Die wichtigsten Fragen und Antworten zum Thema “Systemhärtung” & “System Hardening”

Systemhärtung ist unsere Profession. Bei unseren Online-Seminaren (zum Beispiel bei heise Conferences) sowie bei unseren Kunden hören wir regelmäßig die gleichen Fragen. Daher möchten wir in dieser FAQ die „Frequently Asked Questions“ kurz und verständlich erläutern. Sollten Sie noch weitere Fragen haben, können Sie uns gerne ganz unverbindlich kontaktieren.

Was ist der Unterschied zwischen Systemhärtung und Secure Configuration?

Die Begriffe “Systemhärtung”, “System Hardening” und “Secure Configuration” werden oft synonym verwendet, haben aber nuancierte Unterschiede in ihrer Bedeutung und ihrem Kontext.

Mit Secure Configuration, also sicherer Konfiguration, ist eine Maßnahme gemeint, mit der sich die Angriffsflächen von Applikationen oder Betriebssystemen reduzieren lassen. Hierbei werden unter anderem unnötige und unsichere Einstellungen deaktiviert. Führt man eine Secure Configuration professionell durch, erhält man ein gehärtetes System.

Systemhärtung (deutsche Bezeichnung) und System Hardening (englischer Begriff) sind dasselbe. Beide bezeichnen die aktive Reduzierung der Angriffsfläche eines Systems durch gezielte Maßnahmen wie das Deaktivieren unnötiger Dienste, das Einschränken von Benutzerrechten, das Anwenden von Sicherheitsrichtlinien oder das Schließen bekannter Schwachstellen. Das Ziel besteht darin, ein System widerstandsfähiger gegen Angriffe zu machen, indem potenzielle Einfallstore minimiert werden.

Wie geht man ein Hardening-Projekt sinnvoll an?

Ein Hardening-Projekt sollte stets strukturiert in mehreren Phasen ablaufen. Da das ganze Vorhaben sehr komplex ausfällt, fassen wir hier nur die wichtigsten Schritte zusammen.

Zuerst müssen Sie ein Hardening Audit durchführen, indem Sie den aktuellen Hardening-Zustand Ihrer Systeme erfassen. Das geht zum Beispiel mit dem kostenfreien AuditTAP. Anschließend definieren Sie, wie Sie Ihre Zielsysteme härten wollen (Rapid-, Layered- oder Lifecycle-Hardening) und nach welchen Standards (CIS Benchmarks, Microsoft Security Baselines und/oder interne Hardening-Konfigurationen).

Abschließend ist eine kontinuierliche Überwachung entscheidend, um Configuration Drifts zu erkennen und zu korrigieren. Tools wie der Enforce Administrator helfen Ihnen dabei, die Umsetzung zu automatisieren und so eine Art “selbstheilendes System” zu erhalten.

Mehr über die wichtigsten Prozesse und Aufgaben einer professionellen Systemhärtung erfahren Sie in dieser “Hardening Insights“-Aufzeichnung:

Welche Tools eignen sich für eine Systemhärtung?

Für schnelle Compliance-Scans und Audits eignen sich Tools wie das AuditTAP. Diese vergleichen den Ist-Zustand mit etablierten Benchmarks und geben die Ergebnisse in Form übersichtlicher Reports aus.

Um ein System wirklich zu härten, können Sie verschiedene Tools nutzen. Gruppenrichtlinien (GPOs) sind eine klassische, jedoch unflexible Methode für Windows-Umgebungen. Sie stoßen daher schnell an ihre Grenzen. Ansible, Puppet oder Chef ermöglichen eine automatisierte Konfiguration von Systemen. Die dafür verwendeten Konfigurationsdateien und Skripte müssen jedoch erstellt, getestet, versioniert und bei Änderungen der Infrastruktur kontinuierlich gepflegt werden.

Hardening-Lösungen wie der Enforce Administrator bieten dagegen eine zentrale Verwaltung, ein einfaches Rollout der (individuellen) Konfiguration und eine kontinuierliche Überwachung.

