Das Kerberos-Authentifizierungsprotokoll verstehen
Die Kerberos-Authentifizierung ist ein Netzwerkauthentifizierungsprotokoll, das zur Validierung von Dienstanfragen in einem nicht vertrauenswürdigen Netzwerk, wie z. B. dem Internet, zwischen zwei oder mehr vertrauenswürdigen Hosts verwendet wird, ohne dass Passwörter übertragen werden müssen. Kerberos, ein Eckpfeiler moderner Netzwerksicherheitsprotokolle, basiert auf symmetrischer Kryptografie und erfordert die Vermittlung durch eine vertrauenswürdige dritte Partei.
Kerberos wurde 1983 eingeführt und hat sich in verschiedenen Umgebungen, insbesondere in Umgebungen mit starken Authentifizierungsmaßnahmen, weit verbreitet. Kerberos ist in zahlreichen Betriebssystemen implementiert und gehört zum Standard vieler Netzwerksicherheits- und Single-Sign-On-Lösungen.
Der Ursprung von Kerberos
Die Kerberos-Authentifizierung wurde 1983 im Rahmen von Project Athena eingeführt, einem Gemeinschaftsprojekt von MIT, Digital Equipment Corporation und IBM. Ziel war die Schaffung einer campusweiten verteilten Computerumgebung für Bildungszwecke.
Der Name Kerberos wurde von der griechischen mythologischen Figur Zerberus inspiriert, dem dreiköpfigen Hund, der den Eingang zum Hades (der Unterwelt) bewacht.
Dies symbolisiert die Struktur des Protokolls, das drei unterschiedliche und voneinander abhängige Komponenten umfasst: Client, Server und Key Distribution Center (KDC).
Wie funktioniert die Kerberos-Authentifizierung: Architektur und Prozess?
Kerberos-Authentifizierungsarchitektur
Kerberos verwendet symmetrische Verschlüsselung (Secret-Key-Kryptografie) und einen vertrauenswürdigen Drittanbieter, das Key Distribution Center (KDC), um Client-Server-Anwendungen zu authentifizieren und Benutzeridentitäten zu überprüfen. Das KDC stellt dem Client Tickets über einen Authentifizierungsserver und Ticket-Granting-Dienste über einen Ticket-Granting-Server aus. Diese Tickets werden mit einem Sitzungsschlüssel verschlüsselt und dienen dem Client als Identitätsnachweis.
Das KDC umfasst drei Hauptelemente:
- Authentifizierungsserver (AS) – führt die Erstauthentifizierung durch, wenn ein Benutzer Zugriff auf einen Dienst anfordert, und stellt ihm Tickets aus.
- Ticket-Granting-Server (TGS) – akzeptiert authentifizierte Clients und verbindet den Benutzer mit dem angeforderten Dienstserver (SS).
- Kerberos-Datenbank – speichert die Kennungen aller verifizierten Benutzer.
Beachten Sie, dass alle vom KDC ausgestellten Tickets zeitlich begrenzt sind.
Kerberos-Authentifizierungsprozess
Der Kerberos-Authentifizierungsprozess basiert auf einer Reihe von Interaktionen zwischen Client, Server und KDC. Für jede Sitzung wird ein verschlüsseltes Ticket (d. h. ein Sitzungsschlüssel) generiert und auf dem Gerät des anfordernden Benutzers gespeichert. Der angeforderte Dienst verwendet dieses Ticket zur Authentifizierung des Anforderers, anstatt Passwörter zu verwenden.
Der Kerberos-Authentifizierungsprozess umfasst vier Hauptschritte. Dieser Ablauf stellt sicher, dass das Benutzerpasswort niemals über das Netzwerk übertragen wird und schützt es so vor unbefugtem Abfangen.
1. Erste Kerberos-Authentifizierungsanfrage
Ein Benutzer initiiert einen Anmeldeversuch und fordert die Authentifizierung vom Authentication Server (AS) des KDC mit einer Kerberos-Authentifizierungsanfrage an. Diese Anfrage enthält den User Principal Name (UPN, die Benutzerkennung), jedoch nicht das Passwort, sowie die Gültigkeitsdauer des Tickets mit den Ablaufdetails. Diese Daten werden mit dem Passwort-Hash des Benutzers verschlüsselt, und der AS generiert ein Ticket-Granting-Ticket (TGT).
