Verwaltungskonto im Alltag
Wer mit einem Domänen-Administratorkonto E-Mails liest und im Internet surft, riskiert, dass eine eingeschleuste Schadsoftware gleich die ganze Domäne übernimmt.
IT-Sicherheit
Systemhärtung: Active Directory, Microsoft 365 und Server absichern
Bei der Systemhärtung ersetzen wir bequeme Werkseinstellungen und gewachsene Ausnahmen durch eine bewusst eng gefasste Konfiguration. Wir trennen Verwaltungs- und Alltagskonten, schützen Anmeldungen mit einem zweiten Faktor, räumen Berechtigungen auf und schalten Altlasten ab – im Active Directory, in Microsoft 365 und auf Ihren Servern.
Überblick
Systemhärtung im Überblick
Systemhärtung heißt, die Angriffsfläche vorhandener Systeme vor allem über ihre Einstellungen zu verringern: weniger Rechte, weniger offene Wege, weniger Ausnahmen. Das verlangt eine genaue Kenntnis der Umgebung, denn jede engere Einstellung kann ein Programm oder einen Ablauf treffen, der sich auf die alte Freiheit verlassen hat.
In kleinen und mittleren Unternehmen betrifft das vor allem drei Stellen. Das Active Directory im eigenen Netz entscheidet, wer sich an Rechnern und Servern anmelden darf. Microsoft Entra ID übernimmt dieselbe Aufgabe für Microsoft 365 und andere Cloud-Dienste. Und die Server selbst bringen Rollen und Dienste mit, die nicht überall gebraucht werden.
Im Mittelpunkt steht das Prinzip der geringsten Rechte: Ein Konto soll nur das dürfen, was es für seine Aufgabe braucht. Dazu gehören getrennte Konten für Verwaltungsaufgaben, ein zusätzlicher Anmeldenachweis per Multi-Faktor-Authentifizierung und Regeln, die eine Anmeldung abhängig von Gerät oder Standort erlauben oder verweigern. Dasselbe Denken liegt dem Sicherheitsansatz Zero Trust zugrunde.
Härtung ist ein Projekt mit einem festgelegten Zielzustand. Die laufende Pflege von Benutzern, Lizenzen und Gruppen gehört dagegen zur Microsoft-365-Verwaltung und zur Betreuung Ihrer Windows Server. Wer die Umgebung später pflegt, sollte den Zielzustand kennen; sonst geht eine Einstellung bei der nächsten Ausnahme „nur für heute“ wieder verloren.
Wie die Härtung mit Firewall, Endpoint-Schutz und Datensicherung zusammenhängt, lesen Sie auf der Seite IT-Sicherheit für Unternehmen. Welche Einstellungen bei Ihnen zuerst an der Reihe wären, grenzen wir im Rahmen einer kostenlosen Erstberatung mit Ihnen ein.
Unser Vorgehen
So härten wir Ihre Systeme
Wir beginnen mit einer Bestandsaufnahme der Identitäten: Welche Konten gibt es, wer gehört zu privilegierten Gruppen, welche Dienstkonten laufen mit welchen Rechten, welche Gruppenrichtlinien und Freigaben bestehen? In Microsoft 365 kommen Administratorrollen, Gastzugänge und Freigaben nach außen hinzu.
Daraus leiten wir einen Zielzustand ab. Grundlage sind die Sicherheitsempfehlungen von Microsoft und Bausteine aus dem IT-Grundschutz-Kompendium des BSI, etwa APP.2.2 für Active Directory und SYS.1.2.3 für Windows Server – als Orientierung, nicht als formales Prüfverfahren. Für Microsoft 365 entscheiden Sie mit uns, ob die kostenlosen Sicherheitsstandards von Microsoft Entra ID genügen oder ob individuell einstellbare Regeln für den bedingten Zugriff sinnvoll sind. Die Sicherheitsstandards lassen sich nur ein- oder ausschalten; für eigene Regeln ist mindestens Microsoft Entra ID P1 nötig, das in manchen Microsoft-365-Lizenzen enthalten ist (Stand: Oktober 2026).
Umgesetzt wird in Stufen: zuerst mit einer kleinen Testgruppe, danach für das ganze Unternehmen. Vorher richten wir Notfallzugänge ein, damit ein Fehler in einer Anmelderegel nicht alle Administratoren aussperrt. Ausnahmen erhalten einen Grund, eine verantwortliche Person und ein Prüfdatum.
