Checkliste Windows-Härtung: ein 30/60/90-Tage-Plan

Windows bringt Hunderte Sicherheitseinstellungen mit, und jede Baseline, jeder Benchmark und jeder Auditbericht fügt weitere hinzu. Das Schwierige an der Härtung ist nicht, Dinge zum Ändern zu finden. Schwierig ist zu entscheiden, was man zuerst ändert, ohne das Geschäft zu stören, und nachzuweisen, dass jede Änderung tatsächlich umgesetzt wurde.

Diese Checkliste ordnet jeden Leitfaden dieser Website in eine 90-Tage-Abfolge ein. Die Reihenfolge folgt dem Ablauf realer Angriffe: Ein Angreifer bringt Code auf einem Arbeitsplatz zur Ausführung, stiehlt Anmeldedaten, bewegt sich lateral weiter, schaltet dann Sicherheitswerkzeuge ab und setzt sich fest. Die ersten 30 Tage beseitigen die billigsten und am häufigsten missbrauchten Einfallstore. Die Tage 31 bis 60 unterbrechen die Kette aus Credential-Diebstahl und Lateral Movement. Die Tage 61 bis 90 ergänzen die strukturellen Maßnahmen wie Anwendungssteuerung und Startsicherheit, deren Einführung länger dauert, die aber die gesamte Umgebung schwerer übernehmbar machen. Danach wird die Arbeit zu einem Kreislauf aus Patchen, Erkennen und Messen.

Jeder Punkt ist eine abhakbare Aufgabe mit einer kurzen Begründung und einem Link zum Leitfaden, der die Umsetzung erklärt.

Bevor Sie beginnen

Was Sie nicht gezählt haben, können Sie nicht priorisieren, und ohne Ausgangspunkt können Sie keinen Fortschritt zeigen. Verwenden Sie die ersten Tage für Inventur und Messung.

• Geräte und Rollen erfassen. Exportieren Sie eine Liste aller Windows-Geräte mit Betriebssystemversion, Build, Edition, Join-Typ (Domäne, hybrid, Entra) und Verwaltungswerkzeug (Gruppenrichtlinie, Intune, Configuration Manager). Kennzeichnen Sie Domänencontroller, aus dem Internet erreichbare Server, Admin-Arbeitsplätze sowie Kiosk- oder gemeinsam genutzte Geräte gesondert.
• Privilegierte Konten erfassen. Listen Sie die Mitglieder von Domain Admins, Enterprise Admins, lokalen Administratorengruppen sowie jedes von einem Verwaltungswerkzeug genutzte Konto auf.
• Pilotgruppen festlegen. Verwenden Sie für jede der folgenden Änderungen zuerst einen kleinen Pilotring aus IT-Geräten, dann einen breiteren Early-Adopter-Ring, dann alle.

Messen Sie anschließend, wo Sie stehen:

• Die aktuelle Konfiguration gegen eine anerkannte Baseline messen — ohne Lückenliste streiten Sie über Meinungen statt über Belege, Sicherheitsbaselines: CIS und Microsoft
• Vorhandene GPOs exportieren und mit der Baseline vergleichen — deckt widersprüchliche und vergessene Einstellungen auf, bevor Sie neue hinzufügen, Policy Analyzer und LGPO
• Festlegen, welche Sicherheitsereignisse Sie als Erfolgskennzahlen verfolgen — fehlgeschlagene Anmeldungen, NTLM-Nutzung und neue Dienste liefern berichtbare Zahlen, Windows-Sicherheitsereignis-IDs, die zählen

Halten Sie die Ergebnisse in einer einfachen Tabelle fest: Einstellung, Ist-Zustand, Soll-Zustand, Verantwortlicher, Phase. Dieselbe Messung wiederholen Sie an Tag 30, 60 und 90.

Tage 0–30: Die schnellen Erfolge sichern

Ziel des ersten Monats ist es, Einfallstore zu schließen, die Angreifer massenhaft ausnutzen und deren Schließen wenig kostet. Die meisten Punkte sind einzelne Richtlinienänderungen mit geringem Kompatibilitätsrisiko. Wo eine Änderung ein Risiko birgt, beginnen Sie im Überwachungsmodus und wechseln vor Tag 30 in die Erzwingung.

