Über die Jahre wandern zu viele Generalschlüssel in Ihr Verzeichnis: zu viele Domänen-Admins, vergessene Dienstkonten, Rechte, die nie zurückgenommen wurden. TULPAR liest Ihren Schlüsselbund im eigenen Haus aus und zeigt, welches Konto zu viel darf. Keine Cloud.
Ein Angreifer braucht selten eine spektakuläre Lücke. Er nimmt einen kleinen Schlüssel und tauscht ihn Schritt für Schritt gegen einen größeren — bis am Ende der Generalschlüssel zum gesamten Verzeichnis in seiner Hand liegt. Tippen Sie auf einen Schritt, um zu sehen, wie Least Privilege die Kette an dieser Stelle abreißt.
Beispielhafte Schlüssel-Kette · so liest TULPAR Ihren Schlüsselbund
Ein Dienstleister von früher, ein Techniker, „der hat das mal gebraucht“: Konten kommen in die Domänen-Admins hinein, aber so gut wie nie wieder heraus. Am Ende hängen zu viele Generalschlüssel am Bund.
Konten für Backup, Datenbank oder Fachsoftware laufen still im Hintergrund. Niemand meldet sich damit an — also bleibt ihr Passwort jahrelang gleich und ihre überzogenen Rechte unbemerkt.
Bei jedem Projekt, jedem Abteilungswechsel kommen Berechtigungen dazu. Zurückgenommen werden sie fast nie. So driftet das Verzeichnis Jahr für Jahr weg von Least Privilege.
TULPAR geht Ihren Schlüsselbund einmal komplett durch: jedes Konto, jede Admin-Gruppe, jedes Dienstkonto. Es benennt im Klartext, wer einen Generalschlüssel trägt, ohne ihn zu brauchen — die Vorarbeit für ein sauberes Berechtigungskonzept nach Least Privilege.
Wie viele Konten tragen den Generalschlüssel — und welche davon zu Unrecht?
Alte Passwörter, überzogene Rechte: die stillen Konten, die niemand sieht.
Least Privilege durchsetzen — und in den Technik-Seiten unten vertiefen.
Ein Verzeichnis hat schnell Tausende Berechtigungen — das liest niemand freiwillig. TULPAR macht daraus eine Geschäftsführungs-Sicht: Schulnote, Ampel und die Frage, die zählt — welcher Generalschlüssel gehört als Erstes eingezogen.
Wer trägt einen Admin-Schlüssel, ohne ihn zu brauchen — auf einen Blick statt in Rollen-Tabellen.
Technische Belege zum Ist-Stand Ihrer Rechte Richtung NIS2 & BSI — keine Garantie, kein Ersatz für Beratung.
Alle Benutzer und Rechte sind hochsensibel — die Auswertung läuft offline, ohne Cloud, DSGVO-freundlich.
Kein Konto wird verändert. Wir testen nichts aktiv, was Sie nicht ausdrücklich freigeben.
Diese Seite ist der Überblick. Wer tiefer wissen will, wie aus einem Konto die Kontrolle über den Schlüsselbund wird, findet hier die fünf Technik-Themen im Klartext — jedes mit dem einen Fix, der die Kette an dieser Stelle abreißt.
Das Active Directory entscheidet in einem Windows-Netz, wer welche Tür öffnen darf — jeder Login, jeder Dateizugriff, jeder Server-Zugang hängt daran. Es ist damit der zentrale Schlüsselbund: Ein Generalschlüssel daraus öffnet nicht ein Schloss, sondern fast alle gleichzeitig. Das ist praktisch im Alltag, aber riskant, wenn die Verwaltung über die Jahre unübersichtlich wird. TULPAR macht sichtbar, wie viele Schlüssel an diesem Bund hängen und welche davon mehr öffnen, als sie sollten.
Least Privilege heißt: Jedes Konto bekommt genau die Rechte, die es für seine konkrete Aufgabe braucht — und keinen einzigen Schlüssel mehr. Die Buchhaltung muss nicht auf die Server-Verwaltung zugreifen, ein Backup-Dienst muss nicht die ganze Domäne administrieren. In der Praxis ist das selten so sauber: Rechte werden vergeben und nie wieder entzogen. TULPAR vergleicht, was jedes Konto darf, mit dem, was es im Alltag wirklich nutzt, und zeigt im Klartext, wo zu weit gegriffen wurde.
