| Passwörter in einem sicheren Tresor Identitäten & Zugriffe | nicht erfüllt | Devolutions Server als Tresor der IT; daneben Maschinen- und Gerätepasswörter im Klartext in MetaBDE (61 IP-Einträge, 9 Switches, 50 Portal-Logins, Freitextfelder), Excel-Listen in Abteilungen, Zettel an Anlagen. | kritisch | 1 | IT-Leitung (Daniel Steiner) |
| Notfallplan für IT-Sicherheitsvorfälle Backup & Notfall | nicht erfüllt | Kein Notfallplan; Eskalation informell über die IT-Leitung; Entscheidungswege, Meldepflichten und Wiederanlauf nicht festgelegt. | kritisch | 1 | Geschäftsführung (DI Karl Muster) |
| Produktions- und Büronetz getrennt Infrastruktur & Endgeräte | nicht erfüllt | Maschinensteuerungen (Laser, Kantbank, Roboter, Säge, Messmaschine), SPS und HMI im selben VLAN wie die Büro-PCs; kein Firewall-Übergang. | kritisch | 2 | Produktionsleitung (Franz Leitner) |
| LDAP-Signierung erzwungen Identitäten & Zugriffe | nicht erfüllt | LDAP-Signierung nicht erzwungen, Channel Binding nicht gesetzt. | hoch | 2 | IT-Leitung (Daniel Steiner) |
| Webanwendungen abgesichert Infrastruktur & Endgeräte | nicht erfüllt | MetaBDE (Eigenentwicklung, Legacy Web Forms): keine Security-Header, Stack-Traces für Benutzer, Passwortfeld als Klartext, fehlende Rollenprüfung (siehe IAM-08); Transport, Session-Cookie und CSRF-Schutz in Ordnung. | hoch | 3 | IT-Leitung (Daniel Steiner) |
| Schnittstellen (APIs) abgesichert Infrastruktur & Endgeräte | nicht erfüllt | Administrative SQL-Konsole in MetaBDE für 118 Benutzer erreichbar; ERP-Lieferantenportal mit Basic-Auth ohne Rate-Limit (laut Hersteller). | hoch | 3 | IT-Leitung (Daniel Steiner) |
| Anwendungen protokollieren Sicherheitsereignisse Infrastruktur & Endgeräte | nicht erfüllt | MetaBDE protokolliert Fehl-Logins samt eingegebenem Passwort (2.539 Einträge 2008–2022); Log-Tabelle mit 5,2 Mio. Zeilen ohne Rotation; kein Zugriffs-Audit. | hoch | 3 | IT-Leitung (Daniel Steiner) |
| Backups verschlüsselt Backup & Notfall | nicht erfüllt | Backup-Jobs ohne Verschlüsselung; nur das Konfigurations-Backup verschlüsselt; USB-Platten mit Altsicherungen unverschlüsselt. | hoch | 2 | IT-Leitung (Daniel Steiner) |
| Wiederherstellung regelmäßig getestet Backup & Notfall | nicht erfüllt | Nur Einzeldateien wurden je wiederhergestellt; kein Test ganzer Systeme, kein SureBackup. | hoch | 1 | IT-Leitung (Daniel Steiner) |
| Globale Administratoren der Cloud-Plattform minimal Identitäten & Zugriffe | nicht erfüllt | Sieben Global Admins dauerhaft, darunter zwei TechPartner-Konten, das Sammelkonto office@ und ein Dienstkonto; kein Break-Glass-Konto, kein PIM. | hoch | 2 | TechPartner Süd GmbH |
| Privilegierte Cloud-Rollen minimiert Identitäten & Zugriffe | nicht erfüllt | Privilegierte Rollen nicht minimiert: sieben permanente GA, keine abgestuften Rollen (Exchange-/SharePoint-Admin), kein PIM. | hoch | 2 | TechPartner Süd GmbH |
| Lokale Administratorrechte minimiert Infrastruktur & Endgeräte | nicht erfüllt | Alle Domänenbenutzer sind lokale Administratoren (GPO für CAD-Software), 23 zusätzlich direkt; lokale Admin-Passwörter über Server hinweg gleich. | hoch | 1 | IT-Leitung (Daniel Steiner) |
