IT-Service Walter · Version 2.2
AD Group Lifecycle Manager
Jede Gruppe hat einen Verantwortlichen, einen Zweck und ein Ende. Der AD Group Lifecycle Manager vergibt Mitgliedschaften auf Zeit, lässt Verantwortliche ihre Gruppen regelmäßig bestätigen, räumt inaktive Konten ab und meldet jede Änderung, die am Werkzeug vorbei ins Active Directory gelangt – vollständig in Ihrer eigenen Umgebung.
Gruppen entstehen schnell. Sie verschwinden nie.
In gewachsenen Domänen gibt es Hunderte Sicherheitsgruppen. Jede wurde einmal aus gutem Grund angelegt – für ein Projekt, eine Abteilung, eine Freigabe. Danach kümmert sich niemand mehr darum. Mitglieder kommen hinzu und bleiben, auch wenn sie längst etwas anderes tun.
Niemand ist zuständig
Wer darf entscheiden, ob jemand in „GG_Finanzen_Lesen“ bleibt? Meist weiß es keiner. Die IT hat die Gruppe angelegt, kennt aber den fachlichen Zweck nicht.
Berechtigungen wachsen mit
Wer die Abteilung wechselt, behält die alten Rechte. Externe Projektkräfte bleiben Mitglied, lange nachdem der Vertrag ausgelaufen ist. Im Audit lässt sich das nicht mehr erklären.
Ein Lebenszyklus für jede Gruppe
Verantwortliche bestätigen ihre Gruppen in festen Abständen. Mitgliedschaften laufen automatisch ab. Was nicht bestätigt wird, geht in Quarantäne – nachvollziehbar und protokolliert.
Vom Wildwuchs zur geführten Gruppe
Der übliche Weg in einer Umgebung ohne IAM-Lösung: erst sichtbar machen, dann Verantwortliche zuordnen, dann den Rhythmus festlegen. Das Werkzeug übernimmt ab da die Erinnerung, die Fristen und die Bereinigung.
Verwaiste und inaktive Gruppen finden
Die Stale-Group-Analyse bewertet jede Gruppe und sortiert nach Schweregrad: leere Gruppen, Gruppen ohne Verantwortlichen, Gruppen ohne Änderung seit langer Zeit. Bewusst behaltene Gruppen kommen auf eine Ausnahmeliste.
Verantwortliche in einem Durchgang hinterlegen
Für Hunderte Gruppen per CSV-Import mit zweistufiger Prüfung: Erst zeigt das Werkzeug, welche Zeilen passen und welche nicht, dann wird übernommen. Einzelne Gruppen pflegen Sie direkt in der Oberfläche.
Bestätigung im festen Rhythmus
Verantwortliche erhalten rechtzeitig vor dem Stichtag eine E-Mail mit allen Mitgliedern ihrer Gruppe. Nach Ablauf der Frist und einer Gnadenfrist wandert eine nicht bestätigte Gruppe in Quarantäne.
Ablauf, Deprovisioning und Nachweis
Zeitlich begrenzte Mitgliedschaften enden von selbst. Inaktive Konten verlieren ihre Gruppen, werden deaktiviert oder in eine Ziel-OU verschoben. Jeder Schritt landet im Audit-Log.
Was das Werkzeug leistet
Neun Bereiche in einer Oberfläche – vom Dashboard über die Zeitplanung bis zum Logbuch. Die wichtigsten Funktionen im Überblick.
Mitgliedschaften auf Zeit
Beim Hinzufügen ein Enddatum setzen – die Entfernung plant das Werkzeug gleich mit. Ausgeführt wird über den Windows-Aufgabenplaner unter einem gMSA, fehlgeschlagene Aufgaben werden nachgeholt.
Verantwortliche und Lebenszyklus
Jede Gruppe erhält Verantwortliche, ein Ablaufdatum, eine Gnadenfrist und einen Attestierungszyklus. Gruppen lassen sich verlängern oder in Quarantäne setzen.
Attestierung per E-Mail
Erinnerungen mit Fälligkeitsdatum gehen automatisch an die Verantwortlichen. Die IT schließt die Attestierung im Werkzeug ab; überfällige Bestätigungen erscheinen auf dem Dashboard.
Deprovisioning inaktiver Konten
Grundlage ist lastLogon aller Domänencontroller, nicht nur der replizierte Näherungswert. Ein Simulationslauf zeigt vorher, was passieren würde. Konten werden nie gelöscht.
Drift-Erkennung
Ein Schnappschuss der Mitgliedschaften wird mit dem Ist-Stand im AD verglichen. Wer am Werkzeug vorbei über ADUC oder PowerShell Mitglieder hinzufügt oder entfernt, fällt auf.
Dynamische Gruppen
Gruppen befüllen sich über Regeln auf AD-Attribute wie department, title oder company – ohne Entra ID, vollständig on-premises.
Revalidierung durch Vorgesetzte
Das Werkzeug liest die Vorgesetzten aus dem Attribut manager und schickt ihnen monatlich bis jährlich einen Bericht mit allen Gruppen ihrer Mitarbeitenden – als AES-256-verschlüsseltes ZIP.
Geschützte und verschachtelte Gruppen
Privilegierte Gruppen unter AdminSDHolder werden erkannt und hervorgehoben. Verschachtelte Mitgliedschaften lassen sich auflösen, damit sichtbar wird, wer wirklich Mitglied ist.
Alarmregeln
16 Auslöser, darunter neue Mitglieder in privilegierten Gruppen, Manipulation am Audit-Log, überfällige Attestierungen, Drift und fehlgeschlagene Aufgaben. Empfänger und Gruppenfilter je Regel.