Gibt es Tools, um die Härtung von Systemen zu vereinfachen und zu beschleunigen?

Ja, die gibt es. Mit spezialisierten Hardening-Tools wie dem Enforce Administrator lässt sich der umfangreiche und komplexe Hardening-Prozess deutlich vereinfachen und beschleunigen.  Sie ermöglichen die zentrale Definition, Verteilung und Überwachung von Sicherheitskonfigurationen.

Sie müssen daher weder bekannte Empfehlungen wie die CIS Benchmarks im Detail studieren, noch eigene Hardening-Konfigurationen oder -Skripte entwickeln. Stattdessen erhalten Sie beispielsweise mit dem Enforce Administrator quasi per Knopfdruck das gewünschte Setting. Dieses lässt sich mit wenig Aufwand auf Client- und Server-Systeme – Windows wie Linux – ausrollen.

⏬ Features & Leistungen:
Enforce Administrator Produktbroschüre (PDF)

Ist es sinnvoll, die CIS Benchmarks „blind” zu übernehmen?

Nein! Es ist nicht ratsam, die CIS Benchmarks ohne Anpassungen anzuwenden. Zwar bieten sie bewährte Empfehlungen zur sicheren Konfiguration von Systemen, sie müssen jedoch an Ihre spezifischen Anforderungen und an Ihre IT-Umgebung angepasst werden.

Warum? Einige Einstellungen können mit notwendigen Anwendungen oder Prozessen in Ihrer Organisation kollidieren. Ein Beispiel: Die CIS Benchmarks empfehlen die Abschaltung von Bluetooth-Verbindungen. Dadurch können drahtlose Mäuse und Headsets nicht mehr genutzt werden. Im täglichen Office-Betrieb ist das definitiv keine gute Lösung.

Wie erstellt man möglichst schnell Dokumentationen für ein Hardening Audit?

Immer mehr IT-Gesetze, -Regularien und -Normen wie auch Cyber-Versicherungen verlangen einen Nachweis darüber, wie gut Ihre IT-Landschaft gehärtet wurde. Dieser Nachweis manuell zu erstellen, wäre extrem zeitaufwändig. Besser ist es, ein professionelles Hardening-Audit mit dem AuditTAP durchzuführen. Dabei wird der aktuelle Zustand der Systeme mit festgelegten Baselines – beispielsweise von BSI, CIS, ACSC oder DISA – verglichen.

Der AuditTAP-Report kann direkt für Audits genutzt werden, da er aufzeigt, welche Einstellungen geprüft wurden und wo Handlungsbedarf besteht. Möchten Sie mehr darüber erfahren? In dieser Webinar-Aufzeichnung erhalten Sie detaillierte Einblicke:

Wie lässt sich ein Windows 10 System gemäß aktueller Vorgaben härten?

Ein Windows 10 System können Sie nach den Microsoft Security Baselines oder den CIS Benchmarks für Windows 10 härten. Diese enthalten Empfehlungen für eine Secure Configuration. Darin sind Maßnahmen wie das Deaktivieren unnötiger Dienste, das Einschränken von Benutzerrechten oder das Aktivieren von Sicherheitsfunktionen enthalten.

Diese Windows-10-Systemhärtung kann sehr ressourcenintensiv sein, insbesondere wenn Sie die CIS Benchmarks manuell in einer großen IT-Landschaft anwenden möchten. Sinnvoller ist es, Ihre Computer mit dem Enforce Administrator zu härten. Das geht deutlich einfacher und schneller.

Unabhängig davon, für welche Methode Sie sich entscheiden: Denken Sie daran, Ihre Systeme mit Windows 10 baldmöglichst auszumustern. Denn das Betriebssystem hat eigentlich den Status “End of Lifetime” erreicht und wird von Microsoft nur noch stiefmütterlich unterstützt.

Lassen sich Windows 7 Computer noch härten?

