| Berechtigungen nach Rollen vergeben Identitäten & Zugriffe | teilweise | Fileserver-Freigaben 'daten' und 'progs' auf Abteilungsgruppen eingeschränkt, public_dir entfernt. Offen: Berechtigungskonzept und MetaBDE-Autorisierung (Entwickler beauftragt). | kritisch | 1 | IT-Leitung (Daniel Steiner) |
| Passwörter in einem sicheren Tresor Identitäten & Zugriffe | nicht erfüllt | Devolutions Server als Tresor der IT; daneben Maschinen- und Gerätepasswörter im Klartext in MetaBDE (61 IP-Einträge, 9 Switches, 50 Portal-Logins, Freitextfelder), Excel-Listen in Abteilungen, Zettel an Anlagen. | kritisch | 1 | IT-Leitung (Daniel Steiner) |
| Administratoren des Verzeichnisdienstes auf das Minimum reduziert Identitäten & Zugriffe | teilweise | Domänen-Admins 2, Organisations-/Schema-Admins leer, beide Admins in Protected Users; quartalsweise Prüfung vereinbart. Offen: TechPartner-Zugriff über Tier-1-Konto mit Freischaltung (Vereinbarung April). | hoch | 1 | IT-Leitung (Daniel Steiner) |
| LDAP-Signierung erzwungen Identitäten & Zugriffe | nicht erfüllt | LDAP-Signierung nicht erzwungen, Channel Binding nicht gesetzt. | hoch | 2 | IT-Leitung (Daniel Steiner) |
| Keine unkontrollierte Kerberos-Delegation Identitäten & Zugriffe | teilweise | Ein Server (srv-ts01) mit uneingeschränkter Delegation (historisch für den Terminalserver-Zugriff auf Freigaben). | hoch | 3 | IT-Leitung (Daniel Steiner) |
| Sicherung des Verzeichnisdienstes (System State) Identitäten & Zugriffe | teilweise | DC wird als VM gesichert, die Veeam-Jobs sind aktuell fehlgeschlagen; Wiederherstellung des Verzeichnisdienstes nie getestet. | hoch | 3 | IT-Leitung (Daniel Steiner) |
| Globale Administratoren der Cloud-Plattform minimal Identitäten & Zugriffe | nicht erfüllt | Sieben Global Admins dauerhaft, darunter zwei TechPartner-Konten, das Sammelkonto office@ und ein Dienstkonto; kein Break-Glass-Konto, kein PIM. | hoch | 2 | TechPartner Süd GmbH |
| Privilegierte Cloud-Rollen minimiert Identitäten & Zugriffe | nicht erfüllt | Privilegierte Rollen nicht minimiert: sieben permanente GA, keine abgestuften Rollen (Exchange-/SharePoint-Admin), kein PIM. | hoch | 2 | TechPartner Süd GmbH |
| Zweiter Faktor für Admin-Konten Identitäten & Zugriffe | teilweise | MFA für Microsoft-365-Admins (CA001) und VPN (FortiToken); Domänen-Admins, ESXi, FortiGate-Web, iLO und Veeam nur mit Passwort. | hoch | 1 | IT-Leitung (Daniel Steiner) |
| Zweiter Faktor für alle Benutzer (inkl. Cloud-Dienste) Identitäten & Zugriffe | teilweise | MFA per Conditional Access für alle Benutzer erzwungen; drei Benutzer der Buchhaltung und ein Dienstkonto ausgenommen. VPN mit FortiToken, Herstellerzugang 'wartung-laser' ohne MFA. | hoch | 1 | IT-Leitung (Daniel Steiner) |
| Privilegierte Konten auf das Minimum reduziert Identitäten & Zugriffe | teilweise | Inaktive Konten deaktiviert (2 dokumentierte Ausnahmen), Domänen-Admins auf zwei personalisierte adm0-Konten reduziert, TechPartner nur noch mit Freischaltung. Offen: getrennte Alltagskonten für die IT (Tier-Modell), MetaBDE-Rollen. | hoch | 1 | IT-Leitung (Daniel Steiner) |
| Dienstkonten dokumentiert und minimal berechtigt Identitäten & Zugriffe | nicht erfüllt | Dienstkonten für Backup, SQL, Scanner, MetaBDE, ERP teils mit Domänen-Admin; Liste in Devolutions unvollständig; 31 Konten mit „Passwort läuft nie ab“. | hoch | 2 | IT-Leitung (Daniel Steiner) |
