| Keine Zugangsdaten im Klartext Infrastruktur & Endgeräte | teilweise | Installationsanleitung mit Admin-Passwort und das ERP-Importskript bereinigt, Dienstkonto im Anmeldeskript ersetzt, betroffene Passwörter rotiert. Offen: Klartext-Spalten in der MetaBDE-DB (Entwickler, Umsetzung bis Juli). | kritisch | 3 | IT-Leitung (Daniel Steiner) |
| Alle kritischen Systeme gesichert Backup & Notfall | teilweise | Beide Jobs seit 05.11.2025 repariert (Ursache: abgelaufenes Repository-Kennwort), dritter Job für srv-ts01 ergänzt, täglich grün. Offen: Steuerungs-PCs, Firewall-/Switch-Konfigurationen. | kritisch | 1 | IT-Leitung (Daniel Steiner) |
| Berechtigungen nach Rollen vergeben Identitäten & Zugriffe | teilweise | Fileserver-Freigaben 'daten' und 'progs' auf Abteilungsgruppen eingeschränkt, public_dir entfernt. Offen: Berechtigungskonzept und MetaBDE-Autorisierung (Entwickler beauftragt). | kritisch | 1 | IT-Leitung (Daniel Steiner) |
| Passwörter in einem sicheren Tresor Identitäten & Zugriffe | nicht erfüllt | Devolutions Server als Tresor der IT; daneben Maschinen- und Gerätepasswörter im Klartext in MetaBDE (61 IP-Einträge, 9 Switches, 50 Portal-Logins, Freitextfelder), Excel-Listen in Abteilungen, Zettel an Anlagen. | kritisch | 1 | IT-Leitung (Daniel Steiner) |
| Notfallplan für IT-Sicherheitsvorfälle Backup & Notfall | nicht erfüllt | Kein Notfallplan; Eskalation informell über die IT-Leitung; Entscheidungswege, Meldepflichten und Wiederanlauf nicht festgelegt. | kritisch | 1 | Geschäftsführung (DI Karl Muster) |
| Produktions- und Büronetz getrennt Infrastruktur & Endgeräte | nicht erfüllt | Maschinensteuerungen (Laser, Kantbank, Roboter, Säge, Messmaschine), SPS und HMI im selben VLAN wie die Büro-PCs; kein Firewall-Übergang. | kritisch | 2 | Produktionsleitung (Franz Leitner) |
| Administratoren des Verzeichnisdienstes auf das Minimum reduziert Identitäten & Zugriffe | teilweise | Domänen-Admins 2, Organisations-/Schema-Admins leer, beide Admins in Protected Users; quartalsweise Prüfung vereinbart. Offen: TechPartner-Zugriff über Tier-1-Konto mit Freischaltung (Vereinbarung April). | hoch | 1 | IT-Leitung (Daniel Steiner) |
| LDAP-Signierung erzwungen Identitäten & Zugriffe | nicht erfüllt | LDAP-Signierung nicht erzwungen, Channel Binding nicht gesetzt. | hoch | 2 | IT-Leitung (Daniel Steiner) |
| Keine unkontrollierte Kerberos-Delegation Identitäten & Zugriffe | teilweise | Ein Server (srv-ts01) mit uneingeschränkter Delegation (historisch für den Terminalserver-Zugriff auf Freigaben). | hoch | 3 | IT-Leitung (Daniel Steiner) |
| Sicherung des Verzeichnisdienstes (System State) Identitäten & Zugriffe | teilweise | DC wird als VM gesichert, die Veeam-Jobs sind aktuell fehlgeschlagen; Wiederherstellung des Verzeichnisdienstes nie getestet. | hoch | 3 | IT-Leitung (Daniel Steiner) |
| Server aktuell gepatcht Infrastruktur & Endgeräte | teilweise | ESXi auf 8.0 U3 gehoben, iLO/BIOS aktuell, alle Server und beide Linux-Hosts gepatcht (Wartungsfenster 2. Dienstag). Offen: Nachweis über drei Monate, FortiGate-Firmware (TechPartner, Februar), Switch-Firmware (Mai). | hoch | 1 | IT-Leitung (Daniel Steiner) |
| Webanwendungen abgesichert Infrastruktur & Endgeräte | nicht erfüllt | MetaBDE (Eigenentwicklung, Legacy Web Forms): keine Security-Header, Stack-Traces für Benutzer, Passwortfeld als Klartext, fehlende Rollenprüfung (siehe IAM-08); Transport, Session-Cookie und CSRF-Schutz in Ordnung. | hoch | 3 | IT-Leitung (Daniel Steiner) |
| Schnittstellen (APIs) abgesichert Infrastruktur & Endgeräte | nicht erfüllt | Administrative SQL-Konsole in MetaBDE für 118 Benutzer erreichbar; ERP-Lieferantenportal mit Basic-Auth ohne Rate-Limit (laut Hersteller). | hoch | 3 | IT-Leitung (Daniel Steiner) |