2. Ausstellung des Kerberos-Ticket-Granting-Tickets (TGT)
Sobald die Serviceanfrage vom AS empfangen wird, versucht das KDC, die Nachricht mithilfe des Passwort-Hashs des Benutzers zu entschlüsseln. Wenn die Nachricht erfolgreich entschlüsselt wurde und der Zeitstempel noch nicht abgelaufen ist, generiert der AS einen Sitzungsschlüssel und ein TGT, die an den Client gesendet werden, um nachfolgende Anfragen zu verschlüsseln.
Das TGT enthält die Client-ID, die Netzwerkadresse und die Gültigkeitsdauer. Das System des Benutzers verwendet das Passwort, um den Sitzungsschlüssel zu entschlüsseln, das TGT selbst ist jedoch mit dem geheimen Schlüssel des TGS verschlüsselt.
3. Kerberos-Serviceticket-Anfrage
Der Client sendet anschließend eine Anfrage an den TGS. Diese Anfrage enthält das zuvor empfangene verschlüsselte TGT und eine mit dem Sitzungsschlüssel verschlüsselte Serviceanfrage. Der TGS entschlüsselt das Ticket mit seinem geheimen Schlüssel und versucht, dessen Gültigkeit zu überprüfen. Kann der Server das Serviceticket erfolgreich entschlüsseln und die Anfrage authentifizieren, bestätigt er die Identität des Clients und gewährt Zugriff.
4. Kerberos-Servicezugriff
Nach erfolgreicher Authentifizierung präsentiert der Client das Serviceticket dem Server. Wenn der Server das Serviceticket erfolgreich entschlüsseln kann, gewährt er dem Client Zugriff.
Vorteile der Kerberos-Authentifizierung
Die Kerberos-Authentifizierung bietet mehrere Vorteile für die Netzwerksicherheit und -verwaltung, darunter die Folgenden:
Interoperabilität
Als offenes Standardprotokoll ist Kerberos eine interoperable Lösung, die verschiedene Systemtypen und Plattformen unterstützt, darunter Windows, Unix und Linux.
Gegenseitige Authentifizierung
Kerberos bietet gegenseitige Authentifizierung, bei der Client und Server die Identität des jeweils anderen überprüfen. Dies reduziert das Risiko von Man-in-the-Middle (MitM)-Angriffen, bei denen ein Angreifer sich als Server oder Client ausgibt, um den Inhalt einer Nachricht abzufangen. Da Kerberos die Authentifizierung beider Seiten erfordert, wird das Risiko von MitM-Angriffen maßgeblich minimiert.
Skalierbarkeit
Wenn die Infrastruktur entsprechend dem Volumen aktualisiert wird, kann Kerberos skaliert werden, um Authentifizierungsanfragen für große Netzwerke mit vielen Benutzern und Diensten zu verarbeiten.
Single Sign-On (SSO)-Funktion
Kerberos ermöglicht SSO, sodass Benutzer sich einmal authentifizieren und auf mehrere Dienste zugreifen können, ohne sich erneut anmelden zu müssen. SSO verbessert nicht nur die Benutzererfahrung, sondern trägt auch zu einem hohen Sicherheitsniveau bei, da die Notwendigkeit mehrerer Passwörter entfällt. Dies verhindert Passwort-Müdigkeit und beugt unsicheren Praktiken vor.
Starke Verschlüsselung
Kerberos verwendet symmetrische Verschlüsselung, um den Datenaustausch zwischen Client und Server, einschließlich des Authentifizierungsprozesses selbst, zu schützen. Die für die Verschlüsselung verwendeten Schlüssel werden niemals über das Netzwerk übertragen. Dies reduziert das Abhörrisiko und schützt vor Lauschangriffen und Datenmanipulationen während der Übertragung.
Einschränkungen der Kerberos-Authentifizierung
Obwohl die Kerberos-Authentifizierung Vorteile bietet, weist sie einige Einschränkungen hinsichtlich Implementierung und Betrieb auf. Diese Herausforderungen ergeben sich aus dem Protokolldesign, den betrieblichen Anforderungen und Umgebungsfaktoren.
