Server absichern (Härtung)

Server-Härtung im IT-Grundschutz

Grundlage ist der Baustein SYS.1.1 «Allgemeiner Server». Er wird für jeden Server angewendet und durch betriebssystemspezifische Bausteine ergänzt, etwa SYS.1.2.3 «Windows Server» oder SYS.1.3 «Server unter Linux und Unix». Für Virtualisierungshosts kommt SYS.1.5 hinzu.

Die Basis-Anforderungen von SYS.1.1 sind:

• Zugriffsschutz und Nutzung (A1): Server stehen in geschützten Räumen, Zugriff haben nur Berechtigte.
• Authentisierung an Servern (A2): angemessene Anmeldeverfahren, besonders für administrative Zugänge.
• Schutz von Schnittstellen (A5): nicht benötigte Schnittstellen, etwa für Wechseldatenträger, werden deaktiviert oder kontrolliert.
• Deaktivierung nicht benötigter Dienste (A6): Alles, was nicht gebraucht wird, wird abgeschaltet oder deinstalliert.
• Einsatz von Virenschutz-Programmen (A9): abhängig von Betriebssystem und Einsatzzweck.
• Protokollierung (A10): sicherheitsrelevante Ereignisse werden aufgezeichnet.

Standard-Anforderungen sind unter anderem eine Sicherheitsrichtlinie für Server, eine sichere Installation und Grundkonfiguration, lokale Paketfilter, Systemüberwachung, regelmäßige Sicherheitsprüfungen, eine Betriebsdokumentation und eine geregelte Außerbetriebnahme. Bei erhöhtem Schutzbedarf kommen beispielsweise Festplattenverschlüsselung, hostbasierte Angriffserkennung, Ausführungskontrolle und «ein Dienst pro Server» hinzu.

Server-Härtung in der Praxis

Angriffsfläche verkleinern

• Rollen trennen: Ein Server, der gleichzeitig Domänencontroller, Dateiserver, Datenbank und Fernzugang ist, vereint viele Risiken. Wo es die Lizenz- und Hardwarelage erlaubt, getrennte virtuelle Server nutzen.
• Minimalinstallation: nur die benötigten Rollen und Features. Unter Windows Server kommt die Variante ohne grafische Oberfläche (Server Core) in Betracht, wenn die Anwendungen das zulassen.
• Dienste und Ports prüfen: Eine Liste der offenen Ports zeigt schnell, was ungeplant läuft. Jede offene Verbindung braucht einen Grund.
• Lokale Firewall aktivieren: zusätzlich zur Netzwerk-Firewall nur die nötigen eingehenden Verbindungen zulassen.

Zugänge und Rechte

• Getrennte Konten: Administratoren arbeiten im Alltag mit normalen Konten und nutzen privilegierte Konten nur für die Verwaltung (Least Privilege).
• Keine Arbeit am Server: Kein Surfen und keine E-Mails auf dem Server selbst.
• Fernzugriff absichern: Remote-Desktop oder SSH nur aus dem internen Netz oder über VPN, nie direkt aus dem Internet. Für SSH Schlüssel statt Passwörter, für Administratorzugänge wo möglich Zwei-Faktor-Authentifizierung.
• Dienstleisterzugänge: personalisiert, befristet, protokolliert. Nicht mehr benötigte Konten entfernen.
• Lokale Administratorkennwörter: auf jedem System unterschiedlich. Unter Windows hilft dabei die Funktion Windows LAPS.

Konfigurationsvorgaben nutzen

Statt jede Einstellung selbst zu erfinden, lohnt der Rückgriff auf etablierte Härtungsvorgaben. Für Windows bietet Microsoft Sicherheitsbaselines an, die sich per Gruppenrichtlinie verteilen lassen. Für verbreitete Linux-Distributionen gibt es Härtungsleitfäden der Hersteller. Wichtig ist, Abweichungen bewusst zu entscheiden und zu dokumentieren, statt eine Vorgabe ungeprüft zu übernehmen.

Updates

Server brauchen ein geplantes Wartungsfenster. Der Baustein OPS.1.1.3 «Patch- und Änderungsmanagement» verlangt ein Konzept, klare Zuständigkeiten und die regelmäßige Aktualisierung von IT-Systemen und Software. In der Praxis bedeutet das: Sicherheitsupdates zeitnah einspielen, vorher eine funktionierende Datensicherung haben und nach dem Update die Kernfunktionen prüfen. Betriebssysteme, für die es keine Sicherheitsupdates mehr gibt, müssen ersetzt werden.

Protokollierung und Überwachung

Erfolgreiche und fehlgeschlagene Anmeldungen, Änderungen an Konten und Gruppen, das Starten neuer Dienste und Fehler der Datensicherung sind Mindestinhalte. Ohne Auswertung bleiben Protokolle wirkungslos. Für kleine Umgebungen reicht oft eine Überwachung, die bei definierten Ereignissen eine Meldung schickt, etwa bei vollen Datenträgern, gescheiterten Sicherungen oder vielen fehlgeschlagenen Anmeldungen.

Virtualisierung nicht vergessen

Viele kleine Betriebe betreiben mehrere virtuelle Server auf einem Host. Wer den Host übernimmt, hat Zugriff auf alle Server. Die Verwaltungsoberfläche des Hypervisors gehört deshalb in ein eigenes Managementnetz, mit eigenem Konto und aktueller Software. Die Datensicherung sollte nicht mit denselben Zugangsdaten erreichbar sein wie der Host.

Häufige Schwachstellen bei kleinen Servern

In der Praxis tauchen immer wieder dieselben Muster auf:

• Remote-Desktop ist per Portweiterleitung direkt aus dem Internet erreichbar, oft mit einem Konto, dessen Passwort seit Jahren gilt.
• Der Server ist zugleich Arbeitsplatz eines Mitarbeiters, auf dem gesurft und gemailt wird.
• Freigaben sind für «Jeder» mit Vollzugriff eingerichtet, weil das bei der Einrichtung am schnellsten ging.
• Die Datensicherung läuft auf ein Laufwerk, das dauerhaft am Server hängt und von einer Verschlüsselung durch Ransomware mit betroffen wäre.
• Alte Anwendungen werden weiterbetrieben, weil der Hersteller nicht mehr existiert, und halten das ganze System auf einem veralteten Stand.

Jeder dieser Punkte lässt sich mit überschaubarem Aufwand beheben, sobald er bekannt ist.

Dokumentation

Halten Sie je Server fest: Zweck, installierte Rollen und Anwendungen, offene Ports, Konten mit Administratorrechten, Update-Verfahren, Datensicherung und Ansprechpartner. Diese Dokumentation ist zugleich die Grundlage, um einen Server nach einem Vorfall schnell und sauber neu aufzusetzen.

Grenzen der Härtung

Ein gehärteter Server kann trotzdem kompromittiert werden, etwa über gestohlene Zugangsdaten oder eine noch unbekannte Schwachstelle. Härtung senkt die Wahrscheinlichkeit und begrenzt den Schaden. Sie ersetzt keine getrennte, geschützte Datensicherung und keinen Plan für den Notfall.