| Berechtigungen nach Rollen vergeben Identitäten & Zugriffe | teilweise | Fileserver-Freigaben 'daten' und 'progs' auf Abteilungsgruppen eingeschränkt, public_dir entfernt. Offen: Berechtigungskonzept und MetaBDE-Autorisierung (Entwickler beauftragt). | kritisch | 1 | IT-Leitung (Daniel Steiner) |
| Administratoren des Verzeichnisdienstes auf das Minimum reduziert Identitäten & Zugriffe | teilweise | Domänen-Admins 2, Organisations-/Schema-Admins leer, beide Admins in Protected Users; quartalsweise Prüfung vereinbart. Offen: TechPartner-Zugriff über Tier-1-Konto mit Freischaltung (Vereinbarung April). | hoch | 1 | IT-Leitung (Daniel Steiner) |
| Keine unkontrollierte Kerberos-Delegation Identitäten & Zugriffe | teilweise | Ein Server (srv-ts01) mit uneingeschränkter Delegation (historisch für den Terminalserver-Zugriff auf Freigaben). | hoch | 3 | IT-Leitung (Daniel Steiner) |
| Sicherung des Verzeichnisdienstes (System State) Identitäten & Zugriffe | teilweise | DC wird als VM gesichert, die Veeam-Jobs sind aktuell fehlgeschlagen; Wiederherstellung des Verzeichnisdienstes nie getestet. | hoch | 3 | IT-Leitung (Daniel Steiner) |
| Zweiter Faktor für Admin-Konten Identitäten & Zugriffe | teilweise | MFA für Microsoft-365-Admins (CA001) und VPN (FortiToken); Domänen-Admins, ESXi, FortiGate-Web, iLO und Veeam nur mit Passwort. | hoch | 1 | IT-Leitung (Daniel Steiner) |
| Zweiter Faktor für alle Benutzer (inkl. Cloud-Dienste) Identitäten & Zugriffe | teilweise | MFA per Conditional Access für alle Benutzer erzwungen; drei Benutzer der Buchhaltung und ein Dienstkonto ausgenommen. VPN mit FortiToken, Herstellerzugang 'wartung-laser' ohne MFA. | hoch | 1 | IT-Leitung (Daniel Steiner) |
| Privilegierte Konten auf das Minimum reduziert Identitäten & Zugriffe | teilweise | Inaktive Konten deaktiviert (2 dokumentierte Ausnahmen), Domänen-Admins auf zwei personalisierte adm0-Konten reduziert, TechPartner nur noch mit Freischaltung. Offen: getrennte Alltagskonten für die IT (Tier-Modell), MetaBDE-Rollen. | hoch | 1 | IT-Leitung (Daniel Steiner) |
| Konten bei Eintritt und Austritt gepflegt Identitäten & Zugriffe | teilweise | Ein-/Austrittsprozess mit Checkliste seit 01.12.2025 (Personal → IT, Deaktivierung am Austrittstag). Offen: erster Quartalsnachweis. | hoch | 2 | IT-Leitung (Daniel Steiner) |
| Keine Wege zur Rechteausweitung Identitäten & Zugriffe | teilweise | Admin-Passwort aus der Freigabe entfernt und rotiert, Reuse-Cluster aufgelöst. Offen: LAPS, MetaBDE-Credential-Felder. | hoch | 3 | IT-Leitung (Daniel Steiner) |
| Verzeichnisdienst gehärtet Identitäten & Zugriffe | teilweise | DC gehärtet (Firewall, WinRM HTTPS, Gast/Built-in-Admin deaktiviert, SYSVOL auf DFSR, Audit-Richtlinien). Offen: LDAP-Signierung/Channel Binding (Audit-Modus läuft), LmCompat 5. | mittel | 2 | IT-Leitung (Daniel Steiner) |
| Kritische Gruppenrichtlinien geschützt Identitäten & Zugriffe | teilweise | Default Domain Policy und DC-Policy unverändert; 11 weitere GPOs, zwei davon mit Bearbeitungsrecht für 'Domänen-Benutzer' (historisch für CAD-Software). | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Zugriff auf die zentrale Richtlinienablage kontrolliert Identitäten & Zugriffe | teilweise | SYSVOL-Berechtigungen Standard; ein Anmeldeskript enthält ein Dienstkonto-Passwort im Klartext (Laufwerkszuordnung ERP-Export). | mittel | 3 | IT-Leitung (Daniel Steiner) |
| NTLM-Nutzung reduziert Identitäten & Zugriffe | teilweise | NTLMv2 am DC erzwungen (Level 3), auf Mitgliedsservern nicht gesetzt; NTLM-Nutzung nicht ausgewertet. | mittel | 2 | IT-Leitung (Daniel Steiner) |
| Veraltete Anmeldeverfahren in Cloud-Diensten deaktiviert Identitäten & Zugriffe | teilweise | Legacy-Authentifizierung blockiert; ein Scanner-Konto ausgenommen. | mittel | 2 | TechPartner Süd GmbH |
| Schutzfunktionen des Cloud-E-Mail-Dienstes aktiv Identitäten & Zugriffe | teilweise | Defender for Office 365 Plan 1 lizenziert; Anti-Phishing, Safe Links und Safe Attachments mit Standardrichtlinien, keine Preset-Security-Policy, keine Impersonation-Schutzliste. | mittel | 2 | TechPartner Süd GmbH |
| App-Registrierungen kontrolliert Identitäten & Zugriffe | teilweise | 14 Enterprise-Apps mit Benutzer-Consent, darunter ein KI-Notizdienst mit Mail.Read; keine Überprüfung. | mittel | 3 | TechPartner Süd GmbH |
| Eigene Arbeitsplätze für Administration Identitäten & Zugriffe | teilweise | Admin-Jumphost jh-01 mit MFA für Serveradministration; Admin-Notebooks (PAW) bestellt. | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Jede Person meldet sich mit eigenem Konto an Identitäten & Zugriffe | teilweise | Büro, Konstruktion und Vertrieb arbeiten durchgängig mit personalisierten Konten; Sammelkonten bestehen nur für die Steuerungs-PCs ('produktion'), Empfang, Lager und das Versand-Postfach. | mittel | 1 | IT-Leitung (Daniel Steiner) |
| Sicherheitsbewertung der Cloud-Plattform ausgewertet Identitäten & Zugriffe | teilweise | Secure Score erstmals ausgewertet (44 %), 12 Empfehlungen priorisiert; Umsetzung läuft mit TechPartner Süd. | niedrig | 3 | TechPartner Süd GmbH |