Endpunktsicherheit für Supporttechniker

Ein langsamer Computer und ein gesperrtes Dokument können beide Anzeichen von Schadsoftware sein: Software, die Geräte beschädigen, Daten stehlen oder sperren oder Ressourcen ohne informierte Zustimmung nutzen soll. Unterscheide, wie sie eingedrungen ist, von dem, was sie tut. Ein gefälschtes Installationsprogramm kann ein Trojaner sein, der Ransomware einschleust.

Verfolge den Weg ins Gerät

Ein Fernzugriffstrojaner (RAT) gibt einem Angreifer die Kontrolle über das Gerät aus der Ferne. Ein gefälschter PDF-Konverter könnte einen RAT installieren und zugleich ein Dokument konvertieren. Dass er nützlich erscheint, macht ihn also nicht sicher.

Erkenne den Schaden

Ransomware verschlüsselt Dateien und verlangt Geld für einen Schlüssel. Angreifer stehlen häufig vorher Daten. Dateien mit der Endung .locked und eine Lösegeldforderung wie HOW_TO_RECOVER.txt sind dringende Warnzeichen. Auch zugeordnete Freigaben und synchronisierte Cloud-Ordner können betroffen sein. Trenne ein betroffenes Gerät umgehend vom Netzwerk. Zur Wiederherstellung muss es bereinigt oder neu aufgesetzt und müssen saubere Daten aus einer Datensicherung wiederhergestellt werden. Eine Zahlung garantiert keine Wiederherstellung.

Spyware sammelt heimlich Informationen. Ein Keylogger zeichnet Tastatureingaben auf und kann Software oder ein Hardwareadapter am Tastaturanschluss sein. Prüfe bei gemeinsam genutzten Computern neben der installierten Software auch die physischen Anschlüsse. Stalkerware verfolgt Nachrichten oder den Standort einer Person für jemanden, den sie kennt. Das Entfernen kann diese Person alarmieren; überlasse dem Geräteeigentümer die Entscheidung, wann das Entfernen sicher ist.

Ein Kryptominer nutzt Prozessor- oder Grafikprozessorleistung, um Kryptowährung zu schürfen. Hitze, laute Lüfter und Akkuentladung bei inaktivem Gerät können zu diesem Muster passen. Prüfe die laufenden Prozesse, bevor du die Ursache bestimmst.

Versteckten Befall verstehen

Ein Rootkit verändert die Schnittstellen oder Komponenten, die über Systemaktivitäten berichten. Es kann über Anwendungsschnittstellen, den Betriebssystemkern, Startcode oder Firmware arbeiten. Das infizierte Betriebssystem kann einem Scanner ein falsches Bild liefern. Ein Offline-Scan untersucht das Gerät, während dieses System nicht läuft. Oft ist eine Neuinstallation nötig; ein Firmwarebefall kann außerdem eine vertrauenswürdige Wiederherstellung der Firmware erfordern.

Dateilose Schadsoftware arbeitet im Arbeitsspeicher und kann PowerShell oder Windows Management Instrumentation (WMI) missbrauchen. Geplante Aufgaben oder Einträge in der Registrierungsdatenbank können sie nach einem Neustart zurückbringen. Verhaltensbasierte Werkzeuge können ihre Aktionen erkennen, selbst wenn auf dem Datenträger kaum Dateien zum Abgleich mit einer bekannten Signatur liegen.

Unerwünschte und schädliche Software unterscheiden

Adware zeigt unerwünschte Werbung an oder verändert Suchergebnisse. Ein potenziell unerwünschtes Programm (PUP) kann als vorgewähltes Angebot in einem Installationsprogramm enthalten sein. Es kann unerwünscht sein, ohne schädlich zu sein. Prüfe installierte Apps und Browsererweiterungen, entferne unerwünschte Zusätze und nutze benutzerdefinierte Installationsoptionen, um mitgelieferte Extras abzulehnen.

Schadsoftware greift Macs und Smartphones ebenso wie Windows-PCs an. Ein Scan ohne Befund ist ein hilfreicher Beleg, doch ungeklärte Symptome müssen weiterhin untersucht werden, weil versteckte oder neue Schadsoftware der Erkennung entgehen kann.

Social Engineering manipuliert Menschen so, dass sie Zugang oder Informationen gewähren oder eine Handlung ausführen. Der Angreifer kann Zeitdruck erzeugen, Autorität vorgeben oder an die Hilfsbereitschaft appellieren. Ein gut konfigurierter Computer kann niemanden daran hindern, eine betrügerische Zahlung zu genehmigen.

Erkenne die Nachricht und ihr Ziel

Phishing ahmt einen vertrauenswürdigen Absender nach, um Zugangsdaten zu erhalten oder Empfänger zum Anklicken von Links oder Öffnen von Anhängen zu bringen. Vishing nutzt Telefonanrufe; Smishing nutzt Textnachrichten; QR-Code-Phishing verbirgt ein Ziel in einem scannbaren Code. Sieh dir das Ziel eines QR-Codes vor dem Öffnen in der Vorschau an. Ein Code auf einem vertrauten Plakat könnte ausgetauscht worden sein.

Spear-Phishing nutzt Einzelheiten über eine bestimmte Person oder ein Team. Whaling richtet sich an Führungskräfte auf hoher Ebene. Diese Begriffe beschreiben das Ziel, sodass eine sorgfältig recherchierte Textnachricht sowohl Smishing als auch Spear-Phishing sein kann.

Business Email Compromise (BEC) fordert über ein nachgeahmtes oder kompromittiertes Postfach Geld, Gutscheinkarten oder Änderungen von Bankdaten an. Die Nachricht muss keinen Link oder Anhang enthalten. Bestätige eine geforderte Zahlungsänderung über eine bereits hinterlegte Nummer. Wer die Nummer in der verdächtigen Nachricht anruft, folgt lediglich den Anweisungen des Angreifers.

Lies ein Ziel genau

Angenommen, die Mitarbeiter nutzen normalerweise northwind.example. Eine Nachricht von helpdesk@northwind-support.example trifft mit dem Betreff „Postfach voll: Bestätigen Sie Ihr Konto innerhalb von 2 Stunden“ ein. Der angezeigte Link lautet https://portal.northwind.example, sein Ziel ist aber https://northwind.example.login-verify.net/reset.

1. Prüfe die vollständige Absenderadresse. Das zusätzliche Wort verändert die Domain.
2. Untersuche das tatsächliche Ziel, ohne es zu öffnen. Der Linktext kann frei gewählt werden.
3. Lies den Hostnamen zwischen https:// und dem nächsten einzelnen Schrägstrich. Seine registrierte Domain ist login-verify.net; die vertrauten Wörter links davon sind Subdomains unter der Kontrolle des Eigentümers dieser Domain.
4. Erkenne die Frist als Druckmittel, um Prüfungen zu umgehen. Öffne den Dienst über ein bekanntes Lesezeichen, um unabhängig nachzusehen.

HTTPS verschlüsselt die Verbindung zur angegebenen Domain. Auch eine Phishing-Website kann ein gültiges Zertifikat haben.

Reagiere, ohne den Angriff auszuweiten

Melde eine verdächtige Nachricht über die Meldeschaltfläche der Organisation oder beim Helpdesk. Antworte nicht, öffne keine Anhänge und probiere den Link nicht aus, um zu sehen, was passiert. Eine schnelle Meldung ermöglicht dem Support, Kopien aus anderen Postfächern zu entfernen.

Hat ein Benutzer ein Passwort eingegeben, ändere es von einem nachweislich sauberen Gerät aus, beende aktive Sitzungen und prüfe auf unbekannte MFA-Verfahren oder Weiterleitungsregeln. Dokumentiere den Vorfall in einem Ticket. Eine Passwortänderung allein lässt andere Zugangswege offen, die geprüft werden sollten.

Prüfe Menschen genauso sorgfältig wie Nachrichten

Bei der Identitätsvortäuschung wird eine glaubwürdige Rolle oder Geschichte verwendet. Beim Tailgating folgt jemand einer Person ohne eigene Berechtigung durch eine gesicherte Tür. Shoulder Surfing bedeutet, einen Bildschirm oder ein Tastenfeld zu beobachten; das Abschirmen einer PIN und ein Blickschutzfilter helfen dagegen. Dumpster Diving durchsucht Müll nach nützlichen Dokumenten oder Laufwerken.

Ein Anrufer, der sich als Führungskraft ausgibt, kann eine dringende Zurücksetzung verlangen. Befolge die genehmigten Identitätsprüfungen, etwa einen Rückruf über das Verzeichnis oder eine Bestätigung über das Ticketverfahren. Rang und Dringlichkeit ersetzen keine Überprüfung. Auch geschulte Mitarbeiter können auf ein überzeugendes Vorgehen hereinfallen; schnelles Melden hilft mehr als Schuldzuweisung.

Eine Schwachstelle ist eine Sicherheitslücke, etwa eine nicht gepatchte Anwendung. Eine Bedrohung ist etwas, das sie ausnutzen könnte, etwa ein böswilliger Insider. Ein Angriff ist der Versuch, diese Schwachstelle auszunutzen. Die Begriffe bezeichnen unterschiedliche Teile des Problems.

