Zum Hauptinhalt springen
CENEDRIL WIKI
EN
Starter Kit · Richtlinie

Richtlinie zu Endpunktsicherheit und Malware-Schutz

Aktualisiert am 6 Min. Geprüft von: Cenedril-Redaktion
A.8.1A.8.7 ISO 27001BSI SYS.2.1BSI OPS.1.1.4

Laptops, Smartphones, Tablets — jedes Endgerät, das auf Unternehmensdaten zugreift, ist ein potenzieller Einfallsvektor. Die Richtlinie zu Endpunktsicherheit und Malware-Schutz legt fest, wie diese Geräte gehärtet, verschlüsselt, überwacht und im Ernstfall aus der Ferne gelöscht werden.

ISO 27001 adressiert das Thema über zwei Annex-A-Controls: A 8.1 (User Endpoint Devices) regelt den physischen und logischen Schutz von Endgeräten, A 8.7 (Protection Against Malware) den Schutz vor Schadsoftware. BSI IT-Grundschutz widmet Endgeräten gleich mehrere Bausteine (SYS.2.1 für Clients, SYS.3.1 und SYS.3.2 für mobile Geräte, INF.9 für mobiles Arbeiten, OPS.1.1.4 für Patch-Management). Weiter unten findest du die komplette Vorlage auf Deutsch und Englisch.

Was diese Richtlinie abdeckt

Endpunktsicherheit umfasst den gesamten Lebenszyklus eines Geräts — von der Ersteinrichtung mit einer gehärteten Konfiguration bis zur sicheren Außerbetriebnahme. Die Richtlinie definiert verbindliche Mindeststandards für jedes Gerät, das auf Unternehmensdaten zugreift, unabhängig davon, ob es dem Unternehmen gehört oder als BYOD-Gerät eingebunden ist.

Konkret regelt sie: Welche Härtungsmaßnahmen gelten ab Werk? Wann müssen Patches eingespielt werden? Wer darf Software installieren? Wie werden mobile Geräte verwaltet? Was passiert bei Verlust oder Diebstahl? Und wie schützt du dich vor Malware, die trotz aller Prävention durchkommt?

Der Malware-Schutz ist dabei eng mit der Endgerätesicherheit verzahnt. Eine Anti-Malware-Lösung, die auf einem ungehärteten Gerät ohne aktuelle Patches läuft, bietet nur scheinbare Sicherheit. Beide Themen gehören deshalb in ein Dokument.

Warum ist sie so wichtig?

Endgeräte sind das häufigste Einfallstor. Die Mehrzahl erfolgreicher Angriffe beginnt am Endpunkt — per Phishing-Mail, kompromittiertem USB-Stick oder Drive-by-Download. Wenn das Endgerät gehärtet ist, schlägt ein Großteil dieser Angriffe fehl oder bleibt in einem frühen Stadium stecken.

Mobiles Arbeiten hat die Angriffsfläche vergrößert. Laptops reisen mit, verbinden sich mit Hotel-WLANs und Café-Hotspots, werden in Zügen vergessen. Ohne Vollverschlüsselung, MDM und klare Verhaltensregeln ist jeder verlorene Laptop ein potenzieller Datenschutzvorfall.

Malware entwickelt sich schneller als manuelle Reaktion. Signaturbasierter Schutz allein reicht längst nicht aus. Die Richtlinie fordert daher zentral verwaltete Anti-Malware mit Echtzeitschutz, verhaltensbasierter Erkennung und automatischen Updates — ohne die Möglichkeit, den Schutz am Endgerät zu deaktivieren.

Was gehört in die Richtlinie?

Die Vorlage deckt zehn Kernbereiche ab:

  • Endgerätehärtung (A 8.1) — Sichere Konfigurationsbaseline, Secure Boot, ASLR/DEP aktiviert, 5-Minuten-Bildschirmsperre, USB-Ports standardmäßig deaktiviert
  • Vollverschlüsselung — Pflicht für Laptops und mobile Geräte, Wiederherstellungsschlüssel im separaten Schlüsselverwaltungssystem
  • Mobile Device Management (MDM) — Registrierung aller mobilen Geräte, Remote Wipe bei Verlust, Diebstahl oder Austritt
  • Softwareinstallation — Beschränkt auf freigegebenen Katalog, keine Administratorrechte für Endbenutzer:innen
  • Patch-Management — Kritisch 72 h, Hoch 14 d, Mittel 30 d, End-of-Life-Systeme aktualisiert oder isoliert
  • Personal Firewall — Aktiv auf allen Endgeräten, netzwerkunabhängig
  • Anti-Malware (A 8.7) — Zentral verwaltet, Echtzeitschutz, verhaltensbasierte Erkennung, nicht deaktivierbar
  • BYOD — Containerisierung/Arbeitsprofil, schriftliche BYOD-Vereinbarung mit Remote-Wipe-Einwilligung, IP-Eigentumsklausel
  • Drahtlose Kommunikation — Bluetooth aus bei Nichtgebrauch, kein Auto-Connect zu unbekannten Netzwerken, veraltete Protokolle deaktiviert
  • Benutzerverantwortung — Sitzungsmanagement, Diebstahlmeldung innerhalb von 2 Stunden, physische Sicherheit in der Öffentlichkeit