Ja. Dabei gehen Sie wie bei einer “normalen” Systemhärtung vor. Es ist allerdings nicht sinnvoll, einen PC mit Windows 7 weiterzubetreiben. Microsoft hat den Support dafür schon vor Jahren eingestellt. Somit entspricht Windows 7 nicht mehr dem Stand der Technik und stellt eine Gefahr für die Informationssicherheit und den Datenschutz dar.

Ist es sinnvoll, ein Windows XP System zu härten?

Jein. Grundsätzlich ist es immer ratsam, ein Betriebssystem – egal, ob Windows oder Linux – zu härten. Denn jedes OS hat “ab Werk” zahlreiche Angriffsflächen.

Allerdings ist der Betrieb eines Windows-XP-Rechners aus heutiger Sicht nicht mehr sinnvoll. Microsoft hat den Support bereits 2014 eingestellt. Das heißt, das System erhält seitdem keine Sicherheitsupdates mehr. Selbst wenn Sie eine umfassende XP-Härtung vornehmen, bleibt das System aufgrund fehlender Patches extrem anfällig für Angriffe.

Ist es möglich, ein Linux-System schnell und einfach zu härten?

Ja, Linux-Systeme lassen sich mit den richtigen Werkzeugen schnell und einfach absichern. Die CIS Benchmarks für Linux bieten detaillierte Empfehlungen für verschiedene Distributionen. Zum Beispiel für Ubuntu, Mint Linux, Red Hat Enterprise Linux und Rocky Linux.

Auch hier gilt: Linux Hardening kann sehr zeitaufwändig und komplex sein – zumindest, wenn sie alles von Hand erledigen. Spezielle Linux Hardening Tools wie der Enforce Administrator können den Einsatz der Benchmarks deutlich vereinfachen.  Zudem stellen Sie damit sicher, dass die Einstellungen dauerhaft eingehalten werden.

Muss man auch Office-Produkte bzw. Microsoft 365 Applikationen härten?

Ja! Excel, Word, PowerPoint, Outlook und Co. haben weltweit eine sehr hohe Installed Base und sind dementsprechend beliebte Angriffsziele. Daher sollten Sie die Office-Produkte bzw. die Microsoft-365-Applikationen unbedingt absichern.

Das sogenannte Office Hardening beinhaltet unter anderem das Abschalten von VBA-Makros, das Blockieren von (unsicheren) ActiveX-Elementen, die Einschränkung von Datei-Downloads und die Deaktivierung der Telemetriedienste.

Möchten Sie wissen, wie gut Ihre Office-Programme gehärtet sind? Dann machen Sie einen schnellen Check mit dem AuditTAP!

Wie lassen sich hybride Systemlandschaften härten?

Hybride Umgebungen, die lokale und Cloud-basierte sowie Windows- und Linux-Systeme beinhalten, lassen sich nur mit extrem viel Aufwand manuell härten. Denn für jedes Zielsystem muss eine passende Konfiguration erstellt, angewendet, dauerhaft überwacht und optimiert werden.

Daher benötigen Sie eine plattformübergreifende Hardening-Strategie, die auf automatisierte Lösungen setzt. Eine solche Strategie ist beispielsweise mit dem Enforce Administrator umsetzbar. Das Hardening-Tool ermöglicht ein zentrales Systemmanagement und Sie können sowohl etablierte Hardening-Benchmarks als auch individuelle Härtungskonfigurationen anwenden.

Kann man seine Systeme gegen KI-Angriffe härten?

Ja! In der Regel basieren viele KI-basierte Cyberattacken auf bekannten Mustern und Methoden. Das heißt, die Angreifer nutzen vorhandene Angriffsflächen aus – nur deutlich schneller und effizienter als früher. Eine professionelle Härtung ist somit ein bewährter Schutz gegen KI-Attacken.

Weshalb? Mit einer Systemhärtung reduzieren Sie die Angriffsflächen signifikant. Zudem werden zahlreiche Dienste und Schnittstellen, die bei Standardkonfigurationen vorhanden sind, deaktiviert. Dementsprechend laufen viele Angriffsvektoren ins Leere. Selbst polymorphe Malware verliert ihren Schrecken. Mehr dazu in diesem Podcast:

Wie lässt sich eine Systemhärtung in großen IT-Landschaften zentral verwalten?