Verstehe das Erraten von Passwörtern

Ein Brute-Force-Angriff probiert mögliche Kombinationen aus. Bei einem festen Zeichenvorrat beträgt der Suchraum:

Dabei ist $a$ die Anzahl der erlaubten Zeichen und $n$ die Passwortlänge. Mit 26 Kleinbuchstaben ergeben 8 Zeichen etwa 209 Milliarden Kombinationen. Bei einer beispielhaften Offline-Geschwindigkeit von 10 Milliarden Versuchen pro Sekunde dauert es etwa 21 Sekunden, alle auszuprobieren. Acht Zeichen aus 94 Zeichen ergeben bei dieser Geschwindigkeit etwa 7,1 Tage; 16 Kleinbuchstaben ergeben etwa 138.000 Jahre. Verglichen werden die vollständigen Suchräume für zufällige Auswahlen. Die tatsächliche Angriffsgeschwindigkeit hängt vom Passwort-Hashverfahren und der Hardware ab; vorhersehbare Wortfolgen können viel früher erraten werden.

Ein Onlineangriff sendet Versuche an einen aktiven Anmeldedienst, wo Kontosperrungen und Ratenbegrenzungen ihn verlangsamen. Ein Offlineangriff arbeitet mit gestohlenen Passwort-Hashwerten außerhalb dieser Kontrollen. Ein Wörterbuchangriff probiert vorrangig häufige Wörter, geleakte Passwörter und Varianten wie „Summer2026!“ aus. Credential Stuffing probiert bereits geleakte Benutzernamen-Passwort-Paare bei anderen Diensten aus. Lange, einzigartige Passwörter und MFA begegnen unterschiedlichen Teilen dieser Risiken.

Erkenne das Abfangen und falsche Identitäten

Ein Man-in-the-Middle-Angriff schaltet einen Angreifer zwischen kommunizierende Beteiligte. Ein Evil Twin kopiert den Namen eines echten WLANs, um Verbindungen anzulocken. Verbinde dich nicht automatisch mit offenen Netzwerken; prüfe die Netzwerkidentität, nutze HTTPS, beachte Zertifikatswarnungen und verwende in öffentlichen WLANs das genehmigte VPN. Ein VPN schützt den Weg seines Datenverkehrs, macht eine gefälschte Anmeldeseite aber nicht vertrauenswürdig.

Spoofing fälscht eine Identität wie eine Absenderadresse, Anruferkennung oder MAC-Adresse. Ein Zero-Day-Angriff nutzt eine Schwachstelle, für die noch keine Fehlerbehebung verfügbar ist oder die der Hersteller noch nicht kennt. Verhaltenserkennung, eingeschränkte Konten und Firewalls helfen, die Gefährdung bis zur Bereitstellung eines Patches zu begrenzen.

Erkenne Angriffe auf Dienste und Anwendungen

Ein DoS-Angriff überlastet einen Dienst; ein DDoS-Angriff nutzt viele Quellen, häufig ein Botnetz kompromittierter Geräte. Eine Insiderbedrohung missbraucht berechtigten Zugang absichtlich oder aus Nachlässigkeit.

SQL-Injection bringt eine unsichere Anwendung dazu, Eingaben als Datenbankbefehle zu behandeln. Cross-Site-Scripting (XSS) bringt eine Website dazu, ein vom Angreifer eingeschleustes Skript in den Browsern von Besuchern auszuführen. Ein Lieferkettenangriff kompromittiert ein vertrauenswürdiges Produkt oder Update; die Kompromittierung von SolarWinds Orion im Jahr 2020 ist ein Beispiel. Supportmitarbeiter halten Software aktuell und melden Anzeichen einer Kompromittierung; Anwendungsentwickler beheben die unsichere Verarbeitung von Eingaben.

Finde den gefährdeten Endpunkt

Einem nicht gepatchten Gerät fehlen verfügbare Fehlerbehebungen. Einem ungeschützten Gerät fehlt ein funktionierender Virenschutz oder Firewallschutz. Ein nicht richtlinienkonformes Gerät verstößt gegen eine Richtlinie, etwa weil es nicht verschlüsselt ist. BYOD bezeichnet private Geräte, die für die Arbeit genutzt werden und deren Sicherheit ebenfalls geprüft werden muss.

Software am Ende ihres Lebenszyklus (EOL) erhält keine regulären Sicherheitskorrekturen mehr. Für Windows 10 Home und Pro endete der Support am 14. Oktober 2025; registrierte Geräte können begrenzt Extended Security Updates erhalten. Ersetze oder isoliere Systeme ohne Support. Behebe vorrangig Schwachstellen, die Angreifer bereits ausnutzen.

Ein starkes Passwort braucht sowohl Länge als auch Einzigartigkeit. Zusätzliche Zeichen vergrößern den Suchraum, doch die Wiederverwendung eines starken Passworts ermöglicht, dass ein einziger Sicherheitsvorfall mehrere Konten betrifft. Zeichenarten, Komplexitätsanforderungen und Ablauf sind separate Richtlinieneinstellungen.

Wende Richtlinien an und verstehe ihren Zweck

Die NIST-Empfehlung von 2025 verlangt mindestens 15 Zeichen für ein allein verwendetes Passwort. Bei Verwendung mit MFA kann das Minimum 8 betragen. Sie empfiehlt, mindestens 64 Zeichen zu akzeptieren, und lehnt vorgeschriebene Zeichenmischungen und routinemäßige regelmäßige Änderungen ab. Bei einem Beleg für eine Kompromittierung ist eine Änderung erforderlich; häufige, erwartbare oder kompromittierte Passwörter müssen gesperrt werden.

Viele Arbeitgeber verlangen weiterhin gemischte Zeichenarten, einen Passwortverlauf oder einen Passwortablauf. Wende die Richtlinie der Organisation an und erkläre ihre Einstellungen korrekt. Die Erfüllung einer Komplexitätsregel macht ein vertrautes Wort nicht unvorhersehbar: „P@ssw0rd!“ ist ein typisches Ziel beim Erraten.

Eine Passphrase kombiniert zufällige, nicht zusammenhängende Wörter. „violett Hafen Traktor singt“ hat einschließlich Leerzeichen 27 Zeichen. Ein bekanntes Zitat, eine Liedzeile oder eine persönliche Angabe lässt sich leichter vorhersagen. Halte jede tatsächlich verwendete Passphrase geheim und nutze sie nur für ein Konto.

Nutze einen Passwortmanager für einzigartige Passwörter

Ein Passwortmanager speichert Passwörter in einem verschlüsselten Tresor und erzeugt lange Zufallswerte für verschiedene Websites. Schütze den Tresor mit einem starken Masterpasswort und MFA. Passwortmanager in Browsern und Betriebssystemen können diese Funktion ebenso bieten wie separate Anwendungen.

Auch das automatische Ausfüllen ist eine nützliche Kontrolle. Ein Passwortmanager ordnet eine gespeicherte Anmeldung normalerweise ihrer Website zu. Eine vertraut aussehende Seite, auf der das gespeicherte Passwort nicht angeboten wird, solltest du daher untersuchen. Öffne den echten Dienst über einen bekannten Weg, statt Zugangsdaten in die Seite zu kopieren, um die Anmeldung zu erzwingen.

Verstehe die Windows-Einstellungen

Öffne ab Windows Pro die lokale Sicherheitsrichtlinie mit secpol.msc und sieh unter Kontorichtlinien nach. Eine Domänenrichtlinie kann diese Einstellungen zentral verwalten.

Eine Kontosperrung verlangsamt Versuche am aktiven Anmeldedienst. Sie verlangsamt keinen Angreifer, der gestohlene Hashwerte offline prüft. Ein sehr niedriger Schwellenwert für Fehlversuche ermöglicht einem Angreifer außerdem, viele Konten absichtlich zu sperren, und verursacht vermeidbare Supportanrufe.

Ein einfaches Beispiel für eine Ratenbegrenzung: Angenommen, ein Dienst erlaubt 5 Versuche in jedem Zeitfenster von 15 Minuten. Ein Tag hat 96 solcher Zeitfenster, sodass 480 Versuche pro Tag erlaubt sind. Alle 10.000 möglichen 4-stelligen PINs auszuprobieren, würde bei dieser Begrenzung etwa 21 Tage dauern. Das tatsächliche Sperrverhalten hängt vom konfigurierten Schwellenwert, Rücksetzzeitraum und der Sperrdauer ab.

Setze Passwörter zurück, ohne sie preiszugeben

Prüfe den Anrufer nach dem genehmigten Verfahren, bevor du etwas änderst. Werden temporäre Passwörter verwendet, aktiviere „Benutzer muss Kennwort bei der nächsten Anmeldung ändern“ und übermittle das temporäre Passwort über den genehmigten sicheren Kanal. Frage niemals nach dem aktuellen Passwort und schreibe kein Passwort in ein Ticket, einen gewöhnlichen Chat oder eine E-Mail. Dokumentiere die Identitätsprüfungen und die Maßnahme, ohne das Passwort festzuhalten.

Authentifizierung prüft eine behauptete Identität. Die wichtigsten Faktorkategorien sind etwas, das du weißt, etwa ein Passwort; etwas, das du hast, etwa ein Sicherheitsschlüssel; und etwas, das du bist, etwa ein Fingerabdruck. Standort und Tippverhalten können zusätzliche Signale liefern.