Ob die Härtung einem gezielten Angriff standhält, klärt eine gesonderte Prüfung. Möchten Sie die Härtung prüfen lassen, übernimmt das unser Partner für offensive IT-Sicherheit, die Rootsektor IT-Security GmbH – mit der Active-Directory-Analyse von Rootsektor (externe Website) und dem Microsoft 365 & Azure Review von Rootsektor (externe Website). Wir setzen um, Rootsektor prüft.
Kurz gesagt
Getrennte Konten und eng gefasste Rechte halten einen Angriff auf ein Benutzerkonto klein.
Typische Probleme
Wo gewachsene Umgebungen nachgeschärft werden sollten
Solche Schwachstellen können schleichend entstehen: durch schnelle Lösungen, vergessene Testkonten oder Einstellungen, die vor Jahren sinnvoll waren.
Dienstkonto mit Vollmacht
Eine Fachanwendung läuft seit ihrer Einrichtung unter einem Konto mit Domänen-Administratorrechten, dessen Kennwort nie geändert wurde und in einer Konfigurationsdatei steht.
Alte Anmeldewege
Am eigenen Mailserver oder an einer Webanwendung ist neben der Anmeldung mit zweitem Faktor noch ein älteres Verfahren freigeschaltet, das nur Benutzername und Kennwort prüft. Für einen Angreifer genügt dann ein erbeutetes Kennwort.
Gründerkonto als Hauptschlüssel
Das Konto, mit dem jemand vor Jahren den Microsoft-365-Vertrag abgeschlossen hat, besitzt bis heute die höchste Administratorrolle und wird für den normalen Büroalltag genutzt.
Server als Arbeitsplatz
Auf dem Domänencontroller wird im Browser gesurft, Hilfsprogramme sind installiert, und Freigaben stehen allen offen.
Links ohne Ablaufdatum
Eine Datei aus SharePoint oder OneDrive, die vor zwei Jahren an einen Auftraggeber ging, lässt sich über den damaligen Link bis heute ohne Anmeldung öffnen.
Veraltete Protokolle
Microsoft stuft das Anmeldeverfahren NTLM seit Juni 2024 als veraltet ein. Die älteste Variante NTLMv1 ist in Windows 11, Version 24H2, und Windows Server 2025 entfernt (Stand: Oktober 2026). Wo Anwendungen noch darauf angewiesen sind, braucht es einen Plan zur Ablösung.
Einsatzszenarien
Drei Anlässe für eine Systemhärtung
Härtung ist nicht an einen bestimmten Zeitpunkt gebunden. Manche Situationen machen sie aber besonders sinnvoll.
Cloud
Umstieg auf Microsoft 365
Mit dem Wechsel in die Cloud entstehen neue Anmeldewege, die von Anfang an abgesichert sein sollten.
- Administratorrollen sparsam vergeben
- Zweiter Faktor für die Konten des Teams
- Alte Anmeldeverfahren abschalten
Übergabe
Wechsel der IT-Verantwortung
Die Person, die die IT jahrelang nebenbei betreut hat, gibt die Aufgabe ab. Welche Konten und Freigaben noch gebraucht werden, weiß niemand genau.
- Inventur der privilegierten Zugänge
- Kennwörter und Notfallzugänge neu setzen
- Dokumentation für die Nachfolge
Umsetzung
Maßnahmen aus dem Sicherheitscheck
Ein IT-Sicherheitscheck hat Lücken bei Rechten und Anmeldung gezeigt, die nun geschlossen werden sollen.
- Abarbeitung nach Priorität
- Rückmeldung zum Stand
- Vorbereitung auf eine externe Prüfung
Ablauf
Vom Gespräch über das Angebot zur gehärteten Umgebung
-
01
Gespräch ohne Kosten
Wir klären, welche Systeme Sie betreiben, wer sie verwaltet und was den Anstoß für die Härtung gibt.
-
02
Identitäten auslesen
Konten, Gruppen, Rollen und Richtlinien werden erfasst, ohne dass wir dabei etwas verändern.
-
03
Zielbild und Angebot
Die geplanten Änderungen beschreiben wir schriftlich samt ihren erwarteten Auswirkungen; ein individuelles Angebot liegt bei.
-
04
Stufenweise Umsetzung
Neue Einstellungen gehen zuerst an eine Testgruppe; Rückmeldungen fließen ein, bevor sie für alle gelten.
