Ab Werk unsicher – Was Systemhärtung wirklich bedeutet
Worum geht es in diesem Artikel? Systemhärtung reduziert die Angriffsfläche von Windows-Systemen, Active Directory, Netzwerken und weiteren IT-Komponenten durch sichere Konfigurationen und den Verzicht auf unnötige Funktionen. Die Maßnahmen schaffen eine belastbare Grundlage für den sicheren IT-Betrieb und unterstützen die Erfüllung von Anforderungen wie NIS-2.
Kein Windows ist ab Werk sicher. Es ist ab Werk bequem – und Bequemlichkeit ist der Liebling jedes Angreifers. Wer den Unterschied ignoriert, hält die Tür auf. Ein frisch installierter Windows-11-Client ist kein neutrales Werkzeug. Er telefoniert nach Hause, hält Dienste bereit, die niemand angefordert hat, und akzeptiert Anmeldeprotokolle, die seit Jahrzehnten als unsicher gelten. Nichts davon ist ein Defekt, es ist Absicht: Der Auslieferungszustand ist für Komfort optimiert, nicht für Ihre Bedrohungslage. Genau dort beginnt Härtung – bei der unbequemen Entscheidung, was ein System wirklich braucht und was nur Angriffsfläche ist.
Der Angreifer braucht keinen Zero-Day. Er braucht Ihre Voreinstellungen.
Die meisten erfolgreichen Angriffe sind erschreckend unspektakulär. Sie beginnen nicht mit einer geheimen Lücke, sondern mit einem Client, der zu viel darf. Wer einen einzigen Arbeitsplatz übernimmt, findet dort meist alles für den nächsten Schritt: Anmeldeinformationen im Speicher, offene Verwaltungsdienste und Domänen-Administratoren, die sich seelenruhig lokal anmelden.
Ein Muster, das in fast jeder ungehärteten Umgebung funktioniert: Ein Responder-Angriff fälscht die Namensauflösung und fängt Anmeldungen ab – über LLMNR und mDNS ebenso wie über die noch ältere NetBIOS-Auflösung, eine Altlast aus den 1980ern. CIS stuft diese Protokolle als unsicher ein; trotzdem sind sie fast überall aktiv. Neu ist daran nichts, es funktioniert, weil der Standard es erlaubt.
Härtung beginnt in der Firmware
Wer erst beim Betriebssystem ansetzt, kommt zu spät. Mit physischem Zugriff umgeht ein Angreifer ein ungeschütztes Betriebssystem, indem er es gar nicht erst startet.
Deshalb gehört die Pre-Boot-Ebene zuerst abgesichert: aktiviertes Secure Boot, ein per Passwort geschütztes UEFI/BIOS und eine durchgängige Datenträgerverschlüsselung, damit eine ausgebaute oder kopierte Platte nicht offline ausgelesen werden kann.
Sicherheit durch Reduktion
Am Client lässt sich am meisten gewinnen und am meisten falsch machen. Der Reflex, möglichst viele Schalter umzulegen, führt in die Irre. Entscheidend sind drei Prinzipien:
- Funktionen entfernen, die niemand braucht,
- Rechte so weit wie möglich senken
- und alles Verbliebene protokollieren.
Die Anker eines gehärteten Clients sind wenige und umfassen mindestens folgende Bereiche:
- BitLocker mit TPM-Bindung und zentraler Schlüsselverwaltung,
- LAPS für lokale Administratorkennwörter,
- Credential Guard zur Isolation von Anmeldeinformationen,
- eingedämmte Telemetrie
- und lückenlose PowerShell-Protokollierung.
Die Kronjuwelen und nicht der Nebenschauplatz
Ein gehärteter Client in einer offenen Domäne ist verlorene Mühe. Angreifer wollen nicht den Arbeitsplatz, sie wollen den Domainadministrator. Was in der Praxis den Unterschied macht:
- Die Active-Directory-Datenbank muss auf dem Server verschlüsselt gespeichert werden. BitLocker ist dafür Pflicht.
