Glossar
Credential Guard
Windows-Funktion, die NTLM-Hashes und Kerberos-Geheimnisse per virtualisierungsbasierter Sicherheit von LSASS isoliert und so die meisten Credential-Dumps vereitelt.
Credential Guard nutzt virtualisierungsbasierte Sicherheit (VBS), um Geheimnisse, die LSASS normalerweise vorhält – etwa NTLM-Kennworthashes und die Schlüssel von Kerberos-Ticket-Granting-Tickets –, in einen isolierten Prozess (LsaIso.exe) zu verlagern, der auf einer separaten, vom Hypervisor geschützten Vertrauensebene läuft. Selbst Code, der im normalen Betriebssystem als SYSTEM läuft, kann diesen Speicher nicht lesen.
Voraussetzungen sind UEFI, Secure Boot und CPU-Virtualisierungsunterstützung; die Funktion läuft auf den Editionen Enterprise und Education sowie auf Windows Server. Auf geeigneten Geräten mit Windows 11 22H2+ Enterprise/Education und auf in die Domäne eingebundenen Mitgliedsservern mit Windows Server 2025 ist sie standardmäßig aktiviert. Sie blockiert NTLMv1, uneingeschränkte Kerberos-Delegierung und die Delegierung gespeicherter Anmeldeinformationen und schützt nicht die Datenbanken von Domänencontrollern.