Übungsaufgaben zur Systemhärtung: Betriebssystem, BIOS/UEFI, Rechte und mobile Endgeräte

Härtung bedeutet, die Angriffsfläche eines Systems zu verkleinern: Alles, was für den Betrieb nicht nötig ist, wird entfernt oder deaktiviert, und vorhandene Sicherheitsfunktionen werden eingeschaltet (2 Punkte).

Je 1 Punkt, zwei aus: nicht benötigte Software und Dienste deaktivieren bzw. deinstallieren; nicht benötigte Ports schließen; nicht benötigte Benutzerkonten löschen, Gastkonto deaktivieren; Rechte auf das notwendige Maß beschränken; Standardpasswörter ändern; Updates einspielen; Laufwerksverschlüsselung aktivieren; Bildschirmsperre mit Kennwort.

Je 1 Punkt, zwei aus: Host-Firewall, Virenschutz (z. B. Microsoft Defender), Laufwerksverschlüsselung (BitLocker), Benutzerverwaltung bzw. Benutzerkontensteuerung, Datensicherung bzw. Wiederherstellungspunkte, Ereignisanzeige (Protokollierung), Gruppenrichtlinien-Editor.

Mit Gruppenrichtlinien legt die Administration Einstellungen für Computer und Benutzer zentral für einen oder mehrere Rechner fest (2 Punkte). Die Einstellungen werden auf dem Rechner festgeschrieben und können von den Anwender*innen nicht geändert werden (1 Punkt). Beispiele (1 Punkt): Passwortregeln, Bildschirmsperre nach einigen Minuten, Sperre von USB-Speichern oder der Systemsteuerung, Firewall- und Virenschutz-Einstellungen.

Z. B.: Startet Natalia versehentlich Schadsoftware, etwa aus einem E-Mail-Anhang, läuft diese ebenfalls mit Administratorrechten. Sie könnte den Virenschutz abschalten, sich dauerhaft im System einnisten und sich im Netz ausbreiten; der Rechner und damit das ganze Netz wären anfälliger (3 Punkte). Ebenso richtig: Mit Adminrechten lassen sich nicht geprüfte oder nicht lizenzierte Programme installieren und Einstellungen ändern, die das Unternehmen nicht will.

Seit der Herstellung sind Sicherheitslücken bekannt geworden, die das Update schließt; das System wird so gegen Angriffe gehärtet. Ebenso richtig: Fehler werden behoben, das System wird an aktuelle Anforderungen angepasst. (2 Punkte)

Fehler und unerlaubte Aktivitäten (z. B. viele fehlgeschlagene Anmeldungen) werden erkennbar (2 Punkte) und lassen sich Zeitpunkten und Benutzer*innen zuordnen, sodass Vorfälle aufgeklärt und Maßnahmen überprüft werden können (2 Punkte).

Je 1 Punkt, zwei aus: nur protokollieren, was für den Zweck nötig ist (Datensparsamkeit, Zweckbindung); Protokolle nach festgelegter Frist löschen; nur Berechtigte dürfen sie auswerten; keine Leistungs- und Verhaltenskontrolle ohne Regelung, Betriebsrat beteiligen; Beschäftigte informieren.

Je Zeile 1 Punkt, z. B.:

• Minimalkonfiguration (2 Punkte): Weniger Software heißt weniger Schwachstellen und Angriffsmöglichkeiten; der Rechner ist einfacher zu pflegen und weniger fehleranfällig.

• Getrenntes Netz (2 Punkte): Wird der Rechner doch infiziert, gelangt die Schadsoftware nicht ins Schulnetz; Referierende und Gäste können nicht auf Daten der Schule zugreifen.

Z. B.: Der Stick kann manipuliert sein und Schadsoftware enthalten oder sich als Tastatur ausgeben und Befehle eingeben; so werden unbemerkt Daten ausgespäht oder Sicherheitsfunktionen deaktiviert (2 Punkte).

Je 2 Punkte, zwei aus:

• Es gibt kein bekanntes Standardpasswort, das Angreifer aus Listen kennen und automatisch ausprobieren; die Kamera ist von Anfang an besser geschützt.

