| Keine Zugangsdaten im Klartext Infrastruktur & Endgeräte | teilweise | Installationsanleitung mit Admin-Passwort und das ERP-Importskript bereinigt, Dienstkonto im Anmeldeskript ersetzt, betroffene Passwörter rotiert. Offen: Klartext-Spalten in der MetaBDE-DB (Entwickler, Umsetzung bis Juli). | kritisch | 3 | IT-Leitung (Daniel Steiner) |
| Server aktuell gepatcht Infrastruktur & Endgeräte | teilweise | ESXi auf 8.0 U3 gehoben, iLO/BIOS aktuell, alle Server und beide Linux-Hosts gepatcht (Wartungsfenster 2. Dienstag). Offen: Nachweis über drei Monate, FortiGate-Firmware (TechPartner, Februar), Switch-Firmware (Mai). | hoch | 1 | IT-Leitung (Daniel Steiner) |
| Administrationsoberflächen nicht exponiert Infrastruktur & Endgeräte | teilweise | Klartext-HTTP am iLO deaktiviert; Kerio-Admin nur noch von der IT-Station. Offen: Management-VLAN, NVR-Freigabe (TechPartner, Dezember). | hoch | 3 | IT-Leitung (Daniel Steiner) |
| Keine Standard-Zugangsdaten Infrastruktur & Endgeräte | teilweise | SNMP-Community ersetzt, iLO-Default-Konto deaktiviert. Offen: Drucker, Kameras, HMI-PIN (Produktion plant Februar). | hoch | 2 | IT-Leitung (Daniel Steiner) |
| Endgeräteschutz mit Erkennung und Reaktion (EDR) Infrastruktur & Endgeräte | teilweise | ESET Protect auf 138 von 152 Clients, 14 ohne Agent (davon 5 Steuerungs-PCs); kein EDR-Modul; Alarme in einem ungelesenen Sammelpostfach. | hoch | 1 | IT-Leitung (Daniel Steiner) |
| Alarmierung bei Sicherheitsereignissen Infrastruktur & Endgeräte | teilweise | ESET-, Veeam- und Microsoft-Alarme laufen seit 10.11.2025 in das IT-Ticket mit Verantwortlichem (IT-Leitung, Vertretung Techniker). Offen: FortiGate-Alarme, Reaktionszeiten, Security-Monitoring. | hoch | 3 | HoliSec |
| Angriffserkennung aktiv (IPS) Infrastruktur & Endgeräte | teilweise | UTM-Lizenz vorhanden; IPS, Webfilter und Antivirus fehlen auf 19 Accept-Regeln, darunter Internet-Ausgang der Produktion. | hoch | 3 | TechPartner Süd GmbH |
| Exponierte Dienste in einer DMZ Infrastruktur & Endgeräte | teilweise | Sechs publizierte Dienste: SSL-VPN, Kerio-Mail (HTTPS/SMTP/IMAPS) in der DMZ, TeamViewer-Relay, Kamera-NVR auf Port 8080 ohne DMZ; MetaBDE war bis 2022 aus dem Internet erreichbar. | hoch | 2 | TechPartner Süd GmbH |
| VPN mit zweitem Faktor Infrastruktur & Endgeräte | teilweise | SSL-VPN mit FortiToken für Mitarbeitende; die Konten von TechPartner Süd und 'wartung-laser' sind dauerhaft aktiv, 'wartung-laser' ohne MFA. | hoch | 1 | TechPartner Süd GmbH |
| Switches gehärtet Infrastruktur & Endgeräte | teilweise | sw-halle-01: Telnet aus, SNMPv3, Timeout, Syslog an Checkmk; sw-buero-01 und sw-nord-01 gleich konfiguriert (Export geprüft). Offen: RADIUS, Management-VLAN, Firmware (Mai). | hoch | 2 | IT-Leitung (Daniel Steiner) |
| Dienste laufen mit minimalen Rechten Infrastruktur & Endgeräte | teilweise | SQL-Server-Dienste laufen unter Domänenkonten mit lokalen Adminrechten; Veeam-Dienst mit Domänen-Admin; MetaBDE-Anwendungspool als NetworkService. | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Verschlüsselung und Zertifikate aktuell Infrastruktur & Endgeräte | teilweise | NAS und iLO mit eigenen Zertifikaten, MetaBDE/Mail per Let's Encrypt. Offen: Switch/Kamera-Zertifikate, TLS 1.0/1.1 auf dem Webserver, Ablaufüberwachung in Checkmk. | mittel | 2 | IT-Leitung (Daniel Steiner) |
| Datenbankzugriff eingeschränkt Infrastruktur & Endgeräte | teilweise | MetaBDE-DB mit zwei parallelen Berechtigungssystemen, kein Audit auf Credential-Felder; ERP-DB nur über Anwendungskonto erreichbar. | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Bildschirmsperre erzwungen Infrastruktur & Endgeräte | teilweise | Bildschirmsperre nach 15 Minuten im Büro; Produktions-PCs und HMI dauerhaft entsperrt mit Sammelkonto. | mittel | 1 | IT-Leitung (Daniel Steiner) |
| Makros aus dem Internet blockiert Infrastruktur & Endgeräte | teilweise | Kein zentraler Makro-Block; der Microsoft-Standard greift nur auf aktuellen Office-Versionen; Kalkulation nutzt Makros. | mittel | 1 | IT-Leitung (Daniel Steiner) |
| Protokolle zentral gesammelt Infrastruktur & Endgeräte | teilweise | Checkmk sammelt Verfügbarkeitsdaten; Sicherheitsprotokolle bleiben auf den Systemen (DC, Switch, ESXi ohne Syslog-Ziel). | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Verzeichnisdienst-Protokolle überwacht Infrastruktur & Endgeräte | teilweise | AD-Sicherheitsprotokolle aktiv und an Checkmk weitergeleitet; Auswertungsregeln folgen mit dem SIEM. | mittel | 3 | IT-Leitung (Daniel Steiner) |
| WLAN sicher und getrennt Infrastruktur & Endgeräte | teilweise | Drei SSIDs mit WPA2-PSK, Gast-WLAN getrennt; Firmen-Passwort seit 2020 unverändert und allgemein bekannt, kein 802.1X; Produktions-SSID im Maschinennetz. | mittel | 1 | IT-Leitung (Daniel Steiner) |
| Bedienoberflächen (HMI) mit Anmeldung Infrastruktur & Endgeräte | teilweise | HMI-Bedienerebene ohne Anmeldung (betrieblich gewollt), Admin-Ebene mit Herstellerstandard-PIN. | mittel | 3 | Produktionsleitung (Franz Leitner) |
| Testsysteme isoliert Infrastruktur & Endgeräte | teilweise | Zabbix-Test gepatcht und als Testsystem gekennzeichnet (Abschaltung geplant); Entwickler-Testumgebung noch mit Produktivkopie (siehe HID-08). | niedrig | 3 | IT-Leitung (Daniel Steiner) |