Zähle Kategorien statt Bildschirme

Mehrfaktorauthentifizierung (MFA) kombiniert mindestens 2 Faktorkategorien. Ein Passwort und ein vom Smartphone erzeugter Code verbinden Wissen und Besitz. Ein Passwort und eine Sicherheitsfrage nutzen Wissen zweimal, auch wenn der Dienst 2 Bildschirme anzeigt.

Ein Passwort und eine biometrische Prüfung können ebenfalls Kategorien kombinieren, wenn sie als unabhängige Prüfungen umgesetzt sind. Auf Smartphones und Windows-Hello-Geräten entsperrt eine lokale Fingerabdruck- oder Gesichtsprüfung gewöhnlich einen geschützten Schlüssel auf dem Gerät.

Unterstütze Benutzer bei Codes und Anfragen

Ein zeitbasiertes Einmalpasswort (TOTP) nutzt ein gemeinsames Geheimnis, das in der App registriert wird, häufig durch Scannen eines QR-Codes. Die App kombiniert es mit der Uhrzeit, um einen Code zu erzeugen, oft 6 Ziffern, die sich alle 30 Sekunden ändern. Für die Berechnung ist kein Netzwerk nötig, eine falsch eingestellte Geräteuhr kann aber Fehler verursachen. Ein OTP gilt für eine Verwendung; ein 6-stelliger Code hat eine Million mögliche Werte.

Bei MFA-Ermüdung werden wiederholt Push-Anfragen gesendet, bis jemand zustimmt. Benutzer sollten Anfragen ablehnen und melden, die sie nicht selbst ausgelöst haben. Beim Zahlenabgleich müssen sie die Zahl von ihrem eigenen Anmeldebildschirm eingeben; das verringert unbedachtes Zustimmen. Ein Verfahren mit eingegebenen oder weitergeleiteten Angaben wird dadurch nicht einem Phishing-resistenten Schlüssel gleichgestellt.

FIDO2-Sicherheitsschlüssel und Passkeys widerstehen der Weiterleitung über gefälschte Websites, weil sie sich beim richtigen Dienst authentifizieren. Auf einer gefälschten Seite eingegebene Codes können an den echten Dienst weitergeleitet werden, solange sie gültig sind.

Plane den Verlust, ohne Identitätsprüfungen zu umgehen

Prüfe beim Verlust eines Smartphones mit Authentifizierungs-App die Identität, widerrufe das verlorene Verfahren, nutze ein genehmigtes Ersatzverfahren oder einen Wiederherstellungscode und registriere dann das Ersatzgerät. Ermutige Benutzer, 2 Verfahren zu registrieren, damit ein einzelner Verlust den Zugang nicht blockiert. Registriere kein neues Smartphone allein deshalb, weil ein Anrufer den Benutzernamen kennt.

Biometrische Lesegeräte können fälschlich eine falsche Person akzeptieren oder die richtige abweisen. Geschützte Hardware speichert die lokale Vorlage; eine PIN oder ein Passwort bleibt als Ersatz verfügbar. Ein biometrisches Merkmal ist schwerer zu ersetzen als ein kompromittiertes Passwort.

Erkenne den Dienst hinter der Anmeldeaufforderung

Kerberos gibt zeitlich begrenzte Tickets für die Anmeldung an Windows Active Directory aus. Die standardmäßige Zeittoleranz beträgt 5 Minuten, untersuche daher bei fehlgeschlagener Domänenauthentifizierung die Zeitsynchronisierung. RADIUS prüft WLAN- und VPN-Zugriffe. Single Sign-on (SSO) ermöglicht mit einer Anmeldung den Zugriff auf mehrere Apps, häufig über SAML-Identitätsnachweise. MFA an dieser zentralen Anmeldung schützt einen wichtigen Zugangsweg zu verbundenen Anwendungen.

Windows trennt, wem das Konto gehört, von der Frage, was es ändern kann. Ein lokales Konto, Microsoft-Konto oder Arbeitskonto kann unterschiedliche Rechte haben. Die Wahl der passenden Identität rechtfertigt für sich genommen keinen Administratorzugriff.

Wähle die Identität

Ein Standardbenutzer kann installierte Apps ausführen und persönliche Einstellungen ändern. Ein Administrator kann zusätzlich systemweite Änderungen vornehmen und andere Konten verwalten. Nutze Standardrechte für die tägliche Arbeit und eine separate Administratoridentität für genehmigte Wartungsarbeiten. Das begrenzt, was in einer gewöhnlichen Sitzung gestartete Software ändern kann.

Lasse Gast deaktiviert. Die ältere Gruppe Hauptbenutzer bleibt aus Kompatibilitätsgründen bestehen und gewährt standardmäßig keine zusätzlichen Rechte gegenüber einem Standardbenutzer.

Erhöhe Rechte für eine Aufgabe, ohne eine Person zum Administrator zu machen

Die Benutzerkontensteuerung (UAC) hält Anwendungen bei gewöhnlichen Rechten, bis eine Rechteerhöhung angefordert wird. Ein Administrator sieht normalerweise eine Zustimmungsaufforderung; ein Standardbenutzer muss Administratorzugangsdaten eingeben. Der abgedunkelte sichere Desktop hilft, die Aufforderung vor anderen Anwendungen zu schützen.

Ein Schild kennzeichnet Einstellungen, die eine Rechteerhöhung benötigen. Ein Rechtsklick auf ein Programm und die Wahl von Als Administrator ausführen erhöhen die Rechte dieses Programms. Eine genehmigte Reparatur mit sfc /scannow benötigt zum Beispiel ein Befehlsfenster mit erhöhten Rechten. Bestätige vor der Zustimmung sowohl das Programm als auch den Grund. Auch ein Schadprogramm mit erhöhten Rechten kann das System ändern.

Mache einen Mitarbeiter nicht zum Administrator, nur um ein genehmigtes Programm zu installieren. Gib für diese Aufgabe bei der UAC-Aufforderung autorisierte Zugangsdaten ein. Lasse die UAC aktiviert; „Nie benachrichtigen“ entfernt eine hilfreiche Kontrolle.

Verstehe Windows Hello

Windows Hello bietet eine Geräte-PIN, Fingerabdruck oder Gesichtserkennung. Die Gesichtserkennung benötigt geeignete Infrarothardware. Einstellungen für kennwortlose Anmeldung können die Passwortoption ausblenden.

Eine Hello-PIN entsperrt einen Schlüssel, der vom Trusted Platform Module (TPM) des Geräts geschützt wird; hinzu kommt Schutz gegen wiederholte Rateversuche. Sie ist nicht das wiederverwendbare Passwort, das an ein Onlinekonto gesendet wird. Wer die PIN kennt, aber das Gerät nicht besitzt, erhält nicht denselben Fernzugriff wie jemand, der das Passwort dieses Kontos kennt. Das erklärt, warum eine kurze lokale PIN und ein langes Onlinepasswort unterschiedliche Sicherheitsaufgaben haben.

Bereite einen Mitarbeiterlaptop vor und warte ihn

1. Registriere ihn oder füge ihn hinzu, indem du das genehmigte Arbeitskontoverfahren der Organisation nutzt.
2. Bestätige, dass der Mitarbeiter Standardrechte und der Techniker eine separate Wartungsidentität hat.
3. Richte Hello ein und lasse die UAC auf der genehmigten Stufe.
4. Deaktiviere ungenutzte lokale Konten und bestätige, dass Gast deaktiviert bleibt.
5. Prüfe, ob die erforderlichen Verwaltungseinstellungen gelten.

Eine Active-Directory-Domäne verwaltet Konten und Einstellungen zentral. Gruppenrichtlinien können Passwort-, Firewall- und Verschlüsselungsregeln, Anmeldeskripte, Zuordnungen von Basisordnern und Ordnerumleitung anwenden. Ihre Ziele hängen von Organisationseinheiten und Sicherheitsgruppen ab. gpresult /r zeigt angewendete Richtlinien; gpupdate /force fordert eine Aktualisierung an. Wenn eine lokale Einstellung immer wieder zurückgesetzt wird, prüfe vor einer erneuten Änderung die zuständige Richtlinie.

Öffne Windows-Sicherheit, um Viren- & Bedrohungsschutz, Kontoschutz, Firewall- & Netzwerkschutz, App- & Browsersteuerung und Gerätesicherheit zu prüfen. SmartScreen warnt vor verdächtigen Downloads und Phishing. Die Gerätesicherheit zeigt Funktionen wie TPM und Secure Boot an.

Halte den Virenschutz aktiv

Microsoft Defender Antivirus bietet Echtzeitprüfungen, cloudbasierte Prüfungen und Manipulationsschutz. Seine Sicherheitsintelligenz-Updates enthalten aktuelle Erkennungsinformationen und kommen über Windows Update. Prüfe die Schutzupdates, wenn Definitionen manuell aktualisiert werden müssen.

Das Ausschalten des Echtzeitschutzes über die Oberfläche ist vorübergehend; Windows schaltet ihn normalerweise wieder ein. Ein registriertes Virenschutzprogramm eines anderen Herstellers wird zum wichtigsten Echtzeitschutz. Defender kann je nach Konfiguration deaktiviert sein oder in einem verwalteten passiven Modus laufen. Prüfe, welches Produkt zuständig ist, bevor du eine inaktive Defender-Anzeige als Fehler behandelst. Zwei konkurrierende Echtzeitschutzprogramme können Konflikte verursachen und den Computer verlangsamen.