So führst du die Richtlinie ein

  1. 01

    Gerätebestand inventarisieren

    Du brauchst ein vollständiges Bild: Wie viele Laptops, Smartphones und Tablets greifen auf Unternehmensdaten zu? Wie viele davon sind firmeneigen, wie viele BYOD? Welche Betriebssysteme und Versionen sind im Einsatz? Gibt es Geräte mit End-of-Life-Betriebssystemen? Dieses Inventar ist die Grundlage für alle weiteren Schritte — und zeigt dir sofort, wo die größten Risiken liegen.

  2. 02

    Härtungs-Baseline definieren und ausrollen

    Lege eine verbindliche Sicherheitskonfiguration fest: Secure Boot, ASLR/DEP, Bildschirmsperre nach 5 Minuten, USB-Ports deaktiviert, Vollverschlüsselung aktiviert. Setze diese Baseline über ein zentrales Konfigurationsmanagement (Intune, Jamf, Ansible o. Ä.) durch. Geräte, die die Baseline nicht erfüllen, erhalten keinen Zugriff auf Unternehmensressourcen.

  3. 03

    MDM und Anti-Malware einrichten

    Registriere alle mobilen Geräte im MDM-System. Stelle sicher, dass die Anti-Malware-Lösung zentral verwaltet wird, Echtzeitschutz aktiv ist und Benutzer:innen sie nicht deaktivieren können. Definiere gleichzeitig die BYOD-Regeln: Containerisierung, schriftliche Vereinbarung, Remote-Wipe-Einwilligung.

  4. 04

    Patch-Prozess operationalisieren

    Richte einen automatisierten Patch-Zyklus ein, der die Fristen aus der Richtlinie durchsetzt: 72 Stunden für kritische Patches, 14 Tage für hohe, 30 Tage für mittlere. Definiere einen Eskalationsprozess für Geräte, die nach Ablauf der Frist nicht gepatcht sind — bis hin zur Netzwerkisolierung. End-of-Life-Systeme werden aktualisiert oder (wenn das nicht möglich ist) in ein isoliertes Netzsegment verschoben.

  5. 05

    Schulung und Kommunikation

    Endpunktsicherheit funktioniert nur, wenn die Benutzer:innen mitziehen. Kommuniziere die drei wichtigsten Verhaltensregeln: Diebstahl innerhalb von 2 Stunden melden, keine Software außerhalb des Katalogs installieren, Bildschirm sperren beim Verlassen des Arbeitsplatzes. Kurze, konkrete Anweisungen bleiben hängen — ein 40-seitiges Dokument liest niemand.

Wo es in der Praxis schiefgeht

Aus Audit-Erfahrung, nach Häufigkeit sortiert:

1. Vollverschlüsselung „vergessen”. Die Richtlinie steht, aber 15 % der Laptops sind unverschlüsselt. Typischer Grund: Geräte wurden vor Einführung der Richtlinie ausgerollt und nie nachgerüstet. Ein zentrales Reporting über den Verschlüsselungsstatus aller Geräte ist die einfachste Gegenmaßnahme.

2. Patch-Fristen nur auf dem Papier. Kritische Patches sollen in 72 Stunden eingespielt werden, aber das Patch-Management läuft manuell und ohne Eskalation. Nach zwei Wochen sind immer noch 30 % der Geräte offen. Automatisierung und Netzwerkisolierung für nicht-gepatchte Geräte lösen das Problem.

3. BYOD ohne Vereinbarung. Mitarbeitende nutzen private Smartphones für E-Mail und Teams, ohne dass eine BYOD-Vereinbarung existiert. Beim Austritt stellt sich heraus, dass Unternehmensdaten auf dem Privatgerät liegen — und niemand hat die Berechtigung zum Remote Wipe.

