Zurück zu den Anforderungen

Administratoren des Verzeichnisdienstes auf das Minimum reduziert

Identitäten & Zugriffe

Stand 20.01.2026teilweisehoch

Bewertung durch HoliSec (alle Quellen) · Lauf vom 20.01.2026 · Verantwortlich: IT-Leitung (Daniel Steiner)

IST-Zustand

Domänen-Admins 2, Organisations-/Schema-Admins leer, beide Admins in Protected Users; quartalsweise Prüfung vereinbart. Offen: TechPartner-Zugriff über Tier-1-Konto mit Freischaltung (Vereinbarung April).

Soll-Zustand

Domain Admins minimal

Empfehlung

Admins minimieren, Protected Users nutzen, Schema-/Organisations-Admins leeren.

Aussage aus dem Gespräch

  • Drei Domänen-Admins (IT-Leitung, Techniker, TechPartner) und ein Setup-Konto; Überprüfung nie.

Aussagen belegen den Ist-Zustand; die Bewertung erfolgt aus der Erhebung.

Evidenz

Dokumente

Noch keine Dokumente zu dieser Anforderung – z. B. Richtlinie, Netzplan, Vertrag oder Foto als Nachweis.

Technische Prüfpunkte

Active-Directory-Hygiene (srv-dc01)AD-HygieneDomänencontroller-Audit
StatusPrüfpunktIst-ZustandSoll
erfülltPrivilegierte Gruppen-Mitgliederzahl begrenzt (per RID)Domänen-Admins 2 (adm0-steiner, adm0-koller), Organisations-Admins 0, Schema-Admins 0moeglichst wenige (<=5), keine Dienst-/Tageskonten
erfülltAnzahl Domain Admins (EN: Domain Admins / DE: Domaenen-Admins)2<= 5
erfülltAnzahl Enterprise Admins (EN / DE: Organisations-Admins)0<= 2 (nur bei Bedarf befuellen)
erfülltAnzahl Schema Admins (EN / DE: Schema-Admins)00 (nur bei Schema-Aenderungen befuellen)
erfülltAnzahl Administrators (EN: Administrators / DE: Administratoren)2<= 5
erfülltProtected Users befuellt (EN / DE: Geschuetzte Benutzer)2>= 1 (alle privilegierten Accounts sollten Mitglied sein)
erfülltBuilt-in Administrator aktiviertFalseFalse (umbenennen & deaktivieren)
erfülltGuest-Konto aktiviertFalseFalse
teilweiseAktivierte Konten mit PasswordNeverExpires14 (Dienstkonten, Liste in Devolutions)0 (oder nur dedizierte Service Accounts)
srv-bde01Server-Audit
StatusPrüfpunktIst-ZustandSoll
erfülltLokale Administratoren (Anzahl)2<= 5
teilweiseBuilt-in Administrator aktiviertTrueFalse (umbenennen/deaktivieren)
erfülltGuest-Konto aktiviertFalseFalse
srv-bkp01Server-Audit
StatusPrüfpunktIst-ZustandSoll
erfülltLokale Administratoren (Anzahl)1<= 5
teilweiseBuilt-in Administrator aktiviertTrueFalse (umbenennen/deaktivieren)
erfülltGuest-Konto aktiviertFalseFalse
srv-erp01Server-Audit
StatusPrüfpunktIst-ZustandSoll
erfülltLokale Administratoren (Anzahl)1<= 5
teilweiseBuilt-in Administrator aktiviertTrueFalse (umbenennen/deaktivieren)
erfülltGuest-Konto aktiviertFalseFalse
srv-file01Server-Audit
StatusPrüfpunktIst-ZustandSoll
erfülltLokale Administratoren (Anzahl)2<= 5
teilweiseBuilt-in Administrator aktiviertTrueFalse (umbenennen/deaktivieren)
erfülltGuest-Konto aktiviertFalseFalse
srv-pwd01Server-Audit
StatusPrüfpunktIst-ZustandSoll
erfülltLokale Administratoren (Anzahl)1<= 5
teilweiseBuilt-in Administrator aktiviertTrueFalse (umbenennen/deaktivieren)
erfülltGuest-Konto aktiviertFalseFalse
srv-pwddb01Server-Audit
StatusPrüfpunktIst-ZustandSoll
erfülltLokale Administratoren (Anzahl)1<= 5
teilweiseBuilt-in Administrator aktiviertTrueFalse (umbenennen/deaktivieren)
erfülltGuest-Konto aktiviertFalseFalse
srv-sync01Server-Audit
StatusPrüfpunktIst-ZustandSoll
erfülltLokale Administratoren (Anzahl)2<= 5
teilweiseBuilt-in Administrator aktiviertTrueFalse (umbenennen/deaktivieren)
erfülltGuest-Konto aktiviertFalseFalse
srv-ts01Server-Audit
StatusPrüfpunktIst-ZustandSoll
erfülltLokale Administratoren (Anzahl)2<= 5
teilweiseBuilt-in Administrator aktiviertTrueFalse (umbenennen/deaktivieren)
erfülltGuest-Konto aktiviertFalseFalse

Maßnahmen

Verlauf

  1. Lauf vom 20.1.2026: teilweise
    20.10.2026, 07:15
  2. Lauf vom 16.12.2025: teilweise
    20.10.2026, 07:15
  3. Lauf vom 18.11.2025: teilweise
    20.10.2026, 07:15
  4. Lauf vom 14.10.2025: teilweise
    20.10.2026, 07:15
  5. Maßnahme angelegt: Privilegierte AD-Gruppen bereinigen
    20.10.2026, 07:15

Kommentare

Noch keine Kommentare.