| Produktions- und Büronetz getrennt Infrastruktur & Endgeräte | nicht erfüllt | Maschinensteuerungen (Laser, Kantbank, Roboter, Säge, Messmaschine), SPS und HMI im selben VLAN wie die Büro-PCs; kein Firewall-Übergang. | kritisch | 2 | Produktionsleitung (Franz Leitner) |
| Webanwendungen abgesichert Infrastruktur & Endgeräte | nicht erfüllt | MetaBDE (Eigenentwicklung, Legacy Web Forms): keine Security-Header, Stack-Traces für Benutzer, Passwortfeld als Klartext, fehlende Rollenprüfung (siehe IAM-08); Transport, Session-Cookie und CSRF-Schutz in Ordnung. | hoch | 3 | IT-Leitung (Daniel Steiner) |
| Schnittstellen (APIs) abgesichert Infrastruktur & Endgeräte | nicht erfüllt | Administrative SQL-Konsole in MetaBDE für 118 Benutzer erreichbar; ERP-Lieferantenportal mit Basic-Auth ohne Rate-Limit (laut Hersteller). | hoch | 3 | IT-Leitung (Daniel Steiner) |
| Anwendungen protokollieren Sicherheitsereignisse Infrastruktur & Endgeräte | nicht erfüllt | MetaBDE protokolliert Fehl-Logins samt eingegebenem Passwort (2.539 Einträge 2008–2022); Log-Tabelle mit 5,2 Mio. Zeilen ohne Rotation; kein Zugriffs-Audit. | hoch | 3 | IT-Leitung (Daniel Steiner) |
| Lokale Administratorrechte minimiert Infrastruktur & Endgeräte | nicht erfüllt | Alle Domänenbenutzer sind lokale Administratoren (GPO für CAD-Software), 23 zusätzlich direkt; lokale Admin-Passwörter über Server hinweg gleich. | hoch | 1 | IT-Leitung (Daniel Steiner) |
| Clients automatisch gepatcht Infrastruktur & Endgeräte | nicht erfüllt | WSUS seit März 2025 ohne Synchronisation; 61 Windows-10-Clients am Supportende ohne Plan; Office 2016. | hoch | 1 | IT-Leitung (Daniel Steiner) |
| Entwicklungsumgebungen abgesichert Infrastruktur & Endgeräte | nicht erfüllt | MetaBDE-Quellcode und eine Kopie der Produktiv-DB mit Klartext-Passwörtern auf dem unverschlüsselten Notebook des externen Entwicklers. | hoch | 3 | IT-Leitung (Daniel Steiner) |
| Zentrales Sicherheits-Monitoring Infrastruktur & Endgeräte | nicht erfüllt | Kein SIEM, kein SOC; Checkmk meldet nur Verfügbarkeit, FortiAnalyzer ungenutzt. | hoch | 3 | HoliSec |
| Firewall-Regeln restriktiv Infrastruktur & Endgeräte | nicht erfüllt | 19 Accept-Regeln ohne Security-Profil, 25 Regeln mit Dienst ALL, 4 temporäre Regeln aus 2022–2024 noch aktiv; Regelwerk seit 2021 nie überprüft. | hoch | 1 | TechPartner Süd GmbH |
| Verwaltungszugriff auf Netzwerkgeräte isoliert Infrastruktur & Endgeräte | nicht erfüllt | Verwaltungsoberflächen von Firewall, Switches, APs, iLO, NAS und Kameras aus dem Client-Netz erreichbar; FortiGate-Admins ohne trusted-host, Timeout 8 Stunden. | hoch | 2 | TechPartner Süd GmbH |
| Server und Clients netzwerkseitig getrennt Infrastruktur & Endgeräte | nicht erfüllt | VLANs für Server, Backup, Gast und Gebäude vorhanden; Büro-PCs, Drucker, Kameras und Maschinensteuerungen teilen VLAN 1; Backup-NAS mit zweitem Interface im Client-Netz (SMB offen = Ransomware-Pfad). | hoch | 2 | IT-Leitung (Daniel Steiner) |
| Alt-Systeme in der Produktion isoliert Infrastruktur & Endgeräte | nicht erfüllt | Fünf Steuerungs-PCs mit Windows 7 Embedded/XP ungeschützt im Client-Netz, SMB und RDP offen. | hoch | 2 | Produktionsleitung (Franz Leitner) |
| Herstellerzugriff auf Produktionssysteme kontrolliert Infrastruktur & Endgeräte | nicht erfüllt | Hersteller greifen über dauerhaft installiertes TeamViewer unbeaufsichtigt zu; keine Freigabe, kein Protokoll. | hoch | 3 | Produktionsleitung (Franz Leitner) |
| Fernwartung der Produktion mit zweitem Faktor Infrastruktur & Endgeräte | nicht erfüllt | Fernwartung mit festen TeamViewer-Passwörtern und einem VPN-Konto ohne zweiten Faktor. | hoch | 2 | Produktionsleitung (Franz Leitner) |
