| Starke Passwort-Richtlinie Identitäten & Zugriffe | erfüllt | Richtlinie gehärtet (14/Komplexität/Historie 24/Sperrung), FGPP 20 Zeichen für Admins; alle 24 geleakten Zugänge rotiert, Reuse-Cluster bis auf drei lokale Admins aufgelöst (LAPS im Jänner); 14 Dienstkonten ohne Ablauf dokumentiert. | | 1 | IT-Leitung (Daniel Steiner) |
| Bedingter Zugriff auf Cloud-Dienste aktiv Identitäten & Zugriffe | erfüllt | Conditional Access umfassend; die deaktivierte Standortregel ist jetzt aktiv. | | 2 | TechPartner Süd GmbH |
| Cloud-Daten gesichert Identitäten & Zugriffe | erfüllt | Veeam Backup for Microsoft 365 läuft wieder (Ursache: Token abgelaufen), alle 152 Postfächer, Teams und SharePoint im Umfang, Aufbewahrung 1 Jahr. | | 2 | TechPartner Süd GmbH |
| Kerberos gehärtet Identitäten & Zugriffe | erfüllt | krbtgt am 02./04.12.2025 zweimal rotiert (Alter 12 Tage), AES256 aktiviert; Delegation: nur srv-ts01 mit uneingeschränkter Delegation (siehe AD-11); halbjährliche Rotation geplant. | | 2 | IT-Leitung (Daniel Steiner) |
| Schutz privilegierter Konten im Verzeichnisdienst korrekt Identitäten & Zugriffe | erfüllt | Beide Admin-Konten in Protected Users und als nicht delegierbar gekennzeichnet; AdminSDHolder ohne Abweichungen. | | 3 | IT-Leitung (Daniel Steiner) |
| SMBv1 abgeschaltet Identitäten & Zugriffe | erfüllt | SMBv1 auf allen zehn geprüften Windows-Servern deaktiviert; Drucker-Scanziele laufen mit SMB2 (Stichprobe). Die XP-Messmaschine nutzt eine lokale Freigabe (siehe OT-02). | | 2 | IT-Leitung (Daniel Steiner) |
| Sicherheitsprotokollierung im Verzeichnisdienst aktiv Identitäten & Zugriffe | erfüllt | Erweiterte Audit-Richtlinie (Anmeldung, Kontenverwaltung, Verzeichnisdienständerungen) aktiv, Security-Log 1 GB, Weiterleitung an Checkmk-Host als Zwischenlösung bis zum SIEM. | | 2 | IT-Leitung (Daniel Steiner) |
| Protokollierung der Cloud-Plattform aktiv Identitäten & Zugriffe | erfüllt | Entra- und Unified-Audit-Log aktiv und abfragbar (Standardaufbewahrung). | | 2 | TechPartner Süd GmbH |
| Gast- und externe Konten kontrolliert Identitäten & Zugriffe | erfüllt | 19 inaktive Gastkonten entfernt, 27 aktive Gäste mit Zugriffsüberprüfung alle 90 Tage (Verantwortlich: TechPartner Süd). | | 3 | IT-Leitung (Daniel Steiner) |