| Anwendungen protokollieren Sicherheitsereignisse Infrastruktur & Endgeräte | nicht erfüllt | MetaBDE protokolliert Fehl-Logins samt eingegebenem Passwort (2.539 Einträge 2008–2022); Log-Tabelle mit 5,2 Mio. Zeilen ohne Rotation; kein Zugriffs-Audit. | hoch | 3 | IT-Leitung (Daniel Steiner) |
| Administrationsoberflächen nicht exponiert Infrastruktur & Endgeräte | teilweise | Klartext-HTTP am iLO deaktiviert; Kerio-Admin nur noch von der IT-Station. Offen: Management-VLAN, NVR-Freigabe (TechPartner, Dezember). | hoch | 3 | IT-Leitung (Daniel Steiner) |
| Keine Standard-Zugangsdaten Infrastruktur & Endgeräte | teilweise | SNMP-Community ersetzt, iLO-Default-Konto deaktiviert. Offen: Drucker, Kameras, HMI-PIN (Produktion plant Februar). | hoch | 2 | IT-Leitung (Daniel Steiner) |
| Backups verschlüsselt Backup & Notfall | nicht erfüllt | Backup-Jobs ohne Verschlüsselung; nur das Konfigurations-Backup verschlüsselt; USB-Platten mit Altsicherungen unverschlüsselt. | hoch | 2 | IT-Leitung (Daniel Steiner) |
| Zugriff auf Backups eingeschränkt Backup & Notfall | teilweise | NAS-Admin mit 2FA, Cloud-Konto im Tresor. Offen: Veeam-Server aus der Domäne lösen, eigene Backup-Admin-Konten (März). | hoch | 1 | IT-Leitung (Daniel Steiner) |
| Wiederherstellung regelmäßig getestet Backup & Notfall | nicht erfüllt | Nur Einzeldateien wurden je wiederhergestellt; kein Test ganzer Systeme, kein SureBackup. | hoch | 1 | IT-Leitung (Daniel Steiner) |
| Globale Administratoren der Cloud-Plattform minimal Identitäten & Zugriffe | nicht erfüllt | Sieben Global Admins dauerhaft, darunter zwei TechPartner-Konten, das Sammelkonto office@ und ein Dienstkonto; kein Break-Glass-Konto, kein PIM. | hoch | 2 | TechPartner Süd GmbH |
| Privilegierte Cloud-Rollen minimiert Identitäten & Zugriffe | nicht erfüllt | Privilegierte Rollen nicht minimiert: sieben permanente GA, keine abgestuften Rollen (Exchange-/SharePoint-Admin), kein PIM. | hoch | 2 | TechPartner Süd GmbH |
| Endgeräteschutz mit Erkennung und Reaktion (EDR) Infrastruktur & Endgeräte | teilweise | ESET Protect auf 138 von 152 Clients, 14 ohne Agent (davon 5 Steuerungs-PCs); kein EDR-Modul; Alarme in einem ungelesenen Sammelpostfach. | hoch | 1 | IT-Leitung (Daniel Steiner) |
| Lokale Administratorrechte minimiert Infrastruktur & Endgeräte | nicht erfüllt | Alle Domänenbenutzer sind lokale Administratoren (GPO für CAD-Software), 23 zusätzlich direkt; lokale Admin-Passwörter über Server hinweg gleich. | hoch | 1 | IT-Leitung (Daniel Steiner) |
| Clients automatisch gepatcht Infrastruktur & Endgeräte | nicht erfüllt | WSUS seit März 2025 ohne Synchronisation; 61 Windows-10-Clients am Supportende ohne Plan; Office 2016. | hoch | 1 | IT-Leitung (Daniel Steiner) |
| Vollständiges IT-Inventar Organisation | teilweise | Server, Maschinen und Netzgeräte sind in der MetaBDE-Gerätedoku und einer Excel-Liste (2023) erfasst; Drucker, Kameras, Smartphones, Cloud-Dienste und 19 aktive Netzgeräte fehlen, niemand pflegt die Listen laufend. Der Netzscan fand mehr Systeme als jede Liste. | hoch | 1 | Geschäftsführung (DI Karl Muster) |
| Keine ungemanagte Schatten-IT Organisation | nicht erfüllt | Schatten-IT bestätigt: HubSpot und Dropbox im Vertrieb (Zeichnungen an Kunden), eigener WLAN-Router in der Produktion. | hoch | 3 | Geschäftsführung (DI Karl Muster) |
| Veraltete Systeme außer Betrieb Organisation | teilweise | AD-Bereinigung Stufe 1 am 09.12.2025: 42 veraltete Computer (17 EOL) und 21 Konten archiviert, Rollback bis März möglich. Lifecycle-Übersicht im Portal-Inventar. Offen: ESXi-Upgrade (Jänner), Windows-10-Migration (Budget 2026 freigegeben), Produktions-PCs. | hoch | 1 | IT-Leitung (Daniel Steiner) |
| Externe Zugänge dokumentiert und kontrolliert Organisation | nicht erfüllt | TechPartner Süd mit Domänen- und Firewall-Admin, Maschinenhersteller per dauerhaftem TeamViewer und VPN-Konto 'wartung-laser' ohne MFA; keine vertragliche Regelung außer Wartungsvertrag 2019, keine Protokollierung. | hoch | 1 | Geschäftsführung (DI Karl Muster) |