Ein Domänen-Administrator ist der Generalschlüssel zum gesamten Schlüsselbund. In vielen Firmen ist diese Gruppe über die Jahre gewachsen: ein ehemaliger Dienstleister, ein Techniker, „der hat das damals mal gebraucht“, dazu zwei, drei Konten, die niemand mehr zuordnen kann. Wird nur eines davon übernommen, steht die ganze Firma offen — egal wie gut der Rest abgesichert ist. Die wirksamste Einzelmaßnahme ist meist, diese Gruppe radikal zu verkleinern. TULPAR listet auf, wer dort drinsteht und wer dort vermutlich nichts mehr verloren hat.
Dienstkonten laufen im Hintergrund für Datenbanken, Backups oder Fachsoftware — niemand meldet sich damit morgens an, also fallen sie nicht auf. Genau deshalb tragen sie oft seit Jahren dasselbe, manchmal kurze Passwort und haben „zur Sicherheit“ mehr Rechte bekommen, als die Anwendung braucht. Ein solches Konto ist ein bequemer Generalschlüssel, der nie rotiert wird. Zur Passwort-Hygiene gehören hier sehr lange, zufällige Passwörter oder verwaltete Dienstkonten und das Zurückstutzen der Rechte. TULPAR findet die Dienstkonten, deren Passwort alt ist oder die zu viel dürfen.
Nein. TULPAR ist eine autorisierte Selbstprüfung Ihres eigenen Verzeichnisses, kein Angriffswerkzeug. Im Standard liest es nur (read-only): Es schaut sich an, welche Konten, Gruppen und Rechte es gibt, ohne etwas zu ändern, zurückzusetzen oder zu löschen. Erst wenn Sie einen Schritt ausdrücklich freigeben, wird ein einzelner Pfad im eigenen Netz nachgestellt. Wir greifen nichts an, was Sie nicht freigeben — und kein Konto wird ohne Ihr Wissen verändert.
Nein. TULPAR arbeitet im eigenen Haus und offline — die Auswertung der Konten, Gruppen und Rechte passiert direkt bei Ihnen im Netz, ohne Cloud. Gerade ein Verzeichnis mit allen Benutzern und Berechtigungen ist mit das Sensibelste, was eine Firma hat; diese Daten bleiben deshalb komplett in Ihrer Hand. Das unterstützt die Datenhoheit, die die DSGVO verlangt — eine Konformitätsgarantie ist es nicht.
Ein nachvollziehbares Berechtigungskonzept — wer darf was und warum — und der Nachweis, dass überzogene Rechte regelmäßig zurückgenommen werden, gehören zu den Risikomanagement-Themen rund um NIS2 und werden 2026 von vielen Cyberversicherern abgefragt. TULPAR dokumentiert den Ist-Zustand Ihres Active Directory technisch: zu viele Admins, alte Dienstkonten, zu weite Rechte. Diese Belege können in Anträge und Nachweise einfließen. TULPAR ist aber keine Zertifizierung und keine Rechtsberatung und macht Sie nicht automatisch konform; ob NIS2 für Sie gilt, hängt von Sektor und Größe ab und klären Sie individuell.
TULPAR wird in Ihrem Netz eingerichtet und ist meist in wenigen Minuten startklar. Es liest im Modus „nur ansehen“ den Schlüsselbund aus: alle Konten, Admin-Gruppen, Dienstkonten und ihre Rechte. Sie bekommen ein Active-Directory-Zeugnis mit Schulnote, Ampel und einer Reihenfolge, welche Generalschlüssel zuerst eingezogen gehören. Ein aktiver Test einzelner Pfade folgt nur nach Ihrer Freigabe. Der Umfang richtet sich nach der Größe Ihres Verzeichnisses; Sie erhalten ein individuelles Angebot und starten mit einem ersten Sicherheitscheck.
In einem kurzen Gespräch klären wir Ihr Verzeichnis und zeigen, wie TULPAR Konten, Admin-Gruppen und Dienstkonten durchgeht — im eigenen Haus, nur ansehen als Standard, das Active-Directory-Zeugnis am Ende.