Patchen und Exposition

• Jedes Gerät einem Updatering mit Zurückstellungen und Fristen zuordnen — ungepatchte Schwachstellen sind weiterhin ein Hauptzugang, Windows-Patching und Updateringe
• Browser, PDF-Reader, Laufzeitumgebungen und Fernzugriffswerkzeuge patchen — Drittanbietersoftware wird so oft ausgenutzt wie Windows selbst, Drittanbieteranwendungen patchen
• Die Windows-Firewall in allen Profilen einschalten und eingehend standardmäßig blockieren — eine Host-Firewall stoppt Würmer und begrenzt Lateral Movement, Härtung der Windows-Firewall
• Network Level Authentication für RDP verlangen und RDP aus dem Internet nehmen — offenes RDP ist einer der häufigsten Einstiegspunkte für Ransomware, Remotedesktop härten
• Die Druckwarteschlange auf Domänencontrollern und nicht druckenden Servern deaktivieren — beseitigt Fehler der PrintNightmare-Klasse und Coercion-Pfade, Härtung von Druckwarteschlange und Point and Print

Lokale Admins und Anmeldedaten

• Windows LAPS auf jedem Arbeitsplatz und Mitgliedsserver einführen — ein gemeinsames lokales Administratorkennwort macht aus einer Kompromittierung alle, Windows LAPS einführen
• Bestätigen, dass WDigest aus ist, und zwischengespeicherte Anmeldungen reduzieren — verhindert Klartextkennwörter im Speicher und begrenzt zwischengespeicherte Domänenanmeldedaten, Zwischengespeicherte Anmeldungen, WDigest und Credential-Exposition
• LLMNR und NetBIOS über TCP/IP deaktivieren — diese Rückfallmechanismen der Namensauflösung liefern Kennwort-Hashes an jeden im Netzwerk, LLMNR und NetBIOS deaktivieren, SMB-Signierung erzwingen und NTLM einschränken

Defender und Angriffe per E-Mail

• Echtzeit-, Cloud- und Verhaltensüberwachungsschutz mit Manipulationsschutz einschalten — Defender nützt nur, wenn er sich nicht abschalten lässt, Härtung von Microsoft Defender Antivirus
• Jede Defender-Ausnahme prüfen und Ausnahmen vor lokalen Admins verbergen — breite Ausnahmen sind der Ort, an dem Angreifer ihre Werkzeuge ablegen, Defender-Ausnahmen prüfen und minimieren
• ASR-Regeln im Überwachungsmodus aktivieren, dann die Regeln des Standardschutzes blockieren — stoppt Missbrauch von Office, Skripten und LSASS bei geringen Nebenwirkungen, ASR-Regeln
• Makros in Dateien aus dem Internet blockieren und XLM-Makros deaktivieren — bösartige Dokumente sind weiterhin ein führender Erstzugangsvektor, Microsoft Office härten
• SmartScreen in Microsoft Edge erzwingen und Übergehen verhindern — blockiert bekannte Phishing- und Malware-Downloads, bevor sie laufen, Microsoft Edge per Richtlinie härten

Sichtbarkeit und ruhende Daten

• Eine erweiterte Überwachungsrichtlinie anwenden und Sysmon mit einer Einstiegskonfiguration installieren — was nicht protokolliert wurde, lässt sich nicht untersuchen, Überwachungsrichtlinie und Sysmon-Baseline
• PowerShell-Skriptblock- und Modulprotokollierung einschalten — PowerShell ist an den meisten manuell gesteuerten Angriffen beteiligt, PowerShell-Protokollierung und Constrained Language Mode
• Jeden Laptop mit BitLocker verschlüsseln und auf Geräten mit hohem Risiko eine Pre-Boot-PIN verwenden — schützt Daten und Anmeldedaten auf verlorenen Geräten, BitLocker mit TPM und PIN
• BitLocker-Wiederherstellungsschlüssel hinterlegen und überwachen, wer sie liest — ein nicht wiederherstellbares Gerät ist ein Ausfall, und Wiederherstellungsschlüssel sind ebenfalls Geheimnisse, BitLocker-Wiederherstellungsschlüssel hinterlegen und überwachen

Wiederholen Sie an Tag 30 den Baseline-Vergleich und prüfen Sie, ob die Compliance-Werte für LAPS, Defender, ASR und BitLocker auf den betroffenen Geräten nahe 100 Prozent liegen.

Tage 31–60: Credential- und Lateral-Movement-Pfade schließen

Sind die offensichtlichen Türen geschlossen, zielt der zweite Monat auf das, was Angreifer nach dem ersten Brückenkopf tun: Anmeldedaten stehlen, sie wiederverwenden und zu wertvolleren Computern weiterziehen. Diese Änderungen erfordern mehr Tests, weil sie die Arbeitsweise der Administratoren betreffen.

