| Keine Zugangsdaten im Klartext Infrastruktur & Endgeräte | teilweise | Installationsanleitung mit Admin-Passwort und das ERP-Importskript bereinigt, Dienstkonto im Anmeldeskript ersetzt, betroffene Passwörter rotiert. Offen: Klartext-Spalten in der MetaBDE-DB (Entwickler, Umsetzung bis Juli). | kritisch | 3 | IT-Leitung (Daniel Steiner) |
| Alle kritischen Systeme gesichert Backup & Notfall | teilweise | Beide Jobs seit 05.11.2025 repariert (Ursache: abgelaufenes Repository-Kennwort), dritter Job für srv-ts01 ergänzt, täglich grün. Offen: Steuerungs-PCs, Firewall-/Switch-Konfigurationen. | kritisch | 1 | IT-Leitung (Daniel Steiner) |
| Berechtigungen nach Rollen vergeben Identitäten & Zugriffe | teilweise | Fileserver-Freigaben 'daten' und 'progs' auf Abteilungsgruppen eingeschränkt, public_dir entfernt. Offen: Berechtigungskonzept und MetaBDE-Autorisierung (Entwickler beauftragt). | kritisch | 1 | IT-Leitung (Daniel Steiner) |
| Administratoren des Verzeichnisdienstes auf das Minimum reduziert Identitäten & Zugriffe | teilweise | Domänen-Admins 2, Organisations-/Schema-Admins leer, beide Admins in Protected Users; quartalsweise Prüfung vereinbart. Offen: TechPartner-Zugriff über Tier-1-Konto mit Freischaltung (Vereinbarung April). | hoch | 1 | IT-Leitung (Daniel Steiner) |
| Keine unkontrollierte Kerberos-Delegation Identitäten & Zugriffe | teilweise | Ein Server (srv-ts01) mit uneingeschränkter Delegation (historisch für den Terminalserver-Zugriff auf Freigaben). | hoch | 3 | IT-Leitung (Daniel Steiner) |
| Sicherung des Verzeichnisdienstes (System State) Identitäten & Zugriffe | teilweise | DC wird als VM gesichert, die Veeam-Jobs sind aktuell fehlgeschlagen; Wiederherstellung des Verzeichnisdienstes nie getestet. | hoch | 3 | IT-Leitung (Daniel Steiner) |
| Server aktuell gepatcht Infrastruktur & Endgeräte | teilweise | ESXi auf 8.0 U3 gehoben, iLO/BIOS aktuell, alle Server und beide Linux-Hosts gepatcht (Wartungsfenster 2. Dienstag). Offen: Nachweis über drei Monate, FortiGate-Firmware (TechPartner, Februar), Switch-Firmware (Mai). | hoch | 1 | IT-Leitung (Daniel Steiner) |
| Administrationsoberflächen nicht exponiert Infrastruktur & Endgeräte | teilweise | Klartext-HTTP am iLO deaktiviert; Kerio-Admin nur noch von der IT-Station. Offen: Management-VLAN, NVR-Freigabe (TechPartner, Dezember). | hoch | 3 | IT-Leitung (Daniel Steiner) |
| Keine Standard-Zugangsdaten Infrastruktur & Endgeräte | teilweise | SNMP-Community ersetzt, iLO-Default-Konto deaktiviert. Offen: Drucker, Kameras, HMI-PIN (Produktion plant Februar). | hoch | 2 | IT-Leitung (Daniel Steiner) |
| Zugriff auf Backups eingeschränkt Backup & Notfall | teilweise | NAS-Admin mit 2FA, Cloud-Konto im Tresor. Offen: Veeam-Server aus der Domäne lösen, eigene Backup-Admin-Konten (März). | hoch | 1 | IT-Leitung (Daniel Steiner) |