| Mitarbeitende regelmäßig sensibilisiert Organisation | teilweise | Awareness-Schulung am 13./15.01.2026 für 135 von 150 Mitarbeitenden (15 Nachschulungen bis Februar). Offen: Phishing-Simulation (April). | hoch | 1 | Geschäftsführung (DI Karl Muster) |
| IT-Sicherheitsrichtlinie vorhanden Organisation | nicht erfüllt | Keine IT-Sicherheitsrichtlinie; Benutzerordnung von 2016 im Intranet. | hoch | 2 | Geschäftsführung (DI Karl Muster) |
| Entwicklungsumgebungen abgesichert Infrastruktur & Endgeräte | nicht erfüllt | MetaBDE-Quellcode und eine Kopie der Produktiv-DB mit Klartext-Passwörtern auf dem unverschlüsselten Notebook des externen Entwicklers. | hoch | 3 | IT-Leitung (Daniel Steiner) |
| Zweiter Faktor für Admin-Konten Identitäten & Zugriffe | teilweise | MFA für Microsoft-365-Admins (CA001) und VPN (FortiToken); Domänen-Admins, ESXi, FortiGate-Web, iLO und Veeam nur mit Passwort. | hoch | 1 | IT-Leitung (Daniel Steiner) |
| Zweiter Faktor für alle Benutzer (inkl. Cloud-Dienste) Identitäten & Zugriffe | teilweise | MFA per Conditional Access für alle Benutzer erzwungen; drei Benutzer der Buchhaltung und ein Dienstkonto ausgenommen. VPN mit FortiToken, Herstellerzugang 'wartung-laser' ohne MFA. | hoch | 1 | IT-Leitung (Daniel Steiner) |
| Privilegierte Konten auf das Minimum reduziert Identitäten & Zugriffe | teilweise | Inaktive Konten deaktiviert (2 dokumentierte Ausnahmen), Domänen-Admins auf zwei personalisierte adm0-Konten reduziert, TechPartner nur noch mit Freischaltung. Offen: getrennte Alltagskonten für die IT (Tier-Modell), MetaBDE-Rollen. | hoch | 1 | IT-Leitung (Daniel Steiner) |
| Dienstkonten dokumentiert und minimal berechtigt Identitäten & Zugriffe | nicht erfüllt | Dienstkonten für Backup, SQL, Scanner, MetaBDE, ERP teils mit Domänen-Admin; Liste in Devolutions unvollständig; 31 Konten mit „Passwort läuft nie ab“. | hoch | 2 | IT-Leitung (Daniel Steiner) |
| Konten bei Eintritt und Austritt gepflegt Identitäten & Zugriffe | teilweise | Ein-/Austrittsprozess mit Checkliste seit 01.12.2025 (Personal → IT, Deaktivierung am Austrittstag). Offen: erster Quartalsnachweis. | hoch | 2 | IT-Leitung (Daniel Steiner) |
| Keine Wege zur Rechteausweitung Identitäten & Zugriffe | teilweise | Admin-Passwort aus der Freigabe entfernt und rotiert, Reuse-Cluster aufgelöst. Offen: LAPS, MetaBDE-Credential-Felder. | hoch | 3 | IT-Leitung (Daniel Steiner) |
| Getrennte Administrationsebenen Identitäten & Zugriffe | nicht erfüllt | Kein Tier-Modell: Domänen-Admin-Konten werden auf Servern und Clients verwendet, Passwort auf mehreren Servern hinterlegt. | hoch | 3 | IT-Leitung (Daniel Steiner) |
| Zentrales Sicherheits-Monitoring Infrastruktur & Endgeräte | nicht erfüllt | Kein SIEM, kein SOC; Checkmk meldet nur Verfügbarkeit, FortiAnalyzer ungenutzt. | hoch | 3 | HoliSec |
| Alarmierung bei Sicherheitsereignissen Infrastruktur & Endgeräte | teilweise | ESET-, Veeam- und Microsoft-Alarme laufen seit 10.11.2025 in das IT-Ticket mit Verantwortlichem (IT-Leitung, Vertretung Techniker). Offen: FortiGate-Alarme, Reaktionszeiten, Security-Monitoring. | hoch | 3 | HoliSec |
| Firewall-Regeln restriktiv Infrastruktur & Endgeräte | nicht erfüllt | 19 Accept-Regeln ohne Security-Profil, 25 Regeln mit Dienst ALL, 4 temporäre Regeln aus 2022–2024 noch aktiv; Regelwerk seit 2021 nie überprüft. | hoch | 1 | TechPartner Süd GmbH |
| Verwaltungszugriff auf Netzwerkgeräte isoliert Infrastruktur & Endgeräte | nicht erfüllt | Verwaltungsoberflächen von Firewall, Switches, APs, iLO, NAS und Kameras aus dem Client-Netz erreichbar; FortiGate-Admins ohne trusted-host, Timeout 8 Stunden. | hoch | 2 | TechPartner Süd GmbH |
| Server und Clients netzwerkseitig getrennt Infrastruktur & Endgeräte | nicht erfüllt | VLANs für Server, Backup, Gast und Gebäude vorhanden; Büro-PCs, Drucker, Kameras und Maschinensteuerungen teilen VLAN 1; Backup-NAS mit zweitem Interface im Client-Netz (SMB offen = Ransomware-Pfad). | hoch | 2 | IT-Leitung (Daniel Steiner) |