Komplexität und Managementaufwand
Die Komplexität des Kerberos-Protokolls kann eine erhebliche Hürde darstellen. Einrichtung und Management eines Kerberos-Systems erfordern ein profundes Verständnis des Protokolls, eine sorgfältige Konfiguration und ein kontinuierliches Management. Dies erfordert spezielles Wissen und Ressourcen, was für kleinere Unternehmen eine Herausforderung darstellen kann.
Administratoren müssen Schlüssel verwalten, Dienste korrekt konfigurieren und die kontinuierliche Wartung des KDC sicherstellen. Werden diese Details nicht beachtet, kann dies zu Fehlern und Schwachstellen führen, die die Sicherheit beeinträchtigen. Darüber hinaus benötigt jeder Netzwerkdienst einen Satz Kerberos-Schlüssel.
Komplexität der domänenübergreifenden Authentifizierung
Da Kerberos ursprünglich für die Verwendung innerhalb einer einzelnen Domäne konzipiert wurde, kann die domänenübergreifende oder realm-übergreifende Authentifizierung, beispielsweise zwischen verschiedenen administrativen Domänen, komplex einzurichten und zu verwalten sein. Sie erfordert manuelle Schritte zum Aufbau und zur Aufrechterhaltung von Verbindungen zwischen verschiedenen Realms. Ein Schlüssel von einem KDC muss mit dem anderen KDC geteilt werden.
Interoperabilitäts- und Kompatibilitätseinschränkungen
Nicht alle Protokolle unterstützen die Kerberos-Authentifizierung, was den Einsatz in heterogenen Netzwerkumgebungen mit einer Vielzahl von Diensten und Protokollen erschweren kann. Die Integration von Kerberos in verschiedene Systeme und Anwendungen, insbesondere solche, die Kerberos nicht nativ unterstützen, kann sich als schwierig erweisen, da zusätzlicher Aufwand und manchmal individuelle Lösungen erforderlich sind.
Einschränkungen von Kerberos-Tickets
Kerberos-Tickets haben eine begrenzte Gültigkeit. Das Ablaufen von Tickets kann zu Problemen bei lang laufenden Anwendungen oder Sitzungen führen, die die Gültigkeitsdauer des Tickets überschreiten. Es kann schwierig sein, Tickets zu erneuern, ohne Benutzersitzungen zu unterbrechen.
Passwortbasierte Angriffe
Brute-Force-Angriffe auf Passwörter sind bei Kerberos effektiv, da ein Angreifer lediglich eine Verbindung zum KDC benötigt, ohne bereits Teil der Domäne sein zu müssen. Ein Angreifer kann wiederholte Authentifizierungsanfragen senden und dabei Wortlisten verwenden, um leicht zu erratende Passwörter zu testen. So erhält er Zugriff auf das Ticket-Granting-Ticket (TGT) und kann sich als jener Benutzer ausgeben.
Skalierbarkeitsprobleme
Obwohl Kerberos skalierbar konzipiert ist, kann die Abhängigkeit von einem zentralen KDC bei steigendem Authentifizierungsvolumen zu Engpässen führen. Sorgfältige Planung und Überwachung sind erforderlich, um sicherzustellen, dass zusätzliche Infrastruktur zur Unterstützung des Wachstums hinzugefügt wird.
Single Point of Failure
Da das KDC als zentrale Instanz im Kerberos-Authentifizierungsmodell fungiert, wird der gesamte Authentifizierungsprozess unterbrochen, wenn es wenn es ausfällt oder kompromittiert wird – etwa durch Hardwarefehler, Netzwerkprobleme oder Cyberangriffe. Dies kann möglicherweise zu einer Unterbrechung des Zugriffs auf alle Dienste führen, die Kerberos zur Authentifizierung verwenden.
Sensitivität der Zeitsynchronisierung
Kerberos nutzt Zeitstempel, um Replay-Angriffe zu verhindern (d. h. eine Angriffsart, bei der ein Angreifer eine gültige Datenübertragung wiederholt, um sich als legitimer Benutzer auszugeben). Um Replay-Angriffe zu verhindern, müssen die Systemzeiten aller Einheiten im Kerberos-System synchronisiert sein. Ein Fehler bei der Synchronisierung kann zu fehlgeschlagenen Authentifizierungsversuchen führen. Wenn die lokale Systemzeit zwischen Client- und Server-Computer um mehr als fünf Minuten abweicht (Standard), kann sich der Client-Computer nicht authentifizieren.
