| Keine Zugangsdaten im Klartext Infrastruktur & Endgeräte | teilweise | Installationsanleitung mit Admin-Passwort und das ERP-Importskript bereinigt, Dienstkonto im Anmeldeskript ersetzt, betroffene Passwörter rotiert. Offen: Klartext-Spalten in der MetaBDE-DB (Entwickler, Umsetzung bis Juli). | kritisch | 3 | IT-Leitung (Daniel Steiner) |
| Produktions- und Büronetz getrennt Infrastruktur & Endgeräte | nicht erfüllt | Maschinensteuerungen (Laser, Kantbank, Roboter, Säge, Messmaschine), SPS und HMI im selben VLAN wie die Büro-PCs; kein Firewall-Übergang. | kritisch | 2 | Produktionsleitung (Franz Leitner) |
| Server aktuell gepatcht Infrastruktur & Endgeräte | teilweise | ESXi auf 8.0 U3 gehoben, iLO/BIOS aktuell, alle Server und beide Linux-Hosts gepatcht (Wartungsfenster 2. Dienstag). Offen: Nachweis über drei Monate, FortiGate-Firmware (TechPartner, Februar), Switch-Firmware (Mai). | hoch | 1 | IT-Leitung (Daniel Steiner) |
| Webanwendungen abgesichert Infrastruktur & Endgeräte | nicht erfüllt | MetaBDE (Eigenentwicklung, Legacy Web Forms): keine Security-Header, Stack-Traces für Benutzer, Passwortfeld als Klartext, fehlende Rollenprüfung (siehe IAM-08); Transport, Session-Cookie und CSRF-Schutz in Ordnung. | hoch | 3 | IT-Leitung (Daniel Steiner) |
| Schnittstellen (APIs) abgesichert Infrastruktur & Endgeräte | nicht erfüllt | Administrative SQL-Konsole in MetaBDE für 118 Benutzer erreichbar; ERP-Lieferantenportal mit Basic-Auth ohne Rate-Limit (laut Hersteller). | hoch | 3 | IT-Leitung (Daniel Steiner) |
| Anwendungen protokollieren Sicherheitsereignisse Infrastruktur & Endgeräte | nicht erfüllt | MetaBDE protokolliert Fehl-Logins samt eingegebenem Passwort (2.539 Einträge 2008–2022); Log-Tabelle mit 5,2 Mio. Zeilen ohne Rotation; kein Zugriffs-Audit. | hoch | 3 | IT-Leitung (Daniel Steiner) |
| Administrationsoberflächen nicht exponiert Infrastruktur & Endgeräte | teilweise | Klartext-HTTP am iLO deaktiviert; Kerio-Admin nur noch von der IT-Station. Offen: Management-VLAN, NVR-Freigabe (TechPartner, Dezember). | hoch | 3 | IT-Leitung (Daniel Steiner) |
| Keine Standard-Zugangsdaten Infrastruktur & Endgeräte | teilweise | SNMP-Community ersetzt, iLO-Default-Konto deaktiviert. Offen: Drucker, Kameras, HMI-PIN (Produktion plant Februar). | hoch | 2 | IT-Leitung (Daniel Steiner) |
| Endgeräteschutz mit Erkennung und Reaktion (EDR) Infrastruktur & Endgeräte | teilweise | ESET Protect auf 138 von 152 Clients, 14 ohne Agent (davon 5 Steuerungs-PCs); kein EDR-Modul; Alarme in einem ungelesenen Sammelpostfach. | hoch | 1 | IT-Leitung (Daniel Steiner) |
| Lokale Administratorrechte minimiert Infrastruktur & Endgeräte | nicht erfüllt | Alle Domänenbenutzer sind lokale Administratoren (GPO für CAD-Software), 23 zusätzlich direkt; lokale Admin-Passwörter über Server hinweg gleich. | hoch | 1 | IT-Leitung (Daniel Steiner) |
| Clients automatisch gepatcht Infrastruktur & Endgeräte | nicht erfüllt | WSUS seit März 2025 ohne Synchronisation; 61 Windows-10-Clients am Supportende ohne Plan; Office 2016. | hoch | 1 | IT-Leitung (Daniel Steiner) |
| Entwicklungsumgebungen abgesichert Infrastruktur & Endgeräte | nicht erfüllt | MetaBDE-Quellcode und eine Kopie der Produktiv-DB mit Klartext-Passwörtern auf dem unverschlüsselten Notebook des externen Entwicklers. | hoch | 3 | IT-Leitung (Daniel Steiner) |
| Zentrales Sicherheits-Monitoring Infrastruktur & Endgeräte | nicht erfüllt | Kein SIEM, kein SOC; Checkmk meldet nur Verfügbarkeit, FortiAnalyzer ungenutzt. | hoch | 3 | HoliSec |