| Endgeräteschutz mit Erkennung und Reaktion (EDR) Infrastruktur & Endgeräte | teilweise | ESET Protect auf 138 von 152 Clients, 14 ohne Agent (davon 5 Steuerungs-PCs); kein EDR-Modul; Alarme in einem ungelesenen Sammelpostfach. | hoch | 1 | IT-Leitung (Daniel Steiner) |
| Vollständiges IT-Inventar Organisation | teilweise | Server, Maschinen und Netzgeräte sind in der MetaBDE-Gerätedoku und einer Excel-Liste (2023) erfasst; Drucker, Kameras, Smartphones, Cloud-Dienste und 19 aktive Netzgeräte fehlen, niemand pflegt die Listen laufend. Der Netzscan fand mehr Systeme als jede Liste. | hoch | 1 | Geschäftsführung (DI Karl Muster) |
| Veraltete Systeme außer Betrieb Organisation | teilweise | AD-Bereinigung Stufe 1 am 09.12.2025: 42 veraltete Computer (17 EOL) und 21 Konten archiviert, Rollback bis März möglich. Lifecycle-Übersicht im Portal-Inventar. Offen: ESXi-Upgrade (Jänner), Windows-10-Migration (Budget 2026 freigegeben), Produktions-PCs. | hoch | 1 | IT-Leitung (Daniel Steiner) |
| Mitarbeitende regelmäßig sensibilisiert Organisation | teilweise | Awareness-Schulung am 13./15.01.2026 für 135 von 150 Mitarbeitenden (15 Nachschulungen bis Februar). Offen: Phishing-Simulation (April). | hoch | 1 | Geschäftsführung (DI Karl Muster) |
| Zweiter Faktor für Admin-Konten Identitäten & Zugriffe | teilweise | MFA für Microsoft-365-Admins (CA001) und VPN (FortiToken); Domänen-Admins, ESXi, FortiGate-Web, iLO und Veeam nur mit Passwort. | hoch | 1 | IT-Leitung (Daniel Steiner) |
| Zweiter Faktor für alle Benutzer (inkl. Cloud-Dienste) Identitäten & Zugriffe | teilweise | MFA per Conditional Access für alle Benutzer erzwungen; drei Benutzer der Buchhaltung und ein Dienstkonto ausgenommen. VPN mit FortiToken, Herstellerzugang 'wartung-laser' ohne MFA. | hoch | 1 | IT-Leitung (Daniel Steiner) |
| Privilegierte Konten auf das Minimum reduziert Identitäten & Zugriffe | teilweise | Inaktive Konten deaktiviert (2 dokumentierte Ausnahmen), Domänen-Admins auf zwei personalisierte adm0-Konten reduziert, TechPartner nur noch mit Freischaltung. Offen: getrennte Alltagskonten für die IT (Tier-Modell), MetaBDE-Rollen. | hoch | 1 | IT-Leitung (Daniel Steiner) |
| Konten bei Eintritt und Austritt gepflegt Identitäten & Zugriffe | teilweise | Ein-/Austrittsprozess mit Checkliste seit 01.12.2025 (Personal → IT, Deaktivierung am Austrittstag). Offen: erster Quartalsnachweis. | hoch | 2 | IT-Leitung (Daniel Steiner) |
| Keine Wege zur Rechteausweitung Identitäten & Zugriffe | teilweise | Admin-Passwort aus der Freigabe entfernt und rotiert, Reuse-Cluster aufgelöst. Offen: LAPS, MetaBDE-Credential-Felder. | hoch | 3 | IT-Leitung (Daniel Steiner) |
| Alarmierung bei Sicherheitsereignissen Infrastruktur & Endgeräte | teilweise | ESET-, Veeam- und Microsoft-Alarme laufen seit 10.11.2025 in das IT-Ticket mit Verantwortlichem (IT-Leitung, Vertretung Techniker). Offen: FortiGate-Alarme, Reaktionszeiten, Security-Monitoring. | hoch | 3 | HoliSec |
| Angriffserkennung aktiv (IPS) Infrastruktur & Endgeräte | teilweise | UTM-Lizenz vorhanden; IPS, Webfilter und Antivirus fehlen auf 19 Accept-Regeln, darunter Internet-Ausgang der Produktion. | hoch | 3 | TechPartner Süd GmbH |