| Angriffserkennung aktiv (IPS) Infrastruktur & Endgeräte | teilweise | UTM-Lizenz vorhanden; IPS, Webfilter und Antivirus fehlen auf 19 Accept-Regeln, darunter Internet-Ausgang der Produktion. | hoch | 3 | TechPartner Süd GmbH |
| Exponierte Dienste in einer DMZ Infrastruktur & Endgeräte | teilweise | Sechs publizierte Dienste: SSL-VPN, Kerio-Mail (HTTPS/SMTP/IMAPS) in der DMZ, TeamViewer-Relay, Kamera-NVR auf Port 8080 ohne DMZ; MetaBDE war bis 2022 aus dem Internet erreichbar. | hoch | 2 | TechPartner Süd GmbH |
| VPN mit zweitem Faktor Infrastruktur & Endgeräte | teilweise | SSL-VPN mit FortiToken für Mitarbeitende; die Konten von TechPartner Süd und 'wartung-laser' sind dauerhaft aktiv, 'wartung-laser' ohne MFA. | hoch | 1 | TechPartner Süd GmbH |
| Switches gehärtet Infrastruktur & Endgeräte | teilweise | sw-halle-01: Telnet aus, SNMPv3, Timeout, Syslog an Checkmk; sw-buero-01 und sw-nord-01 gleich konfiguriert (Export geprüft). Offen: RADIUS, Management-VLAN, Firmware (Mai). | hoch | 2 | IT-Leitung (Daniel Steiner) |
| Alt-Systeme in der Produktion isoliert Infrastruktur & Endgeräte | nicht erfüllt | Fünf Steuerungs-PCs mit Windows 7 Embedded/XP ungeschützt im Client-Netz, SMB und RDP offen. | hoch | 2 | Produktionsleitung (Franz Leitner) |
| Herstellerzugriff auf Produktionssysteme kontrolliert Infrastruktur & Endgeräte | nicht erfüllt | Hersteller greifen über dauerhaft installiertes TeamViewer unbeaufsichtigt zu; keine Freigabe, kein Protokoll. | hoch | 3 | Produktionsleitung (Franz Leitner) |
| Fernwartung der Produktion mit zweitem Faktor Infrastruktur & Endgeräte | nicht erfüllt | Fernwartung mit festen TeamViewer-Passwörtern und einem VPN-Konto ohne zweiten Faktor. | hoch | 2 | Produktionsleitung (Franz Leitner) |
| Steuerungen (SPS) abgesichert Infrastruktur & Endgeräte | nicht erfüllt | Sechs Siemens-S7-Steuerungen ohne Zugriffsschutz, Webserver aktiv, aus dem Büronetz schreibbar. | hoch | 3 | Produktionsleitung (Franz Leitner) |
| Produktionssysteme gesichert Infrastruktur & Endgeräte | nicht erfüllt | Steuerungsprogramme nur auf den Steuerungs-PCs und einem USB-Stick; kein Backup, kein Wiederanlaufplan — ein Ausfall kostet Tage. | hoch | 3 | Produktionsleitung (Franz Leitner) |
| Verzeichnisdienst gehärtet Identitäten & Zugriffe | teilweise | DC gehärtet (Firewall, WinRM HTTPS, Gast/Built-in-Admin deaktiviert, SYSVOL auf DFSR, Audit-Richtlinien). Offen: LDAP-Signierung/Channel Binding (Audit-Modus läuft), LmCompat 5. | mittel | 2 | IT-Leitung (Daniel Steiner) |
| Kritische Gruppenrichtlinien geschützt Identitäten & Zugriffe | teilweise | Default Domain Policy und DC-Policy unverändert; 11 weitere GPOs, zwei davon mit Bearbeitungsrecht für 'Domänen-Benutzer' (historisch für CAD-Software). | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Zugriff auf die zentrale Richtlinienablage kontrolliert Identitäten & Zugriffe | teilweise | SYSVOL-Berechtigungen Standard; ein Anmeldeskript enthält ein Dienstkonto-Passwort im Klartext (Laufwerkszuordnung ERP-Export). | mittel | 3 | IT-Leitung (Daniel Steiner) |
| NTLM-Nutzung reduziert Identitäten & Zugriffe | teilweise | NTLMv2 am DC erzwungen (Level 3), auf Mitgliedsservern nicht gesetzt; NTLM-Nutzung nicht ausgewertet. | mittel | 2 | IT-Leitung (Daniel Steiner) |
| Server nach Sicherheits-Baseline gehärtet Infrastruktur & Endgeräte | nicht erfüllt | Keine Baseline: auf allen Servern lokale Passwortrichtlinie leer, SMB-Signing nicht erzwungen, Built-in-Administrator aktiv, Firewall-Profile auf fünf Servern deaktiviert; MetaBDE ohne Security-Header. | mittel | 2 | IT-Leitung (Daniel Steiner) |