Allerdings kann es schwierig sein, diese Synchronisierung in einem großen, verteilten Netzwerk aufrechtzuerhalten, insbesondere in Umgebungen mit unterschiedlicher Genauigkeit und Stabilität der Uhr.
Häufige Probleme und Fehlerbehebung bei der Kerberos-Authentifizierung
Vermeiden Sie häufige Kerberos-Probleme, indem Sie die Ursachen verstehen und wissen, wie Sie diese beheben. Durch die Behebung bekannter Schwachstellen können Unternehmen die Vorteile der Kerberos-Authentifizierung nutzen ohne die damit verbundenen Risiken einzugehen.
Domänencontroller
Kerberos ist auf hochverfügbare Key Distribution Center (KDCs) angewiesen, die in der Regel Domänencontroller in Active Directory sind. Wenn die Domänencontroller nicht erreichbar oder falsch konfiguriert sind, schlägt die Authentifizierung fehl. Empfehlungen zur Fehlerbehebung umfassen Folgendes:
- Überprüfen Sie den Replikationsstatus der Domänencontroller
- Überprüfen Sie die DNS-Einträge für die Domänencontroller
- Stellen Sie sicher, dass Firewall und Routing Kerberos-Datenverkehr zulassen
Integration von Drittanbietersystemen
Anwendungen benötigen korrekte Service Principal Names (SPNs) und Keytabs. Sind die SPNs nicht eindeutig oder sind die Keytabs abgelaufen, schlägt die Integration fehl. Empfehlungen zur Fehlerbehebung:
- SPNs überprüfen
- Keytabs neu generieren, wenn Dienste die Fehlermeldung „Decrypt integrity check failed“ (Entschlüsselungsintegritätsprüfung fehlgeschlagen) melden
- Prüfen, ob der Dienst Kerberos unterstützt
Ältere Systeme
Ältere Systeme unterstützen möglicherweise kein Kerberos oder verwenden standardmäßig NTLM. Dies führt zu Kompatibilitätsproblemen und Sicherheitslücken. Empfehlungen zur Fehlerbehebung umfassen Folgendes:
- Kerberos-Präferenz in Gruppenrichtlinien erzwingen
- Wenn Kerberos nicht unterstützt wird, isolieren Sie ältere Systeme und wenden Sie kompensierende Maßnahmen wie VPNs, Firewalls und Multi-Faktor-Authentifizierung (MFA) an
Kerberos-Authentifizierungsfehler
Diese allgemeinen Fehler werden häufig durch eine Zeitsynchronisierung zwischen Client, Server oder KDC verursacht, die um mehr als fünf Minuten abweicht. Weitere Ursachen für Kerberos-Authentifizierungsfehler sind Fehlkonfigurationen des Domain Name Service (DNS), die zu einem Fehler bei der KDC-/Dienstauflösung führen, oder ein falscher oder doppelter SPN. Folgende Schritte können zur Behebung dieser Probleme unternommen werden:
- Zeit auf Client, Server und KDC synchronisieren
- Domänenanmeldung überprüfen
- Tickets löschen und erneut authentifizieren
Kann Kerberos gehackt werden?
Wie alle Sicherheitsmechanismen ist auch die Kerberos-Authentifizierung nicht vollständig vor Hackerangriffen geschützt. Mögliche Angriffsmöglichkeiten für die Kerberos-Authentifizierung sind:
Kompromittiertes Key Distribution Center (KDC)
Da das KDC für den Kerberos-Authentifizierungsprozess von zentraler Bedeutung ist, können Angreifer bei einer Kompromittierung die Möglichkeit erhalten, für jeden Benutzer gültige Tickets für jeden Dienst innerhalb des Bereichs (d. h. der Domäne) auszustellen. Dies könnte einem Angreifer uneingeschränkten Zugriff auf das gesamte Netzwerk ermöglichen.
Golden-Ticket-Angriffe
Bei einem Golden-Ticket-Angriff erhält ein Angreifer Zugriff auf den geheimen Schlüssel des KDC für einen Bereich (d. h. eine Domäne). Dadurch können sie TGTs generieren, um jedem Benutzer uneingeschränkten Zugriff auf jeden Dienst zu gewähren.