4. Anti-Malware mit lokalen Admin-Ausnahmen. Die Lösung ist zentral ausgerollt, aber Entwickler:innen haben lokale Administratorrechte und deaktivieren den Echtzeitschutz, weil er Build-Prozesse verlangsamt. Im Audit fehlt dann der Nachweis lückenloser Abdeckung.

5. Keine Diebstahlmeldung innerhalb der Frist. Die Richtlinie verlangt Meldung innerhalb von 2 Stunden, aber die Betroffenen wissen das nicht (oder melden erst am nächsten Arbeitstag). In der Zwischenzeit hätte ein Remote Wipe den Schaden begrenzen können. Regelmäßige Sensibilisierung und ein klar kommunizierter Meldeweg sind entscheidend.

Vorlage: Richtlinie zu Endpunktsicherheit und Malware-Schutz

Vollständige Richtlinie

Richtlinie zu Endpunktsicherheit und Malware-Schutz

.md · DE.md · EN

Dokumentenkontrolle
Eigentümer: [RICHTLINIEN_EIGENTÜMER_ROLLE, z. B. Informationssicherheitsbeauftragte/r]
Genehmigt von: [GENEHMIGER_NAME_UND_ROLLE]
Version: [VERSION]
Gültig ab: [GÜLTIGKEITSDATUM]
Nächste Überprüfung: [NÄCHSTES_ÜBERPRÜFUNGSDATUM]

1. Rechtliche/Regulatorische Grundlage

ISO/IEC 27001:2022 / ISO/IEC 27002:2022, Anhang A — Technologische Maßnahmen:

  • A 8.1 — Benutzerendgeräte
  • A 8.7 — Schutz vor Schadsoftware

BSI IT-Grundschutz:

  • SYS.2.1 (Allgemeiner Client) — u. a. A1 (Sichere Authentisierung und Aktivierung von Clients), A3 (Aktivierung von Auto-Update-Mechanismen), A6 (Einsatz von Anti-Viren-Programmen), A8 (Absicherung des Boot-Vorgangs), A16 (Deaktivierung und Deinstallation nicht benötigter Komponenten), A24 (Umgang mit externen Schnittstellen), A26 (Schutz vor Ausnutzung von Schwachstellen), A28 (Verschlüsselung der Clients), A31 (Einsatz lokaler Paketfilter), A33 (Anwendungskontrolle), A42 (Nutzung von Cloud-Diensten)
  • SYS.3.1 (Laptops) — u. a. A1 (Regelung der mobilen Nutzung), A3 (Bildschirmsperre), A9 (Sicherer Fernzugriff mit mobilen Geräten), A12 (Verlustmeldung und Verhalten bei Verlust), A13 (Verschlüsselung von Laptops), A14 (Geeignete Aufbewahrung)
  • SYS.3.2.1 (Smartphones/Tablets) — u. a. A1-A8, A11, A22, A28, A32, A33
  • SYS.3.2.2 (Mobile Device Management) — u. a. A1, A2, A4, A7, A20, A21, A22
  • INF.9 (Mobiler Arbeitsplatz) — A2 (Regelungen für mobile Speicher- und Datenträger), A8 (Sicherheitsrichtlinie für mobile Arbeitsplätze)
  • OPS.1.1.4 (Schutz vor Schadprogrammen) — A1 (Konzept für den Schutz vor Schadprogrammen), A2 (Nutzung systemspezifischer Schutzmechanismen), A3 (Auswahl eines Virenschutzprogramms für Clients), A5 (Betrieb und Konfiguration von Virenschutzprogrammen), A6 (Regelmäßige Aktualisierung eingesetzter Virenschutzprogramme), A7 (Sensibilisierung und Verpflichtung der Nutzer), A9 (Meldung von Virenbefall)

Weitere jurisdiktionsspezifische Gesetze — insbesondere Datenschutzrecht (DSGVO), Arbeitsrecht (Gerätemonitoring und Remote-Wipe) und betriebliche Mitbestimmung — sind im Rechtsregister aufgeführt und werden durch Verweis einbezogen.

2. Zweck & Geltungsbereich

Diese Richtlinie regelt die sichere Konfiguration, Nutzung und den Schutz von Benutzerendgeräten sowie die Abwehr von Schadsoftware bei [IHR_ORGANISATIONSNAME]. Sie setzt die Anforderungen der ISO/IEC 27002:2022 A 8.1 (Benutzerendgeräte) und A 8.7 (Schutz vor Schadsoftware) sowie die entsprechenden BSI-IT-Grundschutz-Anforderungen für Clients, Laptops, mobile Geräte und Schadsoftware-Schutz um.