In IT-Landschaften mit 100, 500, 1.000 oder noch mehr Systemen wird eine professionelle Härtung sehr schnell sehr kompliziert. Zumindest, wenn Sie die Konfigurationen manuell oder über unterschiedliche Werkzeuge pflegen. Sinnvoll ist daher eine zentrale Verwaltung über ein Tool, mit dem Sie die Hardening-Konfigurationen ausrollen, überwachen und anpassen können.

Ein solches Tool ist der Enforce Administrator. Er ermöglicht die zentrale Verwaltung und automatisierte Durchsetzung von Hardening-Vorgaben auf Windows- und Linux-Systemen. Dabei spielt es keine Rolle, ob die IT-Landschaft aus 500 oder 2.000 Clients und Servern besteht. Dadurch können auch komplexe und hybride Systemlandschaften mit einheitlichen Sicherheitsstandards versehen, verwaltet und fortlaufend verbessert werden.

Wie kann man die CIS Benchmarks auf hunderten Windows Servern umsetzen?

In IT-Landschaften mit 100, 500 oder 1.000 Systemen und mehr wird eine professionelle Härtung sehr schnell sehr kompliziert. Zumindest, wenn Sie die Konfigurationen manuell oder über unterschiedliche Werkzeuge pflegen. Sinnvoll ist daher eine zentrale Verwaltung über ein Tool, mit dem Sie die Hardening-Konfigurationen ausrollen, überwachen und anpassen können.

Ein solches Tool ist der Enforce Administrator. Er ermöglicht die zentrale Verwaltung und automatisierte Durchsetzung von Hardening-Vorgaben auf Windows- und Linux-Systemen. Dabei spielt es keine Rolle, ob die IT-Landschaft aus 500 oder 2.000 Clients und Servern besteht. So können auch komplexe und hybride Systemlandschaften mit einheitlichen Sicherheitsstandards versehen, verwaltet und fortlaufend verbessert werden.

📅 Enforce Administrator: Live-Demo buchen

Wie kann man überprüfen, ob die Windows- und Linux-Server korrekt gehärtet sind?

Um den Hardening-Status eines Servers zu überprüfen, sollte dessen aktuelle Konfiguration mit den Empfehlungen eines Hardening-Standards (zum Beispiel CIS Benchmarks, Microsoft Security Baselines oder DISA STIG) verglichen werden. Setzen Sie dafür ein Tool wie den Enforce Administrator ein.

Damit lassen sich unter anderem Windows- und Linux-Server-Systeme mit definierten Hardening-Vorgaben vergleichen. Dadurch können Abweichungen erkannt, dokumentiert und bei Bedarf korrigiert werden.

Gibt es ein Tool, das Hardening-Konfigurationen automatisch korrigiert?

Ja, moderne Hardening-Lösungen können nicht nur prüfen, ob eine Sicherheitskonfiguration eingehalten wird, sondern auch erkannte Abweichungen automatisch korrigieren. Das ist wichtig, da sich gehärtete Systeme im laufenden Betrieb durch Software-Updates, administrative Eingriffe oder Hackerangriffe verändern können. Jede Änderung kann dazu führen, dass es mehr Angriffsflächen gibt und die Systemhärtung somit an Wirkung verliert.

Mit dem Enforce Administrator lassen sich gewünschte Hardening-Konfigurationen als Soll-Zustand definieren und zentral verwalten. Abweichungen oder Änderungen werden vo dem Hardening-Tool automatisch erkannt und zurückgenommen. So kann es nicht versehentlich zu unsicheren Konfigurationen kommen.

Welche Tools helfen bei einer NIS2-konformen Konfiguration?