Diese Tickets ermöglichen einen umfassenden und dauerhaften Zugriff, da sie über einen längeren Zeitraum gültig gemacht werden können. Da die sogenannten „Golden Tickets“ von regulären Tickets nicht zu unterscheiden sind, ist ihre Erkennung schwierig.
Silver-Ticket-Angriffe
Wie Golden-Ticket-Angriffe werden auch Silver-Ticket-Angriffe in kleinerem Maßstab durchgeführt. Bei einem Silver-Ticket-Angriff erhält ein Angreifer ebenfalls Zugriff auf den geheimen Schlüssel eines Dienstes, kann aber gültige Service-Tickets für den Zieldienst erstellen.
Obgleich ein Silver-Ticket nicht den umfassenden Zugriff eines Golden-Tickets bietet, ermöglicht es dem Angreifer, sich als beliebiger Benutzer des kompromittierten Dienstes auszugeben und normale Authentifizierungsprüfungen zu umgehen. Ebenso wie goldene Tickets können silberne Tickets unentdeckt bleiben, da an der Kommunikation nicht das KDC beteiligt ist.
Pass-the-Ticket-Angriffe
Bei einem Pass-the-Ticket-Angriff stiehlt ein Angreifer ein gültiges TGT und verwendet es, um sich als legitimer Benutzer auszugeben und sich unbefugten Zugriff auf Dienste zu verschaffen. Da die Kerberos-Authentifizierung auf Tickets und nicht auf dem interaktiven Austausch von Passwörtern basiert, kann ein Angreifer, der ein gültiges Ticket erhält, dieses unangefochten verwenden. Diese Art von Angriff nutzt die Vertrauensbeziehung im Kerberos-Ticketsystem aus und ist besonders effektiv, wenn die Gültigkeitsdauer von Tickets lang ist oder die Ticketverlängerung aktiviert ist.
Insider-Bedrohungen
Ein Insider (z. B. Mitarbeiter, Auftragnehmer oder jeder, der Zugriff auf das interne Netzwerk hat) mit legitimem Zugriff auf vertrauliche Bereiche der Kerberos-Authentifizierungsinfrastruktur, einschließlich des Key Distribution Centers (KDC), kann möglicherweise externe Abwehrmaßnahmen umgehen und auf Dienste zugreifen, die vertrauliche Daten enthalten.
Man-in-the-Middle-Angriffe (MitM)
Kerberos ist zwar darauf ausgelegt, MitM-Angriffe durch gegenseitige Authentifizierung zu verhindern, doch bestimmte Fehlkonfigurationen oder Netzwerkschwachstellen können es Angreifern ermöglichen, die Kommunikation zwischen Client und KDC oder zwischen Client und Dienstserver abzufangen.
Angriffe durch das Erraten von Passwörtern
Eine häufig ausgenutzte Schwachstelle bei der Kerberos-Authentifizierung ist die Stärke des Benutzerpassworts, da die anfängliche Authentifizierung auf einem geheimen Schlüssel basiert, der aus dem Benutzerpasswort abgeleitet wird.
Ist das Passwort eines Benutzers schwach, kann ein Angreifer es mithilfe von Brute-Force- oder Wörterbuchangriffen erraten. Mit dem verifizierten Passwort kann ein Angreifer ein Ticket-Granting-Ticket (TGT) vom Key Distribution Center (KDC) anfordern, sich als jener Benutzer ausgeben und unbefugten Zugriff auf Dienste erlangen.
Replay-Angriffe
Ein Replay-Angriff nutzt die Zeitstempel von Kerberos aus. Obwohl die meisten Tickets nur eine kurze Gültigkeitsdauer haben, kann ein Angreifer, der Zugriff auf ein gültiges Ticket erlangt, dieses innerhalb des zulässigen Zeitraums erneut verwenden, um unbefugten Zugriff zu erlangen.
Bewährte Praktiken für die Kerberos-Authentifizierungskonfiguration
Diese bewährten Konfigurationspraktiken tragen dazu bei, die Kerberos-Authentifizierung sicher und zuverlässig zu gestalten.
- Konfigurieren Sie Forward- und Reverse-DNS-Lookups korrekt, damit Clients immer die richtigen Domänencontroller und Dienste finden.
- Beschränken Sie die Delegierung von Diensten.
- Stellen Sie mehrere KDCs bereit, um Single Points of Failure zu vermeiden.