Wähle den zur Frage passenden Scan

Defender Offline unterstützt x64-PCs mit Windows 11; auf ARM-basiertem Windows 11 ist es nicht verfügbar. Speichere die Arbeit des Benutzers vor einem Offline-Scan. Er dauert etwa 15 Minuten und hilft, Schadsoftware zu finden, die sich bei laufendem Windows versteckt. Prüfe anschließend die Befunde und ungeklärte Symptome.

Ein Ausschluss weist Defender an, einen bestimmten Speicherort oder Prozess zu überspringen. Verwende ihn nur bei einem überprüften Bedarf einer Anwendung und mit dem kleinstmöglichen genehmigten Umfang. Der Ausschluss von Downloads oder eines ganzen Laufwerks schafft einen großen blinden Fleck. Ein blockiertes Installationsprogramm muss untersucht werden; wer den Virenschutz für seine Ausführung deaktiviert, entfernt die Prüfung, die die Warnung ausgelöst hat.

Stimme Firewallregeln auf das Netzwerk ab

Windows Defender Firewall ist eine Host-Firewall und schützt diesen Computer. Ihre Profile sind Domäne für eine erkannte Domänenverbindung, Privat für ein vertrauenswürdiges Heim- oder Büronetzwerk und Öffentlich für unbekannte Netzwerke. Wähle Öffentlich in einem Netzwerk, das du nicht kontrollierst. Lasse den Schutz für jedes Profil aktiviert.

Standardmäßig blockiert die Firewall unaufgeforderte eingehende Verbindungen, sofern keine Regel sie erlaubt, und lässt ausgehenden Datenverkehr zu. Eine Anwendungsregel erlaubt ein Programm in ausgewählten Profilen. Erweiterte Regeln in wf.msc können außerdem Protokoll, Port und Remoteadressen einschränken.

Stelle den Zugriff mit einer gezielten Änderung wieder her

Angenommen, der Helpdesk erreicht einen Domänen-PC nicht über Remotedesktop:

1. Bestätige, dass Remotedesktop auf dem Zielgerät genehmigt und aktiviert ist.
2. Prüfe die vorhandene eingehende Regel für TCP 3389.
3. Erlaube das Domänenprofil und den genehmigten Adressbereich des Helpdesks.
4. Teste von einer autorisierten Quelle aus und dokumentiere die Regeländerung.

Denselben Port in jedem Profil für jede Quelle zu öffnen, schafft unnötige Angriffsfläche. Das Ausschalten der gesamten Firewall entfernt außerdem andere Schutzfunktionen. Eine Regel sollte den benötigten Datenverkehr so genau beschreiben, wie es die Aufgabe erlaubt.

Der Zugriff eines Benutzers hängt vom Weg zur Datei und den Berechtigungen auf diesem Weg ab. NTFS-Berechtigungen gelten lokal und über das Netzwerk. Freigabeberechtigungen gelten nur, wenn jemand über das Netzwerk auf einen freigegebenen Ordner zugreift.

Kombiniere die passenden Schutzmaßnahmen

NTFS bietet Vollzugriff, Ändern, Lesen & Ausführen, Ordnerinhalt anzeigen, Lesen und Schreiben. Freigabeberechtigungen bieten Vollzugriff, Ändern und Lesen. Für den Netzwerkzugriff muss die angeforderte Aktion auf beiden Ebenen erlaubt sein.

Angenommen, die Freigabe Berichte gewährt Jeder Lesen, während NTFS der Gruppe Vertrieb Ändern gewährt. Ana gehört zu Vertrieb:

1. Über die Freigabe erlaubt die Freigabeebene nur das Lesen.
2. NTFS erlaubt Änderungen, kann aber kein Recht hinzufügen, das die Freigabeebene blockiert.
3. Ana kann daher über das Netzwerk lesen. Bei lokaler Anmeldung entfällt die Freigabebeschränkung, sodass ihre NTFS-Berechtigung Ändern gilt.

Häufig werden Freigabeberechtigungen ausreichend weit für die vorgesehene Arbeit gefasst und detaillierte Zugriffe über NTFS-Gruppen verwaltet.

Verstehe mehrere Gruppen und Vererbung

Zulassungsberechtigungen aus Gruppenmitgliedschaften summieren sich im Allgemeinen. Lesen aus einer Gruppe und Ändern aus einer anderen erlauben Ändern. Ein Verweigern auf derselben Vorrangebene setzt das entsprechende Zulassen außer Kraft, doch explizite Einträge haben Vorrang vor geerbten Einträgen. Ein explizites Zulassen kann daher ein geerbtes Verweigern überstimmen. Die Kurzregel „Verweigern gewinnt immer“ verdeckt diesen Unterschied.

Neue Dateien und Unterordner erben normalerweise die Einträge des Zielordners. Geerbte Einträge erscheinen ausgegraut. Wenn du die Vererbung ausschaltest, kannst du sie in explizite Einträge umwandeln oder entfernen. Prüfe bei einem geschützten Personalunterordner den geerbten Abteilungszugriff, bevor du entscheidest, welche Einträge bestehen bleiben sollen.

Vergib Rechte nach Möglichkeit an Gruppen und nutze Verweigern sparsam. Die Registerkarte Effektiver Zugriff in den erweiterten Sicherheitseinstellungen hilft, den NTFS-Zugriff für einen bestimmten Benutzer zu untersuchen. Prüfe bei einem Netzwerkzugriffsproblem die Freigabeberechtigungen separat.

Sage die Folgen von Kopieren und Verschieben voraus

Wenn du beispielsweise eine zugriffsbeschränkte Datei zwischen Ordnern auf demselben Volume verschiebst, kann sie beschränkt bleiben, selbst wenn benachbarte Dateien lesbar sind. Eine Kopie im Zielordner erhält gewöhnlich dessen Berechtigungen. Werkzeuge mit besonderen Optionen zum Erhalt von Berechtigungen können sich absichtlich anders verhalten. Prüfe daher bei einem unerwarteten Ergebnis, welcher Vorgang verwendet wurde.

Halte Attribute getrennt

Schreibgeschützt, Versteckt, System und Archiv sind Attribute und kein Ersatz für Zugriffsberechtigungen. attrib +r +h notes.txt markiert eine Datei als schreibgeschützt und versteckt. Ein Benutzer mit geeigneten Rechten kann Attribute ändern, und das Anzeigen versteckter Dateien legt versteckte Namen offen. Zu den erweiterten Attributen gehören außerdem Komprimierung und EFS-Verschlüsselung.

Vermeide es, zur Behebung eines Zugriffsfehlers Jeder Vollzugriff zu gewähren; dadurch können Konten Zugriff auf Daten erhalten, die sie nicht benötigen.

Härtung verringert die Angriffsfläche: Konten, Dienste, Programme und Verbindungen, die einen Zugang ermöglichen könnten. Behalte, was für die Arbeit nötig ist, sichere es ab und entferne ungenutzte Zugänge.

Beschränke den Kontozugriff

Ersetze werkseitige Administratorzugangsdaten durch einzigartige Zugangsdaten, benenne Standardadministratorkonten um, wo die Richtlinie es verlangt, und deaktiviere ungenutzte Konten und Gast. Das Umbenennen allein lässt das Passwort unverändert und bietet keinen ausreichenden Schutz. Nutze Standardrechte für die tägliche Arbeit.

Lege Ablaufdaten für befristet Beschäftigte fest und beschränke gegebenenfalls die Anmeldezeiten. Für ein lokales Konto legt net user jdoe /times:M-F,08:00-18:00 Anmeldezeiten an Werktagen fest; Domänenkonten können zentral verwaltete Zeiten haben. Konfiguriere die Kontosperrung nach Fehlversuchen per Richtlinie. Prüfe geplante Arbeit und Supportbedarf, bevor du Zeiten einschränkst.

Stelle eine kurze Sperrzeit bei Inaktivität ein, etwa 5 Minuten an einem Büro-PC, und verlange bei der Rückkehr eine Anmeldung. Benutzer können vor dem Verlassen Windows-Taste + L drücken und sich am Ende des Tages abmelden. Die dynamische Sperre nutzt die Bluetooth-Präsenz des gekoppelten Smartphones, um den Computer zu sperren, wenn sich der Benutzer entfernt.

Schütze Starteinstellungen und gespeicherte Daten

Ein Firmware-Administratorpasswort schützt BIOS/UEFI-Einstellungen. Ein Benutzer- oder Einschaltpasswort wird vor dem Start abgefragt. Sie erfüllen unterschiedliche Zwecke.

Ein Administratorpasswort allein kann das einmalige USB-Startmenü verfügbar lassen. Setze das interne Laufwerk an die erste Stelle, deaktiviere den externen Start und das einmalige Startmenü oder schütze sie mit einem Passwort und lasse Secure Boot aktiviert. Datenträgerverschlüsselung schützt Daten, wenn jemand das Laufwerk vollständig ausbaut. Bewahre Firmware-Zugangsdaten sicher auf; bei einem verlorenen Passwort für einen Geschäftslaptop kann der Herstellerservice nötig sein.