Die Richtlinie gilt für alle Endgeräte, die organisatorische Informationen verarbeiten, speichern oder übertragen — einschließlich Desktop-Computer, Laptops, Smartphones, Tablets und jeglicher privat genutzter Geräte, die für geschäftliche Zwecke verwendet werden. Sie deckt unternehmenseigene Geräte und Bring-Your-Own-Device (BYOD) ab, alle Betriebssysteme und Formfaktoren sowie alle Standorte einschließlich Home-Office, öffentlicher Räume und Räumlichkeiten Dritter.

Alle Beschäftigten, Auftragnehmer und Dritte, die Endgeräte zum Zugriff auf organisatorische Systeme oder Informationen nutzen, unterliegen dieser Richtlinie. IT-Betriebsteams, Systemadministratoren und Geräteeigentümer tragen spezifische Verantwortlichkeiten, die in Abschnitt 8 definiert sind.

3. Endpunktkonfiguration & Härtung (A 8.1)

Alle Benutzerendgeräte werden gemäß einer dokumentierten sicheren Konfigurations-Baseline konfiguriert und gepflegt. Die Konfiguration wird, wo technisch machbar, zentral verwaltet; Abweichungen von der Baseline erfordern eine dokumentierte Risikoakzeptanz durch die/den Informationssicherheitsbeauftragte/n. Ungenutzte Komponenten, Schnittstellen und Dienste werden deaktiviert, um die Angriffsfläche zu reduzieren. Speicherschutzmechanismen — insbesondere Address Space Layout Randomisation (ASLR) und Data Execution Prevention (DEP) — werden auf allen unterstützten Plattformen aktiviert. Der Boot-Prozess wird mittels Secure Boot oder gleichwertiger Mechanismen gesichert, um die Ausführung unbefugten Codes vor dem Laden des Betriebssystems zu verhindern.

3.1 Informationsklassifizierung & Geräteregistrierung

  • Informationsklassifizierung & Verarbeitungsgrenzen: Endgeräte sind zur Verarbeitung und Speicherung von Informationen bis zu einer definierten Klassifizierungsstufe autorisiert. Geräte, die Informationen oberhalb der Standard-Klassifizierungsstufe verarbeiten, erfordern zusätzliche Härtungsmaßnahmen und werden separat im Asset-Inventar dokumentiert. Die für jede Geräteklasse autorisierte Klassifizierungsstufe ist in der Gerätekonfigurations-Baseline festgelegt und wird jährlich überprüft.
  • Geräteregistrierung: Jedes Endgerät wird im Asset-Inventar registriert, bevor es mit organisatorischen Systemen verbunden oder zur Verarbeitung organisatorischer Informationen genutzt wird. Der Registrierungseintrag umfasst den Geräteidentifikator, den Eigentümer, die autorisierte Klassifizierungsstufe, den MDM-Einschreibungsstatus und den zugewiesenen Benutzer. Nicht registrierte Geräte werden vom Zugriff auf organisatorische Systeme blockiert. Alle mobilen Geräte — einschließlich solcher, die für den Fernzugriff genutzt werden — werden vor Nutzung im Mobile Device Management (MDM) eingeschrieben, wie von der Richtlinie zu Telearbeit & BYOD und der Kryptographie-Richtlinie gefordert.

3.2 Physischer Schutz

  • Anforderungen an physischen Schutz: Endgeräte werden physisch vor unbefugtem Zugriff, Beschädigung und Umweltgefahren geschützt. Unbeaufsichtigt zurückgelassene Geräte am Arbeitsplatz werden mit einer passwortgeschützten Bildschirmsperre gesichert, die nach maximal fünf Minuten Inaktivität aktiviert wird. Feste Arbeitsplätze in für Besucher zugänglichen Bereichen werden so positioniert, dass Bildschirme nicht aus Fluren oder Gemeinschaftsbereichen einsehbar sind. Geräte in gemeinsam genutzten Räumen werden durch physische Schließmechanismen an festen Strukturen gesichert, sofern das Diebstahlrisiko dies rechtfertigt.