| Dienste laufen mit minimalen Rechten Infrastruktur & Endgeräte | teilweise | SQL-Server-Dienste laufen unter Domänenkonten mit lokalen Adminrechten; Veeam-Dienst mit Domänen-Admin; MetaBDE-Anwendungspool als NetworkService. | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Verschlüsselung und Zertifikate aktuell Infrastruktur & Endgeräte | teilweise | NAS und iLO mit eigenen Zertifikaten, MetaBDE/Mail per Let's Encrypt. Offen: Switch/Kamera-Zertifikate, TLS 1.0/1.1 auf dem Webserver, Ablaufüberwachung in Checkmk. | mittel | 2 | IT-Leitung (Daniel Steiner) |
| Datenbankzugriff eingeschränkt Infrastruktur & Endgeräte | teilweise | MetaBDE-DB mit zwei parallelen Berechtigungssystemen, kein Audit auf Credential-Felder; ERP-DB nur über Anwendungskonto erreichbar. | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Software-Abhängigkeiten aktuell Infrastruktur & Endgeräte | nicht erfüllt | MetaBDE lädt jQuery extern ohne Integritätsprüfung; Abhängigkeiten (.NET Framework 4.x, jQuery 3.6) werden nicht gepflegt; Office 2016 auf 19 Clients. | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Veraltete Anmeldeverfahren in Cloud-Diensten deaktiviert Identitäten & Zugriffe | teilweise | Legacy-Authentifizierung blockiert; ein Scanner-Konto ausgenommen. | mittel | 2 | TechPartner Süd GmbH |
| Externe Freigaben kontrolliert Identitäten & Zugriffe | nicht erfüllt | Externe Freigaben für alle erlaubt inklusive „Jeder“-Links ohne Ablauf; keine Kontrolle; Dropbox parallel im Einsatz. | mittel | 3 | TechPartner Süd GmbH |
| Schutzfunktionen des Cloud-E-Mail-Dienstes aktiv Identitäten & Zugriffe | teilweise | Defender for Office 365 Plan 1 lizenziert; Anti-Phishing, Safe Links und Safe Attachments mit Standardrichtlinien, keine Preset-Security-Policy, keine Impersonation-Schutzliste. | mittel | 2 | TechPartner Süd GmbH |
| App-Registrierungen kontrolliert Identitäten & Zugriffe | teilweise | 14 Enterprise-Apps mit Benutzer-Consent, darunter ein KI-Notizdienst mit Mail.Read; keine Überprüfung. | mittel | 3 | TechPartner Süd GmbH |
| App-Berechtigungen in Cloud-Diensten geprüft Identitäten & Zugriffe | nicht erfüllt | Benutzer dürfen jeder App zustimmen; so kam ein KI-Notizdienst mit Postfachzugriff hinein. | mittel | 3 | TechPartner Süd GmbH |
| Regeln für USB- und Wechselmedien Infrastruktur & Endgeräte | nicht erfüllt | Keine Regel, keine technische Kontrolle; USB-Sticks in der Produktion üblich. | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Zentrale Geräteverwaltung Infrastruktur & Endgeräte | nicht erfüllt | Keine Geräteverwaltung; 24 Smartphones mit Outlook ohne Schutz, keine Fernlöschung; Notebooks ohne Intune. | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Bildschirmsperre erzwungen Infrastruktur & Endgeräte | teilweise | Bildschirmsperre nach 15 Minuten im Büro; Produktions-PCs und HMI dauerhaft entsperrt mit Sammelkonto. | mittel | 1 | IT-Leitung (Daniel Steiner) |
| Nur freigegebene Anwendungen ausführbar Infrastruktur & Endgeräte | nicht erfüllt | Keine Anwendungskontrolle; Benutzer installieren beliebig. | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Makros aus dem Internet blockiert Infrastruktur & Endgeräte | teilweise | Kein zentraler Makro-Block; der Microsoft-Standard greift nur auf aktuellen Office-Versionen; Kalkulation nutzt Makros. | mittel | 1 | IT-Leitung (Daniel Steiner) |
| Aktuelle Netzwerkdokumentation Organisation | nicht erfüllt | Netzplan von 2021 ohne VLANs und ohne Werk Nord; die tatsächliche Segmentierung ist nur aus der Switch-Konfiguration ersichtlich. | mittel | 2 | IT-Leitung (Daniel Steiner) |
| Cloud-Ressourcen inventarisiert Organisation | nicht erfüllt | Acht Cloud-/SaaS-Dienste im Einsatz, keine Liste; Zugänge verteilt auf Devolutions und Fachabteilungen. | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Änderungen nachvollziehbar dokumentiert Organisation | nicht erfüllt | Änderungen nach Zuruf, teils in TechPartner-Tickets, intern nicht dokumentiert; keine Freigabe. | mittel | 2 | IT-Leitung (Daniel Steiner) |