Entferne unnötige Möglichkeiten zur Softwareausführung

Aktuelles Windows führt Programme von gewöhnlichen USB-Laufwerken nicht automatisch über autorun.inf aus, die automatische Wiedergabe kann beim Einlegen von Datenträgern aber weiterhin Aktionen anbieten. Deaktiviere sie unter Einstellungen > Bluetooth und Geräte > Automatische Wiedergabe oder verlange jedes Mal eine Auswahl. Gruppenrichtlinien können diese Einstellungen verwalten.

Deinstalliere ungenutzte Testsoftware, veraltete Plug-ins und unnötige Anwendungen. Deaktiviere ungenutzte Dienste erst, nachdem du die Abhängigkeiten in services.msc geprüft hast. Remotedesktop auf einem PC ohne genehmigten Fernzugriffsbedarf auszuschalten, ist sinnvoll; das Deaktivieren eines benötigten Dienstes kann dagegen die Arbeit des Benutzers beeinträchtigen.

Halte Fehlerbehebungen aktuell

Installiere Sicherheitsupdates für Betriebssystem, Anwendungen und Treiber zeitnah. Gib einer bereits ausgenutzten Schwachstelle Vorrang. Ein Patch kann erst helfen, wenn er installiert und ein erforderlicher Neustart abgeschlossen ist. Ersetze oder isoliere nicht mehr unterstützte Produkte, die keine Fehlerbehebungen mehr erhalten.

Für einen Büro-Ersatzlaptop ist folgende Reihenfolge sinnvoll: veraltete Konten und Software entfernen, aktuelle Updates anwenden, den Status von Virenschutz und Firewall prüfen, automatische Sperre und Verschlüsselung überprüfen und anschließend die benötigten Anwendungen testen. So bestätigst du, dass das gehärtete Gerät benutzbar bleibt.

Schütze auch die Hardware und die Informationen in ihrer Umgebung. Sichere einen unbeaufsichtigten Laptop, lasse ihn möglichst nicht im Auto, schließe vertrauliche Ausdrucke ein, räume den Schreibtisch frei und nutze Blickschutzfilter, wo Bildschirme eingesehen werden können. Personenbezogene Daten identifizieren eine Person und müssen bei der gewöhnlichen Supportarbeit durchgehend geschützt werden.

Ruhende Daten sind auf einem Gerät gespeichert; Daten bei der Übertragung bewegen sich über ein Netzwerk. Datenträgerverschlüsselung schützt gespeicherte Daten, wenn ein ausgeschaltetes Gerät gestohlen oder sein Laufwerk ausgebaut wird. Sobald der Benutzer eine Sitzung entsperrt, können Anwendungen und Schadsoftware in dieser Sitzung zugängliche Dateien lesen. Halte daher auch Bildschirmsperren und Schadsoftwareschutz funktionsfähig.

Wähle das Windows-Werkzeug

BitLocker nutzt normalerweise ein Trusted Platform Module (TPM), um Schlüsselmaterial zu schützen und die Integrität des Startvorgangs zu prüfen. Es unterstützt TPM 1.2 oder neuer; Windows 11 benötigt TPM 2.0. Eine Start-PIN ergänzt eine Prüfung vor dem automatischen Entsperren. Ohne TPM nutzen unterstützte Konfigurationen einen USB-Startschlüssel. Führe manage-bde -status aus, um Verschlüsselungs- und Schutzstatus zu prüfen.

Windows 11 Version 24H2 hat die Voraussetzungen für automatische Geräteverschlüsselung erweitert. Bei einer geeigneten Neuinstallation kann die Verschlüsselung beginnen, bevor der Schutz aktiviert ist. Die Anmeldung mit einem Microsoft- oder Arbeitskonto sichert den Wiederherstellungsschlüssel und aktiviert den Schutz. Bei einer Einrichtung ausschließlich mit lokalem Konto kann ein ungeschützter Schlüssel verbleiben, was ausgesetztem Schutz entspricht. Prüfe den Schutzstatus, nicht nur den verschlüsselten Prozentsatz. Externe Laufwerke benötigen eigenen Schutz.

Stelle nach einer Startänderung den Zugriff wieder her

Der BitLocker-Wiederherstellungsschlüssel ist ein 48-stelliges Wiederherstellungskennwort in 8 Gruppen zu je 6 Ziffern. Eine Schlüssel-ID kennzeichnet den passenden Eintrag. Firmwareänderungen, geänderte Starteinstellungen, ein versetztes Laufwerk oder wiederholt falsche Start-PINs können die Wiederherstellung auslösen.

Bei einem Wiederherstellungsbildschirm nach einem Firmware-Update:

1. Gleiche dessen Schlüssel-ID mit dem Eintrag im Verzeichnis der Organisation oder im Microsoft-Konto des Eigentümers ab.
2. Rufe den autorisierten 48-stelligen Wert ab und entsperre das Laufwerk.
3. Prüfe, ob die Startänderung erwartet wurde und der Schutz danach aktiv ist.

Bewahre Wiederherstellungsinformationen außerhalb des verschlüsselten Laufwerks auf: im genehmigten Verzeichnis, Konto, an einem separaten Dateispeicherort oder als geschützten Ausdruck. Microsoft kann einen fehlenden Schlüssel nicht erstellen. Befolge vor geplanten Firmware- oder Hardwarearbeiten das genehmigte Verfahren zum Aussetzen des Schutzes. Dabei bleiben Daten verschlüsselt, ein Schlüssel ist aber vorübergehend zugänglich. Setze den Schutz nach der Änderung fort und prüfe ihn.

Schütze Dateien und andere Plattformen

EFS nutzt ein Benutzerzertifikat und einen privaten Schlüssel, um ausgewählte NTFS-Dateien zu verschlüsseln. Der Eigentümer öffnet sie normal; andere Benutzer, standardmäßig auch Administratoren, können sie nicht allein durch Administratorrechte entschlüsseln. Sichere das Zertifikat mit seinem privaten Schlüssel, normalerweise als geschützte .pfx-Datei, oder stelle sicher, dass ein autorisierter Wiederherstellungsagentschlüssel vorhanden ist. Andernfalls können Profilverlust oder das Zurücksetzen eines lokalen Passworts durch einen Administrator Dateien unzugänglich machen. Das Kopieren auf FAT32 oder exFAT entfernt den EFS-Schutz.

BitLocker schützt beim Besitz des Laufwerks durch eine andere Person; EFS betrifft den Zugriff anderer Benutzer auf ausgewählte Dateien. FileVault bietet Mac-Datenträgerverschlüsselung mit konfigurierten Wiederherstellungsoptionen. iPhones und iPads nutzen Verschlüsselung und an den Gerätecode gebundenen Datenschutz. Aktuelle Android-Smartphones nutzen Speicherverschlüsselung mit Bildschirmsperre. Starke Sperren und geprüfte Wiederherstellungsmöglichkeiten bleiben auf jeder Plattform nötig.

Eine Datei zu löschen, bereinigt den Datenträger nicht zuverlässig. Auf einer HDD wird der Verweis entfernt, die Daten können bis zum Überschreiben bleiben. SSD-TRIM und Speicherbereinigung können gelöschte Blöcke löschen, ihr Zeitpunkt ist für die Entsorgung aber nicht zuverlässig.

Wähle das erforderliche Ergebnis

Das NIST-Rahmenwerk unterscheidet drei Ergebnisse:

Wähle anhand der Vertraulichkeit der Daten, der Organisationsrichtlinie und des künftigen Verbleibs des Geräts. Stelle vor Beginn sicher, dass wichtige Daten gesichert sind und das Löschen genehmigt ist.

Eine Schnellformatierung erstellt ein leeres Dateisystem. Auf einer HDD können viele alte Inhalte bleiben. Die vollständige Formatierung im aktuellen Windows überschreibt auch die gewählte Partition, bereinigt aber weder Bereiche außerhalb davon noch SSD-Reserveblöcke. Eine echte Low-Level-Formatierung gehört zur Herstellung; so bezeichnete Dienstprogramme überschreiben gewöhnlich den Datenträger.

Stimme das Verfahren auf den Datenträger ab

Genehmigtes vollständiges Überschreiben kann eine HDD logisch löschen; für diese Stufe genügt bei modernen Laufwerken ein Durchgang. Weitere Durchgänge kosten Zeit, ohne den Schutz vor gewöhnlicher Wiederherstellung sinnvoll zu verbessern. Bei 150 MB/s sind für 1 TB insgesamt 1.000.000 MB zu schreiben. Die Division ergibt etwa 6.667 Sekunden oder 1 Stunde 51 Minuten; drei Durchgänge dauern etwa 5,6 Stunden.

Eine SSD verteilt Schreibvorgänge durch Wear-Leveling und Reserveblöcke. Überschreiben durch das Betriebssystem kann alte Daten auslassen. Nutze ein genehmigtes, für das Laufwerk geeignetes Sanitize- oder Secure-Erase-Verfahren des Herstellers oder ein validiertes Verfahren zum kryptografischen Löschen und prüfe den Abschluss.

