Sicherheitsbaustein 02 · Systemhärtung
Standard heißt bequem. Nicht sicher.
Betriebssysteme kommen so aus der Verpackung, dass alles sofort funktioniert – nicht so, dass möglichst wenig angreifbar ist. Härtung schließt die Differenz: weniger offene Türen, engere Rechte, sauberes Protokoll.
Kurz erklärt
Angriffsfläche
verkleinern.
Härtung heißt: alles abschalten, was nicht gebraucht wird, und alles begrenzen, was gebraucht wird. Das klingt unspektakulär und ist trotzdem der Baustein mit dem besten Verhältnis von Aufwand zu Wirkung – weil er ganze Angriffswege schließt, statt sie nur zu beobachten.
Als Maßstab dienen anerkannte Härtungsvorgaben, etwa die Empfehlungen des BSI und die CIS-Benchmarks. Diese werden nicht blind angewendet: Jede Einstellung wird gegen den tatsächlichen Betrieb geprüft. Was eine Branchensoftware nachweislich braucht, bleibt – dann aber dokumentiert und mit einer Ausgleichsmaßnahme.
Bereiche
Woran konkret
geschraubt wird.
Sechs Bereiche, in dieser Reihenfolge abgearbeitet. Der Umfang richtet sich danach, was bei Ihnen vorhanden ist – nicht jede Maßnahme passt in jeden Betrieb.
Konten & Rechte
- Getrennte Konten für tägliche Arbeit und Verwaltung
- Rechte auf das Nötige begrenzen, Gruppen statt Einzelvergabe
- Verwaiste Konten ausgeschiedener Mitarbeitender entfernen
- Dienstkonten mit eigenem Zweck und ohne Anmelderecht am Arbeitsplatz
- Regelmäßige Übersicht: wer darf eigentlich was
Anmeldung
- Zweiter Faktor für Fernzugriff, Verwaltung und E-Mail
- Kontosperre nach mehreren Fehlversuchen
- Zeitgemäße Kennwortregeln – lang statt kompliziert, kein Zwangswechsel ohne Anlass
- Bildschirmsperre und automatische Abmeldung
- Kennwortspeicher statt Zettel und geteilter Listen
Dienste & Protokolle
- Nicht benötigte Dienste und Rollen abschalten
- Veraltete Netzwerkprotokolle deaktivieren
- Makros und ausführbare Anhänge einschränken
- Skriptumgebungen begrenzen, Ausführung protokollieren
- Wechseldatenträger regeln statt pauschal erlauben
Netz & Fernzugriff
- Kein Verwaltungszugang direkt aus dem Internet
- Fernzugriff ausschließlich über VPN mit zweitem Faktor
- Gäste-WLAN und Produktionsnetz getrennt
- Firewallregeln aufräumen: was ist offen und warum
- Standardkennwörter auf Netzwerkgeräten ersetzen
Verschlüsselung & Daten
- Festplattenverschlüsselung auf Notebooks – Pflichtstoff bei Verlust
- Wiederherstellungsschlüssel sicher hinterlegt
- Verschlüsselte Verbindungen für Freigaben, Mail und Fernzugriff
- Zugriff auf Freigaben nach Bereichen statt „alle dürfen alles“
- Sicherungen getrennt aufbewahren und gegen Veränderung schützen
Protokolle & Updates
- Protokollierung überhaupt einschalten und ausreichend lange aufbewahren
- Sicherheitsrelevante Ereignisse zentral sammeln
- Updates automatisiert, mit Testgruppe vor dem Rest
- Software ohne Herstellerunterstützung erkennen und ablösen
- Zeitsynchronisierung – ohne gleiche Uhr keine belastbare Zeitachse
Jede abgeschaltete Funktion ist ein Angriffsweg,
den niemand mehr überwachen muss.
Vorgehen
Ohne den Betrieb
anzuhalten.
Härtung scheitert selten an der Technik, sondern daran, dass plötzlich etwas nicht mehr geht. Deshalb wird in Wellen umgesetzt – mit Testgruppe, angekündigtem Fenster und dokumentierter Rücknahmemöglichkeit.
Aufnehmen
Ist-Stand aller Systeme automatisiert erfassen und gegen die Härtungsvorgabe abgleichen. Ergebnis: eine Liste der Abweichungen.
Priorisieren
Jede Abweichung bekommt Risiko und Aufwand. Zuerst kommt, was viel schließt und wenig stört – nicht, was am schnellsten geht.
Umsetzen
In Wellen: erst Testgruppe, dann Rest. Änderungen werden protokolliert, damit sie im Zweifel gezielt zurückgenommen werden können.
Nachprüfen
Regelmäßiger Abgleich, weil Einstellungen im Alltag verrutschen. Abweichungen erscheinen im Monatsbericht.
Warum wiederkehrend
Einstellungen
verrutschen.
Eine einmalige Härtung hält selten ein Jahr. Neue Geräte kommen mit Standardwerten, Updates setzen Einstellungen zurück, für ein dringendes Problem wird schnell etwas freigegeben – und bleibt offen.
- Neu eingerichtete Geräte werden automatisch gegen die Vorgabe geprüft
- Nach größeren Updates läuft ein erneuter Abgleich
- Temporäre Freigaben bekommen ein Ablaufdatum statt Vergessen
- Jede bewusste Ausnahme ist dokumentiert und begründet
- Der Bericht zeigt den Verlauf: Wie viele Abweichungen gab es über die Monate
FAQ
Fragen zur
Härtung.
Was offen bleibt, klären wir im Erstgespräch – kostenlos und ohne Verpflichtung.
Wird dadurch die tägliche Arbeit umständlicher?
An zwei Stellen spürbar: zweiter Faktor beim Fernzugriff und getrennte Verwaltungskonten. Alles andere merkt im Alltag kaum jemand. Wo eine Maßnahme echten Mehraufwand bringt, wägen wir gemeinsam ab, statt sie stillschweigend zu setzen.
Was ist, wenn unsere Branchensoftware veraltete Einstellungen braucht?
Das kommt häufig vor. Dann bleibt die Einstellung bestehen, wird aber dokumentiert und flankiert – etwa durch Netztrennung, engere Rechte oder zusätzliche Überwachung. Parallel fragen wir beim Hersteller nach, ob es eine aktuelle Alternative gibt.
Wie lange dauert die erste Runde?
Die Aufnahme läuft weitgehend automatisch und dauert wenige Stunden. Die Umsetzung verteilt sich je nach Größe über zwei bis sechs Wochen, damit jede Welle beobachtet werden kann.
Können wir das nicht selbst machen?
Grundsätzlich ja – die Vorgaben sind öffentlich. In der Praxis scheitert es an Zeit und daran, dass niemand den Überblick behält, welche Einstellung wo gilt und warum. Wenn Sie jemanden im Haus haben, der das übernimmt, unterstützen wir gern nur bei Aufnahme und Prüfung.
Nächster Schritt
Wie weit sind Ihre
Systeme vom Soll
entfernt?
Die Bestandsaufnahme lässt sich vorab machen: Sie sehen die Abweichungen und den geschätzten Aufwand, bevor Sie sich für die Umsetzung entscheiden.