| Exponierte Dienste in einer DMZ Infrastruktur & Endgeräte | teilweise | Sechs publizierte Dienste: SSL-VPN, Kerio-Mail (HTTPS/SMTP/IMAPS) in der DMZ, TeamViewer-Relay, Kamera-NVR auf Port 8080 ohne DMZ; MetaBDE war bis 2022 aus dem Internet erreichbar. | hoch | 2 | TechPartner Süd GmbH |
| VPN mit zweitem Faktor Infrastruktur & Endgeräte | teilweise | SSL-VPN mit FortiToken für Mitarbeitende; die Konten von TechPartner Süd und 'wartung-laser' sind dauerhaft aktiv, 'wartung-laser' ohne MFA. | hoch | 1 | TechPartner Süd GmbH |
| Switches gehärtet Infrastruktur & Endgeräte | teilweise | sw-halle-01: Telnet aus, SNMPv3, Timeout, Syslog an Checkmk; sw-buero-01 und sw-nord-01 gleich konfiguriert (Export geprüft). Offen: RADIUS, Management-VLAN, Firmware (Mai). | hoch | 2 | IT-Leitung (Daniel Steiner) |
| Verzeichnisdienst gehärtet Identitäten & Zugriffe | teilweise | DC gehärtet (Firewall, WinRM HTTPS, Gast/Built-in-Admin deaktiviert, SYSVOL auf DFSR, Audit-Richtlinien). Offen: LDAP-Signierung/Channel Binding (Audit-Modus läuft), LmCompat 5. | mittel | 2 | IT-Leitung (Daniel Steiner) |
| Kritische Gruppenrichtlinien geschützt Identitäten & Zugriffe | teilweise | Default Domain Policy und DC-Policy unverändert; 11 weitere GPOs, zwei davon mit Bearbeitungsrecht für 'Domänen-Benutzer' (historisch für CAD-Software). | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Zugriff auf die zentrale Richtlinienablage kontrolliert Identitäten & Zugriffe | teilweise | SYSVOL-Berechtigungen Standard; ein Anmeldeskript enthält ein Dienstkonto-Passwort im Klartext (Laufwerkszuordnung ERP-Export). | mittel | 3 | IT-Leitung (Daniel Steiner) |
| NTLM-Nutzung reduziert Identitäten & Zugriffe | teilweise | NTLMv2 am DC erzwungen (Level 3), auf Mitgliedsservern nicht gesetzt; NTLM-Nutzung nicht ausgewertet. | mittel | 2 | IT-Leitung (Daniel Steiner) |
| Dienste laufen mit minimalen Rechten Infrastruktur & Endgeräte | teilweise | SQL-Server-Dienste laufen unter Domänenkonten mit lokalen Adminrechten; Veeam-Dienst mit Domänen-Admin; MetaBDE-Anwendungspool als NetworkService. | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Verschlüsselung und Zertifikate aktuell Infrastruktur & Endgeräte | teilweise | NAS und iLO mit eigenen Zertifikaten, MetaBDE/Mail per Let's Encrypt. Offen: Switch/Kamera-Zertifikate, TLS 1.0/1.1 auf dem Webserver, Ablaufüberwachung in Checkmk. | mittel | 2 | IT-Leitung (Daniel Steiner) |
| Datenbankzugriff eingeschränkt Infrastruktur & Endgeräte | teilweise | MetaBDE-DB mit zwei parallelen Berechtigungssystemen, kein Audit auf Credential-Felder; ERP-DB nur über Anwendungskonto erreichbar. | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Veraltete Anmeldeverfahren in Cloud-Diensten deaktiviert Identitäten & Zugriffe | teilweise | Legacy-Authentifizierung blockiert; ein Scanner-Konto ausgenommen. | mittel | 2 | TechPartner Süd GmbH |