3.3 Softwareverwaltung & Updates

  • Software-Installationskontrollen: Benutzer dürfen ohne vorherige Genehmigung des IT-Betriebs keine Software auf organisatorischen Endgeräten installieren. Die Software-Installation ist technisch eingeschränkt: Auf verwalteten Geräten werden die für die Installation erforderlichen Administratorrechte nicht an Standard-Benutzerkonten vergeben, und wo technisch machbar, wird die Installation auf einen genehmigten Softwarekatalog oder eine Anwendungs-Allowlist beschränkt. Softwareanforderungen werden über den dafür vorgesehenen Genehmigungsprozess eingereicht. Selbst installierte Software auf BYOD-Geräten, die für organisatorische Zwecke genutzt werden, unterliegt den in Abschnitt 5 definierten Einschränkungen.
  • Software-Versionen & Updates: Alle Endgeräte laufen mit unterstützten Softwareversionen, für die Sicherheitsupdates verfügbar sind. Betriebssysteme und Anwendungen sind für automatische Updates konfiguriert; automatische Update-Mechanismen werden aktiviert und sind so eingestellt, dass Sicherheitspatches mindestens täglich angewendet werden. Wo automatische Aktualisierung technisch nicht machbar ist, definiert ein dokumentiertes Patch-Management-Verfahren Höchst-Patchintervalle nach Schweregrad: kritische Schwachstellen werden innerhalb von 72 Stunden behoben, hohe innerhalb von 14 Tagen und mittlere innerhalb von 30 Tagen. Geräte mit End-of-Life-Betriebssystemen werden entweder aktualisiert, vom Netzwerk isoliert oder schriftlich risikoakzeptiert.

3.4 Netzwerkverbindungen & Firewalls

  • Netzwerkverbindungen & Personal Firewalls: Alle Endgeräte sind durch einen lokal aktiven Paketfilter (Personal Firewall) geschützt, der unbefugte eingehende Verbindungen blockiert. Beim Betrieb außerhalb des Organisationsnetzwerks — einschließlich öffentlichem WLAN oder Heimnetzwerken — verbinden sich Laptops ausschließlich über einen verschlüsselten VPN-Tunnel mit organisatorischen Ressourcen. Die Personal Firewall bleibt unabhängig vom Netzwerkstandort aktiv. Der Zugriff auf Cloud-Dienste ist auf die im Softwarekatalog definierten genehmigten Dienste beschränkt; die Nutzung nicht genehmigter Cloud-Speicher- oder Synchronisationsdienste für organisatorische Daten ist untersagt. Für Remote-Arbeit genutzte Heimnetzwerke werden so konfiguriert, dass sie Mindestsicherheitsstandards erfüllen: WPA3- oder WPA2-AES-Verschlüsselung, geänderte Standard-Router-Anmeldedaten und aktuelle Firmware.

3.5 Zugriffskontrollen & Authentisierung

  • Zugriffskontrollen & Authentisierung: Der Zugang zu Endgeräten wird durch sichere Authentisierung kontrolliert. Gemeinsam genutzte Konten sind auf individuellen Endgeräten verboten. Eine passwortgeschützte Bildschirmsperre aktiviert sich automatisch nach maximal fünf Minuten Inaktivität. Auf Smartphones und Tablets wird ein komplexer Sperrcode erzwungen; Geräte sind so konfiguriert, dass sie automatisch sperren und nach einer definierten Anzahl fehlgeschlagener Entsperrversuche einen Werksreset durchführen. Herstellerseitige Standard-Anmeldedaten auf neu bereitgestellten Geräten werden vor dem Einsatz geändert. Multi-Faktor-Authentisierung ist für den Fernzugriff auf organisatorische Systeme erforderlich (siehe Zugriffskontroll-Richtlinie).

3.6 Speicherverschlüsselung

  • Speicherverschlüsselung: Alle Laptops und mobilen Endgeräte sind durch Vollverschlüsselung mit einem genehmigten Verschlüsselungsmechanismus geschützt. Die Verschlüsselung deckt den gesamten internen Speicher ab und, wo technisch unterstützt, auch Wechselspeichermedien einschließlich in das Gerät eingesetzter SD-Karten. Wiederherstellungsschlüssel oder Escrow-Schlüssel werden zentral in einem gesicherten Schlüsselmanagementsystem getrennt vom verschlüsselten Gerät gemäß der Kryptographie-Richtlinie gespeichert. Geräte ohne funktionierende Verschlüsselung werden nicht zur Verarbeitung organisatorischer Informationen verwendet, bis die Verschlüsselung wiederhergestellt ist.