| Alarmierung bei Sicherheitsereignissen Infrastruktur & Endgeräte | teilweise | ESET-, Veeam- und Microsoft-Alarme laufen seit 10.11.2025 in das IT-Ticket mit Verantwortlichem (IT-Leitung, Vertretung Techniker). Offen: FortiGate-Alarme, Reaktionszeiten, Security-Monitoring. | hoch | 3 | HoliSec |
| Firewall-Regeln restriktiv Infrastruktur & Endgeräte | nicht erfüllt | 19 Accept-Regeln ohne Security-Profil, 25 Regeln mit Dienst ALL, 4 temporäre Regeln aus 2022–2024 noch aktiv; Regelwerk seit 2021 nie überprüft. | hoch | 1 | TechPartner Süd GmbH |
| Verwaltungszugriff auf Netzwerkgeräte isoliert Infrastruktur & Endgeräte | nicht erfüllt | Verwaltungsoberflächen von Firewall, Switches, APs, iLO, NAS und Kameras aus dem Client-Netz erreichbar; FortiGate-Admins ohne trusted-host, Timeout 8 Stunden. | hoch | 2 | TechPartner Süd GmbH |
| Server und Clients netzwerkseitig getrennt Infrastruktur & Endgeräte | nicht erfüllt | VLANs für Server, Backup, Gast und Gebäude vorhanden; Büro-PCs, Drucker, Kameras und Maschinensteuerungen teilen VLAN 1; Backup-NAS mit zweitem Interface im Client-Netz (SMB offen = Ransomware-Pfad). | hoch | 2 | IT-Leitung (Daniel Steiner) |
| Angriffserkennung aktiv (IPS) Infrastruktur & Endgeräte | teilweise | UTM-Lizenz vorhanden; IPS, Webfilter und Antivirus fehlen auf 19 Accept-Regeln, darunter Internet-Ausgang der Produktion. | hoch | 3 | TechPartner Süd GmbH |
| Exponierte Dienste in einer DMZ Infrastruktur & Endgeräte | teilweise | Sechs publizierte Dienste: SSL-VPN, Kerio-Mail (HTTPS/SMTP/IMAPS) in der DMZ, TeamViewer-Relay, Kamera-NVR auf Port 8080 ohne DMZ; MetaBDE war bis 2022 aus dem Internet erreichbar. | hoch | 2 | TechPartner Süd GmbH |
| VPN mit zweitem Faktor Infrastruktur & Endgeräte | teilweise | SSL-VPN mit FortiToken für Mitarbeitende; die Konten von TechPartner Süd und 'wartung-laser' sind dauerhaft aktiv, 'wartung-laser' ohne MFA. | hoch | 1 | TechPartner Süd GmbH |
| Switches gehärtet Infrastruktur & Endgeräte | teilweise | sw-halle-01: Telnet aus, SNMPv3, Timeout, Syslog an Checkmk; sw-buero-01 und sw-nord-01 gleich konfiguriert (Export geprüft). Offen: RADIUS, Management-VLAN, Firmware (Mai). | hoch | 2 | IT-Leitung (Daniel Steiner) |
| Alt-Systeme in der Produktion isoliert Infrastruktur & Endgeräte | nicht erfüllt | Fünf Steuerungs-PCs mit Windows 7 Embedded/XP ungeschützt im Client-Netz, SMB und RDP offen. | hoch | 2 | Produktionsleitung (Franz Leitner) |
| Herstellerzugriff auf Produktionssysteme kontrolliert Infrastruktur & Endgeräte | nicht erfüllt | Hersteller greifen über dauerhaft installiertes TeamViewer unbeaufsichtigt zu; keine Freigabe, kein Protokoll. | hoch | 3 | Produktionsleitung (Franz Leitner) |
| Fernwartung der Produktion mit zweitem Faktor Infrastruktur & Endgeräte | nicht erfüllt | Fernwartung mit festen TeamViewer-Passwörtern und einem VPN-Konto ohne zweiten Faktor. | hoch | 2 | Produktionsleitung (Franz Leitner) |
| Steuerungen (SPS) abgesichert Infrastruktur & Endgeräte | nicht erfüllt | Sechs Siemens-S7-Steuerungen ohne Zugriffsschutz, Webserver aktiv, aus dem Büronetz schreibbar. | hoch | 3 | Produktionsleitung (Franz Leitner) |
| Produktionssysteme gesichert Infrastruktur & Endgeräte | nicht erfüllt | Steuerungsprogramme nur auf den Steuerungs-PCs und einem USB-Stick; kein Backup, kein Wiederanlaufplan — ein Ausfall kostet Tage. | hoch | 3 | Produktionsleitung (Franz Leitner) |
| Server nach Sicherheits-Baseline gehärtet Infrastruktur & Endgeräte | nicht erfüllt | Keine Baseline: auf allen Servern lokale Passwortrichtlinie leer, SMB-Signing nicht erzwungen, Built-in-Administrator aktiv, Firewall-Profile auf fünf Servern deaktiviert; MetaBDE ohne Security-Header. | mittel | 2 | IT-Leitung (Daniel Steiner) |