Anmeldedaten auf dem Endpunkt schützen

• Credential Guard und LSA-Schutz aktivieren — isoliert NTLM-Hashes und Kerberos-Geheimnisse vor LSASS-Dump-Werkzeugen, Credential Guard und LSA-Schutz
• Für administratives RDP Remote Credential Guard oder Restricted Admin verwenden — verhindert, dass Admin-Anmeldedaten auf den Servern zurückbleiben, mit denen Sie sich verbinden, RDP ohne Preisgabe von Anmeldedaten
• Windows Hello for Business einführen, beginnend mit den IT-Mitarbeitenden — phishingresistente Anmeldung beseitigt das wiederverwendbare Kennwort, Windows Hello for Business

Privilegien reduzieren

• Admin-Tiers trennen und privilegierte Benutzer in Protected Users aufnehmen — hält Domain-Admin-Anmeldedaten von Arbeitsplätzen fern, Admin-Tiering und Protected Users
• Standardbenutzern die lokalen Admin-Rechte entziehen, mit einem Notfallprozess — die meiste Malware und viele Exploits brauchen Admin-Rechte, um echten Schaden anzurichten, Benutzern lokale Admin-Rechte entziehen
• UAC auf den sicheren Standardwerten halten und die Remote-Nutzung lokaler Admin-Token blockieren — verhindert stille Rechteerhöhung und Pass-the-Hash mit lokalen Konten, UAC-Härtung und Administrator protection

Die Protokolle härten, über die sich Angreifer bewegen

• SMB-Signierung verlangen und NTLM schrittweise einschränken, beginnend mit NTLMv1 — unterbricht NTLM Relay, einen der schnellsten Wege zum Domain Admin, LLMNR und NetBIOS deaktivieren, SMB-Signierung erzwingen und NTLM einschränken
• WinRM ausschließlich für Kerberos und HTTPS konfigurieren und eingrenzen, wer sich verbinden darf — offen gelassene Remoteverwaltung ist Lateral Movement, WinRM härten
• TLS 1.0 und 1.1, SSL und schwache Cipher deaktivieren — alte Protokolle schwächen jeden Dienst, der sie aushandelt, TLS- und Schannel-Härtung
• Firewallregeln zentral verwalten und das Zusammenführen lokaler Regeln abschalten — verhindert, dass Benutzer und Malware eigene eingehende Ausnahmen anlegen, Windows-Firewall im großen Maßstab verwalten

Die Belege zentral sammeln

• Die Sysmon-Konfiguration zur Rauschminderung abstimmen — schieres Volumen verdeckt die wenigen wichtigen Ereignisse, Sysmon bereitstellen und abstimmen
• Sicherheits-, PowerShell- und Sysmon-Protokolle an einen Kollektor weiterleiten — lokale Protokolle verschwinden, wenn Angreifer sie löschen, Windows Event Forwarding im großen Maßstab
• Firewallprotokollierung aktivieren und Ereignisse zu blockierten Verbindungen weiterleiten — zeigt Scans und Versuche von Lateral Movement, Protokollierung und Überwachung der Windows-Firewall
• Erkennungen für verdächtige PowerShell aus Skriptblockprotokollen aufbauen — erkennt kodierte Befehle und AMSI-Bypässe frühzeitig, Bösartige PowerShell erkennen

Messen Sie an Tag 60 die NTLM-Nutzung, die Mitgliedschaft in lokalen Administratorengruppen und die Zahl der Admin-Anmeldungen an Arbeitsplätzen. Diese Zahlen sollten sinken.

Tage 61–90: Strukturelle Härtung

Der dritte Monat führt Maßnahmen ein, die ändern, was auf einem Gerät ausgeführt werden darf und wem es vertrauen kann. Sie bieten den stärksten Schutz, brauchen aber sorgfältige Überwachungsphasen; beginnen Sie deshalb jetzt damit, auch wenn die Erzwingung später abgeschlossen wird.

Kontrollieren, was ausgeführt wird

• Eine Strategie zur Anwendungssteuerung entwerfen und App Control im Überwachungsmodus starten — Allowlisting stoppt unbekannte Malware unabhängig von Signaturen, App Control for Business und AppLocker
• Einen Managed Installer und ergänzende Richtlinien nutzen, damit App Control wartbar bleibt — verringert die Regelflut, an der Allowlisting scheitert, App Control mit Managed Installer und Intelligent Security Graph
• Wo App Control nicht praktikabel ist, AppLocker für Skripte und Installationsprogramme einführen — blockiert vom Benutzer beschreibbare Pfade, einen häufigen Startpunkt für Malware, AppLocker-Rollout
• Bestätigen, dass die Sperrliste für anfällige Treiber erzwungen wird — verhindert, dass Angreifer signierte, aber ausnutzbare Treiber laden, um Sicherheitswerkzeuge abzuschießen, Microsofts Sperrliste für anfällige Treiber
• Exploit-Schutzmaßnahmen auf Anwendungen mit hohem Risiko anwenden — erschwert das Ausnutzen von Speicherfehlern, Exploit-Schutz