3.7 Malware-Schutz auf Endgeräten

  • Malware-Schutz auf Endgeräten: Auf allen Endgeräten läuft eine Enterprise-Grade-Anti-Malware-Lösung mit aktiviertem Echtzeitschutz (siehe Abschnitt 7 für detaillierte Anforderungen an den Malware-Schutz). Die Anti-Malware-Lösung wird zentral verwaltet; Benutzer dürfen ohne dokumentierte Genehmigung des IT-Betriebs keine Schutzeinstellungen ändern, Echtzeitscans deaktivieren oder Ausnahmen erstellen. Das Endpunkt-Malware-Scanning bietet eine kompensierende Maßnahme für verschlüsselten Verkehr, der die Inhaltsprüfung am Gateway umgeht.

Detaillierte Anforderungen an den Malware-Schutz — einschließlich Anti-Malware-Bereitstellung, Scanning-Umfang, Update-Verfahren und Ausnahmebehandlung — sind in Abschnitt 7 definiert.

3.8 Remote-Deaktivierung, -Wipe & -Sperrung

  • Remote-Deaktivierung, -Wipe & -Sperrung: Alle mobilen Endgeräte — Smartphones, Tablets und Laptops — werden im MDM-System eingeschrieben, um Remote-Deaktivierung, Remote-Wipe und Remote-Sperrung zu ermöglichen. Ein Remote-Wipe wird bei bestätigtem Verlust oder Diebstahl eines Geräts, bei Beendigung der Zugriffsrechte eines Benutzers oder bei einer Sicherheitsvorfall-Feststellung durch die/den Informationssicherheitsbeauftragte/n ausgelöst. Das Remote-Wipe-Verfahren wird mindestens jährlich getestet. Bei BYOD-Geräten ist der Remote-Wipe auf den organisatorischen Container oder das Arbeitsprofil begrenzt, um die Löschung persönlicher Daten zu vermeiden, außer wenn eine Kompromittierung organisatorischer Informationen einen vollständigen Geräte-Wipe erfordert.

3.9 Sicherungen

  • Endpunkt-Sicherungen: Auf Endgeräten gespeicherte organisatorische Daten werden in eine zentral verwaltete Backup-Infrastruktur gesichert. Wo technisch machbar, ist die Backup-Synchronisation automatisiert und kontinuierlich. Backup-Frequenz und Aufbewahrungsdauer werden gemäß der Richtlinie zur IT-Betriebssicherheit festgelegt. Remote arbeitende Benutzer stellen sicher, dass ihre Geräte mit ausreichender Netzwerkbandbreite verbunden sind, um geplante Backup-Vorgänge abzuschließen. Ausschließlich lokal gespeicherte, nicht gesicherte Daten gelten als gefährdet; Benutzer sind verpflichtet, lokale Daten vor längeren Reisen oder Offline-Zeiten mit zentralen Systemen zu synchronisieren.

3.10 Webdienste & Anwendungen

  • Webdienste & Webanwendungen: Der Zugriff auf Webdienste und Webanwendungen von Endgeräten aus ist auf die im Softwarekatalog gelisteten genehmigten Dienste beschränkt (siehe Richtlinie zur akzeptablen Nutzung). Webbrowser werden aktuell gehalten und gemäß der Gerätesicherheits-Baseline konfiguriert. Der Webzugriff auf Smartphones und Tablets unterliegt Webfilter-Kontrollen zur Blockierung bekannter bösartiger Domänen. Das Herunterladen von Dateien aus nicht genehmigten externen Quellen auf organisatorische Endgeräte erfordert, dass die Dateien vor dem Öffnen einen Anti-Malware-Scan durchlaufen.

3.11 Benutzerverhalten-Analytik

  • Benutzerverhalten-Analytik: Wo implementiert, arbeiten endpunktbasierte User- und Entity-Behaviour-Analytics-Werkzeuge (UEBA) auf Endgeräten, um anomale Aktivitätsmuster zu erkennen — wie abnormales Datenzugriffsvolumen, ungewöhnliche Anmeldezeiten oder Massen-Dateioperationen —, die auf Kontokompromittierung oder Insider-Bedrohungen hindeuten können. Bereitstellung, Umfang und Datenaufbewahrung der Verhaltensanalyse unterliegen den anwendbaren Datenschutzanforderungen und, wo zutreffend, Betriebsrats- oder Mitbestimmungsvereinbarungen. Überwachungsaktivitäten und ihre Rechtsgrundlage werden im Verzeichnis der Verarbeitungstätigkeiten dokumentiert. Von Verhaltensanalysen erzeugte Warnungen werden gemäß dem Vorfallmanagementverfahren untersucht.

