Grundschutz++ Konfiguration: Systeme und Anwendungen sicher einstellen (KONF)
Grundschutz++ Konfiguration: was die Praktik KONF zu Grundkonfiguration, Härtung, Schadcode-Schutz, Updates und E-Mail verlangt und wie Sie pragmatisch starten.
Die Grundschutz++ Konfiguration beschreibt, wie Computer, Server, Smartphones und Programme sicher eingestellt und auf diesem Stand gehalten werden. Die Praktik «Konfiguration» (Kürzel KONF) im neuen IT-Grundschutz des BSI ist mit 157 Anforderungen die umfangreichste Praktik im Katalog. Sie reicht von Standardpasswörtern über Virenschutz und Updates bis zur Absicherung von E-Mail und Webbrowsern.
Warum das wichtig ist
Viele erfolgreiche Angriffe nutzen keine raffinierten Methoden, sondern schlichte Fehleinstellungen: ein nie geändertes Standardpasswort am Router, eine unnötig offene Fernwartung, eine unverschlüsselte Festplatte im gestohlenen Notebook, ein abgeschalteter Virenschutz. Eine dokumentierte Grundeinstellung, die regelmäßig geprüft wird, schließt diese Lücken.
Was verbindlich ist
Verpflichtend ist ein festgelegtes Vorgehen für das Konfigurationsmanagement, das aufgeschrieben, Zuständigen zugewiesen, bekannt gemacht und regelmäßig überprüft wird. Die einzelnen Einstellungen sind als Empfehlungen formuliert, darunter eine dokumentierte Grundkonfiguration, geänderte Standardpasswörter, abgeschaltete unnötige Funktionen, verschlüsselte Datenträger, Virenschutz, automatische Sicherheitsupdates und abgesicherte E-Mail-Server.
Der erste Schritt
Bitten Sie Ihre IT um eine kurze Beschreibung, wie ein neuer Arbeitsplatzrechner und ein neues Notebook eingerichtet werden. Gibt es diese Beschreibung nicht, wird jedes Gerät anders eingerichtet. Mit einer festgelegten Grundeinstellung beginnt das Konfigurationsmanagement.
Die Praktik «Konfiguration» (KONF) ist im Anwenderkatalog Grundschutz++ für die sichere Einrichtung und Pflege von IT-Systemen und Anwendungen zuständig. Mit 15 Gruppen und 157 Anforderungen ist sie die umfangreichste Praktik. Der Überblick zur Grundschutz++ Konfiguration beruht auf dem Katalogstand vom 22. Oktober 2026.
Ziel der Praktik
Laut Katalog stellt KONF sicher, dass IT-Komponenten wie Anwendungen und IT-Systeme «gemäß den festgelegten Informationssicherheitsrichtlinien eingerichtet und kontinuierlich gepflegt werden, um Sicherheitslücken durch fehlerhafte oder unsichere Einstellungen zu vermeiden». Dazu gehört die nachvollziehbare Erstellung und Fortführung der Dokumentation.
Aufbau: 15 Gruppen, 157 Anforderungen
| Gruppe | Inhalt |
|---|---|
| KONF.1 Grundlagen | Verfahren und Regelungen, Konfigurationswerkzeuge, Zugriff auf Dokumentation, Verschlüsselung von Konfigurationsgeheimnissen |
| KONF.2 Konfiguration von Systemen | Grundkonfiguration und Versionierung, Kryptografie, Default-Zugangsdaten, unnötige Funktionen, Überprüfung, MDM, Secure Boot |
| KONF.3 Physischer Schutz | Hardware-Schlüsselspeicher, Speicherverschlüsselung, SIM-PIN, Peripherie und Wechselmedien, Fernlöschung |
| KONF.4 Vertrauenswürdige Basisdienste | Verzeichnisdienst, DNS, Fernwartung, Zeitquellen |
| KONF.5 Authentifizierung | Authentifizierung am System und an der Firmware, keine Mehrfachanmeldung |
| KONF.6 Rollen und Berechtigungen | minimale Rechte für Anwendungen, privilegierte Funktionen, Webserver-Prozess, Uploads, Browser-Sandboxing |
| KONF.7 Schutz vor Schadcode | Echtzeitscanner, Scans, Alarmierung, Einschränkung von Installation und Ausführung, lokale Firewall, Anti-Exploit |
| KONF.8 Sicherheitsupdates | automatische Prüfung und Installation bei Systemen und Anwendungen |
| KONF.9 Verfügbarkeit von Ressourcen | Speicherplatzbegrenzung, Rechenleistung, Alternativkomponenten |
| KONF.10 Konfiguration von Anwendungen | Grundkonfiguration, Kryptografie, Default-Zugangsdaten, unnötige Funktionen, Überprüfung |
| KONF.11 Vertrauensbeziehungen | Authentifizierung vor Zugriff, Warteräume, Zugriffslinks, Schnittstellen, Zonentransfers |
| KONF.12 Kontrollierte Datenverarbeitung | Eingabevalidierung, Zertifikatsprüfung, CSP, HSTS, Cookies, Browser-Einstellungen, Videokonferenzen |
| KONF.13 Senden und Empfangen von Nachrichten | SPAM- und Schadcodefilter, Authentizität von Nachrichten, Sendeberechtigung, Serversignatur, DMARC, MTA-STS |
| KONF.14 Verteilte Anwendungen | Transportverschlüsselung, DNS-Härtung, Zeitüberschreitungen |
| KONF.15 Ressourcenauslastung | Begrenzungen und DoS-Schutz (nur erhöhte Stufe) |
Die verbindlichen MUSS-Anforderungen
KONF.1.1 «Konfiguration MUSS Verfahren und Regelungen zum Konfigurationsmanagement verankern.»