| Schutzfunktionen des Cloud-E-Mail-Dienstes aktiv Identitäten & Zugriffe | teilweise | Defender for Office 365 Plan 1 lizenziert; Anti-Phishing, Safe Links und Safe Attachments mit Standardrichtlinien, keine Preset-Security-Policy, keine Impersonation-Schutzliste. | mittel | 2 | TechPartner Süd GmbH |
| App-Registrierungen kontrolliert Identitäten & Zugriffe | teilweise | 14 Enterprise-Apps mit Benutzer-Consent, darunter ein KI-Notizdienst mit Mail.Read; keine Überprüfung. | mittel | 3 | TechPartner Süd GmbH |
| Bildschirmsperre erzwungen Infrastruktur & Endgeräte | teilweise | Bildschirmsperre nach 15 Minuten im Büro; Produktions-PCs und HMI dauerhaft entsperrt mit Sammelkonto. | mittel | 1 | IT-Leitung (Daniel Steiner) |
| Makros aus dem Internet blockiert Infrastruktur & Endgeräte | teilweise | Kein zentraler Makro-Block; der Microsoft-Standard greift nur auf aktuellen Office-Versionen; Kalkulation nutzt Makros. | mittel | 1 | IT-Leitung (Daniel Steiner) |
| Eigene Arbeitsplätze für Administration Identitäten & Zugriffe | teilweise | Admin-Jumphost jh-01 mit MFA für Serveradministration; Admin-Notebooks (PAW) bestellt. | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Jede Person meldet sich mit eigenem Konto an Identitäten & Zugriffe | teilweise | Büro, Konstruktion und Vertrieb arbeiten durchgängig mit personalisierten Konten; Sammelkonten bestehen nur für die Steuerungs-PCs ('produktion'), Empfang, Lager und das Versand-Postfach. | mittel | 1 | IT-Leitung (Daniel Steiner) |
| Protokolle zentral gesammelt Infrastruktur & Endgeräte | teilweise | Checkmk sammelt Verfügbarkeitsdaten; Sicherheitsprotokolle bleiben auf den Systemen (DC, Switch, ESXi ohne Syslog-Ziel). | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Verzeichnisdienst-Protokolle überwacht Infrastruktur & Endgeräte | teilweise | AD-Sicherheitsprotokolle aktiv und an Checkmk weitergeleitet; Auswertungsregeln folgen mit dem SIEM. | mittel | 3 | IT-Leitung (Daniel Steiner) |
| WLAN sicher und getrennt Infrastruktur & Endgeräte | teilweise | Drei SSIDs mit WPA2-PSK, Gast-WLAN getrennt; Firmen-Passwort seit 2020 unverändert und allgemein bekannt, kein 802.1X; Produktions-SSID im Maschinennetz. | mittel | 1 | IT-Leitung (Daniel Steiner) |
| Bedienoberflächen (HMI) mit Anmeldung Infrastruktur & Endgeräte | teilweise | HMI-Bedienerebene ohne Anmeldung (betrieblich gewollt), Admin-Ebene mit Herstellerstandard-PIN. | mittel | 3 | Produktionsleitung (Franz Leitner) |
| Sicherheitsbewertung der Cloud-Plattform ausgewertet Identitäten & Zugriffe | teilweise | Secure Score erstmals ausgewertet (44 %), 12 Empfehlungen priorisiert; Umsetzung läuft mit TechPartner Süd. | niedrig | 3 | TechPartner Süd GmbH |
| Testsysteme isoliert Infrastruktur & Endgeräte | teilweise | Zabbix-Test gepatcht und als Testsystem gekennzeichnet (Abschaltung geplant); Entwickler-Testumgebung noch mit Produktivkopie (siehe HID-08). | niedrig | 3 | IT-Leitung (Daniel Steiner) |