Onbeperkte delegatie
De oorspronkelijke Kerberos-delegatie uit Windows 2000, waarbij een server een kopie van het ticket van de gebruiker ontvangt en daarmee als die gebruiker tegen absoluut alles kan optreden.
Het ontwerp bestond zodat een webserver namens de gebruiker gegevens uit een database kon ophalen. De prijs is dat de server het volledige TGT van de gebruiker toegestuurd krijgt en in het geheugen bewaart, zonder beperking op de diensten waartegen het mag worden gebruikt. Een aanvaller die zo'n machine overneemt hoeft dus alleen te wachten tot een bevoorrechte gebruiker er authenticeert en kan dan het ticket uit LSASS tillen. Het wachten is ook te omzeilen: met de printerbug of PetitPotam kan een domeincontroller worden gedwongen verbinding te maken, waarna diens eigen ticket beschikbaar is. De tegenmaatregelen zijn gevoelige accounts als niet-delegeerbaar markeren, de groep Protected Users gebruiken en overstappen op beperkte delegatie.