| Clients automatisch gepatcht Infrastruktur & Endgeräte | nicht erfüllt | WSUS seit März 2025 ohne Synchronisation; 61 Windows-10-Clients am Supportende ohne Plan; Office 2016. | hoch | 1 | IT-Leitung (Daniel Steiner) |
| Keine ungemanagte Schatten-IT Organisation | nicht erfüllt | Schatten-IT bestätigt: HubSpot und Dropbox im Vertrieb (Zeichnungen an Kunden), eigener WLAN-Router in der Produktion. | hoch | 3 | Geschäftsführung (DI Karl Muster) |
| Externe Zugänge dokumentiert und kontrolliert Organisation | nicht erfüllt | TechPartner Süd mit Domänen- und Firewall-Admin, Maschinenhersteller per dauerhaftem TeamViewer und VPN-Konto 'wartung-laser' ohne MFA; keine vertragliche Regelung außer Wartungsvertrag 2019, keine Protokollierung. | hoch | 1 | Geschäftsführung (DI Karl Muster) |
| IT-Sicherheitsrichtlinie vorhanden Organisation | nicht erfüllt | Keine IT-Sicherheitsrichtlinie; Benutzerordnung von 2016 im Intranet. | hoch | 2 | Geschäftsführung (DI Karl Muster) |
| Entwicklungsumgebungen abgesichert Infrastruktur & Endgeräte | nicht erfüllt | MetaBDE-Quellcode und eine Kopie der Produktiv-DB mit Klartext-Passwörtern auf dem unverschlüsselten Notebook des externen Entwicklers. | hoch | 3 | IT-Leitung (Daniel Steiner) |
| Dienstkonten dokumentiert und minimal berechtigt Identitäten & Zugriffe | nicht erfüllt | Dienstkonten für Backup, SQL, Scanner, MetaBDE, ERP teils mit Domänen-Admin; Liste in Devolutions unvollständig; 31 Konten mit „Passwort läuft nie ab“. | hoch | 2 | IT-Leitung (Daniel Steiner) |
| Getrennte Administrationsebenen Identitäten & Zugriffe | nicht erfüllt | Kein Tier-Modell: Domänen-Admin-Konten werden auf Servern und Clients verwendet, Passwort auf mehreren Servern hinterlegt. | hoch | 3 | IT-Leitung (Daniel Steiner) |
| Zentrales Sicherheits-Monitoring Infrastruktur & Endgeräte | nicht erfüllt | Kein SIEM, kein SOC; Checkmk meldet nur Verfügbarkeit, FortiAnalyzer ungenutzt. | hoch | 3 | HoliSec |
| Firewall-Regeln restriktiv Infrastruktur & Endgeräte | nicht erfüllt | 19 Accept-Regeln ohne Security-Profil, 25 Regeln mit Dienst ALL, 4 temporäre Regeln aus 2022–2024 noch aktiv; Regelwerk seit 2021 nie überprüft. | hoch | 1 | TechPartner Süd GmbH |
| Verwaltungszugriff auf Netzwerkgeräte isoliert Infrastruktur & Endgeräte | nicht erfüllt | Verwaltungsoberflächen von Firewall, Switches, APs, iLO, NAS und Kameras aus dem Client-Netz erreichbar; FortiGate-Admins ohne trusted-host, Timeout 8 Stunden. | hoch | 2 | TechPartner Süd GmbH |
| Server und Clients netzwerkseitig getrennt Infrastruktur & Endgeräte | nicht erfüllt | VLANs für Server, Backup, Gast und Gebäude vorhanden; Büro-PCs, Drucker, Kameras und Maschinensteuerungen teilen VLAN 1; Backup-NAS mit zweitem Interface im Client-Netz (SMB offen = Ransomware-Pfad). | hoch | 2 | IT-Leitung (Daniel Steiner) |
| Alt-Systeme in der Produktion isoliert Infrastruktur & Endgeräte | nicht erfüllt | Fünf Steuerungs-PCs mit Windows 7 Embedded/XP ungeschützt im Client-Netz, SMB und RDP offen. | hoch | 2 | Produktionsleitung (Franz Leitner) |
