Domänencontroller

Host	srv-dc01
Datum	2026-01-20
Erhebung	Windows-DC-Audit (WinRM, read-only)

Ergebnis: 24 erfüllt · 1 teilweise · 2 nicht erfüllt

Ergebnisse im Detail

Passwort-Richtlinie

Status	Prüfpunkt	Ist-Zustand	Soll
erfüllt	Minimale Passwortlaenge	14	14
erfüllt	Maximales Passwort-Alter (Tage)	0	<= 90
erfüllt	Passwort-Komplexitaet	True	True
erfüllt	Passwort-Wiederverwendung (History)	24	>= 24

Kontosperrung

Status	Prüfpunkt	Ist-Zustand	Soll
erfüllt	Sperrung nach N Fehlversuchen	10	1-5
erfüllt	Sperrdauer (Minuten)	30	>= 30

Privilegierte Konten

Status	Prüfpunkt	Ist-Zustand	Soll
erfüllt	Anzahl Domain Admins (EN: Domain Admins / DE: Domaenen-Admins)	2	<= 5
erfüllt	Anzahl Enterprise Admins (EN / DE: Organisations-Admins)	0	<= 2 (nur bei Bedarf befuellen)
erfüllt	Anzahl Schema Admins (EN / DE: Schema-Admins)	0	0 (nur bei Schema-Aenderungen befuellen)
erfüllt	Anzahl Administrators (EN: Administrators / DE: Administratoren)	2	<= 5
erfüllt	Protected Users befuellt (EN / DE: Geschuetzte Benutzer)	2	>= 1 (alle privilegierten Accounts sollten Mitglied sein)
erfüllt	Built-in Administrator aktiviert	False	False (umbenennen & deaktivieren)
erfüllt	Guest-Konto aktiviert	False	False
teilweise	Aktivierte Konten mit PasswordNeverExpires	14 (Dienstkonten, Liste in Devolutions)	0 (oder nur dedizierte Service Accounts)

Kerberos

Status	Prüfpunkt	Ist-Zustand	Soll
erfüllt	AES-Verschluesselung (krbtgt)	AES_ENABLED	AES_ENABLED
erfüllt	krbtgt Passwort-Alter (Tage)	47	<= 180

Netzwerkprotokolle

Status	Prüfpunkt	Ist-Zustand	Soll
erfüllt	SMBv1 deaktiviert	False	False
erfüllt	SMB Signing erzwungen	True	True
erfüllt	LmCompatibilityLevel (NTLMv2 erzwungen)	3	>= 3 (empfohlen: 5)

Firewall & Dienste

Status	Prüfpunkt	Ist-Zustand	Soll
erfüllt	Windows Firewall (alle Profile)	ALL_ENABLED	ALL_ENABLED
erfüllt	WinRM HTTP-Listener (sollte deaktiviert sein)	HTTP_DISABLED	HTTP_INACTIVE

Patch-Status

Status	Prüfpunkt	Ist-Zustand	Soll
erfüllt	Ausstehende Windows Updates	0	0

Audit-Richtlinien

Status	Prüfpunkt	Ist-Zustand	Soll
erfüllt	Anmeldeereignisse (Logon) auditiert	Erfolg und Fehler	Success and Failure
erfüllt	Account Management auditiert	Erfolg und Fehler	Success and Failure

LDAP Sicherheit

Status	Prüfpunkt	Ist-Zustand	Soll
nicht erfüllt	LDAP Server Signing (2=Required)	1	2
nicht erfüllt	LDAP Channel Binding (2=Required)	NOT_SET	2

SYSVOL & Replikation

Status	Prüfpunkt	Ist-Zustand	Soll
erfüllt	SYSVOL Replikation (DFSR bevorzugt)	DFSR	DFSR

---

Technische Evidenz — Holisec Security Check.