| Steuerungen (SPS) abgesichert Infrastruktur & Endgeräte | nicht erfüllt | Sechs Siemens-S7-Steuerungen ohne Zugriffsschutz, Webserver aktiv, aus dem Büronetz schreibbar. | hoch | 3 | Produktionsleitung (Franz Leitner) |
| Produktionssysteme gesichert Infrastruktur & Endgeräte | nicht erfüllt | Steuerungsprogramme nur auf den Steuerungs-PCs und einem USB-Stick; kein Backup, kein Wiederanlaufplan — ein Ausfall kostet Tage. | hoch | 3 | Produktionsleitung (Franz Leitner) |
| Server nach Sicherheits-Baseline gehärtet Infrastruktur & Endgeräte | nicht erfüllt | Keine Baseline: auf allen Servern lokale Passwortrichtlinie leer, SMB-Signing nicht erzwungen, Built-in-Administrator aktiv, Firewall-Profile auf fünf Servern deaktiviert; MetaBDE ohne Security-Header. | mittel | 2 | IT-Leitung (Daniel Steiner) |
| Software-Abhängigkeiten aktuell Infrastruktur & Endgeräte | nicht erfüllt | MetaBDE lädt jQuery extern ohne Integritätsprüfung; Abhängigkeiten (.NET Framework 4.x, jQuery 3.6) werden nicht gepflegt; Office 2016 auf 19 Clients. | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Regeln für USB- und Wechselmedien Infrastruktur & Endgeräte | nicht erfüllt | Keine Regel, keine technische Kontrolle; USB-Sticks in der Produktion üblich. | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Zentrale Geräteverwaltung Infrastruktur & Endgeräte | nicht erfüllt | Keine Geräteverwaltung; 24 Smartphones mit Outlook ohne Schutz, keine Fernlöschung; Notebooks ohne Intune. | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Nur freigegebene Anwendungen ausführbar Infrastruktur & Endgeräte | nicht erfüllt | Keine Anwendungskontrolle; Benutzer installieren beliebig. | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Unbekannte Geräte und Speicher identifiziert Infrastruktur & Endgeräte | nicht erfüllt | 19 aktive Geräte ohne Zuordnung, vor allem Web-Oberflächen im Bereich 10.20.102.x (vermutlich Drucker, Kameras, Tablets). | mittel | 3 | IT-Leitung (Daniel Steiner) |
| IoT-Geräte inventarisiert Infrastruktur & Endgeräte | nicht erfüllt | Vernetzte Geräte ohne Inventar: 6 Kameras, Zutrittssteuerung, Klimasteuerung, Loxone, 2 Smart-TVs, Produktions-Tablets; Verantwortung verteilt auf Haustechnik, Produktion, Elektriker. | mittel | 3 | Produktionsleitung (Franz Leitner) |
| Drucker abgesichert Infrastruktur & Endgeräte | nicht erfüllt | Fünf Multifunktionsdrucker mit offenem oder Standard-Web-Admin; Scan-Ziele mit Domänenkonto 'scan' (Passwort von 2019) per SMB/FTP. | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Netzwerkkameras abgesichert Infrastruktur & Endgeräte | nicht erfüllt | Sechs Kameras mit Firmware 2019 im Client-VLAN, vier mit Standardpasswort; NVR per HTTP und aus dem Internet erreichbar. | mittel | 3 | Produktionsleitung (Franz Leitner) |
| Protokolle ausreichend lang aufbewahrt Infrastruktur & Endgeräte | nicht erfüllt | Windows-Protokolle nach Tagen überschrieben, Firewall-Logs etwa zwei Wochen, M365 im Standard. | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Administrative Tätigkeiten überwacht Infrastruktur & Endgeräte | nicht erfüllt | Administrative Tätigkeiten (Gruppenänderungen, GPO, Firewall-Änderungen) werden nicht überwacht. | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Endgeräte-Protokolle zentral gesammelt Infrastruktur & Endgeräte | nicht erfüllt | Endgeräte-Protokolle nur lokal bzw. in der ESET-Konsole ohne Weiterleitung. | mittel | 2 | IT-Leitung (Daniel Steiner) |
| Firewall ausfallsicher (HA) Infrastruktur & Endgeräte | nicht erfüllt | Einzelne FortiGate; Ausfall legt Internet, VPN und die Anbindung von Werk Nord lahm. | mittel | 3 | TechPartner Süd GmbH |
| Netzwerkverkehr protokolliert Infrastruktur & Endgeräte | nicht erfüllt | Firewall-Regeln loggen; die Logs bleiben lokal (etwa zwei Wochen), FortiAnalyzer-Lizenz vorhanden aber nicht eingerichtet. | mittel | 3 | TechPartner Süd GmbH |