| Herstellerzugriff auf Produktionssysteme kontrolliert Infrastruktur & Endgeräte | nicht erfüllt | Hersteller greifen über dauerhaft installiertes TeamViewer unbeaufsichtigt zu; keine Freigabe, kein Protokoll. | hoch | 3 | Produktionsleitung (Franz Leitner) |
| Fernwartung der Produktion mit zweitem Faktor Infrastruktur & Endgeräte | nicht erfüllt | Fernwartung mit festen TeamViewer-Passwörtern und einem VPN-Konto ohne zweiten Faktor. | hoch | 2 | Produktionsleitung (Franz Leitner) |
| Steuerungen (SPS) abgesichert Infrastruktur & Endgeräte | nicht erfüllt | Sechs Siemens-S7-Steuerungen ohne Zugriffsschutz, Webserver aktiv, aus dem Büronetz schreibbar. | hoch | 3 | Produktionsleitung (Franz Leitner) |
| Produktionssysteme gesichert Infrastruktur & Endgeräte | nicht erfüllt | Steuerungsprogramme nur auf den Steuerungs-PCs und einem USB-Stick; kein Backup, kein Wiederanlaufplan — ein Ausfall kostet Tage. | hoch | 3 | Produktionsleitung (Franz Leitner) |
| Server nach Sicherheits-Baseline gehärtet Infrastruktur & Endgeräte | nicht erfüllt | Keine Baseline: auf allen Servern lokale Passwortrichtlinie leer, SMB-Signing nicht erzwungen, Built-in-Administrator aktiv, Firewall-Profile auf fünf Servern deaktiviert; MetaBDE ohne Security-Header. | mittel | 2 | IT-Leitung (Daniel Steiner) |
| Software-Abhängigkeiten aktuell Infrastruktur & Endgeräte | nicht erfüllt | MetaBDE lädt jQuery extern ohne Integritätsprüfung; Abhängigkeiten (.NET Framework 4.x, jQuery 3.6) werden nicht gepflegt; Office 2016 auf 19 Clients. | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Externe Freigaben kontrolliert Identitäten & Zugriffe | nicht erfüllt | Externe Freigaben für alle erlaubt inklusive „Jeder“-Links ohne Ablauf; keine Kontrolle; Dropbox parallel im Einsatz. | mittel | 3 | TechPartner Süd GmbH |
| App-Berechtigungen in Cloud-Diensten geprüft Identitäten & Zugriffe | nicht erfüllt | Benutzer dürfen jeder App zustimmen; so kam ein KI-Notizdienst mit Postfachzugriff hinein. | mittel | 3 | TechPartner Süd GmbH |
| Regeln für USB- und Wechselmedien Infrastruktur & Endgeräte | nicht erfüllt | Keine Regel, keine technische Kontrolle; USB-Sticks in der Produktion üblich. | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Zentrale Geräteverwaltung Infrastruktur & Endgeräte | nicht erfüllt | Keine Geräteverwaltung; 24 Smartphones mit Outlook ohne Schutz, keine Fernlöschung; Notebooks ohne Intune. | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Nur freigegebene Anwendungen ausführbar Infrastruktur & Endgeräte | nicht erfüllt | Keine Anwendungskontrolle; Benutzer installieren beliebig. | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Aktuelle Netzwerkdokumentation Organisation | nicht erfüllt | Netzplan von 2021 ohne VLANs und ohne Werk Nord; die tatsächliche Segmentierung ist nur aus der Switch-Konfiguration ersichtlich. | mittel | 2 | IT-Leitung (Daniel Steiner) |
| Cloud-Ressourcen inventarisiert Organisation | nicht erfüllt | Acht Cloud-/SaaS-Dienste im Einsatz, keine Liste; Zugänge verteilt auf Devolutions und Fachabteilungen. | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Änderungen nachvollziehbar dokumentiert Organisation | nicht erfüllt | Änderungen nach Zuruf, teils in TechPartner-Tickets, intern nicht dokumentiert; keine Freigabe. | mittel | 2 | IT-Leitung (Daniel Steiner) |