| Sensible Daten identifiziert Organisation | nicht erfüllt | Konstruktions-, Personal- und Kundendaten bekannt, aber nicht klassifiziert; Zeichnungen zusätzlich in Dropbox, Personaldaten in einer Abteilungsfreigabe mit breiten Rechten. | mittel | 3 | Geschäftsführung (DI Karl Muster) |
| Regelung für Homeoffice und mobiles Arbeiten Organisation | nicht erfüllt | Homeoffice per VPN und Terminalserver, teils von privaten PCs; keine schriftliche Regelung. | mittel | 1 | Geschäftsführung (DI Karl Muster) |
| Unbekannte Geräte und Speicher identifiziert Infrastruktur & Endgeräte | nicht erfüllt | 19 aktive Geräte ohne Zuordnung, vor allem Web-Oberflächen im Bereich 10.20.102.x (vermutlich Drucker, Kameras, Tablets). | mittel | 3 | IT-Leitung (Daniel Steiner) |
| IoT-Geräte inventarisiert Infrastruktur & Endgeräte | nicht erfüllt | Vernetzte Geräte ohne Inventar: 6 Kameras, Zutrittssteuerung, Klimasteuerung, Loxone, 2 Smart-TVs, Produktions-Tablets; Verantwortung verteilt auf Haustechnik, Produktion, Elektriker. | mittel | 3 | Produktionsleitung (Franz Leitner) |
| Drucker abgesichert Infrastruktur & Endgeräte | nicht erfüllt | Fünf Multifunktionsdrucker mit offenem oder Standard-Web-Admin; Scan-Ziele mit Domänenkonto 'scan' (Passwort von 2019) per SMB/FTP. | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Netzwerkkameras abgesichert Infrastruktur & Endgeräte | nicht erfüllt | Sechs Kameras mit Firmware 2019 im Client-VLAN, vier mit Standardpasswort; NVR per HTTP und aus dem Internet erreichbar. | mittel | 3 | Produktionsleitung (Franz Leitner) |
| Veraltete Anmeldeverfahren deaktiviert Identitäten & Zugriffe | nicht erfüllt | Veraltete Anmeldeverfahren sind weiterhin aktiv: der Kerio-Mailserver erlaubt Basic-Auth für IMAP/SMTP aus dem Internet, in Microsoft 365 gilt eine Legacy-Auth-Ausnahme (Scanner-Konto), on-prem nur NTLMv2 Level 3 statt 5. | mittel | 2 | IT-Leitung (Daniel Steiner) |
| Eigene Arbeitsplätze für Administration Identitäten & Zugriffe | teilweise | Admin-Jumphost jh-01 mit MFA für Serveradministration; Admin-Notebooks (PAW) bestellt. | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Jede Person meldet sich mit eigenem Konto an Identitäten & Zugriffe | teilweise | Büro, Konstruktion und Vertrieb arbeiten durchgängig mit personalisierten Konten; Sammelkonten bestehen nur für die Steuerungs-PCs ('produktion'), Empfang, Lager und das Versand-Postfach. | mittel | 1 | IT-Leitung (Daniel Steiner) |
| Protokolle zentral gesammelt Infrastruktur & Endgeräte | teilweise | Checkmk sammelt Verfügbarkeitsdaten; Sicherheitsprotokolle bleiben auf den Systemen (DC, Switch, ESXi ohne Syslog-Ziel). | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Protokolle ausreichend lang aufbewahrt Infrastruktur & Endgeräte | nicht erfüllt | Windows-Protokolle nach Tagen überschrieben, Firewall-Logs etwa zwei Wochen, M365 im Standard. | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Administrative Tätigkeiten überwacht Infrastruktur & Endgeräte | nicht erfüllt | Administrative Tätigkeiten (Gruppenänderungen, GPO, Firewall-Änderungen) werden nicht überwacht. | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Endgeräte-Protokolle zentral gesammelt Infrastruktur & Endgeräte | nicht erfüllt | Endgeräte-Protokolle nur lokal bzw. in der ESET-Konsole ohne Weiterleitung. | mittel | 2 | IT-Leitung (Daniel Steiner) |
| Verzeichnisdienst-Protokolle überwacht Infrastruktur & Endgeräte | teilweise | AD-Sicherheitsprotokolle aktiv und an Checkmk weitergeleitet; Auswertungsregeln folgen mit dem SIEM. | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Firewall ausfallsicher (HA) Infrastruktur & Endgeräte | nicht erfüllt | Einzelne FortiGate; Ausfall legt Internet, VPN und die Anbindung von Werk Nord lahm. | mittel | 3 | TechPartner Süd GmbH |
| WLAN sicher und getrennt Infrastruktur & Endgeräte | teilweise | Drei SSIDs mit WPA2-PSK, Gast-WLAN getrennt; Firmen-Passwort seit 2020 unverändert und allgemein bekannt, kein 802.1X; Produktions-SSID im Maschinennetz. | mittel | 1 | IT-Leitung (Daniel Steiner) |
