unabhängigkeit – nicht der nächste Folgeauftrag.
Auf Augenhöhe, mit Respekt vor dem, was Ihr Team bereits aufgebaut hat – und mit der Klarheit, die Sie von einem externen Experten erwarten dürfen.
Lassen Sie uns über Ihr Active Directory sprechen
In einem unverbindlichen Erstgespräch von 30 Minuten klären wir, wo Ihre Plattform steht, welche Optionen es gibt – VMware-Ablösung, Neuaufbau, Cloud-Exit oder Härtung – und ob wir zusammenpassen. Keine Verkaufspräsentation – ein Fachgespräch.
This post is also available in:
