Domeincontroller: het digitale poortwachtersysteem achter elk bedrijfsnetwerk

Bijgewerkt: 10 september 2026 · 5 min leestijd

Stel je een groot kantoorgebouw voor met honderden werknemers, vergaderzalen en archiefkasten. Bij de ingang staat een receptie die controleert wie je bent, welke sleutelkaart je krijgt en tot welke verdiepingen je toegang hebt. Een domeincontroller is precies dat, maar dan voor een computernetwerk: een server die controleert wie er mag inloggen, met welk wachtwoord, en tot welke bestanden, printers en programma's die persoon toegang krijgt.

Vrijwel elk middelgroot of groot bedrijf, elke gemeente, elk ziekenhuis en elke universiteit heeft er een of meerdere draaien, meestal zonder dat de gewone gebruiker het ooit merkt. Toch is de domeincontroller een van de belangrijkste en meest kwetsbare onderdelen van een organisatie: wie de controle over dit systeem overneemt, heeft in de praktijk vaak toegang tot bijna alles binnen dat netwerk. Dat maakt het onderwerp relevant, ook buiten de IT-afdeling.

Wat is het precies?

Een domeincontroller is een server waarop een speciale directorydienst draait, meestal Active Directory van Microsoft. Een directorydienst is in feite een grote, gestructureerde database met alle gebruikers, computers, groepen en beleidsregels binnen een organisatienetwerk (een 'domein'). Denk aan een telefoonboek dat niet alleen namen en nummers bevat, maar ook rechten en rollen.

Wanneer een medewerker 's ochtends inlogt op zijn werklaptop, stuurt die laptop een verzoek naar de domeincontroller. Deze controleert het wachtwoord en stuurt, als alles klopt, een digitaal 'bewijs van identiteit' terug. Dat gebeurt meestal via een protocol dat Kerberos heet, vernoemd naar de driekoppige hond uit de Griekse mythologie die de onderwereld bewaakt. Kerberos werkt met tijdelijke, versleutelde 'tickets' in plaats van het steeds opnieuw versturen van een wachtwoord, wat veiliger is.

Voor het opzoeken van gegevens in die grote gebruikersdatabase gebruikt de domeincontroller een ander protocol: LDAP (Lightweight Directory Access Protocol). Daarnaast beheert de domeincontroller zogeheten Group Policy Objects, ofwel groepsbeleid: centrale instellingen die bijvoorbeeld bepalen dat alle laptops binnen een uur automatisch vergrendelen, of dat niemand zomaar software mag installeren.

In grotere organisaties staan er meerdere domeincontrollers naast elkaar, verspreid over kantoren of datacenters. Ze houden elkaars gegevens automatisch synchroon via replicatie, zodat als er één uitvalt, de rest gewoon doorwerkt. Dit concept bestaat sinds Windows 2000 Server, waarmee Microsoft Active Directory introduceerde als opvolger van het oudere en eenvoudigere Windows NT-domeinmodel.

Wat wil men ermee bereiken?

Het kerndoel is centraal beheer. Zonder een domeincontroller zou een IT-afdeling op elke afzonderlijke computer handmatig gebruikers moeten aanmaken, wachtwoorden moeten resetten en instellingen moeten aanpassen. Bij honderden of duizenden apparaten is dat onwerkbaar. Met een domeincontroller regel je dit één keer, centraal, en het geldt meteen overal.

Een tweede doel is beveiliging en controle. Organisaties willen kunnen aantonen wie wanneer bij welke gegevens kon, welke rechten iemand had, en dat oud-medewerkers direct worden buitengesloten. Dit is ook relevant voor compliance: veel wet- en regelgeving rond gegevensbescherming vereist aantoonbare toegangscontrole.

Een derde, minder zichtbaar doel is consistentie: dezelfde beveiligingsinstellingen, dezelfde wachtwoordregels en dezelfde software-updates overal binnen de organisatie, zodat er geen zwakke plekken ontstaan door één vergeten computer met verouderde instellingen.

Voorbeelden uit de praktijk

De bekendste en meest aangehaalde praktijkcasus is de NotPetya-aanval van juni 2017. Deze malware verspreidde zich razendsnel binnen bedrijfsnetwerken door gestolen inloggegevens te combineren met een lek in Windows. Zodra de malware toegang kreeg tot een domeincontroller, kon hij zich in enkele minuten over een heel wereldwijd netwerk verspreiden. Rederij Maersk werd hierdoor vrijwel volledig platgelegd; het bedrijf kon zijn hele Active Directory-omgeving alleen herstellen dankzij één domeincontroller in een kantoor in Ghana die toevallig offline was door een stroomstoring op het moment van de aanval, en dus niet besmet raakte.

Bij veel ransomware-aanvallen van de afgelopen jaren, waaronder aanvallen toegeschreven aan groepen als Conti en LockBit, is de domeincontroller opnieuw een centraal doelwit: aanvallers proberen eerst controle over dit systeem te krijgen, om vervolgens via het ingebouwde groepsbeleid de gijzelsoftware in één klap op alle computers in het netwerk te installeren.

Op onderzoeksniveau bestaat de tool Mimikatz, ontwikkeld door de Franse beveiligingsonderzoeker Benjamin Delpy. Deze tool laat zien hoe inloggegevens uit het geheugen van Windows-machines te halen zijn, en wordt gebruikt om technieken als de zogeheten Golden Ticket-aanval te demonstreren: een vervalst Kerberos-toegangsbewijs waarmee een aanvaller zich vrijwel onbeperkte en langdurige toegang tot een domein kan verschaffen.

Ook overheidsorganisaties gebruiken domeincontrollers op grote schaal; Nederlandse gemeenten en ministeries draaien doorgaans op Active Directory-infrastructuur, vaak in combinatie met beveiligingsmaatregelen die voortkomen uit richtlijnen van het Nationaal Cyber Security Centrum (NCSC).

Hoe ver is de techniek?

Als basistechnologie is de domeincontroller volwassen en stabiel: het concept bestaat al ruim vijfentwintig jaar en wordt wereldwijd op enorme schaal gebruikt. De ontwikkeling zit tegenwoordig vooral in twee richtingen: beveiliging verbeteren, en de overstap naar de cloud.

Op beveiligingsgebied heeft Microsoft de afgelopen jaren functies toegevoegd zoals Credential Guard, dat gevoelige inloggegevens afschermt in een apart, geïsoleerd stuk geheugen, en LAPS (Local Administrator Password Solution), dat lokale beheerderswachtwoorden automatisch en willekeurig laat wisselen zodat één gelekt wachtwoord niet meteen het hele netwerk opent. Toch blijven aanvalstechnieken tegen domeincontrollers, zoals de eerder genoemde Golden Ticket-aanval en de zogeheten DCSync-aanval (waarbij een aanvaller doet alsof hij een andere domeincontroller is om wachtwoordgegevens op te vragen), een terugkerend probleem, mede omdat veel organisaties oudere, niet volledig bijgewerkte Active Directory-omgevingen draaien die soms al tientallen jaren meegaan en daardoor verouderde, kwetsbare instellingen bevatten.

De tweede ontwikkeling is de gedeeltelijke verschuiving naar de cloud. Microsoft biedt met Microsoft Entra ID (tot 2023 bekend als Azure Active Directory) een cloudgebaseerde identiteitsdienst aan die niet meer werkt met traditionele, fysieke domeincontrollers, maar met moderne webprotocollen. Veel organisaties draaien inmiddels een hybride model: een deel van de systemen blijft afhankelijk van klassieke, lokale domeincontrollers, terwijl gebruikersidentiteiten ook gesynchroniseerd worden naar de cloud. Deze overgang verloopt geleidelijk en is bij veel organisaties nog niet voltooid, onder meer omdat verouderde bedrijfssoftware vaak nog is afgestemd op de klassieke, lokale opzet.

Wie werken eraan?

Microsoft is verreweg de grootste speler, als bedenker en beheerder van zowel de klassieke Active Directory-technologie als de cloudopvolger Microsoft Entra ID. Daarnaast bestaat er met Samba, een opensourceproject, een gratis alternatief waarmee ook Linux-servers als volwaardige, met Active Directory compatibele domeincontroller kunnen functioneren; dit wordt vooral gebruikt door organisaties die niet volledig afhankelijk willen zijn van Microsoft-software.

Op het gebied van beveiligingsonderzoek speelt het Amerikaanse MITRE-instituut een belangrijke rol met het ATT&CK-raamwerk, een uitgebreide, publiek toegankelijke catalogus van aanvalstechnieken die specifiek ingaat op hoe domeincontrollers en Active Directory-omgevingen worden aangevallen en hoe organisaties zich daartegen kunnen verdedigen. Overheidsinstanties zoals de Amerikaanse CISA en NSA publiceren regelmatig gezamenlijke richtlijnen voor het beveiligen van Active Directory-omgevingen, en in Nederland geeft het NCSC vergelijkbaar advies aan overheidsorganisaties en vitale sectoren.