• Bei der Einrichtung muss das Technikteam ein individuelles, sicheres Passwort festlegen; vorher liefert die Kamera kein Bild. Die Einrichtung dauert dadurch etwas länger.

• Das Passwort muss sicher dokumentiert werden (z. B. im Passwortmanager der Schul-IT); geht es verloren, muss die Kamera auf Werkseinstellungen zurückgesetzt und neu eingerichtet werden.

Richtig sind 2 und 4 (je 1 Punkt). 1 betrifft die Bedienung, nicht die Sicherheit; 3 widerspricht dem Prinzip der minimalen Rechte.

Je Maßnahme 1 Punkt, je Folge 1 Punkt, z. B.:

Richtig ist 2 (1 Punkt): in einem nichtflüchtigen Speicher (NVRAM, früher batteriegepuffertes CMOS-RAM) auf dem Mainboard.

Richtig sind 1 und 3 (je 1 Punkt).

Ohne das Passwort kann niemand die Firmware-Einstellungen ändern, etwa die Bootreihenfolge, um von einem mitgebrachten USB-Stick ein fremdes System zu starten und so die Festplatte auszulesen, oder Secure Boot abzuschalten (2 Punkte).

BYOD (Bring Your Own Device): Beschäftigte nutzen ihre privaten Geräte auch dienstlich; die Geräte werden in die IT-Infrastruktur des Unternehmens eingebunden (2 Punkte).

Z. B.: Das private Smartphone ist eventuell nicht aktuell oder enthält unsichere Apps; Schadsoftware kann so an Firmendaten gelangen. Ebenso richtig: Firmendaten und private Daten vermischen sich, und bei Verlust ist unklar, wer was löschen darf; benötigte Apps laufen nicht auf jedem Gerät. (2 Punkte)

Je Zeile 1 Punkt für die Zuordnung und 1 Punkt für die Gegenmaßnahme.

Personen, Dienste und Geräte erhalten nur die Rechte, die sie für ihre Aufgabe mindestens brauchen, damit ein Missbrauch oder ein Angriff möglichst wenig Schaden anrichtet (2 Punkte). Maßnahme (1 Punkt): Die Anzeige läuft unter einem eigenen Benutzer ohne Administratorrechte, der nur die Daten abrufen und anzeigen darf; Administration nur über ein getrenntes Konto per SSH mit Schlüssel.

Kein Gerät gilt als vertrauenswürdig, nur weil es im Schulnetz steht; jeder Zugriff wird geprüft und überwacht (2 Punkte). Maßnahme (1 Punkt): Die Player dürfen nur per HTTPS mit eigenem Zugangstoken bzw. Zertifikat auf den Endpunkt der Monitoransicht zugreifen; der App-Server prüft jede Anfrage, andere Ziele sperrt die Firewall.

Updates automatisch und zentral außerhalb der Betriebszeit einspielen, z. B. nachts mit anschließendem Neustart (1 Punkt); zuerst auf einem Player testen, dann auf die übrigen verteilen (1 Punkt); vorher ein Abbild der Speicherkarte sichern, damit ein fehlerhaftes Update rückgängig gemacht werden kann (1 Punkt).

• Update (2 Punkte): behebt Fehler und schließt Sicherheitslücken, kommt häufig, ändert den Funktionsumfang meist nicht und ist in der Regel kostenlos.

• Upgrade (2 Punkte): neue Haupt- bzw. Programmversion mit erweitertem Funktionsumfang oder neuem Sicherheitskonzept, kommt in größeren Abständen, ist oft kostenpflichtig und erfordert mehr Tests.

Je 2 Punkte, zwei aus:

• Sicherheit: Private Tablets sind eventuell nicht aktuell oder mit Schadsoftware befallen und erhalten Zugang zum Netz der Monitore.

• Datenschutz und Kontrolle: Die Schule kann private Geräte nicht verwalten; bei Verlust oder Ausscheiden lässt sich der Zugang schwer entziehen.