Die Plattform schützen

• Virtualisierungsbasierte Sicherheit und Speicherintegrität aktivieren und den Kernel-DMA-Schutz prüfen — schützt den Kernel vor unsigniertem Code und DMA-Angriffen, Virtualisierungsbasierte Sicherheit, HVCI und Kernel-DMA-Schutz
• Secure Boot prüfen, die BlackLotus-Gegenmaßnahmen anwenden und die Zertifikatsaktualisierung planen — Bootkits laufen vor jedem anderen Schutz, Secure Boot und UEFI härten
• Überwachten Ordnerzugriff erst im Überwachungsmodus, dann blockierend einschalten — begrenzt den Schaden durch Ransomware an Benutzerdaten, Überwachter Ordnerzugriff gegen Ransomware
• EDR im Blockierungsmodus konfigurieren und Geräte prüfen, auf denen Defender im passiven Modus läuft — fängt ab, was ein anderer Virenschutz übersieht, EDR im Blockierungsmodus und passiver Modus

Administration eingrenzen

• Routinemäßigen Admin-Zugriff durch Just-Enough-Administration-Endpunkte ersetzen — Benutzer führen bestimmte Aufgaben aus, ohne Admin-Rechte zu besitzen, Just Enough Administration Schritt für Schritt
• Für den Zugriff auf sensible Server IPsec-Authentifizierung verlangen — nur Domänenmitglieder, und nur die richtigen, können sich überhaupt verbinden, Domänen- und Serverisolierung mit IPsec
• Cloudverwaltete Geräte auf Intune-Sicherheitsbaselines umstellen und GPO-Konflikte auflösen — eine klare Quelle der Wahrheit pro Einstellung, Intune-Sicherheitsbaselines und der Einstellungskatalog

Wiederholen Sie an Tag 90 den vollständigen Baseline-Vergleich und stellen Sie ihn Ihrer Ausgangsmessung gegenüber. Der Unterschied, pro Bereich dargestellt, ist der Bericht für das Management.

Fortlaufend: patchen, erkennen, erneut messen

Härtung verfällt. Neue Geräte kommen mit Standardwerten, Ausnahmen häufen sich, und Einstellungen driften nach der Fehlersuche ab. Verankern Sie diese Aufgaben im regulären Betrieb:

• Updaterichtlinien, Fristen und Neustartverhalten vierteljährlich prüfen — die Compliance lässt nach, wenn Fristen weich sind, Richtlinien für Windows Update for Business
• Hotpatching und clusterfähiges Aktualisieren für Server nutzen, die nicht oft neu starten können — erlaubt kritischen Servern, rechtzeitig zu patchen, Hotpatch und Patchen von Windows Server
• Konfigurationsdrift automatisch erkennen und korrigieren — nicht erzwungene Einstellungen bleiben nicht bestehen, Konfigurationsdrift erkennen und korrigieren
• Den Baseline-Vergleich nach jedem größeren Windows-Release wiederholen — neue Releases fügen Einstellungen hinzu und ändern Standardwerte, Sicherheitsbaselines: CIS und Microsoft
• Die Trends wichtiger Sicherheitsereignisse monatlich prüfen — steigende NTLM-Nutzung oder mehr fehlgeschlagene Anmeldungen zeigen, wo Maßnahmen nachlassen, Windows-Sicherheitsereignis-IDs, die zählen

Prüfen Sie im selben Rhythmus die Ausnahmen (Defender, ASR, App Control, Firewall). Jede Ausnahme sollte einen Verantwortlichen und ein Ablaufdatum haben.

So nutzen Sie diese Checkliste

Verstehen Sie die Phasen als Prioritätsreihenfolge, nicht als starren Kalender. Haben Sie LAPS und BitLocker bereits überall, springen Sie weiter; betreiben Sie eine ältere Umgebung, dauert die erste Phase womöglich länger. Entscheidend ist, dass die günstigen Maßnahmen mit großer Wirkung vor den teuren kommen und der Schutz von Anmeldedaten vor der komplexen strukturellen Arbeit.

Folgen Sie bei jedem Punkt demselben Muster: den verlinkten Leitfaden lesen, an einer Pilotgruppe testen, wo verfügbar den Überwachungsmodus aktivieren, die Ergebnisse auswerten, dann erzwingen und prüfen. Notieren Sie den Nachweis, etwa eine Ereignis-ID, einen Compliance-Bericht oder eine PowerShell-Abfrage, neben dem Punkt, damit er später erneut geprüft werden kann.

Teilen Sie die Messung schließlich mit den Personen, die die Arbeit genehmigen. Eine Tabelle mit dem Baseline-Wert und den wichtigsten Kennzahlen an Tag 0, 30, 60 und 90 überzeugt mehr als jede Liste von Einstellungen.

Weiterführend: Konten & privilegierter Zugriff, Schutz von Anmeldedaten, Reduzierung der Angriffsfläche, Microsoft Defender, Anwendungssteuerung, Legacy-Protokolle, Windows-Firewall, BitLocker & Startsicherheit, PowerShell-Sicherheit, Überwachung & Protokollierung, Patches & Updates und Sicherheitsbaselines.