Was ist Härtung?

Härtung einfach erklärt

Neue Server, Laptops, Router oder Cloud-Dienste sind ab Werk oft so eingestellt, dass sie möglichst einfach funktionieren. Komfort hat Vorrang vor Sicherheit: Viele Dienste laufen „für alle Fälle“, alte Protokolle bleiben aus Kompatibilitätsgründen aktiv, manche Geräte haben Standardpasswörter. Härtung kehrt diese Prioritäten um.

Stellen Sie sich ein Bürogebäude nach Feierabend vor. Der Hausmeister schließt alle Seiteneingänge ab, die abends niemand braucht, schaltet den Lastenaufzug ab und lässt nur einen überwachten Haupteingang offen. Die Räume bleiben dieselben – aber es gibt viel weniger Wege hinein.

Fachlich gesprochen verkleinert Härtung die Angriffsfläche, also die Summe aller Stellen, an denen ein Angreifer ansetzen kann.

So funktioniert Härtung

1. Bestandsaufnahme: Welche Systeme gibt es, und welche Aufgaben erfüllen sie?
2. Vorgaben festlegen: Für jeden Systemtyp wird eine verbindliche Sicherheitskonfiguration definiert, oft Härtungsrichtlinie oder Baseline genannt. Orientierung bieten etwa die CIS Benchmarks (frei verfügbare Konfigurationsempfehlungen für viele Systeme), Empfehlungen der Hersteller und die Bausteine des IT-Grundschutzes des BSI.
3. Umsetzen: Die Einstellungen werden möglichst automatisiert verteilt, etwa über Gruppenrichtlinien (zentrale Vorgaben in Windows-Netzen) oder Werkzeuge für das Konfigurationsmanagement. So sind auch neue Systeme von Anfang an gehärtet.
4. Prüfen und pflegen: Mit der Zeit weichen Konfigurationen schleichend von der Vorgabe ab, etwa durch Updates oder schnelle Änderungen im Alltag. Regelmäßige Kontrollen holen sie zurück.

Typische Härtungsmaßnahmen sind:

• nicht benötigte Dienste, Ports und Funktionen deaktivieren
• Standardpasswörter ändern und Gastkonten abschalten
• veraltete Protokolle wie SMBv1 (für Dateifreigaben) oder Telnet (für Fernzugriff) abschalten und Verbindungen per Verschlüsselung und Signierung vor Mitlesen und Manipulation schützen
• Rechte auf das Nötigste beschränken
• Verwaltungszugänge absichern und nicht aus dem Internet erreichbar machen
• Makros (kleine Programme in Office-Dokumenten) blockieren, wenn die Datei aus dem Internet stammt
• Protokollierung aktivieren, damit Angriffe erkennbar werden

Härtung ist übrigens nicht dasselbe wie Patch-Management. Updates beheben Programmierfehler, Härtung beseitigt riskante Einstellungen. Beides ergänzt sich.

Ein Beispiel aus der Praxis

Ein Autohaus mit mehreren Filialen lässt seine aus dem Internet erreichbaren Systeme testen. Alle Updates sind eingespielt. Trotzdem findet das Prüfteam mehrere Ansatzpunkte: Die Verwaltungsoberfläche der Firewall ist aus dem Internet erreichbar. Auf einem Server läuft noch ein Dienst zur Dateiübertragung aus der Einrichtungsphase, der Passwörter unverschlüsselt überträgt. Und der Webserver verrät in jeder Antwort seine genaue Softwareversion.

Keiner dieser Punkte ist ein Programmierfehler – es sind Standardeinstellungen und Altlasten. Das Unternehmen beschränkt die Verwaltung auf das interne Netz, schaltet den alten Dienst ab und blendet die Versionsangaben aus. Für neue Server legt es eine Härtungsrichtlinie fest. Im Retest sind die Angriffspunkte verschwunden.

Warum ist das für Unternehmen wichtig?

Viele erfolgreiche Angriffe brauchen keinen raffinierten Exploit, also kein Spezialwerkzeug für einen Programmierfehler. Sie nutzen Fehlkonfigurationen und Standardeinstellungen aus. In den OWASP Top 10:2025, der bekanntesten Übersicht der kritischsten Risiken für Webanwendungen, steht die Kategorie „Security Misconfiguration“ (sicherheitsrelevante Fehlkonfiguration) auf Platz 2.

Härtung wirkt zudem vorbeugend gegen unbekannte Lücken: Eine abgeschaltete Funktion kann nicht angegriffen werden, auch wenn morgen eine neue Schwachstelle darin bekannt wird. Viele Maßnahmen kosten außerdem nur Arbeitszeit und keine neue Technik.

Auch Regelwerke fordern sichere Konfigurationen. Die DSGVO verlangt geeignete Schutzmaßnahmen unter Berücksichtigung des Stands der Technik. ISO/IEC 27001:2022 enthält in Anhang A eine eigene Maßnahme zum Konfigurationsmanagement. Und der IT-Grundschutz beschreibt Härtungsanforderungen für viele Systemarten.

So schützen Sie sich

• Richtlinien festlegen: Definieren Sie Härtungsvorgaben für Server, Clients, Netzwerkgeräte und Cloud-Dienste auf Basis anerkannter Empfehlungen.
• Gehärtet starten: Nehmen Sie neue Systeme nur gehärtet in Betrieb, idealerweise aus geprüften Vorlagen.
• Zentral umsetzen: Verteilen Sie Einstellungen automatisiert, damit kein System vergessen wird.
• Ausnahmen bewusst steuern: Braucht eine Anwendung ein altes Protokoll, bewerten Sie das Risiko, sichern Sie es zusätzlich ab und dokumentieren Sie die Ausnahme.
• Regelmäßig prüfen: Konfigurations- und Schwachstellenscans zeigen Abweichungen in der Breite, Penetrationstests die tatsächliche Wirkung.
• Dranbleiben: Kontrollieren Sie nach Updates und Änderungen erneut – Härtung ist eine Daueraufgabe.

Wie Rootsektor unterstützt

Bei einem Penetrationstest für Netzwerk & Infrastruktur prüfen wir, ob Ihre Härtung in der Praxis hält. Wir suchen nach unsicheren Protokollen, schwachen Standardeinstellungen und überflüssigen Diensten und zeigen, welche Angriffswege sich daraus ergeben. Interne Tests führen wir wahlweise vor Ort oder remote durch. Sie erhalten priorisierte, konkrete Härtungsempfehlungen; nach der Umsetzung prüfen wir die Wirkung im kostenlosen Retest. Ein Festpreisangebot nach dem Scoping erhalten Sie über unser Pentest-Angebot.