| Dienste laufen mit minimalen Rechten Infrastruktur & Endgeräte | teilweise | SQL-Server-Dienste laufen unter Domänenkonten mit lokalen Adminrechten; Veeam-Dienst mit Domänen-Admin; MetaBDE-Anwendungspool als NetworkService. | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Verschlüsselung und Zertifikate aktuell Infrastruktur & Endgeräte | teilweise | NAS und iLO mit eigenen Zertifikaten, MetaBDE/Mail per Let's Encrypt. Offen: Switch/Kamera-Zertifikate, TLS 1.0/1.1 auf dem Webserver, Ablaufüberwachung in Checkmk. | mittel | 2 | IT-Leitung (Daniel Steiner) |
| Datenbankzugriff eingeschränkt Infrastruktur & Endgeräte | teilweise | MetaBDE-DB mit zwei parallelen Berechtigungssystemen, kein Audit auf Credential-Felder; ERP-DB nur über Anwendungskonto erreichbar. | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Software-Abhängigkeiten aktuell Infrastruktur & Endgeräte | nicht erfüllt | MetaBDE lädt jQuery extern ohne Integritätsprüfung; Abhängigkeiten (.NET Framework 4.x, jQuery 3.6) werden nicht gepflegt; Office 2016 auf 19 Clients. | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Regeln für USB- und Wechselmedien Infrastruktur & Endgeräte | nicht erfüllt | Keine Regel, keine technische Kontrolle; USB-Sticks in der Produktion üblich. | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Zentrale Geräteverwaltung Infrastruktur & Endgeräte | nicht erfüllt | Keine Geräteverwaltung; 24 Smartphones mit Outlook ohne Schutz, keine Fernlöschung; Notebooks ohne Intune. | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Bildschirmsperre erzwungen Infrastruktur & Endgeräte | teilweise | Bildschirmsperre nach 15 Minuten im Büro; Produktions-PCs und HMI dauerhaft entsperrt mit Sammelkonto. | mittel | 1 | IT-Leitung (Daniel Steiner) |
| Nur freigegebene Anwendungen ausführbar Infrastruktur & Endgeräte | nicht erfüllt | Keine Anwendungskontrolle; Benutzer installieren beliebig. | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Makros aus dem Internet blockiert Infrastruktur & Endgeräte | teilweise | Kein zentraler Makro-Block; der Microsoft-Standard greift nur auf aktuellen Office-Versionen; Kalkulation nutzt Makros. | mittel | 1 | IT-Leitung (Daniel Steiner) |
| Unbekannte Geräte und Speicher identifiziert Infrastruktur & Endgeräte | nicht erfüllt | 19 aktive Geräte ohne Zuordnung, vor allem Web-Oberflächen im Bereich 10.20.102.x (vermutlich Drucker, Kameras, Tablets). | mittel | 3 | IT-Leitung (Daniel Steiner) |
| IoT-Geräte inventarisiert Infrastruktur & Endgeräte | nicht erfüllt | Vernetzte Geräte ohne Inventar: 6 Kameras, Zutrittssteuerung, Klimasteuerung, Loxone, 2 Smart-TVs, Produktions-Tablets; Verantwortung verteilt auf Haustechnik, Produktion, Elektriker. | mittel | 3 | Produktionsleitung (Franz Leitner) |
| Drucker abgesichert Infrastruktur & Endgeräte | nicht erfüllt | Fünf Multifunktionsdrucker mit offenem oder Standard-Web-Admin; Scan-Ziele mit Domänenkonto 'scan' (Passwort von 2019) per SMB/FTP. | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Netzwerkkameras abgesichert Infrastruktur & Endgeräte | nicht erfüllt | Sechs Kameras mit Firmware 2019 im Client-VLAN, vier mit Standardpasswort; NVR per HTTP und aus dem Internet erreichbar. | mittel | 3 | Produktionsleitung (Franz Leitner) |