Kryptografisches Löschen macht verschlüsselte Daten unzugänglich, indem es das zur Entschlüsselung nötige Schlüsselmaterial vernichtet. Die Daten müssen ausreichend verschlüsselt worden sein und jede nutzbare Kopie des relevanten Schlüsselmaterials muss beseitigt werden. Eine Wiederherstellungsschlüsseldatei zu löschen oder eine BitLocker-Schutzvorrichtung zu entfernen genügt nicht. Ein genehmigtes Bereinigungsverfahren behandelt den nötigen Schlüssellebenszyklus. Moderne Verfahren zum Zurücksetzen verschlüsselter Smartphones können Schlüssel löschen; melde dich vor einer genehmigten Übergabe vom Apple- oder Google-Konto des Eigentümers ab, damit Aktivierungssperre oder Schutz vor dem Zurücksetzen auf Werkseinstellungen den nächsten Benutzer nicht blockieren.

Erkenne, wann Vernichtung nötig ist

Ein ausgefallenes Laufwerk kann lesbare Daten enthalten. Nutze genehmigte Vernichtung, wenn Löschen nicht abgeschlossen werden kann oder die Richtlinie es verlangt. Industrielles Schreddern zerlegt Datenträger in ausreichend kleine Stücke. Einzelne Bohrlöcher können lesbare Fragmente von Magnetscheiben oder Chips hinterlassen. Entmagnetisierung wirkt auf magnetische Datenträger wie HDDs und Bänder, nicht auf Flash-Chips in SSDs. Zugelassene Anlagen können auch Verbrennung einsetzen.

Bereinige bei der Übergabe an einen Mitarbeiter den Laptop mit dem genehmigten Verfahren und installiere das Unternehmensimage. Nutze für eine SSD mit vertraulichen Daten, die die Organisation verlässt, ein genehmigtes Verfahren zum sicheren Löschen und prüfe das Ergebnis. Eine Neuinstallation per Image allein kann alte Daten hinterlassen.

Schließe die Entsorgungsdokumentation ab

Verfolge Geräte über eine dokumentierte Beweismittelkette. Der Nachweis eines Entsorgungsdienstleisters sollte Seriennummern, Datum und Verfahren sowie die Angabe enthalten, ob Datenträger vernichtet oder recycelt wurden. Dokumentiere die angeforderte Maßnahme und Belege für die Überprüfung. Befolge geltende Datenschutz- und Elektroschrottvorschriften und gib Geräte und Batterien an zugelassene Recyclingstellen.

Ein WLAN braucht moderne Verschlüsselung und ein zu seinen Benutzern passendes Authentifizierungsverfahren. Ein starkes gemeinsames Passwort hilft einem kleinen Team; individuelle Identitäten erleichtern bei wachsender Organisation den Entzug des Zugangs.

Wähle eine unterstützte Sicherheitsgeneration

TKIP war eine Zwischenlösung für ältere Hardware. Es ist schwächer und verhindert moderne hohe WLAN-Datenraten. Vermeide „WPA/WPA2 gemischt TKIP+AES“. AES ist das moderne Verschlüsselungsverfahren in WPA2 und WPA3. WPA3-Enterprise bietet zusätzlich einen stärkeren optionalen 192-Bit-Sicherheitsmodus.

Wähle WPA3, wenn alle Geräte es unterstützen. Der WPA2/WPA3-Übergangsmodus berücksichtigt ältere Geräte, die aber weiterhin WPA2-Schutz nutzen. Lasse AES aktiviert und plane den Ersatz inkompatibler Geräte.

Der Personal-Modus nutzt ein gemeinsames Geheimnis

Im Personal-Modus verwenden alle eine gemeinsame Passphrase, gewöhnlich mit 8–63 Zeichen. WPA2-Personal nutzt einen vorab gemeinsam festgelegten Schlüssel (PSK). Aufgezeichneter Verbindungsverkehr ermöglicht einem Angreifer, Passphrasen offline auszuprobieren. Daher ist eine lange zufällige Passphrase wertvoll.

WPA3-Personal nutzt Simultaneous Authentication of Equals (SAE) gegen passives Offline-Raten und bietet Vorwärtsgeheimnis: Ein später bekannt gewordenes Passwort legt früher aufgezeichneten Datenverkehr nicht offen. Reiner WPA3-Betrieb verlangt Protected Management Frames (PMF), die bestimmte Verwaltungsnachrichten vor Fälschung schützen. Der Übergangsmodus behält ein schwächeres Kompatibilitätsverhalten für WPA2-Clients bei.

Wer das gemeinsame Geheimnis kennt, kann sich bis zu seiner Änderung weiter verbinden. Trenne Gäste und ändere das Geheimnis der Mitarbeiter, wenn es bekannt wurde oder ein ehemaliger Benutzer den Zugang verlieren soll.

Der Enterprise-Modus prüft jeden Benutzer

Der Enterprise-Modus mit 802.1X gibt Benutzern eigene Zugangsdaten oder Zertifikate. Der Access Point leitet die Authentifizierung an einen Server weiter, gewöhnlich RADIUS, der mit dem Organisationsverzeichnis verbunden ist. Deaktiviere das Konto eines ausscheidenden Mitarbeiters, ohne das Passwort jedes Geräts zu ändern. Clients müssen das Zertifikat des genehmigten Authentifizierungsservers prüfen; ein passender Netzwerkname allein macht eine Anmeldeanfrage nicht vertrauenswürdig.

Eine Zahnarztpraxis mit 12 Mitarbeitern könnte WPA3-Personal und ein isoliertes Gastnetz für Patienten nutzen. Ein Unternehmen mit 300 Mitarbeitern und häufigem Personalwechsel profitiert vom Enterprise-Modus und zentraler Kontosteuerung. Entscheidend sind Zugangsverwaltung und Verschlüsselungsstärke.

Erkenne die Aufgaben der Protokolle

RADIUS unterstützt häufig WLAN, VPN und Fernzugriff. Herkömmliches RADIUS nutzt UDP 1812 für Authentifizierung und UDP 1813 für Abrechnung; sein herkömmlicher Paketschutz verschlüsselt das Passwort, nicht das ganze Paket. TACACS+ nutzt TCP 49, schützt den Nachrichteninhalt und trennt Authentifizierung, Autorisierung und Abrechnung; es verwaltet hauptsächlich Administratorzugriff auf Router und Switches. Kerberos liefert Tickets für Windows-Domänenanmeldungen. MFA kann auch in unterstützte RADIUS-Zugangssysteme eingebunden werden.

Ein Router kontrolliert den Übergang zwischen lokalen Geräten und Internet. Sein Administratorpasswort schützt die Konfiguration; seine WLAN-Passphrase ermöglicht Clients den Beitritt. Beide Geheimnisse sollten stark und einzigartig sein.

Sichere zuerst den Verwaltungszugang

Ersetze gemeinsame werkseitige Administratorzugangsdaten, einschließlich des Benutzernamens, wo unterstützt. Fordert die Einrichtung ein neues Passwort, wähle ein einzigartiges. Installiere aktuelle Firmware und aktiviere verfügbare automatische Updates. Ersetze Router ohne weitere Fehlerbehebungen.

Nutze HTTPS für die Verwaltungsseite. Deaktiviere Verwaltung aus dem Internet (WAN), sofern kein konkreter genehmigter Bedarf besteht, und beschränke sie auf kabelgebundene LAN-Clients oder festgelegte Adressen. Wer die Oberfläche mit gültigen Zugangsdaten erreicht, kann Netzwerkeinstellungen ändern.

Konfiguriere den WLAN-Zugang

Ändere die werkseitige SSID, den Netzwerknamen, in einen neutralen Namen, der weder Eigentümeradresse noch Routermodell verrät. Stelle WPA3 oder für ältere Clients den AES-basierten WPA2/WPA3-Übergangsmodus ein. Deaktiviere Wi-Fi Protected Setup (WPS). Das PIN-Verfahren prüft zwei Teile getrennt und reduziert den theoretischen Suchraum von allen achtstelligen Möglichkeiten auf höchstens 11.000 Kombinationen, bevor Sperrmaßnahmen berücksichtigt werden.

Das Verbergen der SSID entfernt sie aus gewöhnlichen Listen, doch Verbindungsverkehr verrät sie weiterhin. Auch MAC-Adressfilterung schützt begrenzt, weil Angreifer eine autorisierte Adresse kopieren können. Beides ersetzt weder Verschlüsselung noch starke Authentifizierung.

Trenne Gäste und erreichbare Dienste

Erstelle eine Gast-SSID mit eigener Passphrase. Bestätige, dass Gäste Internetzugang haben, aber keine Bürocomputer oder Drucker erreichen. Client-Isolierung kann außerdem Gäste voneinander trennen. Trenne Geräte des Internets der Dinge, sofern unterstützt, da ihre Update- und Verwaltungsmöglichkeiten schwächer sein können.

Universal Plug and Play (UPnP) ermöglicht lokalen Geräten, automatisch eingehende Portzuordnungen anzufordern. Deaktiviere es, sofern kein unterstützter Bedarf es rechtfertigt. Auch Schadsoftware auf einem lokalen Gerät kann dies missbrauchen.

Portweiterleitung leitet einen externen Port an ein bestimmtes internes Gerät weiter. Bei einem genehmigten Webserver macht TCP 443 an eine reservierte interne Adresse den Webdienst erreichbar. Dokumentiere den Zweck und entferne die Zuordnung, wenn der Dienst endet. Der Host benötigt eigene Updates und Firewallschutz.

Die SOHO-Vereinfachung ist keine isolierte demilitarisierte Zone. Nutze eine bestimmte Portzuordnung für einen benötigten Dienst; weitere Ports vergrößern die Angriffsfläche.