• Support: Viele verschiedene Gerätetypen und Betriebssysteme, die Steuer-App läuft nicht überall; die Schul-IT müsste fremde Geräte betreuen.

• Haftung: Unklar, wer bei Schäden am privaten Gerät oder bei Fehlanzeigen verantwortlich ist.

Je Einstellung 1 Punkt, z. B.:

Je Einstellung 1 Punkt, je Erläuterung 2 Punkte, zwei aus:

• Setup-/Administratorpasswort: verhindert, dass jemand mit physischem Zugang Firmware-Einstellungen ändert, etwa Secure Boot abschaltet.

• Bootreihenfolge festlegen, Start von USB und Netzwerk sperren: Ein fremdes Live-System kann nicht gestartet werden, um Daten auszulesen oder Passwörter zurückzusetzen.

• Secure Boot aktivieren: Nur signierte Bootloader und Kernel starten; schützt vor Rootkits bzw. manipuliertem Betriebssystem.

• TPM aktivieren: hardwaregestützte Schlüsselablage für die Verschlüsselung der Datenträger.

• Nicht benötigte Schnittstellen deaktivieren (USB, WLAN, Bluetooth, serielle Ports): verkleinert die Angriffsfläche.

• Firmware aktualisieren und Update-Schutz aktivieren: schließt bekannte Lücken in der Firmware, nur signierte Updates.

Je Merkmal 1 Punkt, je Erläuterung 1 Punkt, drei aus:

Je 2 Punkte, zwei aus: nicht benötigte Hintergrunddienste und Autostart-Programme deaktivieren (weniger Angriffsfläche); Bildschirmsperre mit Kennwort per Gruppenrichtlinie (kein Zugriff auf unbeaufsichtigte Rechner); Benutzerkontensteuerung auf hohe Stufe, Standardkonten für Anwender (Schadsoftware läuft ohne Adminrechte); Makros aus dem Internet sperren und nur freigegebene Programme zulassen (verhindert Ausführung von Schadcode); Virenschutz beim Start und Protokollierung aktivieren; Standardpasswörter nach Richtlinie ändern.

• Least Privilege (3 Punkte): Personen und Systeme erhalten nur die mindestens nötigen Rechte. Maßnahme z. B.: Der App-Server greift mit einem eigenen Datenbankbenutzer zu, der nur die benötigten Tabellen lesen und schreiben darf; Entwickler*innen haben auf db01 keine Adminrechte, Verwaltung nur über persönliche Admin-Konten.

• Zero Trust (3 Punkte): Auch innerhalb des Firmennetzes wird keinem System automatisch vertraut; jeder Zugriff wird authentifiziert, autorisiert und überwacht. Maßnahme z. B.: Zugriffe auf db01 nur mit TLS und Zertifikat vom App-Server, Admin-Zugriff nur mit MFA über VPN, Netz segmentiert, Zugriffe der Systeme untereinander werden protokolliert und ausgewertet.

Je 1 Punkt, vier aus: zentrale Inventarisierung aller Geräte; automatische Konfiguration über Profile (WLAN, VPN, E-Mail); zentrale Verteilung von Updates und Apps; Sperren unerwünschter Apps (Block-List); Durchsetzen von Sicherheitsrichtlinien (Passwort, Verschlüsselung); Sperren, Orten und Löschen bei Verlust; Trennung dienstlicher und privater Daten; weniger Aufwand für die IT.

Anbieter C (1 Punkt). Begründung (3 Punkte): Anbieter A scheidet aus, weil er nur in der Cloud betrieben werden kann. Anbieter B kann Geräte nicht aus der Ferne löschen; bei Verlust oder Diebstahl blieben die Firmendaten auf dem Gerät. Anbieter C bietet On-Premises-Betrieb und alle Schutzfunktionen bei Verlust (Sperren, Löschen, Ortung); der fehlende App-Store ist dafür unerheblich.

