Websites herunterladen, die NTLM nutzen

Über NTLM

Das Akronym enthält zwei Wörter, die sein Alter verraten: LAN, also dort, wo das Protokoll bleiben sollte, und NT, nach einer längst eingestellten Produktlinie. Das Protokoll authentifiziert Benutzer gegenüber Windows-Konten über ein Challenge-Response-Verfahren, und ein Server kündigt es in einem HTTP-Response-Header an, wenn er einen Client zur Authentifizierung auffordert, was der einzige Grund ist, warum sich das überhaupt von außen beobachten lässt. Ein öffentlicher Host, der mit dieser Challenge antwortet, teilt dem Internet mit, dass er an eine Windows-Umgebung angebunden ist.

Der Anbieter Microsoft führte das Protokoll 1993 ein und hat seither viel Zeit darauf verwendet, Kunden davon abzubringen, zunächst in Richtung Kerberos und später hin zu moderner föderierter Anmeldung. Das Protokoll steht nach wie vor unter der Lizenz Proprietary und wird weiterhin unterstützt, weil es noch abdeckt, was Kerberos nicht leisten kann: Zugriff per IP-Adresse statt Hostname, Rechner außerhalb einer Domäne, Arbeitsgruppen-Setups und einen Long Tail von Anwendungen, die niemand anfassen will. Eine Abkündigung in der Dokumentation und das Verschwinden aus dem Produktivbetrieb sind sehr verschiedene Ereignisse.

Stand Oktober 2026 erfassen wir NTLM auf 528 Hosts in der Kategorie Security. Was die erkannten Hosts verbindet, ist keine Branche, sondern eine Architektur. Ins Internet gestellte interne Webanwendungen, Intranet-Portale, Dokumentenmanagementsysteme, Mail- und Collaboration-Frontends, Konsolen für die Geräteverwaltung und alte Fachanwendungen landen alle in derselben Menge, meist weil jemand einen Port für den Fernzugriff geöffnet und die Authentifizierungsmethode genau so gelassen hat, wie sie war.

Die Sicherheitsbewertung ist eindeutig und sollte klar ausgesprochen werden. Eine Challenge-Response-Authentifizierung, die aus dem offenen Internet erreichbar ist, ist Relay- und Credential-Angriffen ausgesetzt, für deren Abwehr das Protokoll nie ausgelegt war, und jeder Host in der Datei ist ein öffentlicher Endpunkt, der an einen internen Verzeichnisdienst gebunden ist. Wer die Angriffsfläche analysiert, ob im eigenen Bestand oder über ein Portfolio übernommener Unternehmen hinweg, braucht die vollständige Aufzählung und keine Einzelantwort.

Die Erkennung hat eine feste Untergrenze und eine weiche Obergrenze. Ein Host taucht nur auf, wenn er die Challenge auf einem Pfad präsentiert, den wir tatsächlich erreichen. Alles hinter einem VPN, hinter einem Proxy, der die Authentifizierung terminiert, oder hinter einem Anmeldeformular fehlt daher, obwohl das Protokoll darunter läuft. Am treffendsten beschreibt man die Zahl deshalb als Untergrenze der Exponierung.

Ob ein einzelner Hostname das Protokoll aushandelt, lässt sich mit einer einzigen Anfrage prüfen, die jeder stellen kann. Der Wert einer herunterladbaren Liste liegt darin, dass sie aus einer Prüfung pro Host eine Karte macht: welche Länder, Endungen und Organisationen Windows-Authentifizierung noch immer ins offene Internet stellen, wie dieser Bestand zwischen Snapshots schrumpft und welche dieser Domains auch die übrige Software einsetzen, die häufig mit einem ungepflegten Perimeter einhergeht.