| Konten bei Eintritt und Austritt gepflegt Identitäten & Zugriffe | teilweise | Ein-/Austrittsprozess mit Checkliste seit 01.12.2025 (Personal → IT, Deaktivierung am Austrittstag). Offen: erster Quartalsnachweis. | hoch | 2 | IT-Leitung (Daniel Steiner) |
| Keine Wege zur Rechteausweitung Identitäten & Zugriffe | teilweise | Admin-Passwort aus der Freigabe entfernt und rotiert, Reuse-Cluster aufgelöst. Offen: LAPS, MetaBDE-Credential-Felder. | hoch | 3 | IT-Leitung (Daniel Steiner) |
| Getrennte Administrationsebenen Identitäten & Zugriffe | nicht erfüllt | Kein Tier-Modell: Domänen-Admin-Konten werden auf Servern und Clients verwendet, Passwort auf mehreren Servern hinterlegt. | hoch | 3 | IT-Leitung (Daniel Steiner) |
| Verzeichnisdienst gehärtet Identitäten & Zugriffe | teilweise | DC gehärtet (Firewall, WinRM HTTPS, Gast/Built-in-Admin deaktiviert, SYSVOL auf DFSR, Audit-Richtlinien). Offen: LDAP-Signierung/Channel Binding (Audit-Modus läuft), LmCompat 5. | mittel | 2 | IT-Leitung (Daniel Steiner) |
| Kritische Gruppenrichtlinien geschützt Identitäten & Zugriffe | teilweise | Default Domain Policy und DC-Policy unverändert; 11 weitere GPOs, zwei davon mit Bearbeitungsrecht für 'Domänen-Benutzer' (historisch für CAD-Software). | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Zugriff auf die zentrale Richtlinienablage kontrolliert Identitäten & Zugriffe | teilweise | SYSVOL-Berechtigungen Standard; ein Anmeldeskript enthält ein Dienstkonto-Passwort im Klartext (Laufwerkszuordnung ERP-Export). | mittel | 3 | IT-Leitung (Daniel Steiner) |
| NTLM-Nutzung reduziert Identitäten & Zugriffe | teilweise | NTLMv2 am DC erzwungen (Level 3), auf Mitgliedsservern nicht gesetzt; NTLM-Nutzung nicht ausgewertet. | mittel | 2 | IT-Leitung (Daniel Steiner) |
| Veraltete Anmeldeverfahren in Cloud-Diensten deaktiviert Identitäten & Zugriffe | teilweise | Legacy-Authentifizierung blockiert; ein Scanner-Konto ausgenommen. | mittel | 2 | TechPartner Süd GmbH |
| Externe Freigaben kontrolliert Identitäten & Zugriffe | nicht erfüllt | Externe Freigaben für alle erlaubt inklusive „Jeder“-Links ohne Ablauf; keine Kontrolle; Dropbox parallel im Einsatz. | mittel | 3 | TechPartner Süd GmbH |
| Schutzfunktionen des Cloud-E-Mail-Dienstes aktiv Identitäten & Zugriffe | teilweise | Defender for Office 365 Plan 1 lizenziert; Anti-Phishing, Safe Links und Safe Attachments mit Standardrichtlinien, keine Preset-Security-Policy, keine Impersonation-Schutzliste. | mittel | 2 | TechPartner Süd GmbH |
| App-Registrierungen kontrolliert Identitäten & Zugriffe | teilweise | 14 Enterprise-Apps mit Benutzer-Consent, darunter ein KI-Notizdienst mit Mail.Read; keine Überprüfung. | mittel | 3 | TechPartner Süd GmbH |
| App-Berechtigungen in Cloud-Diensten geprüft Identitäten & Zugriffe | nicht erfüllt | Benutzer dürfen jeder App zustimmen; so kam ein KI-Notizdienst mit Postfachzugriff hinein. | mittel | 3 | TechPartner Süd GmbH |
| Veraltete Anmeldeverfahren deaktiviert Identitäten & Zugriffe | nicht erfüllt | Veraltete Anmeldeverfahren sind weiterhin aktiv: der Kerio-Mailserver erlaubt Basic-Auth für IMAP/SMTP aus dem Internet, in Microsoft 365 gilt eine Legacy-Auth-Ausnahme (Scanner-Konto), on-prem nur NTLMv2 Level 3 statt 5. | mittel | 2 | IT-Leitung (Daniel Steiner) |