-
05
Übergabe
Sie erhalten Zielkonfiguration, Liste der Ausnahmen und Notfallunterlagen und wissen, was bei Änderungen zu beachten ist.
Arbeiten Ihre Administratoren noch mit dem Alltagskonto?
Wir sehen uns Konten, Rollen und Anmeldewege mit Ihnen an und schlagen eine Härtung vor, die Ihre Abläufe berücksichtigt.
FAQ
Häufige Fragen zur Systemhärtung
Ihre Frage ist nicht dabei? Rufen Sie uns an: +49 2933 922822-0 oder schreiben Sie an info@pronet-systems.de.
Kann eine Systemhärtung den laufenden Betrieb stören?
Ja, das ist möglich, weil abgeschaltete Protokolle oder strengere Anmelderegeln ältere Programme und Geräte betreffen können. Deshalb planen wir für Änderungen einen Rückweg und legen die Umstellung mit Ihnen auf einen Zeitpunkt, an dem möglichst wenige Mitarbeitende betroffen sind. Zeigt sich vorab eine Abhängigkeit, besprechen wir mit Ihnen, ob eine befristete Ausnahme nötig ist.
Welche Konten sichert die Systemhärtung zuerst ab?
Zuerst die Konten mit den weitreichendsten Rechten, weil ein Missbrauch dort den größten Schaden anrichten kann. Dazu zählen Domänen-Administratoren, globale Administratoren in Microsoft 365, Dienstkonten mit hohen Rechten und Zugänge, die aus dem Internet erreichbar sind. Danach folgen Freigaben, Gastzugänge und die Einstellungen der Arbeitsplätze. Die genaue Reihenfolge legen wir nach der Bestandsaufnahme gemeinsam mit Ihnen fest.
Können Mitarbeitende nach der Systemhärtung noch selbst Software installieren?
Nein, nicht mehr mit eigenen Administratorrechten, denn genau diese Rechte nutzt auch Schadsoftware, um sich im System festzusetzen. Freigegebene Programme lassen sich je nach Umgebung zentral verteilen, etwa über Microsoft Intune oder Gruppenrichtlinien. Für alles Weitere vereinbaren wir mit Ihnen einen Freigabeweg, damit dringende Installationen nicht liegen bleiben und trotzdem nachvollziehbar ist, welche Software auf den Geräten läuft.
Was passiert bei der Systemhärtung mit Programmen, die alte Anmeldeverfahren brauchen?
Wir suchen zuerst nach einer aktuellen Version oder einer anderen Anmeldemethode. Geht das nicht, erhält die Anwendung eine eng begrenzte, dokumentierte Ausnahme, etwa nur für ein bestimmtes Konto und einen bestimmten Server. Die Ablösung planen wir mit Ihnen und in Abstimmung mit dem Softwareanbieter.
Gehören auch Arbeitsplatzrechner zur Systemhärtung?
Ja, denn an den Arbeitsplätzen öffnen Mitarbeitende E-Mails und Dateien aus dem Internet, und dort setzen Angriffe mit präparierten Anhängen oder Links an. Gehärtet werden dort etwa die Sicherheitseinstellungen aus der zentralen Verwaltung, das lokale Administratorkonto mit eigenem Kennwort je Rechner und eine automatische Bildschirmsperre. Die Schutzsoftware auf den Geräten betreuen wir im Rahmen der Endpoint Security für Unternehmen.
Wie bleibt die Systemhärtung auf Dauer wirksam?
Vor allem dadurch, dass die Einstellungen nicht von Hand auf einzelnen Geräten stehen, sondern zentral vorgegeben werden. Gruppenrichtlinien und Microsoft Intune wenden sie in festen Abständen erneut an, sodass viele Abweichungen auf einzelnen Geräten wieder verschwinden. Neue Windows-Versionen oder neue Funktionen in Microsoft 365 bringen allerdings eigene Voreinstellungen mit. Deshalb empfehlen wir, den Zielzustand nach solchen Sprüngen abzugleichen, etwa im Rahmen der Betreuung oder bei einem erneuten IT-Sicherheitscheck.
Weiterführende Seiten
Härtung Ihrer Umgebung anstoßen
Uns hilft zu wissen, ob Sie ein eigenes Active Directory, Microsoft 365 oder beides nutzen und wie viele Personen Administratorrechte haben. Auf dieser Grundlage vereinbaren wir ein Gespräch und klären, was ein individuelles Angebot umfassen sollte.