Praxisnahe Härtungs-Checkliste für Windows Server, angelehnt an die CIS-Benchmarks.
Warum härten, und die zwei Leitprinzipien, an denen sich jede Maßnahme messen lässt.
Ein frisch installierter Windows Server ist auf Kompatibilität und Komfort ausgelegt, nicht auf Sicherheit. Härtung („Hardening") heißt, alles Nicht-Benötigte abzuschalten und alles Verbleibende sicher zu konfigurieren. Ziel ist eine kleine, kontrollierbare Angriffsfläche.
Als anerkannter Maßstab dienen die CIS-Benchmarks (Center for Internet Security) sowie die Microsoft Security Baselines (Teil des Security Compliance Toolkit). Beide liefern konkrete, versionsspezifische Sollwerte, die sich per GPO ausrollen und mit Tools wie CIS-CAT oder PolicyAnalyzer prüfen lassen.
Jede installierte Rolle, jeder laufende Dienst und jeder offene Port ist ein potenzieller Einstiegspunkt. Die wirksamste Härtung ist das Weglassen:
Konten und Dienste bekommen genau die Rechte, die sie für ihre Aufgabe brauchen, nicht mehr. Konkret:
Domain Admins.Das lokale Admin-Konto, Passwortrichtlinien und RDP, die häufigsten Einfallstore.
Das bekannte Konto Administrator (RID 500) ist das erste Ziel jedes Angreifers. Es lässt sich nicht löschen, aber deaktivieren und umbenennen:
Guest) muss deaktiviert sein.Status prüfen und das eingebaute Konto deaktivieren (PowerShell, lokal ausgeführt).
Wenn alle Server dasselbe lokale Admin-Passwort haben, kompromittiert ein einziger Fund das ganze Netz (Pass-the-Hash / laterale Bewegung). Windows LAPS (seit April 2023 in Windows Server 2019/2022 und Windows 11 integriert, per GPO/Intune steuerbar) vergibt pro Gerät ein zufälliges, rotierendes Passwort und legt es verschlüsselt in Active Directory oder Entra ID ab.
Das ältere „Legacy LAPS" (separates MSI) gilt als abgelöst, für neue Umgebungen Windows LAPS verwenden.
Sinnvolle Mindestwerte (per Default Domain Policy bzw. Fine-Grained Password Policies):
| Einstellung | Empfehlung |
|---|---|
| Mindestlänge | ≥ 14 Zeichen |
| Komplexität aktiv | Ja |
| Max. Alter | 365 Tage bzw. ereignisbasiert (moderne Empfehlung: nicht erzwungen ablaufen lassen, dafür Kompromittierungs-Prüfung) |
| Passwortchronik | ≥ 24 gemerkte Passwörter |
| Kontosperrung | 10 Fehlversuche / 15 Min. Sperre |
Wichtiger als erzwungener Wechsel: Sperren bekannter/geleakter Passwörter (z. B. Azure AD Password Protection) und generell MFA für privilegierte Zugänge.
Network Level Authentication (NLA) verlangt die Authentifizierung vor dem Verbindungsaufbau und schützt so vor unauthentifizierten Angriffen auf den RDP-Stack.
Unnötiges abschalten, SMBv1 entfernen und die Firewall konsequent nutzen.
SMBv1 ist unsicher (WannaCry/EternalBlue) und in modernen Windows-Versionen nicht mehr standardmäßig aktiv, auf Bestandssystemen aber oft noch vorhanden. Prüfen und komplett entfernen:
Installierte Rollen/Features und laufende Autostart-Dienste sichten, um Kandidaten zum Abschalten zu identifizieren.
Die Host-Firewall bleibt aktiviert, auch im Domänennetz. Grundhaltung:
Patch-Management, Audit-Policy und Sysmon, Härtung ohne Überwachung ist blind.
Ungepatchte Systeme sind die häufigste Ursache erfolgreicher Angriffe. Ein geregelter Prozess ist Pflicht:
Details zur WSUS-Einrichtung siehe WSUS-Referenz.
Ohne Protokollierung bleibt ein Einbruch unentdeckt. Die erweiterte Überwachungsrichtlinie (Advanced Audit Policy per GPO) sollte mindestens erfassen:
Logs zentral sammeln (SIEM / Windows Event Forwarding), lokale Logs werden bei einem Angriff gern gelöscht.
Sysmon (Sysinternals, kostenlos) ergänzt das Windows-Log um detaillierte Telemetrie: Prozessstarts mit Hash und Elternprozess, Netzwerkverbindungen, Änderungen an Autostart-Einträgen und mehr. Es ist kein Schutz, aber die Grundlage für Erkennung und Forensik.
Praxis: Mit einer erprobten Konfiguration starten (z. B. die verbreitete SwiftOnSecurity-Config als Ausgangsbasis) und die Events per WEF/SIEM zentral auswerten. Installation: sysmon64 -accepteula -i config.xml.
Zum Abhaken bei jeder Server-Inbetriebnahme, und turnusmäßig zur Kontrolle.