Eine zentrale Anforderung von NIS2 ist die Reduzierung von Angriffsflächen durch Configuration Management. Dies wird beispielsweise in der „NIS2 – Technical Implementation Guidance“ der European Union Agency for Cybersecurity (ENISA) deutlich. Darin verankert die ENISA das Härten der Systeme als Pflichtaufgabe innerhalb des Konfigurationsmanagements. Dabei müssen alle Netzwerk-, Software- und Systemkonfigurationen den etablierten Sicherheits- und Betriebsstandards entsprechen. Abweichungen müssen identifiziert, dokumentiert und genehmigt werden.

Das bedeutet: Ohne ein professionelles Hardening-Tool lassen sich diese Anforderungen kaum umsetzen. Eine Lösung ist der Enforce Administrator. Mit diesem Tool lassen sich unter anderem die CIS Benchmarks oder DISA STIG zentral anwenden, überwachen, anpassen und dokumentieren.

⏬ Features & Leistungen:
Enforce Administrator Produktbroschüre (PDF)

Secure Configuration: Wie lässt sich ein Hardening Configuration Drift verhindern?

Von Configuration Drift spricht man, wenn sich die tatsächliche Konfiguration eines Systems mit der Zeit vom ursprünglich definierten Soll-Zustand entfernt. Dies kann durch Updates, administrative Änderungen, Softwareinstallationen oder auch Hackerangriffe verursacht werden. Eine einmalige Systemhärtung reicht deshalb nicht aus. Stattdessen sollten Sie regelmäßig überprüfen bzw. überprüfen lassen, ob die Secure Configuration weiterhin besteht.

Ein geeigneter Prozess besteht aus drei Schritten: Zunächst müssen Sie einen verbindlichen Soll-Zustand definieren. Anschließend überprüfen Sie die Systeme regelmäßig auf Abweichungen. Entdecken Sie Abweichungen, sollten diese gemeldet und korrigiert werden.

Der Enforce Administrator unterstützt diesen Ansatz. Mit ihm lassen sich einerseits Hardening-Vorgaben zentral verwalten. Andererseits überprüft das Hardening-Tool automatisch den Ist- mit dem Soll-Zustand. Erkannte Abweichungen werden dann sofort korrigiert. Dadurch lässt sich ein Hardening Configuration Drift dauerhaft vermeiden.

Wie kann man eigene Hardening-Konfigurationen erstellen?

Es gibt bereits sehr gute und etablierte Hardening-Standards, wie die BSI SiSyPHuS-Empfehlungen, die Microsoft Security Baselines, die DISA STIG und die CIS Benchmarks. Diese sollten Sie jedoch nicht 1:1 anwenden, sondern individuell an Ihre Hardening-Strategie und die vorhandenen Systeme anpassen.

Die Erstellung einer eigenen Härtungskonfiguration kann sehr zeitaufwändig sein. Zumindest, wenn Sie dafür mit GPOs arbeiten oder eigene Hardening-Skripte entwickeln. Deutlich einfacher geht es mit dem Enforce Administrator. Mit dem ausgezeichneten Hardening-Tool können Sie beispielsweise bestehende Standards anpassen oder auch miteinander kombinieren.

Wie das im Detail funktioniert, erfahren Sie in dieser Webinar-Aufzeichnung.

Lassen sich verschiedene Server unterschiedlich härten?

Ja. Und das ist auch gut so, denn nicht jeder Server benötigt dieselbe Sicherheitskonfiguration! So hat beispielsweise ein Domain-Controller andere Anforderungen als ein Webserver, Datenbankserver oder administrativer Jump-Host. Deshalb sollten Sie die Systemhärtung nach Systemtyp, Rolle, Betriebssystem oder Sicherheitszone differenzieren.

Wie geht das? Mit dem Enforce Administrator lassen sich unterschiedliche Hardening-Vorgaben zentral verwalten und gezielt auf die dafür vorgesehenen Systeme bzw. Systemgruppen anwenden. So vermeiden Sie, dass eine All-in-one-Lösung unnötige Schwachstellen und Angriffsflächen produziert.

Wie häufig sollte der Hardening-Status überprüft werden?

