🛡️ Active Directory Health Check v2.14.2

🇩🇪 Deutsch | 🇬🇧 English

Ein umfassendes PowerShell-Skript zur automatisierten Überprüfung der Gesundheit und Sicherheit einer Active Directory-Umgebung. Mit Best-Practice-Bewertung, farbcodiertem HTML-Report und CSV-Export.

DE: Auswahlfenster der GUI: thematische Check-Gruppen, Suite-Buttons und frei wählbarer Ausgabepfad – hier bewusst mit einer Testversion (eine Version unter dem damals neuesten Release), damit das klickbare Badge „Update verfügbar: v2.10" neben der Versionsnummer sichtbar wird. Beim Start wird die GitLab-Releases-API geprüft (Timeout 3 s), ein Klick auf das Badge öffnet die Release-Seite; abschaltbar mit -NoUpdateCheck. Das Versions-Badge im Kopf dieser README zeigt weiterhin die echte Release-Version 2.13.

EN: GUI selection window: thematic check groups, suite buttons and freely selectable output path – deliberately shown as a test version (one version below the then-latest release) so that the clickable badge “Update verfügbar: v2.10” (German UI) next to the version number becomes visible. On startup the GitLab releases API is queried (3 s timeout), clicking the badge opens the release page; can be disabled with -NoUpdateCheck. The version badge at the top of this README still shows the actual release version 2.13.

---

🇩🇪 Deutsch

📑 Inhaltsverzeichnis

• Features
• Die 74 Checks
• Systemanforderungen
• Installation
• Verwendung
• Sprache / Language
• Screenshots
• Konfiguration
• Report-Ausgabe
• Architektur
• Troubleshooting
• Contributing
• License

---

✨ Features

• 🎯 74 Best-Practice-Checks thematisch sortiert (DC-Basis, Security, Struktur, Monitoring, Hybrid/Cloud) – inkl. Teilprüfung 55b (ADBA)
• 🖼️ Moderne WPF-GUI (Light Theme) mit Gruppen-Auswahl, Suite-Buttons und Ausgabepfad-Wahl
• 🎨 Farbcodierter HTML-Report mit Executive Dashboard (OK / WARN / KRITISCH / INFO)
• 📋 Gesamtübersicht der Auffälligkeiten – alle auffälligen Checks in einer Tabelle, nach Schwere sortiert, Befunde je Check gekürzt
• 📊 CSV-Export aller Check-Ergebnisse
• 🖥️ Interaktives Startmenü als Fallback für Konsolen-Betrieb
• ⚡ Parameter-basierte Ausführung für Scheduled Tasks / Automatisierung
• 🆕 Update-Anzeige gegen GitLab-Releases – beim Start wird das neueste Release geprüft (Timeout 3 s): klickbares Badge neben der Versionsnummer („Update verfügbar: v2.10"), in der Konsole/Skript eine Infozeile. Ein Klick installiert die neue Fassung direkt (Download, SHA-256-/Syntaxprüfung, Backup, Neustart); in der Konsole fragt das Skript nach. Unterdrückbar per -NoUpdateCheck (keine Abfrage) bzw. -NoSelfUpdate (kein Austausch)
• 📁 Frei wählbarer Ausgabepfad per GUI oder -OutputPath Parameter
• 🔍 DCDiag mit Einzeltest-Parsing (DE/EN sprachunabhängig)
• 🔄 Loopback-Erkennung für lokale DCs (nutzt localhost statt FQDN)
• 📡 Ping-Skip-Logik für nicht erreichbare DCs mit Fallback auf WinRM
• 🌍 Sprachunabhängig via Well-Known SIDs
• 🗣️ Automatische Spracherkennung & DE/EN-Sprachumschalter – live umschaltbar in der WPF-GUI, überschreibbar per Parameter -Language de|en
• 📝 Ausführliches Logging (C:\ScriptLog)
• 🔧 Modular aufgebaut - einzelne Checks können gezielt ausgeführt werden

📋 Die 74 Checks

🏗️ DC-Basis-Infrastruktur

#	Check	Beschreibung
1	DC System-Informationen	OS, RAM, Uptime, Hardware
2	Dienste	NTDS, DNS, Netlogon, KDC, W32Time, DFSR
3	DCDiag-Tests	Detailliertes Parsing aller DC-Diagnose-Tests
4	Replikation (Partner)	Status pro DC-Partner
4b	Replikations-Fehler (Forest)	Forest-weite Replikationsprobleme
5	FSMO-Rollen	Alle 5 FSMO-Rolleninhaber
6	DNS-Konfiguration	Zonen, AD-Integration, Dynamic Updates
7	SYSVOL & NETLOGON	Erreichbarkeit
8	NTDS-Datenbank	Größe, freier Festplattenplatz
60	DNS-Zonen: SOA & Replikation	SOA-Refresh/-Expire gegen die Schwellwerte, ReplicationScope, DynamicUpdate=None, Zonenkonsistenz zwischen den DCs
61	DNS-Forwarder & Conditional Forwarder	Globale Forwarder inkl. Root-Hints, CF-Ziel-IPs, nur teilweise verteilte (registry-basierte) CF und Weiterleitungsschleifen
62	DNS-Reverse-Lookup-Vollständigkeit	Fehlende Reverse-Zonen zu allen A/AAAA-Records der Forward-Zonen
64	IPv6-Status je DC	IPv6-Bindung aller Adapter, DisabledComponents (Rohwert + Interpretation) und Abweichung zwischen Adapter und Registry

🔒 Security: Netzwerk-Protokolle

#	Check	Beschreibung
9	TLS-Protokolle (SCHANNEL)	SSL 2.0/3.0, TLS 1.0/1.1/1.2/1.3
10	Cipher & Algorithmen	RC4, DES, MD5 und andere schwache Cipher
11	SMB1 & SMB-Signing	WannaCry-Schutz, Signing erzwungen
12	NTLM / LAN-Manager Auth Level	LmCompatibilityLevel=5 Best Practice
13	LLMNR / NetBIOS / WPAD	Responder-Angriffs-Schutz
14	LDAP-Security	Signing + Channel Binding (ADV190023)
15	Windows Firewall	Alle 3 Profile aktiv?

👥 Security: Accounts & Kerberos

#	Check	Beschreibung
16	Privilegierte Accounts	Domain/Enterprise/Schema Admins etc.
17	Password-Policy	MinLen, History, MaxAge, Complexity, Lockout
18	Kerberos / krbtgt	Passwort-Alter (Best Practice: ≤180 Tage)
19	Kerberos Unconstrained Delegation	Domain-Takeover-Risiko-Erkennung
20	Kerberoasting-Risiko	User-Accounts mit SPN analysieren
21	LSA Protection (RunAsPPL)	Schutz gegen Credential-Dumping (Mimikatz)

🛡️ Security: System Hardening

#	Check	Beschreibung
22	Print Spooler auf DCs	CVE-2021-34527 (PrintNightmare)
23	Secure Boot Zertifikats-Update	Windows UEFI CA 2023 Deployment-Status
24	Zertifikate	Ablauf-Überwachung, EKU-Check