| Protokolle zentral gesammelt Infrastruktur & Endgeräte | teilweise | Checkmk sammelt Verfügbarkeitsdaten; Sicherheitsprotokolle bleiben auf den Systemen (DC, Switch, ESXi ohne Syslog-Ziel). | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Protokolle ausreichend lang aufbewahrt Infrastruktur & Endgeräte | nicht erfüllt | Windows-Protokolle nach Tagen überschrieben, Firewall-Logs etwa zwei Wochen, M365 im Standard. | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Administrative Tätigkeiten überwacht Infrastruktur & Endgeräte | nicht erfüllt | Administrative Tätigkeiten (Gruppenänderungen, GPO, Firewall-Änderungen) werden nicht überwacht. | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Endgeräte-Protokolle zentral gesammelt Infrastruktur & Endgeräte | nicht erfüllt | Endgeräte-Protokolle nur lokal bzw. in der ESET-Konsole ohne Weiterleitung. | mittel | 2 | IT-Leitung (Daniel Steiner) |
| Verzeichnisdienst-Protokolle überwacht Infrastruktur & Endgeräte | teilweise | AD-Sicherheitsprotokolle aktiv und an Checkmk weitergeleitet; Auswertungsregeln folgen mit dem SIEM. | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Firewall ausfallsicher (HA) Infrastruktur & Endgeräte | nicht erfüllt | Einzelne FortiGate; Ausfall legt Internet, VPN und die Anbindung von Werk Nord lahm. | mittel | 3 | TechPartner Süd GmbH |
| WLAN sicher und getrennt Infrastruktur & Endgeräte | teilweise | Drei SSIDs mit WPA2-PSK, Gast-WLAN getrennt; Firmen-Passwort seit 2020 unverändert und allgemein bekannt, kein 802.1X; Produktions-SSID im Maschinennetz. | mittel | 1 | IT-Leitung (Daniel Steiner) |
| Netzwerkverkehr protokolliert Infrastruktur & Endgeräte | nicht erfüllt | Firewall-Regeln loggen; die Logs bleiben lokal (etwa zwei Wochen), FortiAnalyzer-Lizenz vorhanden aber nicht eingerichtet. | mittel | 3 | TechPartner Süd GmbH |
| Bedienoberflächen (HMI) mit Anmeldung Infrastruktur & Endgeräte | teilweise | HMI-Bedienerebene ohne Anmeldung (betrieblich gewollt), Admin-Ebene mit Herstellerstandard-PIN. | mittel | 3 | Produktionsleitung (Franz Leitner) |
| Testsysteme isoliert Infrastruktur & Endgeräte | teilweise | Zabbix-Test gepatcht und als Testsystem gekennzeichnet (Abschaltung geplant); Entwickler-Testumgebung noch mit Produktivkopie (siehe HID-08). | niedrig | 3 | IT-Leitung (Daniel Steiner) |
| Festplatten verschlüsselt Infrastruktur & Endgeräte | erfüllt | BitLocker per GPO auf allen 38 Notebooks erzwungen, Wiederherstellungsschlüssel in Entra ID. | | 2 | IT-Leitung (Daniel Steiner) |
| Alt-Systeme und vergessene VMs identifiziert Infrastruktur & Endgeräte | erfüllt | Drei Alt-VMs exportiert und gelöscht, Server-2003-Objekte archiviert; keine stillgelegten Systeme mehr im Netz. | | 3 | IT-Leitung (Daniel Steiner) |
| Zugriff auf alte Backups geprüft Infrastruktur & Endgeräte | erfüllt | Sieben USB-Platten und fünf Alt-Festplatten erfasst, nach dem Backup-Konzept sicher gelöscht (Protokoll). | | 3 | IT-Leitung (Daniel Steiner) |
| Firewall-Protokollierung aktiv Infrastruktur & Endgeräte | erfüllt | Alle Firewall-Regeln protokollieren; Aufbewahrung lokal begrenzt (siehe NET-12). | | 2 | IT-Leitung (Daniel Steiner) |
| Split-Tunneling bewusst konfiguriert Infrastruktur & Endgeräte | erfüllt | Split-Tunneling bewusst aktiv (nur Firmennetze über VPN); Zugriff auf Werk-Nord-Netz eingeschlossen. | | 3 | TechPartner Süd GmbH |
| Routing sicher konfiguriert Infrastruktur & Endgeräte | erfüllt | Statisches Routing, Inter-VLAN-Routing über die FortiGate; keine dynamischen Protokolle, Site-to-Site mit IKEv2. | | 3 | TechPartner Süd GmbH |
| Load Balancer mit sicherem TLS Infrastruktur & Endgeräte | nicht anwendbar | Kein Load Balancer im Einsatz. | niedrig | 3 | — |
| Reverse Proxy abgesichert Infrastruktur & Endgeräte | nicht anwendbar | Kein Reverse Proxy im Einsatz; Dienste werden direkt per DNAT publiziert (siehe NET-07). | niedrig | 3 | — |
| Leitsystem protokolliert (SCADA) Infrastruktur & Endgeräte | nicht anwendbar | Kein Leitsystem/SCADA im Einsatz; Maschinenmeldungen laufen in MetaBDE. | niedrig | 3 | — |