Datenbank (srv-bdedb01)

Host	srv-bdedb01
Datum	2026-01-20
Erhebung	SQL-Metadaten (read-only, keine Datenauszüge)

Ergebnis: 1 erfüllt · 6 teilweise · 5 nicht erfüllt

Ergebnisse im Detail

Verschluesselung

Status	Prüfpunkt	Ist-Zustand	Soll
nicht erfüllt	Datenbank-Verschlüsselung (TDE / Always Encrypted)	DB 'metabde' (SQL Server 2019 Std CU32-GDR, srv-bdedb01): kein TDE, keine Always-Encrypted-Schlüssel — Datenbankdatei und Backups sind unverschlüsselt lesbar	TDE oder Always Encrypted für Spalten mit Zugangsdaten

Geheimnisse

Status	Prüfpunkt	Ist-Zustand	Soll
nicht erfüllt	Maschinen-/Gerätezugänge nicht im Klartext (T_NW_IP / T_NW_vSwitch)	T_NW_IP: 212 IP-Einträge (Maschinen, Steuerungen, Drucker, Kameras), 61 mit Passwort; T_NW_vSwitch: 14 Switches/APs, 9 mit Passwort — Spalten ipPasswort/swiPasswort als nvarchar(100) im Klartext (4–19 Zeichen, kein Hash-/Chiffre-Muster)	Zugangsdaten nur verschlüsselt (app-seitig, Schlüssel außerhalb der DB) oder in einem Secret-Store
nicht erfüllt	Kontakt-/Portal-Logins nicht im Klartext (t_adresse)	t_adresse: Spalten Login + PW (nvarchar 20); 50 Lieferanten-/Kundenportal-Logins mit Passwort im Klartext (3–10 Zeichen)	keine Klartext-Passwörter in Stammdaten
nicht erfüllt	MetaBDE-Benutzerpasswörter gehasht (Legacy Web Forms)	aspnet_Membership: 14 Benutzer, PasswordFormat=0 (Clear) bei allen — Passwörter der Zeiterfassungs-Logins im Klartext (8–16 Zeichen), Salt zwar vorhanden, aber ungenutzt	PasswordFormat=1 (Hashed) bzw. Migration auf ASP.NET Core Identity
erfüllt	MetaBDE-Benutzerpasswörter gehasht (ASP.NET Core Identity)	AspNetUsers: 16 Benutzer, PasswordHash im Identity-v3-Format (PBKDF2, 'AQAAAA…', 84 Zeichen)	moderne Hash-Funktion mit Salt
teilweise	Webzugänge, Lizenzschlüssel, MFA-Codes lokalisiert	keine eigenen Tabellen/Spalten dafür — laut Gespräch in MetaBDE abgelegt, demnach in Freitextfeldern (Kommentar/Feld1–15 in T_Komponente, t_system SYSE1–9/Kommentar, ipKommentar, Ticket-Details); dort weder verschlüsselbar noch berechtigungsfähig	sensible Daten identifiziert und in dedizierten, geschützten Feldern
teilweise	Externes Portal-Passwort in Tickets	T_Ticket.tiPortalPasswort: 1 Eintrag im Klartext (6 Zeichen)	keine Klartext-Passwörter in Ticket-Feldern

Protokollierung

Status	Prüfpunkt	Ist-Zustand	Soll
nicht erfüllt	Fehl-Logins werden ohne Passwort protokolliert	InvalidCredentialsLog: 2.684 Einträge (06/2008–08/2022), davon 2.539 MIT eingegebenem Passwort im Klartext; 161 Benutzernamen, 478 Quell-IPs — Tippfehler-Varianten echter Passwörter dauerhaft lesbar	nur Benutzername, Zeit, Quelle protokollieren; Passwörter nie loggen; Log rotieren
teilweise	Anwendungs-Log ohne unbegrenztes Wachstum	Tabelle 'log': 5.181.697 Zeilen, keine Rotation erkennbar; T_SicherungProtokoll 42.629 Zeilen	Aufbewahrungsfrist + Rotation/Archivierung

Angriffsflaeche

Status	Prüfpunkt	Ist-Zustand	Soll
teilweise	Login-Historie: Erreichbarkeit aus dem Internet	Fehl-Logins von 478 Quell-IPs, darunter viele öffentliche (z. B. 193.105.204.x, 5.206.203.x, 88.116.175.x) bis 08/2022 — MetaBDE war jahrelang aus dem Internet erreichbar; heute laut Gespräch nur intern. Top-Quelle 10.20.1.0/24 (Büro)	interne Anwendung nicht aus dem Internet erreichbar; historische Exposition bei Risikobewertung berücksichtigen

Berechtigungen

Status	Prüfpunkt	Ist-Zustand	Soll
teilweise	Berechtigungsmodell in der DB (Rollen/Claims)	35 Identity-Rollen, 157 User-Claims, 24 Claim-Beschreibungen, zusätzlich Legacy aspnet_Roles (31) + adr_GruppenBerechtigung (4.498 Zeilen) — zwei parallele Berechtigungssysteme, keine Spalten-/Zeilen-Trennung für Credential-Felder (Passwort steht in derselben Tabelle wie die Doku)	ein konsistentes Rollenmodell; Zugangsdaten getrennt von Doku mit eigener Berechtigung + Zugriffs-Audit
teilweise	Zugriffs-Audit auf Credential-Felder	keine Audit-Tabelle/Trigger für Lesezugriffe auf ipPasswort/swiPasswort/PW erkennbar; SQL Server Audit nicht geprüft	Lesezugriffe auf Zugangsdaten protokolliert (Wer hat wann welches Passwort angezeigt)

---

Technische Evidenz — Holisec Security Check.