Was ist Systemhärtung?

Systemhärtung einfach erklärt

Ein frisch installierter Server bringt zahlreiche Funktionen mit, von denen im eigenen Betrieb nur ein Teil gebraucht wird. Der Hersteller kann nicht wissen, ob das Gerät später Dateien bereitstellt, Anmeldungen prüft oder eine Fachanwendung trägt, und hält deshalb vieles vorrätig. Im Lauf der Jahre kommt Gewachsenes hinzu: ein Testkonto, das nie gelöscht wurde, eine Freigabe „nur für dieses Projekt“, ein Fernzugang für einen Dienstleister, der längst nicht mehr beauftragt ist.

Systemhärtung bringt diese Einstellungen in einen festgelegten, dokumentierten Zielzustand. Dahinter stehen drei einfache Fragen:

• Weglassen: Welche Dienste, Rollen, Programme und Konten werden nicht gebraucht und können weg?
• Begrenzen: Wer darf was, von wo aus und mit welchem Nachweis? Hierher gehören getrennte Konten für Verwaltungsaufgaben, Rechte, die auf das für die Aufgabe Nötige beschränkt sind, und eine zusätzliche Bestätigung bei der Anmeldung per Multi-Faktor-Authentifizierung.
• Nachvollziehen: Werden Anmeldungen und Änderungen an wichtigen Konten protokolliert, und ist festgehalten, warum eine Ausnahme besteht?

Wo Härtung ansetzt

Server, Arbeitsplätze und Cloud-Dienste haben unterschiedliche Stellschrauben. Einige Beispiele aus kleinen und mittleren Unternehmen:

• Server: Nur die Rollen installieren, die der Server erfüllt, und Verwaltungszugriffe auf wenige Konten und Geräte beschränken. Wie wir Windows-Server laufend pflegen, beschreibt unsere Seite zur Windows Server Betreuung.
• Arbeitsplätze: Mitarbeitende arbeiten ohne Administratorrechte, der Bildschirm sperrt sich nach kurzer Zeit, und das lokale Administratorkonto erhält ein eigenes Kennwort je Rechner.
• Verzeichnisdienst: Im Active Directory entscheidet sich, wer sich wo anmelden darf. Hochprivilegierte Gruppen sollten nur wenige Mitglieder haben.
• Cloud-Dienste: In Microsoft 365 betrifft Härtung etwa Administratorrollen, Gastzugänge, Freigaben nach außen und Regeln für die Anmeldung. Diese Einstellungen gehören zur laufenden Microsoft 365 Verwaltung.
• Netzwerkgeräte: Switches, Access Points und die USV erhalten eigene Zugangsdaten statt der Vorgabe aus dem Karton. Ihre Verwaltung gehört per Netzwerksegmentierung in einen Bereich, den nur die IT erreicht.

Härtung, Updates und Zero Trust

Updates und Härtung decken verschiedene Fehlerquellen ab. Ein Update korrigiert den Programmcode des Herstellers; dafür ist das Patch-Management zuständig. Die Härtung betrifft die Entscheidungen bei Einrichtung und Betrieb: welche Rollen ein System übernimmt, wer sich anmelden darf und welche Protokolle aktiv bleiben. Beides braucht es, denn das neueste Update ändert nichts an einem Sammelkonto mit Vollzugriff.

Mit Zero Trust ist ein übergeordnetes Sicherheitsmodell gemeint, das keinem Zugriff von vornherein vertraut. Härtung ist einer der praktischen Bausteine, mit denen sich dieses Modell im Alltag umsetzen lässt.

Woran sich eine Härtung orientiert

Die Vorgaben muss niemand selbst erfinden. Hersteller veröffentlichen Sicherheitsempfehlungen für ihre Systeme. Das BSI beschreibt in seinem Grundschutz-Kompendium Anforderungen, etwa in den Bausteinen SYS.1.1 „Allgemeiner Server“ und SYS.2.1 „Allgemeiner Client“; aktuell ist die Edition 2023 des Kompendiums (Stand: Oktober 2026). Daraus entsteht eine Vorgabe, die zur eigenen Umgebung passt. Verlangt eine Fachanwendung eine Einstellung, die dieser Vorgabe widerspricht, entscheidet die Geschäftsführung oder IT-Leitung über das Risiko, und die Entscheidung wird mit Grund und Datum festgehalten.

Härtung ist kein Projekt mit Enddatum. Jede neue Software, jeder schnelle Eingriff bei einer Störung und jeder Wechsel der Zuständigkeit kann Einstellungen verändern. Werden die Vorgaben zentral über den Verzeichnisdienst oder die Geräteverwaltung verteilt, fallen Abweichungen eher auf und lassen sich zurückholen. Ob die Einstellungen auch gezielten Versuchen standhalten, zeigt eine unabhängige Prüfung.

Altlasten bei einer Hausverwaltung

Angenommen, eine Hausverwaltung mit 14 Arbeitsplätzen nutzt seit Jahren denselben Dateiserver. Am Empfang teilen sich drei Personen ein gemeinsames Konto, das Administratorrechte besitzt, weil ein Programm einmal danach verlangte. Ein früherer Softwareanbieter hat noch einen dauerhaft offenen Fernzugang, und in einem Ordner namens „Austausch“ haben alle Konten Vollzugriff auf Mieterakten.

Nach der Härtung arbeitet jede Person am Empfang mit einem eigenen Konto ohne Administratorrechte, der alte Fernzugang ist entfernt, und der Ordner ist auf die zuständigen Gruppen beschränkt. Öffnet jemand einen präparierten Anhang, läuft die Schadsoftware nun mit den eingeschränkten Rechten dieses Kontos statt mit Vollmacht über den Rechner.

Wie ProNet unterstützt

Wir legen mit Ihnen einen Zielzustand für Active Directory, Microsoft 365 und Ihre Server fest, setzen die Änderungen in Stufen um und halten Ausnahmen mit Begründung fest. Unser Vorgehen Schritt für Schritt beschreibt die Seite Systemhärtung für Unternehmen; wie Härtung mit den übrigen Schutzbausteinen zusammenspielt, zeigt der Bereich IT-Sicherheit für Unternehmen. Für eine unabhängige Prüfung der Härtung empfehlen wir unseren Partner für offensive IT-Sicherheit, die Rootsektor IT-Security GmbH. Infrage kommen etwa eine Analyse des Active Directory bei Rootsektor (externe Website) oder ein Review von Microsoft 365 und Azure bei Rootsektor (externe Website).