| Sensible Daten identifiziert Organisation | nicht erfüllt | Konstruktions-, Personal- und Kundendaten bekannt, aber nicht klassifiziert; Zeichnungen zusätzlich in Dropbox, Personaldaten in einer Abteilungsfreigabe mit breiten Rechten. | mittel | 3 | Geschäftsführung (DI Karl Muster) |
| Regelung für Homeoffice und mobiles Arbeiten Organisation | nicht erfüllt | Homeoffice per VPN und Terminalserver, teils von privaten PCs; keine schriftliche Regelung. | mittel | 1 | Geschäftsführung (DI Karl Muster) |
| Unbekannte Geräte und Speicher identifiziert Infrastruktur & Endgeräte | nicht erfüllt | 19 aktive Geräte ohne Zuordnung, vor allem Web-Oberflächen im Bereich 10.20.102.x (vermutlich Drucker, Kameras, Tablets). | mittel | 3 | IT-Leitung (Daniel Steiner) |
| IoT-Geräte inventarisiert Infrastruktur & Endgeräte | nicht erfüllt | Vernetzte Geräte ohne Inventar: 6 Kameras, Zutrittssteuerung, Klimasteuerung, Loxone, 2 Smart-TVs, Produktions-Tablets; Verantwortung verteilt auf Haustechnik, Produktion, Elektriker. | mittel | 3 | Produktionsleitung (Franz Leitner) |
| Drucker abgesichert Infrastruktur & Endgeräte | nicht erfüllt | Fünf Multifunktionsdrucker mit offenem oder Standard-Web-Admin; Scan-Ziele mit Domänenkonto 'scan' (Passwort von 2019) per SMB/FTP. | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Netzwerkkameras abgesichert Infrastruktur & Endgeräte | nicht erfüllt | Sechs Kameras mit Firmware 2019 im Client-VLAN, vier mit Standardpasswort; NVR per HTTP und aus dem Internet erreichbar. | mittel | 3 | Produktionsleitung (Franz Leitner) |
| Veraltete Anmeldeverfahren deaktiviert Identitäten & Zugriffe | nicht erfüllt | Veraltete Anmeldeverfahren sind weiterhin aktiv: der Kerio-Mailserver erlaubt Basic-Auth für IMAP/SMTP aus dem Internet, in Microsoft 365 gilt eine Legacy-Auth-Ausnahme (Scanner-Konto), on-prem nur NTLMv2 Level 3 statt 5. | mittel | 2 | IT-Leitung (Daniel Steiner) |
| Protokolle ausreichend lang aufbewahrt Infrastruktur & Endgeräte | nicht erfüllt | Windows-Protokolle nach Tagen überschrieben, Firewall-Logs etwa zwei Wochen, M365 im Standard. | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Administrative Tätigkeiten überwacht Infrastruktur & Endgeräte | nicht erfüllt | Administrative Tätigkeiten (Gruppenänderungen, GPO, Firewall-Änderungen) werden nicht überwacht. | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Endgeräte-Protokolle zentral gesammelt Infrastruktur & Endgeräte | nicht erfüllt | Endgeräte-Protokolle nur lokal bzw. in der ESET-Konsole ohne Weiterleitung. | mittel | 2 | IT-Leitung (Daniel Steiner) |
| Firewall ausfallsicher (HA) Infrastruktur & Endgeräte | nicht erfüllt | Einzelne FortiGate; Ausfall legt Internet, VPN und die Anbindung von Werk Nord lahm. | mittel | 3 | TechPartner Süd GmbH |
| Netzwerkverkehr protokolliert Infrastruktur & Endgeräte | nicht erfüllt | Firewall-Regeln loggen; die Logs bleiben lokal (etwa zwei Wochen), FortiAnalyzer-Lizenz vorhanden aber nicht eingerichtet. | mittel | 3 | TechPartner Süd GmbH |