KONF.1.1.1 «Konfiguration MUSS die Verfahren und Regelungen dokumentieren.»
KONF.1.1.2 «Konfiguration MUSS die mit den Verfahren und Regelungen verbundenen Aufgaben zuständigen Personen oder Rollen zuweisen.»
KONF.1.1.3 «Konfiguration MUSS die zuständigen Personen oder Rollen über die Verfahren und Regelungen informieren.»
KONF.1.2 «Konfiguration MUSS die Verfahren und Regelungen regelmäßig und anlassbezogen auf Aktualität überprüfen.»
Wichtige SOLLTE-Anforderungen
SOLLTE bedeutet nach der BSI-Definition, dass eine Anforderung normalerweise erfüllt werden muss; Abweichungen sind sorgfältig abzuwägen und stichhaltig zu begründen.
KONF.2.1 «Konfiguration für IT-Systeme SOLLTE eine Grundkonfiguration dokumentieren.»
KONF.2.3 «Konfiguration für IT-Systeme SOLLTE die Änderung von Default-Zugangsdaten ausführen.»
KONF.2.4 «Konfiguration für IT-Systeme SOLLTE nicht benötigte Systemfunktionen deaktivieren.»
KONF.2.5 «Konfiguration für IT-Systeme SOLLTE die Übereinstimmung der tatsächlichen Konfiguration mit dem Referenzzustand regelmäßig überprüfen.»
KONF.2.6 «Konfiguration für Mobile Endgeräte SOLLTE die Verwaltung durch ein Mobile Device Management (MDM) aktivieren.»
KONF.3.2 «Konfiguration für IT-Systeme SOLLTE integrierte Festspeichermedien verschlüsseln.»
KONF.7.1 «Konfiguration für IT-Systeme SOLLTE eine automatische Prüfung auf Schadcode bei Installation oder Öffnung von Dateien aktivieren.»
KONF.7.10 «Konfiguration für IT-Systeme SOLLTE die Ausführung nicht autorisierter Anwendungen einschränken.»
KONF.8.1.1 «Konfiguration für IT-Systeme SOLLTE Sicherheitsupdates automatisch installieren.»
KONF.14.1.1 «Konfiguration für Anwendungen SOLLTE unverschlüsselte und anfällige Verbindungen über Netze deaktivieren.»
Für E-Mail enthält KONF.13 eine ganze Reihe von Anforderungen der Standard-Stufe, etwa die automatische Verifikation der Sendeberechtigung (KONF.13.2.1), die Publikation der eigenen Sendeberechtigung und der Serversignatur im DNS (KONF.13.5, KONF.13.6), die Publikation der DMARC-Richtlinie (KONF.13.9) und MTA-STS (KONF.13.11). In der Praxis entspricht das den Verfahren SPF, DKIM und DMARC.
Normale und erhöhte Sicherheitsstufe
115 Anforderungen gehören zur Standard-Sicherheitsstufe «normal-SdT» (5 MUSS, 110 SOLLTE), 42 zur Stufe «erhöht», alle als KANN formuliert und damit nach BSI je nach Situation, also nach Risikoanalyse, umzusetzen.
Beispiele der erhöhten Stufe sind die automatisierte Überprüfung der Konfiguration (KONF.2.5.1, KONF.10.5.1), ein abgesicherter und authentisierter Bootprozess (KONF.2.9), Pre-Boot-Authentifizierung (KONF.5.1.2), Fernlöschung oder Fernsperre mobiler Geräte (KONF.3.6), host- und netzbasierte Angriffserkennung (KONF.7.3, KONF.7.4), die Einschränkung von Skripten und Softwarebibliotheken (KONF.7.11, KONF.7.12), die Verschlüsselung schützenswerter Daten bei der Speicherung in Anwendungen (KONF.11.8), Ende-zu-Ende-Verschlüsselung (KONF.14.1.2) sowie die gesamte Gruppe KONF.15 zur Ressourcenauslastung.