| Netzwerkverkehr protokolliert Infrastruktur & Endgeräte | nicht erfüllt | Firewall-Regeln loggen; die Logs bleiben lokal (etwa zwei Wochen), FortiAnalyzer-Lizenz vorhanden aber nicht eingerichtet. | mittel | 3 | TechPartner Süd GmbH |
| Bedienoberflächen (HMI) mit Anmeldung Infrastruktur & Endgeräte | teilweise | HMI-Bedienerebene ohne Anmeldung (betrieblich gewollt), Admin-Ebene mit Herstellerstandard-PIN. | mittel | 3 | Produktionsleitung (Franz Leitner) |
| Sicherheitsbewertung der Cloud-Plattform ausgewertet Identitäten & Zugriffe | teilweise | Secure Score erstmals ausgewertet (44 %), 12 Empfehlungen priorisiert; Umsetzung läuft mit TechPartner Süd. | niedrig | 3 | TechPartner Süd GmbH |
| Testsysteme isoliert Infrastruktur & Endgeräte | teilweise | Zabbix-Test gepatcht und als Testsystem gekennzeichnet (Abschaltung geplant); Entwickler-Testumgebung noch mit Produktivkopie (siehe HID-08). | niedrig | 3 | IT-Leitung (Daniel Steiner) |
| Starke Passwort-Richtlinie Identitäten & Zugriffe | erfüllt | Richtlinie gehärtet (14/Komplexität/Historie 24/Sperrung), FGPP 20 Zeichen für Admins; alle 24 geleakten Zugänge rotiert, Reuse-Cluster bis auf drei lokale Admins aufgelöst (LAPS im Jänner); 14 Dienstkonten ohne Ablauf dokumentiert. | | 1 | IT-Leitung (Daniel Steiner) |
| Unveränderbare Backup-Kopie Backup & Notfall | erfüllt | Ein unveränderbares Repository (NAS, S3 Object Lock) vorhanden; wegen der fehlgeschlagenen Jobs derzeit ohne aktuelle Kopie. | | 2 | IT-Leitung (Daniel Steiner) |
| Offline- oder Offsite-Kopie vorhanden Backup & Notfall | erfüllt | Kopien in Werk Nord (NAS) und in der Wasabi-Cloud; 3-2-1-Regel strukturell erfüllt. | | 1 | IT-Leitung (Daniel Steiner) |
| Bedingter Zugriff auf Cloud-Dienste aktiv Identitäten & Zugriffe | erfüllt | Conditional Access umfassend; die deaktivierte Standortregel ist jetzt aktiv. | | 2 | TechPartner Süd GmbH |
| Cloud-Daten gesichert Identitäten & Zugriffe | erfüllt | Veeam Backup for Microsoft 365 läuft wieder (Ursache: Token abgelaufen), alle 152 Postfächer, Teams und SharePoint im Umfang, Aufbewahrung 1 Jahr. | | 2 | TechPartner Süd GmbH |
| Festplatten verschlüsselt Infrastruktur & Endgeräte | erfüllt | BitLocker per GPO auf allen 38 Notebooks erzwungen, Wiederherstellungsschlüssel in Entra ID. | | 2 | IT-Leitung (Daniel Steiner) |
| Serverraum physisch geschützt Organisation | erfüllt | Serverraum: elektronischer Zutritt mit Liste, Rauchmelder mit Aufschaltung, Wasserleitung umgelegt, USV 45 Minuten mit Alarm, Temperaturalarm; Backup-Server in Werk Nord im abschließbaren Schrank. | | 1 | Produktionsleitung (Franz Leitner) |
| Kerberos gehärtet Identitäten & Zugriffe | erfüllt | krbtgt am 02./04.12.2025 zweimal rotiert (Alter 12 Tage), AES256 aktiviert; Delegation: nur srv-ts01 mit uneingeschränkter Delegation (siehe AD-11); halbjährliche Rotation geplant. | | 2 | IT-Leitung (Daniel Steiner) |
| Schutz privilegierter Konten im Verzeichnisdienst korrekt Identitäten & Zugriffe | erfüllt | Beide Admin-Konten in Protected Users und als nicht delegierbar gekennzeichnet; AdminSDHolder ohne Abweichungen. | | 3 | IT-Leitung (Daniel Steiner) |
| SMBv1 abgeschaltet Identitäten & Zugriffe | erfüllt | SMBv1 auf allen zehn geprüften Windows-Servern deaktiviert; Drucker-Scanziele laufen mit SMB2 (Stichprobe). Die XP-Messmaschine nutzt eine lokale Freigabe (siehe OT-02). | | 2 | IT-Leitung (Daniel Steiner) |
| Sicherheitsprotokollierung im Verzeichnisdienst aktiv Identitäten & Zugriffe | erfüllt | Erweiterte Audit-Richtlinie (Anmeldung, Kontenverwaltung, Verzeichnisdienständerungen) aktiv, Security-Log 1 GB, Weiterleitung an Checkmk-Host als Zwischenlösung bis zum SIEM. | | 2 | IT-Leitung (Daniel Steiner) |
