Consulting Kerberos & Troubleshooting

Kerberos ist das Standard-Authentifizierungsprotokoll in Windows-Umgebungen mit Active Directory – zumindest nominell. Ich formuliere bewusst vorsichtig, denn es gibt jede Menge Situationen, in denen eben keine Kerberos-Authentifizierung zustande kommt. Häufig fällt das nicht auf, weil Windows still auf das alte NTLM zurückfällt. Das ist unter Security- und Performance-Gesichtspunkten unschön, aber es „geht“. In anderen Fällen kommt überhaupt keine Authentifizierung zustande – und der Anwender steht vor verschlossener Tür.

Genau an diesen Stellen setze ich an: bei der systematischen Analyse, beim Troubleshooting unter Zeitdruck und beim sauberen Aufbau von Authentifizierungspfaden, die auch in einem Jahr noch verständlich sind.

Meine Vorgehensweise

Ich arbeite strukturiert in vier Phasen – vom Symptom über die Analyse und die kontrollierte Umsetzung bis zur dokumentierten Authentifizierungslandkarte. Dieses Vorgehen sorgt dafür, dass am Produktivsystem nichts „auf Verdacht“ verändert wird und am Ende ein belastbares Ergebnis steht.

Abbildung: Vier Phasen von der Symptomaufnahme zur Authentifizierungslandkarte.

1. Aufnahme

Symptome präzise erfassen, betroffene Authentifizierungspfade identifizieren, vorhandene Tickets und Logs sammeln. Bevor irgendetwas verändert wird, steht ein klares Bild der Ausgangslage.

2. Analyse

SPNs auf Vollständigkeit und Duplikate prüfen, Tickets verfolgen, Delegationskonfiguration und DNS-/Alias-Auflösung gegenprüfen. Hier trennt sich die Vermutung vom Befund.

3. Maßnahmen

Jede Maßnahme kommt als Click-by-Click-Schritt mit Erfolgskriterium und Rollback – kontrolliert, nachvollziehbar und im Zweifel zurücknehmbar. Keine Überraschungen im laufenden Betrieb.

4. Authentifizierungslandkarte

Das bleibende Ergebnis: ein Dokument, das jeden Hop mit Protokoll, SPN, Delegationsart und Prüfstatus festhält. Diagnosewerkzeug, Übergabedokument und Betriebsgrundlage in einem.

Konkrete Leistungen

Ob großes Projekt oder eine einzelne, hartnäckige Frage – die Bandbreite reicht von der schnellen zweiten Meinung bis zur dauerhaften Betreuung:

Typische Szenarien

Kerberos-Themen zeigen sich fast immer an den Schnittstellen zwischen Systemen. Das sind die Schauplätze, an denen ich am häufigsten tätig bin:

• Kerberos mit SharePoint und SQL Server – das klassische Double-Hop-Szenario.
• Kerberos mit Netzwerkgeräten wie KEMP LoadMaster – SPNs für virtuelle Namen vor mehreren Backends.
• Hybride Cloud-Szenarien wie das Power Platform Data Gateway mit delegierter Identität.
• Integration mit Non-Windows-Systemen – hier bearbeite ich den Windows-Teil (SPNs, Delegation, Trusts).
• Coaching für Admins und Entwickler – Methodik und Werkzeuge an die Hand geben.
• Review der Umgebung inklusive Anfertigung einer vollständigen Authentifizierungslandkarte.

Lassen Sie uns sprechen

Wenn Sie mögliche Anknüpfungspunkte für eine Zusammenarbeit sehen, sollten wir unverbindlich ins Gespräch kommen. Wir klären gemeinsam Ihren Bedarf und wie ich Sie konkret unterstützen kann – egal ob ein akutes Problem brennt oder Sie Ihre Authentifizierung grundsätzlich auf solide Füße stellen wollen.

Sprechen Sie mich einfach an. Per Telefon, Teams oder Mail – ich freue mich auf Sie.