Typische Nachweise
Bei KONF ist das Bild eindeutig: 146 der 157 Anforderungen nennen die Konfigurationshistorie als Dokumentation. Gemeint ist eine nachvollziehbare, fortgeschriebene Dokumentation der Einstellungen, idealerweise versioniert (KONF.2.1.1, KONF.10.1.1). Das IT-Betriebskonzept (7 Anforderungen) enthält Regelungen und Werkzeuge; vereinzelt werden Betriebshandbuch, Detektions-Konzept, Geschäftsverteilungsplan und Übungs- und Prüfplan genannt.
Betroffene Zielobjekte
KONF ist die Praktik mit den meisten Zielobjekt-Bezügen. Am häufigsten sind IT-Systeme (55 Anforderungen) und Anwendungen (26), danach Webbrowser (13), E-Mail (12), mobile Endgeräte (8), TK-Anwendungen (6) und DNS-Server (5). Weitere Zielobjekte sind unter anderem Webserver, Webanwendungen, Videokonferenz-Anwendungen, Hostsysteme und interpersonelle Kommunikation. Eine saubere Strukturmodellierung entscheidet hier, welche Anforderungen für Sie überhaupt gelten.
Bezug zum bisherigen IT-Grundschutz
Im Kompendium 2023 standen Konfigurationsvorgaben verteilt in den System- und Anwendungsbausteinen. Der Mapping-Entwurf des BSI ordnet der Praktik KONF unter anderem Anforderungen aus APP.1.2 Webbrowser, APP.3.1 Webanwendungen und Webservices, APP.1.1 Office-Produkte, APP.3.2 Webserver und SYS.2.1 Allgemeiner Client zu. Grundschutz++ formuliert diese Vorgaben zielobjektbezogen in einer gemeinsamen Praktik.
Grundschutz++ Konfiguration im kleinen Unternehmen
- Verfahren festlegen: wer Geräte einrichtet, nach welcher Vorlage, wo Änderungen festgehalten werden und wie oft geprüft wird.
- Grundkonfiguration je Gerätetyp: je eine kurze Vorlage für Arbeitsplatzrechner, Notebook, Server, Smartphone und Netzkomponenten. Herstellerempfehlungen und Sicherheitsvorlagen der Betriebssysteme sind ein guter Ausgangspunkt.
- Schnelle Erfolge zuerst: Standardpasswörter ändern, unnötige Dienste und Fernwartung abschalten, Festplattenverschlüsselung aktivieren, automatische Sicherheitsupdates einschalten, Virenschutz mit Echtzeitprüfung und automatischen Signaturupdates.
- Zentral verwalten: Gruppenrichtlinien, ein Endpoint-Management oder ein MDM für Smartphones (KONF.2.6) erleichtern Einheitlichkeit und Nachweis.
- E-Mail-Domain absichern: Sendeberechtigung, Serversignatur, DMARC-Richtlinie und MTA-STS veröffentlichen. Das ist oft eine Aufgabe für den Hosting- oder Maildienstleister.
- Regelmäßig abgleichen: Ist-Konfiguration mit der Vorlage vergleichen (KONF.2.5), Abweichungen korrigieren oder begründet in die Vorlage übernehmen.
Häufige Fragen
Warum ist KONF so umfangreich?
Die Praktik bündelt die technischen Einstellungen für viele verschiedene Zielobjekte, von Servern und Clients über Webbrowser und E-Mail bis zu Videokonferenzen und DNS-Servern. Welche Anforderungen für Sie gelten, hängt davon ab, welche Zielobjekte Ihr Informationsverbund enthält.
Was ist eine Konfigurationshistorie?
Der Katalog nennt die Konfigurationshistorie bei 146 von 157 Anforderungen als Dokumentation. Gemeint ist eine fortgeschriebene Dokumentation der Einstellungen. KONF.2.1.1 und KONF.10.1.1 empfehlen zusätzlich, vorherige Konfigurationen zu versionieren.
Sollen Sicherheitsupdates wirklich automatisch installiert werden?
KONF.8.1.1 empfiehlt das für IT-Systeme, KONF.8.2 für Anwendungen. Für Systeme, bei denen automatische Updates Störungen verursachen können, regeln Sie über die Praktik Änderungen und Tests, wie Updates vorher geprüft werden, und begründen die Abweichung.
Gehören SPF, DKIM und DMARC zum Grundschutz++?
Die Gruppe KONF.13 empfiehlt unter anderem die Publikation der Sendeberechtigung und der Serversignatur im DNS, die Publikation der DMARC-Richtlinie und MTA-STS. Die Begriffe SPF und DKIM verwendet der Katalog in diesen Titeln nicht, inhaltlich entsprechen die Anforderungen aber diesen Verfahren.