| Starke Passwort-Richtlinie Identitäten & Zugriffe | erfüllt | Richtlinie gehärtet (14/Komplexität/Historie 24/Sperrung), FGPP 20 Zeichen für Admins; alle 24 geleakten Zugänge rotiert, Reuse-Cluster bis auf drei lokale Admins aufgelöst (LAPS im Jänner); 14 Dienstkonten ohne Ablauf dokumentiert. | | 1 | IT-Leitung (Daniel Steiner) |
| Unveränderbare Backup-Kopie Backup & Notfall | erfüllt | Ein unveränderbares Repository (NAS, S3 Object Lock) vorhanden; wegen der fehlgeschlagenen Jobs derzeit ohne aktuelle Kopie. | | 2 | IT-Leitung (Daniel Steiner) |
| Offline- oder Offsite-Kopie vorhanden Backup & Notfall | erfüllt | Kopien in Werk Nord (NAS) und in der Wasabi-Cloud; 3-2-1-Regel strukturell erfüllt. | | 1 | IT-Leitung (Daniel Steiner) |
| Bedingter Zugriff auf Cloud-Dienste aktiv Identitäten & Zugriffe | erfüllt | Conditional Access umfassend; die deaktivierte Standortregel ist jetzt aktiv. | | 2 | TechPartner Süd GmbH |
| Cloud-Daten gesichert Identitäten & Zugriffe | erfüllt | Veeam Backup for Microsoft 365 läuft wieder (Ursache: Token abgelaufen), alle 152 Postfächer, Teams und SharePoint im Umfang, Aufbewahrung 1 Jahr. | | 2 | TechPartner Süd GmbH |
| Festplatten verschlüsselt Infrastruktur & Endgeräte | erfüllt | BitLocker per GPO auf allen 38 Notebooks erzwungen, Wiederherstellungsschlüssel in Entra ID. | | 2 | IT-Leitung (Daniel Steiner) |
| Serverraum physisch geschützt Organisation | erfüllt | Serverraum: elektronischer Zutritt mit Liste, Rauchmelder mit Aufschaltung, Wasserleitung umgelegt, USV 45 Minuten mit Alarm, Temperaturalarm; Backup-Server in Werk Nord im abschließbaren Schrank. | | 1 | Produktionsleitung (Franz Leitner) |
| Kerberos gehärtet Identitäten & Zugriffe | erfüllt | krbtgt am 02./04.12.2025 zweimal rotiert (Alter 12 Tage), AES256 aktiviert; Delegation: nur srv-ts01 mit uneingeschränkter Delegation (siehe AD-11); halbjährliche Rotation geplant. | | 2 | IT-Leitung (Daniel Steiner) |
| Schutz privilegierter Konten im Verzeichnisdienst korrekt Identitäten & Zugriffe | erfüllt | Beide Admin-Konten in Protected Users und als nicht delegierbar gekennzeichnet; AdminSDHolder ohne Abweichungen. | | 3 | IT-Leitung (Daniel Steiner) |
| SMBv1 abgeschaltet Identitäten & Zugriffe | erfüllt | SMBv1 auf allen zehn geprüften Windows-Servern deaktiviert; Drucker-Scanziele laufen mit SMB2 (Stichprobe). Die XP-Messmaschine nutzt eine lokale Freigabe (siehe OT-02). | | 2 | IT-Leitung (Daniel Steiner) |
| Sicherheitsprotokollierung im Verzeichnisdienst aktiv Identitäten & Zugriffe | erfüllt | Erweiterte Audit-Richtlinie (Anmeldung, Kontenverwaltung, Verzeichnisdienständerungen) aktiv, Security-Log 1 GB, Weiterleitung an Checkmk-Host als Zwischenlösung bis zum SIEM. | | 2 | IT-Leitung (Daniel Steiner) |
| Backups überwacht und alarmiert Backup & Notfall | erfüllt | Veeam-Jobstatus in Checkmk mit Alarm an das IT-Ticket; tägliche Sichtkontrolle durch den Techniker, Eskalation an die IT-Leitung nach 24 Stunden. | | 2 | IT-Leitung (Daniel Steiner) |
| Sicherungskonzept dokumentiert Backup & Notfall | erfüllt | Sicherungskonzept v1.0 (Umfang, Zyklen, Ziele, Verschlüsselung, Verantwortliche, Testintervalle) von der GF freigegeben. | | 1 | IT-Leitung (Daniel Steiner) |
| Protokollierung der Cloud-Plattform aktiv Identitäten & Zugriffe | erfüllt | Entra- und Unified-Audit-Log aktiv und abfragbar (Standardaufbewahrung). | | 2 | TechPartner Süd GmbH |
| Verantwortliche je System benannt Organisation | erfüllt | Verantwortlichkeiten je System (fachlich/technisch/Vertretung) festgelegt und von der GF freigegeben. | | 3 | Geschäftsführung (DI Karl Muster) |
| Systeme nach Kritikalität klassifiziert Organisation | erfüllt | Kritikalität im Workshop am 09.01.2026 festgelegt: Ausfallzeiten, Datenverlust-Toleranz und Wiederanlaufreihenfolge je System. | | 3 | Geschäftsführung (DI Karl Muster) |
| Verantwortung für Informationssicherheit benannt Organisation | erfüllt | Rolle Informationssicherheit schriftlich bei der IT-Leitung mit 10 % Zeitbudget, Vertretung Techniker, Quartalsbericht an die GF (Beschluss 10.11.2025). | | 1 | Geschäftsführung (DI Karl Muster) |
| Alt-Systeme und vergessene VMs identifiziert Infrastruktur & Endgeräte | erfüllt | Drei Alt-VMs exportiert und gelöscht, Server-2003-Objekte archiviert; keine stillgelegten Systeme mehr im Netz. | | 3 | IT-Leitung (Daniel Steiner) |
| Zugriff auf alte Backups geprüft Infrastruktur & Endgeräte | erfüllt | Sieben USB-Platten und fünf Alt-Festplatten erfasst, nach dem Backup-Konzept sicher gelöscht (Protokoll). | | 3 | IT-Leitung (Daniel Steiner) |
| Gast- und externe Konten kontrolliert Identitäten & Zugriffe | erfüllt | 19 inaktive Gastkonten entfernt, 27 aktive Gäste mit Zugriffsüberprüfung alle 90 Tage (Verantwortlich: TechPartner Süd). | | 3 | IT-Leitung (Daniel Steiner) |
| Firewall-Protokollierung aktiv Infrastruktur & Endgeräte | erfüllt | Alle Firewall-Regeln protokollieren; Aufbewahrung lokal begrenzt (siehe NET-12). | | 2 | IT-Leitung (Daniel Steiner) |
| Vertraulichkeit geregelt Organisation | erfüllt | Alle Mitarbeitenden sind über die Verschwiegenheitsklausel im Dienstvertrag zur Vertraulichkeit verpflichtet (Muster geprüft); mit externen Partnern regelt das der Wartungsvertrag nur allgemein (siehe GOV-09). | | 1 | Geschäftsführung (DI Karl Muster) |
| Split-Tunneling bewusst konfiguriert Infrastruktur & Endgeräte | erfüllt | Split-Tunneling bewusst aktiv (nur Firmennetze über VPN); Zugriff auf Werk-Nord-Netz eingeschlossen. | | 3 | TechPartner Süd GmbH |
| Routing sicher konfiguriert Infrastruktur & Endgeräte | erfüllt | Statisches Routing, Inter-VLAN-Routing über die FortiGate; keine dynamischen Protokolle, Site-to-Site mit IKEv2. | | 3 | TechPartner Süd GmbH |