3.12 Wechseldatenträger & physische Anschlüsse

  • Wechseldatenträger & physische Anschlüsse: Die Nutzung von Wechseldatenträgern — USB-Sticks, externen Festplatten, Speicherkarten und ähnlichen Geräten — auf organisatorischen Endgeräten ist auf genehmigte, im Asset-Inventar gelistete Geräte beschränkt. Nicht genehmigte Wechseldatenträger werden, wo technisch machbar, auf Betriebssystemebene blockiert. USB-Anschlüsse sind auf verwalteten Endgeräten standardmäßig deaktiviert; Ausnahmen für spezifische Geschäftszwecke — etwa USB-C-Verbindungen, die ausschließlich zur Stromversorgung oder Bildausgabe genutzt werden — werden dokumentiert und technisch auf die erlaubte Funktion beschränkt. Alle über Wechseldatenträger übertragenen Dateien werden vor Gebrauch auf Schadsoftware geprüft. Der Verlust oder die unbefugte Nutzung von Wechseldatenträgern mit organisatorischen Daten wird als Sicherheitsvorfall gemeldet.

3.13 Datenpartitionierung & lokale Speicherbeschränkungen

  • Datenpartitionierung: Auf Geräten, die sowohl für organisatorische als auch private Zwecke genutzt werden, sind organisatorische Daten und Anwendungen technisch durch Containerisierung, Arbeitsprofile oder gleichwertige Partitionierungsmechanismen von privaten Inhalten getrennt. Organisatorische Anwendungen im Arbeitsprofil werden daran gehindert, auf persönliche Daten, Kontakte, Medien und Anwendungen zuzugreifen. Daten können nur über die in der MDM-Richtlinie definierten genehmigten Mechanismen zwischen organisatorischen und privaten Partitionen geteilt werden.
  • Hochsensible Informationen — Nur-Zugriffs-Modus: Bestimmte Informationskategorien werden als Nur-Zugriff kennzeichnet: Sie können remote eingesehen werden, werden aber nicht auf Endgeräte heruntergeladen oder lokal gespeichert. Für solche Informationen deaktiviert die Gerätekonfiguration während der Zugriffssitzungen lokalen Download, lokale Zwischenspeicherung und die Nutzung von Wechselspeicher (einschließlich SD-Karten). Die Kategorien von Informationen, die Nur-Zugriffs-Beschränkungen unterliegen, sind im Informationsklassifizierungs-Framework definiert und werden über technische Kontrollen in den relevanten Anwendungen oder der MDM-Richtlinie durchgesetzt.

4. Verantwortlichkeiten der Benutzer (A 8.1)

Benutzer von Endgeräten tragen persönliche Verantwortung für die Umsetzung der für ihre Geräte geltenden physischen und logischen Sicherheitsmaßnahmen. Die Nichteinhaltung der Anforderungen dieses Abschnitts wird als Richtlinienverstoß behandelt, der dem Disziplinarverfahren unterliegt (siehe Richtlinie zur Personalsicherheit).

4.1 Sitzungsverwaltung

  • Sitzungsverwaltung: Benutzer melden sich von aktiven Sitzungen ab und beenden Dienste — einschließlich VPN-Verbindungen, Remote-Desktop-Sitzungen und Webanwendungs-Sitzungen —, wenn sie nicht mehr benötigt werden und bevor sie ein Gerät längere Zeit unbeaufsichtigt lassen. Aktive Sitzungen werden nicht auf gemeinsam genutzten oder öffentlich zugänglichen Geräten offen gelassen. Temporäre Sitzungstoken und zwischengespeicherte Anmeldedaten auf gemeinsam genutzten Geräten werden nach Gebrauch gelöscht. Wo Anwendungen inaktive Sitzungen nicht automatisch beenden, melden sich Benutzer manuell ab, bevor sie die Arbeitssitzung beenden.