Berichte und Logbuch
Audit-Log nach Zeitraum und Gruppe filtern, als HTML oder PDF exportieren oder per E-Mail versenden. Das Logbuch zeigt alle Ereignisse in einer Kalenderansicht.
Vorgaben, die zum Prüfer passen
Fünf mitgelieferte Vorlagen setzen Attestierungsrhythmus, Gnadenfrist und Aufbewahrung des Audit-Logs in einem Schritt. Die Werte lassen sich danach an die eigene Richtlinie anpassen.
| Vorlage | Attestierung | Gnadenfrist | Audit-Log |
|---|---|---|---|
| DSGVO – Standard | halbjährlich | 30 Tage | 3 Jahre |
| DSGVO – Streng (besondere Kategorien, Art. 9) | vierteljährlich, Begründung beim Hinzufügen | 14 Tage | 5 Jahre |
| BSI IT-Grundschutz (ORP.4) | jährlich | 30 Tage | 3 Jahre |
| BSI IT-Grundschutz – Privilegierte Konten | vierteljährlich, Begründung beim Hinzufügen | 7 Tage | 7 Jahre |
| ISO/IEC 27001 – Zugangssteuerung | halbjährlich | 30 Tage | 3 Jahre |
Die Vorlagen bilden die Anforderungen in Anlehnung an die jeweiligen Rahmenwerke ab. Sie ersetzen keine Prüfung durch Auditoren oder Datenschutzbeauftragte.
Ein Werkzeug, das Rechte vergibt, muss selbst dicht sein
Der AD Group Lifecycle Manager schreibt ins Active Directory und startet Aufgaben unter einem Dienstkonto. Version 2.2 hat dafür ein durchgehendes Sicherheitsmodell erhalten.
Geschützter Datenbereich
Schlüssel, Einstellungen und Datenbank liegen in einem Bereich, auf den nur SYSTEM, die Administratoren und lesend das eingetragene gMSA zugreifen. Normale Benutzer sehen das Audit-Log nicht.
AES-256-GCM für Kennwörter
SMTP- und SQL-Kennwort sind verschlüsselt und an ihr Feld gebunden. Ist ein Kennwort nicht lesbar, bricht das Werkzeug vor dem Verbinden mit klarer Meldung ab – nie mit leerem Kennwort.
Dienstkonto statt Kennwort
Geplante Aufgaben laufen unter einem gMSA oder SYSTEM. Die nötigen Anmelderechte vergibt das Werkzeug selbst und nimmt beim Kontowechsel nur zurück, was es selbst gesetzt hat.
Verschlüsselte Verbindungen
Die Verbindung zum SQL Server ist immer verschlüsselt, das Zertifikat wird geprüft. Am Mailserver meldet sich das Werkzeug nur über SSL/TLS oder erzwungenes STARTTLS an.
Audit-Log mit Hash-Kette
Jeder Eintrag ist mit dem vorherigen über SHA-256 verkettet. Eine nachträgliche Änderung bricht die Kette; die Prüfung zeigt die Stelle und löst auf Wunsch einen Alarm aus.
Saubere Exporte
CSV-Exporte sind gegen Formel-Einschleusung geschützt, AD-Werte in E-Mails und Berichten werden kodiert, temporäre Dateien nach dem Versand entfernt.
Betrieb und Voraussetzungen
Kein Webserver, kein Agent auf den Domänencontrollern, keine Cloud. Das Werkzeug läuft auf einem Domänenmitglied und arbeitet mit den Bordmitteln von Windows.
Systemvoraussetzungen
| Betriebssystem | Windows Server 2016 oder neuer, Windows 10/11 – Domänenmitglied |
| Laufzeit | .NET 10 |
| Werkzeuge | RSAT Active Directory |
| Dienstkonto | gMSA für geplante Aufgaben (Simulation auch ohne) |
| Rechte | Start mit Administratorrechten |
Datenhaltung
| Einzelplatz | SQLite, ohne weitere Installation |
| Mehrere Stationen | Microsoft SQL Server, verschlüsselte Verbindung |
| Protokoll | Eigener Kanal in der Ereignisanzeige: „ISW AD Group Lifecycle“ |
| Export | HTML, PDF, CSV, E-Mail, AES-256-ZIP |
Für wen es gedacht ist
IT-Abteilungen
Ab etwa 50 AD-Benutzern, wenn Gruppen mit ADUC und PowerShell nicht mehr nachvollziehbar zu führen sind und eine IAM-Plattform zu groß wäre.
Regulierte Bereiche
Behörden, Kanzleien, Praxen und Industrie mit Anforderungen aus DSGVO, BSI IT-Grundschutz oder ISO 27001, die Rezertifizierungen belegen müssen.
Systemhäuser und MSPs
Die regelmäßige Bestätigung der Berechtigungen als wiederholbarer Prozess beim Kunden – mit Berichten, die sich direkt weitergeben lassen.
Bezug und Kontakt
Einmalkauf als Standortlizenz ohne Benutzergrenze: 699,00 € inkl. 19 % MwSt., ohne Abonnement, Updates innerhalb der Hauptversion inklusive. Fragen zum Einsatz beantworte ich am schnellsten am Telefon.
Support: support@it-service-walter.com
Schreiben Sie kurz, wie viele Gruppen und Benutzer Ihre Domäne hat – dann fällt die Antwort konkreter aus.
Shop
Die Werkzeuge der ISW-ADTools-Reihe werden über den Shop von IT-Service Walter vertrieben. Alle Angaben zu Ausstattung und Lizenzierung stehen auf der Produktseite.