- Stellen Sie sicher, dass jeder Dienst einen eindeutigen Service Principal Name (SPN) hat.
- Achten Sie darauf, dass alle Clients, Server und Key Distribution Center (KDCs) innerhalb von fünf Minuten voneinander erreichbar sind.
- Begrenzen Sie die Ticketlebensdauer, indem Sie die Gültigkeitsdauer von Ticket-Granting-Tickets (TGTs) und Service-Tickets verkürzen.
- Führen Sie detaillierte Protokolle über domänen- oder realmübergreifende Konfigurationen.
- Testen Sie regelmäßig Tickets und SPNs.
- Rotieren und aktualisieren Sie die Dienstschlüssel, um die Synchronisierung mit dem KDC zu gewährleisten.
- Überwachen Sie Kerberos-Ereignisse auf ungewöhnliche Muster (z. B. Pass-the-Ticket-Versuche).
- Verwenden Sie ausschließlich eine starke, AES-basierte Verschlüsselung.
Kerberos im Vergleich zu anderen Authentifizierungsprotokollen: Vergleiche und Unterschiede
Neben Kerberos gibt es weitere Authentifizierungsprotokolle wie NTLM, LDAP, OAuth, SAML und OpenID Connect. Nachfolgend finden Sie eine Kurzübersicht dieser Authentifizierungsprotokolle.
- NTLM – ein älteres Windows-Challenge-Response-Protokoll, das Passwort-Hashes verwendet.
Einschränkung: Anfällig für Pass-the-Hash- und Relay-Angriffe, daher unsicher für moderne Umgebungen. - LDAP – ein Verzeichniszugriffsprotokoll zum Speichern und Abrufen von Identitätsinformationen.
Einschränkung: Bietet nur geringe Sicherheit in Kombination mit LDAPS und verfügt über keine integrierten SSO-Funktionen. - OAuth – ein Autorisierungsframework, das Token ausgibt, um Anwendungen eingeschränkten Zugriff auf Benutzerressourcen zu gewähren.
Einschränkung: Für die Autorisierung, nicht für die Authentifizierung konzipiert. Birgt Risiken bei Token-Diebstahl. - SAML – ein XML-basiertes Protokoll zum Austausch von Authentifizierungs- und Autorisierungsdaten zwischen Identitätsanbietern und Dienstanbietern.
Einschränkung: Es basiert auf ausführlichem XML, was im Vergleich zu modernen JSON-basierten Protokollen komplex und langsamer sein kann. - OpenID Connect – eine JSON-basierte Identitätsschicht, die auf OAuth 2.0 aufbaut und sowohl Authentifizierung als auch Autorisierung für Web-, Mobil- und API-Anwendungen bietet.
Einschränkung: Stark von einer korrekten OAuth-2.0-Implementierung abhängig, wodurch Fehlkonfigurationen ein häufiges Risiko darstellen.
Über das Kerberos-Authentifizierungsprotokoll
Kerberos wird in modernen Netzwerken weiterhin häufig verwendet, um eine sichere Authentifizierung in unsicheren Netzwerken zu gewährleisten.
Trotz seiner breiten Nutzung ist es nicht ohne Einschränkungen. Die Kerberos-Authentifizierung erfordert eine sorgfältige Einrichtung und ein umfassendes Management, um ihre Sicherheit zu gewährleisten. Dazu gehört die Gewährleistung der Zeitsynchronisierung zwischen verschiedenen Elementen in verschiedenen Netzwerken und der Schutz des Key Distribution Centers vor potenziell schwerwiegenden Sicherheitsverletzungen.
Unternehmen können sich jedoch dafür entscheiden, die richtigen Ressourcen und Fachkenntnisse einzusetzen, um diese und andere Risiken zu mindern und die Kerberos-Authentifizierung als Rahmen für die Authentifizierung von Benutzern und Diensten in einer verteilten Netzwerkumgebung zu nutzen.
HINWEIS: DIE IN DIESEM DOKUMENT ENTHALTENEN INFORMATIONEN DIENEN AUSSCHLIESSLICH INFORMATIONSZWECKEN UND STELLEN KEINE RECHTSBERATUNG DAR. SAILPOINT KANN KEINE RECHTSBERATUNG ERTEILEN UND EMPFEHLT, SICH BEI RECHTSFRAGEN AN EINEN RECHTSANWALT ZU WENDEN.