| Backups überwacht und alarmiert Backup & Notfall | erfüllt | Veeam-Jobstatus in Checkmk mit Alarm an das IT-Ticket; tägliche Sichtkontrolle durch den Techniker, Eskalation an die IT-Leitung nach 24 Stunden. | | 2 | IT-Leitung (Daniel Steiner) |
| Sicherungskonzept dokumentiert Backup & Notfall | erfüllt | Sicherungskonzept v1.0 (Umfang, Zyklen, Ziele, Verschlüsselung, Verantwortliche, Testintervalle) von der GF freigegeben. | | 1 | IT-Leitung (Daniel Steiner) |
| Protokollierung der Cloud-Plattform aktiv Identitäten & Zugriffe | erfüllt | Entra- und Unified-Audit-Log aktiv und abfragbar (Standardaufbewahrung). | | 2 | TechPartner Süd GmbH |
| Verantwortliche je System benannt Organisation | erfüllt | Verantwortlichkeiten je System (fachlich/technisch/Vertretung) festgelegt und von der GF freigegeben. | | 3 | Geschäftsführung (DI Karl Muster) |
| Systeme nach Kritikalität klassifiziert Organisation | erfüllt | Kritikalität im Workshop am 09.01.2026 festgelegt: Ausfallzeiten, Datenverlust-Toleranz und Wiederanlaufreihenfolge je System. | | 3 | Geschäftsführung (DI Karl Muster) |
| Verantwortung für Informationssicherheit benannt Organisation | erfüllt | Rolle Informationssicherheit schriftlich bei der IT-Leitung mit 10 % Zeitbudget, Vertretung Techniker, Quartalsbericht an die GF (Beschluss 10.11.2025). | | 1 | Geschäftsführung (DI Karl Muster) |
| Alt-Systeme und vergessene VMs identifiziert Infrastruktur & Endgeräte | erfüllt | Drei Alt-VMs exportiert und gelöscht, Server-2003-Objekte archiviert; keine stillgelegten Systeme mehr im Netz. | | 3 | IT-Leitung (Daniel Steiner) |
| Zugriff auf alte Backups geprüft Infrastruktur & Endgeräte | erfüllt | Sieben USB-Platten und fünf Alt-Festplatten erfasst, nach dem Backup-Konzept sicher gelöscht (Protokoll). | | 3 | IT-Leitung (Daniel Steiner) |
| Gast- und externe Konten kontrolliert Identitäten & Zugriffe | erfüllt | 19 inaktive Gastkonten entfernt, 27 aktive Gäste mit Zugriffsüberprüfung alle 90 Tage (Verantwortlich: TechPartner Süd). | | 3 | IT-Leitung (Daniel Steiner) |
| Firewall-Protokollierung aktiv Infrastruktur & Endgeräte | erfüllt | Alle Firewall-Regeln protokollieren; Aufbewahrung lokal begrenzt (siehe NET-12). | | 2 | IT-Leitung (Daniel Steiner) |
| Zertifikatsdienste sicher konfiguriert Identitäten & Zugriffe | nicht anwendbar | Keine interne Zertifizierungsstelle im Einsatz. | niedrig | 3 | — |
| Vertrauensstellungen zu anderen Verzeichnissen geprüft Identitäten & Zugriffe | nicht anwendbar | Keine Vertrauensstellungen; die übernommene Schlosserei Nord wurde in die Domäne migriert. | niedrig | 3 | — |
| Zugriff auf fremde Cloud-Umgebungen beschränkt Identitäten & Zugriffe | nicht anwendbar | Kein Zugriff auf fremde Cloud-Umgebungen (keine Partner-/Kundenmandanten). | niedrig | 3 | — |
| Vertraulichkeit geregelt Organisation | erfüllt | Alle Mitarbeitenden sind über die Verschwiegenheitsklausel im Dienstvertrag zur Vertraulichkeit verpflichtet (Muster geprüft); mit externen Partnern regelt das der Wartungsvertrag nur allgemein (siehe GOV-09). | | 1 | Geschäftsführung (DI Karl Muster) |
| Split-Tunneling bewusst konfiguriert Infrastruktur & Endgeräte | erfüllt | Split-Tunneling bewusst aktiv (nur Firmennetze über VPN); Zugriff auf Werk-Nord-Netz eingeschlossen. | | 3 | TechPartner Süd GmbH |
| Routing sicher konfiguriert Infrastruktur & Endgeräte | erfüllt | Statisches Routing, Inter-VLAN-Routing über die FortiGate; keine dynamischen Protokolle, Site-to-Site mit IKEv2. | | 3 | TechPartner Süd GmbH |
| Load Balancer mit sicherem TLS Infrastruktur & Endgeräte | nicht anwendbar | Kein Load Balancer im Einsatz. | niedrig | 3 | — |
| Reverse Proxy abgesichert Infrastruktur & Endgeräte | nicht anwendbar | Kein Reverse Proxy im Einsatz; Dienste werden direkt per DNAT publiziert (siehe NET-07). | niedrig | 3 | — |
| Leitsystem protokolliert (SCADA) Infrastruktur & Endgeräte | nicht anwendbar | Kein Leitsystem/SCADA im Einsatz; Maschinenmeldungen laufen in MetaBDE. | niedrig | 3 | — |