Schließe die Prüfungen ab

Lasse die Routerfirewall aktiviert. IP-Filterung erlaubt oder blockiert festgelegte Adressen, Inhaltsfilterung blockiert Websitekategorien oder schädliche Domains. Deaktiviere ungenutzte Firewallöffnungen und physische Ports, wo verwaltete Geräte dies ermöglichen.

Stelle den Router so auf, dass Besucher weder Reset drücken noch Kabel austauschen können. Ein Reset kann Standardeinstellungen wiederherstellen. Zentrale Aufstellung und geeignete Sendeleistung können das Signal außerhalb des Arbeitsbereichs verringern; Verschlüsselung bleibt überall wichtig, wo das Signal hinreicht.

Teste vor Abschluss Mitarbeiterzugang, Gastisolierung und benötigte Dienstzuordnungen vom richtigen Netzwerk aus. Sichere die genehmigte Konfiguration und dokumentiere Zugangsdaten im autorisierten Speicher für Geheimnisse.

Smartphones, Tablets und Laptops enthalten gespeicherte Dateien und aktiven Kontozugriff. Kombiniere eine starke Bildschirmsperre mit Verschlüsselung, Updates und einem Wiederherstellungsplan, bevor das Gerät verloren geht.

Richte eine wirksame Sperre ein

Wischen bietet keinen Schutz. Muster sind leicht zu beobachten und können erkennbare Spuren hinterlassen. Bei einer PIN wächst die Zahl der Möglichkeiten mit der Länge: vier Ziffern bieten 10.000 Kombinationen, sechs Ziffern eine Million. Ein unvorhersehbar gewähltes langes Passwort bietet einen größeren Suchraum.

Entsperren per Fingerabdruck und Gesicht ist bequem, doch die Hardwarequalität zählt. Gesichtserkennung nur mit Kamera kann schwächer sein als eine geeignete PIN. Die Ersatz-PIN oder das Ersatzpasswort muss stark sein. Stelle eine kurze automatische Sperrzeit ein, etwa eine Minute, und aktiviere die Beschränkungen der Organisation für Fehlversuche.

Verzögerungen bremsen wiederholte falsche Eingaben. Auf dem iPhone entfernt die optionale Einstellung „Daten löschen“ Gerätedaten nach zehn aufeinanderfolgenden fehlgeschlagenen Gerätecodeversuchen. Prüfe die Datensicherung vor Aktivierung einer genehmigten Löschrichtlinie. MDM kann Gerätecode- und Versuchseinstellungen durchsetzen.

Erhalte den Plattformschutz

Moderne iPhones und Android-Smartphones nutzen Speicherverschlüsselung mit Gerätecode oder Bildschirmsperre. Laptops nutzen BitLocker oder FileVault. Installiere Betriebssystem- und App-Updates zeitnah und ersetze für die Arbeit genutzte Smartphones ohne weitere Sicherheitsupdates.

Installiere Apps aus offiziellen Stores und vermeide das Rooten von Android und einen Jailbreak von iOS, da dadurch wichtige eingebaute Einschränkungen entfallen. Prüfe weitreichende App-Berechtigungen. Android-Sicherheits-Apps können andere installierte Apps innerhalb der Plattformgrenzen scannen. Unter iOS und iPadOS verhindert die Sandbox-Abschottung, dass Virenschutzprogramme von Drittanbietern andere Apps oder Systemdateien scannen; Sicherheitswerkzeuge konzentrieren sich stattdessen etwa auf Filterung schädlicher Websites und Konfigurationsprüfungen.

Bereite Wiederherstellungswerkzeuge vor und nutze sie

Apples „Wo ist?“ und Googles Find Hub können ein unterstütztes verlorenes Gerät orten, einen Ton abspielen, es sichern und eine Löschung anfordern. Bestätige die Registrierung für die Ortung im Voraus. Für eine Fernlöschung muss das Gerät den Befehl empfangen; bei einem Offlinegerät kann die Anforderung ausstehen. Verschlüsselung schützt gespeicherte Daten währenddessen.

Sichere wichtige Daten über den genehmigten Dienst, etwa iCloud, Google-Back-up oder OneDrive. Sperre nach Verlust das Gerät oder markiere es als verloren, befolge die Richtlinie zur Fernlöschung, widerrufe gefährdete Sitzungen oder Zugangsdaten und dokumentiere den Vorfall. Stelle Daten aus einer vertrauenswürdigen Datensicherung auf einem Ersatzgerät wieder her.

Wende den passenden Verwaltungsumfang an

Bei der Verwaltung mobiler Geräte (MDM) werden Geräte für zentrale Kontrollen registriert. Ein Konfigurationsprofil kann WLAN-, VPN- und E-Mail-Einstellungen bereitstellen oder Verschlüsselung, eine Mindestversion des Betriebssystems und einen Gerätecode verlangen. Nicht richtlinienkonforme Geräte können von Arbeitsdiensten ausgeschlossen werden.

Eine selektive Löschung entfernt Organisationsdaten und erhält im unterstützten Verwaltungsmodell Fotos und private Apps des Eigentümers. Erkläre dies bei der Registrierung. Prüfe bei einem ausscheidenden Mitarbeiter mit privatem Smartphone, dass das Arbeitsprofil entfernt und Kontositzungen widerrufen wurden; wähle keine vollständige Gerätelöschung, wenn nur das Entfernen der Arbeitsdaten genehmigt ist.

Ein Symptom ist ein Hinweis für die Untersuchung und kein Schadsoftwarename. Achte auf Muster, ermittle ihren Beginn und prüfe neben Sicherheitsursachen gewöhnliche Erklärungen.

Erkenne das Muster

PC-Warnzeichen sind nicht erreichbare Netzwerke, unerwartete Warnungen oder Benachrichtigungen, veränderte Dateien, fehlgeschlagene Updates, deaktivierte Sicherheitssoftware und hohe Prozessor-, Datenträger- oder Netzwerkauslastung im Leerlauf. Browseranzeichen sind wiederholte Pop-ups, Weiterleitungen, unbekannte Symbolleisten oder Erweiterungen, geänderte Sucheinstellungen, Zertifikatswarnungen und schlechte Leistung.

Achte auf Mobilgeräten auf ungewöhnlich hohen Datenverbrauch, Überhitzung, Akkuentladung, langsame Reaktion, unbekannte Apps, übermäßige Werbung, gefälschte Warnungen, nach außen gelangte Dateien und verlorene Verbindungen. Inoffizielle App-Quellen, Root-Zugriff oder Jailbreak und unnötige Entwicklereinstellungen erhöhen das Risiko. Bei App-Spoofing sieht eine gefälschte App wie eine vertrauenswürdige aus.

Ein heißes Smartphone führt möglicherweise ein Update oder eine anspruchsvolle App aus. Hitze zusammen mit einer unbekannten App und unerklärter Netzwerknutzung ist ein stärkerer Grund, diese App zu untersuchen.

Schließe häufige Fehler durch geeignete Prüfungen aus

Frage, was der Benutzer sah, wann es begann und was er kurz zuvor installierte oder öffnete. Der Task-Manager zeigt Prozesse und Autostarteinträge. Prüfe installierte Apps, Browsererweiterungen und relevante Ereignisanzeigeeinträge. Die Hosts-Datei unter C:\Windows\System32\drivers\etc\hosts kann bei Änderung Namen umleiten; vergleiche unerwartete Einträge vor Änderungen mit der genehmigten Konfiguration.

Ist die Uhr falsch eingestellt, korrigiere sie über die genehmigten Zeiteinstellungen und teste die Website erneut. Umgehe eine Zertifikatswarnung nicht. Fällt ein Laufwerk aus, repariert ein Schadsoftware-Scan seine Hardware nicht.

Reagiere auf erkennbare Muster

Veränderte Suchergebnisse, eine neue Symbolleiste und Werbung auf verschiedenen Websites deuten auf Adware oder einen Browser-Hijacker hin. Befolge das Entfernungsverfahren und prüfe Erweiterungen und Anwendungen. Plötzlich verschlüsselte oder umbenannte Dateien zusammen mit Lösegeldforderungen erfordern sofortige Netzwerkisolierung, da auch freigegebener Speicher betroffen sein kann.

Eine Browserseite mit „Ihr PC ist infiziert! Rufen Sie sofort den Microsoft-Support an“ ist Scareware. Echte Fehler- und Warnmeldungen von Microsoft enthalten keine Supporttelefonnummer. Schließe die Seite, nötigenfalls den Browser über den Task-Manager. Rufe nicht an und installiere das angebotene Werkzeug nicht. Führe anschließend passende Prüfungen durch.

Hat der Benutzer einem Fremden Fernzugriff erlaubt, behandle das Gerät als kompromittiert und ändere betroffene Passwörter von einem sauberen Gerät aus. Dokumentiere den Fernzugriff und befolge das Eskalationsverfahren der Organisation. Eine Browserseite, die einen Befall behauptet, und eine bestätigte Kompromittierung erfordern unterschiedliche Schlussfolgerungen, selbst bei derselben ursprünglichen Warnung.

Ein strukturiertes Entfernungsverfahren begrenzt die Ausbreitung, bereinigt das Gerät und prüft, ob es sicher zurückgegeben werden kann. Befolge auf verwalteten Geräten die Sicherheitseskalationsregeln der Organisation. Die Standardabfolge umfasst Aufgaben zur Systemwiederherstellung auf Windows-PCs, die sie nutzen.