Ihre IT-Landschaft verändert sich täglich – etwa durch Updates, neue Applikationen, neue Hardware oder neue Anforderungen. Eine einmalige Prüfung der vorhandenen Systemhärtung reicht deshalb nicht aus. Es ist sinnvoll, die Härtungskonfigurationen regelmäßig zu überprüfen, zu dokumentieren und anzupassen. Dies wird auch von immer mehr IT-Regularien gefordert, unter anderem von NIS2.

Dieser Prozess aus Überwachung, Dokumentation und Optimierung ist sehr ressourcenintensiv, wenn Sie alle Schritte manuell erledigen. Deutlich einfacher geht es mit den passenden Hardening-Tools. So können Sie mit AuditTAP den Status der Härtung punktuell überprüfen und sich einen Hardening-Report erstellen lassen.

Eine dauerhafte Kontrolle, automatisierte Anpassung und leichte Dokumentationserstellung bietet Ihnen der Enforce Administrator. Die Hardening-Lösung kommt unter anderem bei Banken, Versicherungen und KRITIS-relevanten Organisationen wie Stadtwerk am See zum Einsatz.

Welche Vorteile hat ein spezialisiertes Hardening-Tool gegenüber Skripten?

Für einzelne Hardening-Aufgaben können selbst entwickelte Skripte sehr effektiv sein. Mit zunehmender Anzahl von Betriebssystemen, Anwendungen, Arbeitsplatz- und Serverumgebungen sowie Sicherheitsvorgaben steigt jedoch der Aufwand für Entwicklung, Versionierung, Fehlerbehebung, Reporting und Wartung.

Ein spezialisiertes Hardening-Tool hingegen bündelt alle relevanten Hardening-Funktionen in einer zentralen Oberfläche. Mit einer Lösung wie dem Enforce Administrator können Sie unter anderem mit wenigen Klicks etablierte Standards (CIS-Benchmarks, Microsoft-Security-Baselines etc.) anwenden sowie individuelle Konfigurationen und dringend notwendige Dokumentationen erstellen.

Bei kleinen IT-Umgebungen können selbst entwickelte Skripte eine kostengünstige Lösung sein. In großen, heterogenen Systemlandschaften mit Dutzenden, Hunderten oder Tausenden von Server- und Client-Systemen ist ein professionelles Hardening-Tool die bessere Wahl.

Wie lässt sich eine 100%-ige Systemhärtung realisieren?

Haben Sie mit dem AuditTAP beispielsweise herausgefunden, dass Ihr System nur zu 60, 70 oder 80 Prozent gemäß den Vorgaben etablierter Standards gehärtet ist? Es stört Sie, dass der Hardening-Report dementsprechend noch viele „rote“ Positionen aufweist? Sie streben eine bestmögliche Härtung an?

Dieses Bestreben können Sie niemals erreichen. Weshalb? Wenn Sie Ihre Systeme so konfigurieren, dass sie alle Benchmarks erfüllen, wird die Arbeit damit extrem unkomfortabel oder gar unmöglich. Denn Sie haben damit wahrscheinlich Anwendungen, Dienste und Funktionen deaktiviert oder gelöscht, die für die tägliche Nutzung erforderlich sind.

Eine 100-prozentige Systemhärtung sollte also niemals Ihr Ziel sein. Das wird auch nicht von Auditoren gefordert. Vielmehr benötigen Sie den bestmöglichen Kompromiss aus Praktikabilität und Schutz. Ein gesundes Augenmaß ist daher wichtiger als die sklavische Einhaltung der Benchmarks.

 

_____________

Haben Sie noch Fragen? Möchten Sie mehr über Systemhärtung erfahren? Möchten Sie wissen, wie Sie eine automatisierte Systemhärtung realisieren und in Ihre Organisation implementieren können? Oder möchten Sie unsere Hardening-Lösungen in Aktion erleben? Dann sprechen Sie uns an oder vereinbaren Sie direkt einen Termin – unsere Experten sind gerne für Sie da!

💬 Melden Sie sich bei uns!

 

Bilder: Magnific/Freepik