Hardening (Systemhärtung) bedeutet, Systeme so zu konfigurieren, dass ihre Angriffsfläche minimal wird: unnötige Dienste deaktivieren, Standardpasswörter und Altprotokolle entfernen, Rechte beschränken, Protokollierung aktivieren. Die Lücke, die nie konfiguriert wurde, muss nie gepatcht werden.
Die CIS Benchmarks des Center for Internet Security sind der De-facto-Standard dafür: konsensbasierte, kostenfrei verfügbare Härtungsvorgaben für über hundert Technologien — von Windows und Linux über Netzwerkgeräte bis zu Cloud-Plattformen und Kubernetes, jeweils mit konkreten Einstellungen und Prüfschritten.
Was Härtung konkret umfasst
Typische Maßnahmen: Dienste und Rollen auf das Nötige reduzieren, sichere Authentifizierung erzwingen (MFA, keine Default-Konten), Verschlüsselung aktivieren, Altprotokolle wie SMBv1 oder TLS 1.0 abschalten, lokale Firewalls und Ausführungskontrollen konfigurieren, Audit-Logging einschalten. Für Netzwerkgeräte zusätzlich: Management-Zugänge in eigene Netze, SNMP-Defaults ersetzen, Config-Backups.
CIS Benchmarks strukturieren das in zwei Stufen: Level 1 als Basissicherheit mit minimalen Betriebsauswirkungen, Level 2 für erhöhten Schutzbedarf mit strikteren Einschränkungen. Werkzeuge wie CIS-CAT oder gängige Compliance-Scanner prüfen Systeme automatisiert gegen die Benchmarks und messen den Erfüllungsgrad.
Härtung nachhaltig betreiben
- Baselines als Code: gehärtete Images und Konfigurationsprofile statt Handarbeit je System.
- Drift-Erkennung: Abweichungen von der Baseline automatisch melden und zurücksetzen.
- Ausnahmen dokumentieren — jede Abweichung braucht Grund, Kompensation und Ablaufdatum.
- Benchmarks decken auch Cloud & Netzwerk ab: Azure/AWS/M365, Switches, Firewalls.