Untersuche und isoliere dann

Dokumentiere Symptome, Beginn und kürzliche Benutzeraktionen. Prüfe offensichtliche andere Ursachen wie eine falsch eingestellte Uhr oder einen vollen Datenträger. Trenne das Gerät bei Anzeichen aktiver Ransomware umgehend vom Netzwerk und setze die Untersuchung fort.

Isolierung bedeutet, das betroffene Gerät vom Netzwerk zu trennen: Ziehe Ethernet ab und deaktiviere WLAN. Vermeide Wechseldatenträger, die den Befall weitertragen könnten. Kennzeichne für Übertragungen verwendete Datenträger für spätere Scans oder sichere Bereinigung. Isolierung begrenzt Ausbreitung und weitere Datenübertragung; vorhandene Schadsoftware entfernt sie nicht.

Entferne kontaminierte Wiederherstellungspunkte

Deaktiviere vor der Bereinigung gemäß Richtlinie die Systemwiederherstellung auf einem Windows-PC, der sie nutzt. Vorhandene Wiederherstellungspunkte werden gelöscht, weil sie Schadsoftware enthalten können. Die Systemwiederherstellung zeichnet ausgewählte Systemzustände auf; sie ist kein separater Datensicherungsdienst für den Benutzer. Dokumentiere dies, damit der Schutz zum richtigen Zeitpunkt wiederhergestellt wird.

Bereinige mit aktuellen Werkzeugen

1. Aktualisiere Schadsoftwareschutz und Definitionen. Nutze für einen isolierten PC ein vertrauenswürdiges Updatepaket von einem sauberen Gerät und genehmigte Übertragungsmedien.
2. Scanne und entferne Schadsoftware in einer geeigneten Umgebung. Der abgesicherte Modus startet eine begrenzte Auswahl von Windows-Komponenten. Eine Vorinstallationsumgebung, vertrauenswürdige Startmedien oder Defender Offline arbeiten außerhalb der normalen infizierten Sitzung.
3. Prüfe Autostarteinträge, geplante Aufgaben und Browsererweiterungen auf Persistenz, also Einstellungen, die unerwünschten Code erneut starten.
4. Scanne erneut und teste die ursprünglichen Symptome. Untersuche wiederkehrenden Befall, statt jede Warnung als unabhängig zu behandeln.

Ein Rootkit kann sich vor Werkzeugen im gewöhnlichen Windows verstecken. Ein Schnellscan ohne Befund allein erklärt keine anhaltenden Anzeichen.

Setze das System neu auf, wenn Vertrauen nicht wiederhergestellt werden kann

Lässt sich ein Rootkit, Ransomware oder wiederkehrender Befall nicht zuverlässig entfernen, lösche das Laufwerk und installiere das System aus einer sauberen Betriebssystemquelle oder einem genehmigten Unternehmensimage neu. Stelle Benutzerdaten aus einer auf Befall geprüften Datensicherung wieder her. Eine Firmwarekompromittierung kann außerdem eine vom Hersteller genehmigte Firmwarewiederherstellung erfordern; eine Windows-Neuinstallation ersetzt die Firmware nicht.

Eine Neuinstallation per Image ist eine Wiederherstellungsmethode, doch wo alte Daten sicher bereinigt werden müssen, bleibt sicheres Löschen nötig. Bewahre saubere Datensicherungen getrennt vom infizierten System auf, damit die Wiederherstellungskopie nicht mit aktuellen Dateien verschlüsselt oder verändert wird.

Stelle den Schutz wieder her und schließe die Übergabe ab

Plane regelmäßige Scans und installiere Betriebssystem-, Anwendungs- und Definitionsupdates. Aktiviere die Systemwiederherstellung erneut und erstelle nach der Bereinigung einen neuen sauberen Wiederherstellungspunkt. Ein zu früher Zeitpunkt kann den Befall erneut bewahren.

Waren Spyware, ein Keylogger oder Zugangsdatenverlust beteiligt, ändere betroffene Passwörter von einem sauberen Gerät aus und kümmere dich um den Kontozugriff. Erkläre dem Benutzer die passende Vorbeugung, etwa Updates von der echten Herstellerseite statt aus einem Pop-up zu beziehen. Dokumentiere Befunde, Isolierung, Werkzeuge, Ergebnisse, Wiederherstellungsquelle und Abschlussprüfungen vor der Rückgabe im Ticket.

Vorbeugung kombiniert Werkzeuge für verschiedene Angriffsphasen. Virenschutz prüft Software, E-Mail-Filterung prüft die Zustellung, die Host-Firewall begrenzt Verbindungen und Benutzer können verdächtige Anfragen erkennen. Halte jede Schutzmaßnahme aktuell, damit eine übersehene Bedrohung auf eine weitere Prüfung trifft.

Erkenne die Aufgaben der Werkzeuge

Signaturbasierte Erkennung gleicht bekannte Bedrohungsmuster ab und braucht Definitionsupdates. Heuristische oder verhaltensbasierte Erkennung sucht verdächtige Aktionen wie die schnelle Verschlüsselung vieler Dokumente und erkennt auch Bedrohungen ohne bekannte Dateisignatur.

Endpoint Detection and Response (EDR) zeichnet Geräteaktivität auf, erkennt verdächtiges Verhalten und unterstützt etwa Fernisolierung. Managed Detection and Response (MDR) stellt ein externes Team für Erkennung und Reaktion. Extended Detection and Response (XDR) verbindet Informationen von Endpunkten, E-Mail, Netzwerken und Cloud-Identitäten. Das sind verwandte Funktionen und Dienste, nicht drei austauschbare Namen für Virenschutz.

Ein E-Mail-Sicherheitsgateway prüft Spam, Phishing, Anhänge und Links vor der Zustellung und testet Dateien manchmal in einer Sandbox. Filter können überzeugende Anfragen übersehen, besonders Zahlungsbetrug ohne Link. Benutzerschulung und schnelle Meldung bleiben hilfreich.

Vertraue dem Downloadweg und prüfe die Datei

Beziehe Software vom Hersteller oder aus einem offiziellen App-Store. Ein Pop-up, das ein Browserupdate behauptet, ist kein vertrauenswürdiger Vertriebsweg. Veröffentlicht ein Hersteller einen SHA-256-Hashwert, berechne den Hashwert der heruntergeladenen Datei in PowerShell:

Get-FileHash .\setup.exe -Algorithm SHA256

Alternativ nutze certutil -hashfile setup.exe SHA256. Vergleiche alle 64 Hexadezimalzeichen mit dem über den vertrauenswürdigen Herstellerweg erhaltenen Wert. Eine Abweichung bedeutet, dass die Datei anders oder beschädigt ist: Führe sie nicht aus. Ein übereinstimmender Hashwert von einer angreiferkontrollierten Seite würde nur die Übereinstimmung mit dieser Seite bestätigen; die Herkunft des Vergleichswerts zählt.

Warte den Browser

Lasse automatische Updates aktiviert und starte bei Bedarf neu, um sie abzuschließen. Installiere nur benötigte Erweiterungen aus offiziellen Stores und von vertrauenswürdigen Herausgebern. Prüfe angeforderte Berechtigungen: „Alle Ihre Daten auf allen Websites lesen und ändern“ gewährt weitreichenden Zugriff. Entferne unbekannte oder ungenutzte Erweiterungen. Organisationen können Erweiterungen und Funktionen zentral steuern.

Lasse den Pop-up-Blocker aktiviert. Ein genehmigter Werbeblocker kann auch die Gefährdung durch schädliche Werbung verringern. Das Löschen von Cache und Browserdaten kann Darstellungsprobleme beheben und lokal gespeicherte Daten auf gemeinsam genutzten Computern entfernen. Prüfe Proxy-Einstellungen, wenn unerklärte Weiterleitungen auf umgeleiteten Verkehr hindeuten.

Sicheres DNS, gewöhnlich DNS over HTTPS, verschlüsselt Namensabfragen. Ein filternder DNS-Anbieter kann bekannte schädliche Domains blockieren. Verschlüsselung der Abfrage und Filterung der Antwort sind getrennte Funktionen.

Deute Datenschutz- und Verbindungsanzeigen

HTTPS mit gültigem Zertifikat sichert die Verbindung zur angegebenen Domain; der Eigentümer kann dennoch eine betrügerische Website betreiben. Eine Zertifikatswarnung kann auf falschen Namen, abgelaufenes Zertifikat, nicht vertrauenswürdigen Aussteller oder Abfangen hindeuten. Untersuche sie, besonders vor Anmeldung oder Zahlung.

Privates Surfen begrenzt Verlauf, Cookies und Formulardaten, die nach Ende der privaten Sitzung lokal bleiben. Websites, Arbeitgeber, Netzbetreiber und Internetanbieter können Aktivitäten weiterhin beobachten; Downloads können auf dem Datenträger bleiben. Es bietet keinen Schadsoftwareschutz.

Browsersynchronisierung kann Passwörter, Lesezeichen und Verlauf auf andere angemeldete Geräte kopieren. Schütze das Synchronisierungskonto mit MFA und vermeide persönliche Synchronisierung auf gemeinsam genutzten oder öffentlichen Computern.