| Eigene Arbeitsplätze für Administration Identitäten & Zugriffe | teilweise | Admin-Jumphost jh-01 mit MFA für Serveradministration; Admin-Notebooks (PAW) bestellt. | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Jede Person meldet sich mit eigenem Konto an Identitäten & Zugriffe | teilweise | Büro, Konstruktion und Vertrieb arbeiten durchgängig mit personalisierten Konten; Sammelkonten bestehen nur für die Steuerungs-PCs ('produktion'), Empfang, Lager und das Versand-Postfach. | mittel | 1 | IT-Leitung (Daniel Steiner) |
| Sicherheitsbewertung der Cloud-Plattform ausgewertet Identitäten & Zugriffe | teilweise | Secure Score erstmals ausgewertet (44 %), 12 Empfehlungen priorisiert; Umsetzung läuft mit TechPartner Süd. | niedrig | 3 | TechPartner Süd GmbH |
| Starke Passwort-Richtlinie Identitäten & Zugriffe | erfüllt | Richtlinie gehärtet (14/Komplexität/Historie 24/Sperrung), FGPP 20 Zeichen für Admins; alle 24 geleakten Zugänge rotiert, Reuse-Cluster bis auf drei lokale Admins aufgelöst (LAPS im Jänner); 14 Dienstkonten ohne Ablauf dokumentiert. | | 1 | IT-Leitung (Daniel Steiner) |
| Bedingter Zugriff auf Cloud-Dienste aktiv Identitäten & Zugriffe | erfüllt | Conditional Access umfassend; die deaktivierte Standortregel ist jetzt aktiv. | | 2 | TechPartner Süd GmbH |
| Cloud-Daten gesichert Identitäten & Zugriffe | erfüllt | Veeam Backup for Microsoft 365 läuft wieder (Ursache: Token abgelaufen), alle 152 Postfächer, Teams und SharePoint im Umfang, Aufbewahrung 1 Jahr. | | 2 | TechPartner Süd GmbH |
| Kerberos gehärtet Identitäten & Zugriffe | erfüllt | krbtgt am 02./04.12.2025 zweimal rotiert (Alter 12 Tage), AES256 aktiviert; Delegation: nur srv-ts01 mit uneingeschränkter Delegation (siehe AD-11); halbjährliche Rotation geplant. | | 2 | IT-Leitung (Daniel Steiner) |
| Schutz privilegierter Konten im Verzeichnisdienst korrekt Identitäten & Zugriffe | erfüllt | Beide Admin-Konten in Protected Users und als nicht delegierbar gekennzeichnet; AdminSDHolder ohne Abweichungen. | | 3 | IT-Leitung (Daniel Steiner) |
| SMBv1 abgeschaltet Identitäten & Zugriffe | erfüllt | SMBv1 auf allen zehn geprüften Windows-Servern deaktiviert; Drucker-Scanziele laufen mit SMB2 (Stichprobe). Die XP-Messmaschine nutzt eine lokale Freigabe (siehe OT-02). | | 2 | IT-Leitung (Daniel Steiner) |
| Sicherheitsprotokollierung im Verzeichnisdienst aktiv Identitäten & Zugriffe | erfüllt | Erweiterte Audit-Richtlinie (Anmeldung, Kontenverwaltung, Verzeichnisdienständerungen) aktiv, Security-Log 1 GB, Weiterleitung an Checkmk-Host als Zwischenlösung bis zum SIEM. | | 2 | IT-Leitung (Daniel Steiner) |
| Protokollierung der Cloud-Plattform aktiv Identitäten & Zugriffe | erfüllt | Entra- und Unified-Audit-Log aktiv und abfragbar (Standardaufbewahrung). | | 2 | TechPartner Süd GmbH |
| Gast- und externe Konten kontrolliert Identitäten & Zugriffe | erfüllt | 19 inaktive Gastkonten entfernt, 27 aktive Gäste mit Zugriffsüberprüfung alle 90 Tage (Verantwortlich: TechPartner Süd). | | 3 | IT-Leitung (Daniel Steiner) |
| Zertifikatsdienste sicher konfiguriert Identitäten & Zugriffe | nicht anwendbar | Keine interne Zertifizierungsstelle im Einsatz. | niedrig | 3 | — |
| Vertrauensstellungen zu anderen Verzeichnissen geprüft Identitäten & Zugriffe | nicht anwendbar | Keine Vertrauensstellungen; die übernommene Schlosserei Nord wurde in die Domäne migriert. | niedrig | 3 | — |
| Zugriff auf fremde Cloud-Umgebungen beschränkt Identitäten & Zugriffe | nicht anwendbar | Kein Zugriff auf fremde Cloud-Umgebungen (keine Partner-/Kundenmandanten). | niedrig | 3 | — |