Die dienstlichen Apps und Daten laufen in einem getrennten, passwortgeschützten Container bzw. Arbeitsprofil. Das MDMS verwaltet nur diesen Bereich und hat keine Rechte auf private Daten wie Fotos, Nachrichten oder den Standort; beim Fernlöschen wird nur der Container gelöscht (2 Punkte).

Je 1 Punkt, fünf aus: Passwortrichtlinie; Regeln zu BYOD (dienstliche Nutzung privater Geräte); Klassifizierung der Daten nach Schutzbedarf; welche Daten das MDMS erfasst, insbesondere Standort- und Bewegungsdaten; Fernzugriff auf Kamera und Gerät; Vorgehen bei Verlust oder Diebstahl; Löschung beim Ausscheiden; Schulung der Beschäftigten; Rechte- und Berechtigungsvergabe; Kostenübernahme und Haftung; Erreichbarkeit außerhalb der Arbeitszeit.

Je 2 Punkte, drei aus:

• Vollverschlüsselung der Festplatte mit BitLocker, TPM und PIN beim Start: Ohne PIN sind die Daten auch nach Ausbau der SSD nicht lesbar.

• Starke Anmeldung mit zweitem Faktor (z. B. Windows Hello, Sicherheitsschlüssel): Ein gestohlenes Passwort allein reicht nicht.

• UEFI-Passwort und gesperrter Start von fremden Medien: Ein fremdes System kann nicht gestartet werden.

• Einbindung ins MDMS: Gerät kann nach Verlustmeldung gesperrt, geortet und gelöscht werden.

• Sofortige Sperre der Zugänge (Konto, VPN-Zertifikat) nach Verlustmeldung, wenig lokale Daten.

Je 2 Punkte, zwei aus: Geräte registrieren und prüfen, ob sie die Mindestanforderungen erfüllen (aktuelles Betriebssystem, Bildschirmsperre); Arbeitsprofil einrichten und dienstliche Apps verteilen; Unterstützung für viele verschiedene Gerätetypen leisten; beim Ausscheiden oder Verlust die Firmendaten entfernen und Zugänge sperren; Lizenzen für dienstliche Apps auf privaten Geräten verwalten; Beschäftigte zu Regeln und Datenschutz schulen.

Je richtiger Zeile 1 Punkt.

Mit TPM allein gibt der Chip den Schlüssel bei jedem unveränderten Start automatisch frei; ein Dieb käme bis zum Anmeldebildschirm und könnte Angriffe auf das laufende System versuchen. Mit PIN wird der Schlüssel erst nach Eingabe des Wissensfaktors freigegeben (zwei Faktoren: Besitz des Geräts und Wissen) (2 Punkte).

• Folgen (2 Punkte): Secure Boot prüft Bootloader anhand der Zertifikate in der Firmware. Laufen die alten Zertifikate ab und fehlen die neuen, erhalten die Geräte keine Sicherheitsupdates für den Startvorgang mehr, und neuere Bootmedien starten womöglich nicht.

• Ableitung (2 Punkte): Vor der Ausgabe UEFI-Firmware und Betriebssystem aktualisieren, prüfen, ob die neuen Zertifikate installiert sind, und das im Patchmanagement für alle Geräte überwachen; Secure Boot nicht einfach abschalten.

Z. B. (5 Punkte für ein schlüssiges Konzept mit mindestens vier Bausteinen):

• Updates zentral über ein Verwaltungssystem (z. B. WSUS bzw. Intune oder das MDM) freigeben und verteilen, Patch-Stand zentral überwachen.

• Zuerst an einer Testgruppe (z. B. zehn Notebooks der Schul-IT) prüfen, dann gestaffelt verteilen.

• Installation und Neustart außerhalb der Unterrichtszeit (Nutzungszeiten von 7 bis 17 Uhr ausnehmen, nachts oder am Wochenende), Neustarts ankündigen und eine Verschiebung bis zum Unterrichtsende erlauben.

• Updates im Hintergrund herunterladen, damit nur der Neustart Zeit kostet.

• Kritische Sicherheitsupdates mit kurzer Frist erzwingen; vorher Wiederherstellungsmöglichkeit sichern.