- Auf einem Domain Controller ist DNS das einzige autoritative Protokoll zur Namensauflösung. Ein Domain Controller fragt nicht nach seiner eigenen Identität.
- Seit Windows Server 2019 gilt nachträgliches Debloating einer vollständigen Installation nicht mehr als Best Practice. Der bessere Ansatz ist Server Core, weil die schlanke Installation die Angriffsfläche von Anfang an reduziert.
Auch Entra ID und Azure AD Connect müssen konsequent abgesichert werden. Die Basis jedes AD-Connect-Dienstes bilden dabei folgende Maßnahmen:
- MFA-Pflicht für privilegierte Konten,
- keine Synchronisierung privilegierter Identitäten,
- ein isoliertes Admin-Netz.
Die Ebenen, die gern vergessen werden
Härtung endet nicht am Endgerät. Vier weitere Ebenen sind entscheidend:
Virtualisierung
Der Hypervisor ist das neue Fort Knox. Wer ihn kontrolliert, kontrolliert jede darauf laufende Maschine.
Seine Management-Schnittstellen gehören in ein getrenntes, streng zugangsbeschränktes Netz.
Backup
Ein Backup, das ein Angreifer mitverschlüsseln oder löschen kann, ist wertlos.
Sicherungen müssen unveränderbar oder offline vorliegen und Tier 0 vorbehalten bleiben. Ein nie getesteter Wiederherstellungsplan ist keine Fähigkeit, sondern nur eine Annahme.
Netzwerk
Ein flaches, durchgängig erreichbares LAN beschleunigt jeden Angriff.
Maßnahmen wie Segmentierung, 802.1X, NAC und eine abgesicherte Management-Ebene begrenzen, wer mit wem kommunizieren darf – und machen aus einem kompromittierten Client eine Sackgasse anstelle eines Sprungbretts.
Drucker
Multifunktionsgeräte werden oft unterschätzt. Sie laufen häufig mit veralteter Firmware, speichern Druckaufträge lokal und bieten Funktionen wie Fax oder Scan-to-Cloud, die meist niemand benötigt.
Sie gehören in ein eigenes Segment, brauchen aktuelle Firmware und sollten bei sensiblen Dokumenten PIN-geschütztes Drucken erzwingen. Nicht benötigte Dienste werden abgeschaltet, Scans nicht lokal gespeichert.
Härtung ist keine Kür mehr, sie ist Gesetz
Wer das für Perfektionismus hält, hat die Rechtslage verschlafen. NIS2 gilt in Deutschland seit dem 6. Dezember 2025 ohne Übergangsfrist. Rund 29.500 Unternehmen aus 18 Sektoren müssen Risikomanagementpflichten erfüllen, unter anderem in folgenden Bereichen:
- Zugriffskontrolle,
- Multi-Faktor-Authentifizierung,
- Risikomanagement,
- Konfigurations- und Schwachstellenmanagement.
Genau das sind die Bausteine wirksamer Härtung. Bei Verstößen drohen Bußgelder und eine persönliche Haftung der Geschäftsleitung.
Die ISO 27001 wird konkreter: Sie fordert sichere Standardkonfigurationen und adressiert Malware-Schutz, Schwachstellen- und Zugriffsmanagement, sichere Authentifizierung sowie Protokollierung. Wer nach anerkannten Baselines härtet und dies dokumentiert, liefert den Nachweis gleich mit.
Wir unterstützen Sie:
Genau hier setzt der SHD Workshop zur Systemhärtung an. Entlang einer klaren Agenda betrachten wir mit Ihnen Windows 11, Windows Server, Domain-Controller-Härtung, Virtualisierung, Tools und Kernsysteme – und schließen mit einer offenen Diskussion ab. Sie bringen Ihre Umgebung ein, wir liefern Systematik, Werkzeuge und Praxiserfahrung. Am Ende steht eine Baseline, die Sie verstehen, verantworten und nachweisen können.
Autor: Christian Müller
Bildquellen: SHD, Shutterstock, Freepik