Systemhärtung mit CIS Benchmarks: Werkseinstellungen sind offene Türen

Viele erfolgreiche Angriffe brauchen keine ausgefeilte Zero-Day-Lücke. Es genügt ein Server im Auslieferungszustand, ein Standard-Passwort oder ein Dienst, der offen lauscht, obwohl ihn niemand nutzt. Werkseinstellungen sind auf schnelle Inbetriebnahme optimiert, nicht auf Sicherheit. Systemhärtung schließt diese Türen, bevor sie jemand findet – und sie gehört zu den wenigen Maßnahmen, die wirken, bevor ein einziger Euro in Erkennungstechnik fließt.

Warum Standardkonfigurationen ein Risiko sind

Ein frisch installiertes Betriebssystem, eine neue Datenbank oder ein Cloud-Dienst kommt mit Voreinstellungen, die möglichst viel ermöglichen: aktive Beispieldienste, großzügige Berechtigungen, veraltete Protokolle, ausführliche Fehlermeldungen. Für die Inbetriebnahme ist das komfortabel, für Angreifer ist es eine Landkarte. Automatisierte Scanner suchen im Minutentakt nach genau diesen Mustern – ein neu ans Netz gehängter Server wird binnen Minuten gefunden, nicht binnen Wochen.

CIS Benchmarks: Härtung nach Maß

Die CIS Benchmarks des Center for Internet Security sind ein weltweit etablierter, herstellerübergreifender Katalog konkreter Härtungsvorgaben – für Windows und Linux, für Microsoft 365 und Azure, für Datenbanken, Container und Netzwerkkomponenten. Statt vager Empfehlungen liefern sie prüfbare Einzelmaßnahmen: welcher Dienst deaktiviert, welche Richtlinie gesetzt, welches Protokoll abgeschaltet gehört. Jede Vorgabe kommt mit Begründung, Prüfschritt und Rücknahmeanleitung.

Zwei Niveaus stehen zur Wahl. Level 1 umfasst Maßnahmen, die sich mit vertretbarem Aufwand und ohne spürbare Einschränkung des Betriebs umsetzen lassen – das ist die Grundlinie, die praktisch jedes System vertragen sollte. Level 2 zielt auf erhöhten Schutzbedarf und nimmt Einschränkungen bewusst in Kauf. So passt die Härtung zum Schutzbedarf, statt pauschal alles zuzudrehen.

Benchmarks, Controls und Grundschutz – wer macht was?

Drei Begriffe werden regelmäßig verwechselt:

| | Was es liefert | |---|---| | CIS Benchmarks | Konkrete Einstellungen je System – „diese Richtlinie auf diesen Wert" | | CIS Controls v8.1 | Übergeordnete Maßnahmengruppen für die Organisation – was überhaupt getan werden muss | | BSI IT-Grundschutz | Bausteine und Anforderungen im Rahmen eines Managementsystems nach ISO 27001 |

Sie widersprechen sich nicht. Die Controls sagen, dass Sie sichere Konfigurationen brauchen; die Benchmarks sagen, wie sie aussehen; der IT-Grundschutz verankert die wiederkehrende Prüfung in einem ISMS.

Womit anfangen

Alle Benchmarks auf einmal umzusetzen, überfordert jedes Team. Die Reihenfolge nach Wirkung pro Aufwand:

1. Active Directory und Identitäten – hier entscheidet sich, wie weit ein Angreifer kommt, nachdem er drin ist.
2. Aus dem Internet erreichbare Systeme – Webserver, VPN-Gateways, Mailgateways. Was außen steht, wird als Erstes probiert.
3. Microsoft 365 beziehungsweise Ihre Cloud-Umgebung – dort liegen heute die Daten, und die Voreinstellungen sind auf Zusammenarbeit optimiert, nicht auf Abschottung.
4. Server – zuerst die mit schützenswerten Daten.
5. Clients – über Gruppenrichtlinien beziehungsweise Intune in der Fläche.

Nach den ersten beiden Punkten haben Sie den Großteil des realistischen Risikos adressiert.

Vom Benchmark zum Betrieb

Ein Benchmark ist kein Schalter, den man einmal umlegt. Der Weg führt über vier Schritte:

Messen. Wie weit ist ein System vom Zielzustand entfernt? Werkzeuge wie CIS-CAT liefern einen reproduzierbaren Soll-Ist-Abgleich; wer ohne Zusatzwerkzeug starten will, kommt mit den Microsoft Security Baselines und Gruppenrichtlinien-Auswertungen erstaunlich weit.

Priorisieren. Nicht jede Abweichung wiegt gleich. Ein deaktivierbarer Altdienst auf einem Server im Internet zählt anders als eine Protokolleinstellung auf einem Testsystem.

Ausrollen. Idealerweise automatisiert über Konfigurationsmanagement – Gruppenrichtlinien, Intune, Ansible. Manuelle Härtung hält genau so lange, bis jemand ein System neu aufsetzt.

Ausnahmen dokumentieren. Wenn eine Anwendung eine Vorgabe nicht zulässt, ist das legitim. Nicht legitim ist, es nicht aufzuschreiben. Zu jeder Ausnahme gehören Begründung, kompensierende Maßnahme und ein Datum zur Wiedervorlage.

Und der Praxistest gehört dazu: Eine Härtung, die zentrale Funktionen lahmlegt, wird im Alltag umgangen – und schadet damit mehr, als sie nützt. Härten heißt abwägen, nicht blind maximieren. Erst in eine Testumgebung, dann in die Fläche.

Der gefährlichste Trugschluss: einmal und fertig

Systeme verändern sich. Updates setzen Einstellungen zurück, neue Software bringt eigene Voreinstellungen mit, jemand öffnet für eine Fehlersuche einen Port und vergisst ihn wieder. Dieser schleichende Configuration Drift frisst den Sicherheitsgewinn auf, wenn niemand nachmisst.

Dagegen hilft nur Wiederholung: ein regelmäßiger Soll-Ist-Abgleich, am besten automatisiert und mit einer Kennzahl, die man verfolgen kann – etwa der Anteil konformer Systeme je Benchmark. Diese Zahl eignet sich auch für die Geschäftsführung, weil sie Fortschritt zeigt, ohne technisch zu werden.

Genau diese Wiederholung ist es, die ISO 27001 und der IT-Grundschutz verlangen. Wer ein ISMS betreibt, hat den Zyklus ohnehin – die Härtung hängt sich dort ein, statt ein Projekt daneben zu sein.

Was Härtung nicht ersetzt

Sie senkt die Angriffsfläche, aber sie erkennt nichts. Ein gehärtetes System, in das jemand über gültige Zugangsdaten hineinkommt, ist genauso still wie ein ungehärtetes. Härtung, Schwachstellenmanagement und Angriffserkennung sind drei verschiedene Aufgaben; die erste ist nur die günstigste.

Stand: August 2026. CIS Controls in der Fassung v8.1; die CIS Benchmarks werden je System fortlaufend aktualisiert – prüfen Sie beim Einsatz stets die aktuelle Fassung für Ihre Version.

Weiterführend: Schwachstellenmanagement · Penetrationstest · Zero Trust · ISO 27001 auf Basis IT-Grundschutz