Viele Systeme werden ab Werk so ausgeliefert, dass sie möglichst einfach in Betrieb gehen. Dazu gehören aktivierte Dienste, die niemand braucht, Standardpasswörter, veraltete Protokolle oder großzügige Freigaben. Systemhärtung, englisch Hardening, ändert diese Grundeinstellungen so, dass ein System nur noch das kann, was es für seinen Zweck braucht. Jede entfernte oder abgeschaltete Funktion ist eine Angriffsfläche weniger.

Wie funktioniert Systemhärtung?

Systemhärtung folgt meist einer festgelegten Sicherheitsbasis, einer sogenannten Baseline. Bekannte Grundlagen dafür sind etwa die CIS Benchmarks des Center for Internet Security, die Sicherheitsbaselines von Microsoft oder Empfehlungen des deutschen Bundesamts für Sicherheit in der Informationstechnik (BSI). Typische Maßnahmen sind:

nicht benötigte Dienste, Programme und Konten entfernen oder deaktivieren,
Standardpasswörter ändern und Anmeldungen absichern,
veraltete Protokolle wie SMBv1 oder alte TLS-Versionen abschalten,
Makros, Skripte und das Ausführen von Programmen aus unsicheren Speicherorten einschränken,
Datenträger verschlüsseln und Protokollierung aktivieren,
Verwaltungszugänge auf bestimmte Netze und Personen begrenzen.

Gehärtete Einstellungen werden idealerweise zentral verteilt, etwa über Gruppenrichtlinien oder Microsoft Intune, und regelmäßig überprüft, damit sie nicht unbemerkt wieder aufgeweicht werden.

Typische Beispiele

Windows-Arbeitsplätze erhalten eine einheitliche Sicherheitskonfiguration mit Laufwerksverschlüsselung und eingeschränkten Office-Makros.
Ein neuer Server wird vor der Inbetriebnahme anhand einer Checkliste gehärtet.
Netzwerkgeräte wie Switches und Drucker werden ohne Standardzugänge und mit deaktivierten unsicheren Verwaltungsprotokollen betrieben.
Die Konfiguration eines Cloud-Mandanten wird gegen eine Empfehlungsliste geprüft und angepasst.

Worauf Unternehmen achten sollten

Eine anerkannte Baseline als Ausgangspunkt wählen und begründete Abweichungen dokumentieren.
Änderungen vor dem breiten Ausrollen testen, da Härtung bestehende Anwendungen beeinträchtigen kann, siehe Change Management (IT).
Die Einhaltung laufend messen, statt nur einmalig zu prüfen.
Systeme, die sich nicht ausreichend härten lassen, etwa ältere Maschinensteuerungen, in eigene, abgeschottete Netzbereiche verschieben.
Härtung mit Patch-Management und Least Privilege kombinieren, da sich die Maßnahmen gegenseitig ergänzen.

Abgrenzung

Patch-Management schließt Fehler im Code der Hersteller durch Updates. Systemhärtung setzt dagegen bei der Konfiguration an: Auch vollständig aktualisierte Systeme können durch unsichere Einstellungen angreifbar sein.

Security-Leistungen ansehen