| Passwörter in einem sicheren Tresor Identitäten & Zugriffe | nicht erfüllt | Devolutions Server als Tresor der IT; daneben Maschinen- und Gerätepasswörter im Klartext in MetaBDE (61 IP-Einträge, 9 Switches, 50 Portal-Logins, Freitextfelder), Excel-Listen in Abteilungen, Zettel an Anlagen. | kritisch | 1 | IT-Leitung (Daniel Steiner) |
| LDAP-Signierung erzwungen Identitäten & Zugriffe | nicht erfüllt | LDAP-Signierung nicht erzwungen, Channel Binding nicht gesetzt. | hoch | 2 | IT-Leitung (Daniel Steiner) |
| Globale Administratoren der Cloud-Plattform minimal Identitäten & Zugriffe | nicht erfüllt | Sieben Global Admins dauerhaft, darunter zwei TechPartner-Konten, das Sammelkonto office@ und ein Dienstkonto; kein Break-Glass-Konto, kein PIM. | hoch | 2 | TechPartner Süd GmbH |
| Privilegierte Cloud-Rollen minimiert Identitäten & Zugriffe | nicht erfüllt | Privilegierte Rollen nicht minimiert: sieben permanente GA, keine abgestuften Rollen (Exchange-/SharePoint-Admin), kein PIM. | hoch | 2 | TechPartner Süd GmbH |
| Dienstkonten dokumentiert und minimal berechtigt Identitäten & Zugriffe | nicht erfüllt | Dienstkonten für Backup, SQL, Scanner, MetaBDE, ERP teils mit Domänen-Admin; Liste in Devolutions unvollständig; 31 Konten mit „Passwort läuft nie ab“. | hoch | 2 | IT-Leitung (Daniel Steiner) |
| Getrennte Administrationsebenen Identitäten & Zugriffe | nicht erfüllt | Kein Tier-Modell: Domänen-Admin-Konten werden auf Servern und Clients verwendet, Passwort auf mehreren Servern hinterlegt. | hoch | 3 | IT-Leitung (Daniel Steiner) |
| Externe Freigaben kontrolliert Identitäten & Zugriffe | nicht erfüllt | Externe Freigaben für alle erlaubt inklusive „Jeder“-Links ohne Ablauf; keine Kontrolle; Dropbox parallel im Einsatz. | mittel | 3 | TechPartner Süd GmbH |
| App-Berechtigungen in Cloud-Diensten geprüft Identitäten & Zugriffe | nicht erfüllt | Benutzer dürfen jeder App zustimmen; so kam ein KI-Notizdienst mit Postfachzugriff hinein. | mittel | 3 | TechPartner Süd GmbH |
| Veraltete Anmeldeverfahren deaktiviert Identitäten & Zugriffe | nicht erfüllt | Veraltete Anmeldeverfahren sind weiterhin aktiv: der Kerio-Mailserver erlaubt Basic-Auth für IMAP/SMTP aus dem Internet, in Microsoft 365 gilt eine Legacy-Auth-Ausnahme (Scanner-Konto), on-prem nur NTLMv2 Level 3 statt 5. | mittel | 2 | IT-Leitung (Daniel Steiner) |