4.2 Gerätesicherheit & physische Kontrollen

  • Verhinderung unbefugter Nutzung: Benutzer schützen ihre Endgeräte durch sowohl physische als auch logische Kontrollen vor unbefugter Nutzung. Geräte werden niemals ohne aktivierte Bildschirmsperre unbeaufsichtigt gelassen, wenn sensible Informationen angezeigt werden oder zugänglich sind. Wo verfügbar, werden physische Sicherheitsmechanismen — Kabelschlösser, Gerätetresore, abschließbare Aufbewahrung — für feste Arbeitsplätze und aufbewahrte Laptops genutzt. Logischer Zugangsschutz (Passwort, PIN, Biometrie) ist jederzeit aktiviert; Passwörter und PINs werden niemals an Kollegen weitergegeben oder in Gerätnähe notiert.
  • Sicherheit in öffentlichen & offenen Räumen: Benutzer gehen beim Arbeiten mit Endgeräten in öffentlichen Räumen, Großraumbüros und Besprechungsräumen besonders sorgfältig vor. Blickschutzfilter werden an Laptops und mobilen Geräten verwendet, wo andere die Anzeige einsehen könnten. Sensible Gespräche und Bildschirminhalte werden vor Umstehenden abgeschirmt. Verbindungen zu öffentlichen WLAN-Netzen werden ausschließlich über VPN hergestellt. Unverschlüsselte E-Mails und Dateizugriffe über öffentliche Netze werden vermieden.
  • Physische Sicherheit gegen Diebstahl: Benutzer sichern Endgeräte in allen Standorten außerhalb des regulären Arbeitsplatzes physisch gegen Diebstahl. Laptops und mobile Geräte werden nicht sichtbar und unbeaufsichtigt in Fahrzeugen, Hotelzimmern, Tagungseinrichtungen oder öffentlichen Verkehrsmitteln zurückgelassen. In Hotelzimmern werden Laptops im Zimmersafe aufbewahrt oder in einer Tasche verschlossen. Geräte werden während Pausen nicht unbeaufsichtigt in Konferenz- oder Schulungsräumen zurückgelassen. Die Leitlinien zur sicheren Aufbewahrung für mobile Arbeitsplätze definieren Mindeststandards für verschiedene Standorttypen.

4.3 Verfahren bei Diebstahl & Verlust

  • Meldung von Diebstahl & Verlust: Der Verlust oder Diebstahl eines organisatorischen Endgeräts — oder eines für organisatorische Zwecke genutzten privaten Geräts — wird unverzüglich nach Entdeckung und spätestens innerhalb von zwei Stunden während der Geschäftszeiten an den IT-Betrieb und die/den Informationssicherheitsbeauftragte/n gemeldet. Die Meldung löst das in Abschnitt 3.8 definierte Remote-Wipe- und Deaktivierungs-Verfahren aus. Ein zurückgewonnenes Gerät, das zuvor als verloren oder gestohlen gemeldet wurde, wird nicht wieder mit organisatorischen Systemen verbunden, bis der IT-Betrieb eine Sicherheitsbewertung durchgeführt und das Betriebssystem sowie die Anwendungen von einer sauberen Baseline aus neu installiert hat. Der Vorfall wird im Vorfallmanagementsystem dokumentiert.

5. Bring Your Own Device (A 8.1)

Die Nutzung privater Geräte zum Zugriff auf oder zur Verarbeitung organisatorischer Informationen — einschließlich E-Mail, Dokumente und interner Anwendungen — wird in diesem Abschnitt geregelt. BYOD-Geräte werden vor erstmaliger Nutzung registriert und im MDM eingeschrieben. Alle allgemeinen Endpunktsicherheits-Anforderungen der Abschnitte 3, 4 und 6 gelten für das organisatorische Arbeitsprofil oder den Container auf BYOD-Geräten. Der IT-Betrieb pflegt eine genehmigte Liste von Gerätetypen und Betriebssystemversionen, die für BYOD-Nutzung zulässig sind.

5.1 Trennung privater & geschäftlicher Nutzung

  • Trennung privater & geschäftlicher Nutzung: Organisatorische Daten auf BYOD-Geräten werden ausschließlich innerhalb des dafür vorgesehenen Arbeitsprofils oder organisatorischen Containers gespeichert. Private Anwendungen haben keinen Zugriff auf das Arbeitsprofil und seine Daten; organisatorische Anwendungen greifen nicht auf persönliche Fotos, Kontakte, Nachrichten oder Dateien außerhalb des Containers zu. Die verwendete Containerisierungstechnologie wird vom MDM-System unterstützt. Wo eine technische Trennung durch die MDM-Lösung nicht durchsetzbar ist, wird das Gerät nicht für BYOD-Nutzung genehmigt. Geschäftsdaten werden niemals in privaten Cloud-Konten, privater E-Mail oder Messaging-Anwendungen gespeichert.

5.2 Benutzerbestätigung & Remote-Wipe

  • Benutzerbestätigung & Remote-Wipe-Einwilligung: Bevor ein BYOD-Gerät im MDM eingeschrieben wird, unterzeichnet der Benutzer eine BYOD-Bestätigung, die Folgendes bestätigt: (a) physische Schutz- und Softwareupdate-Verpflichtungen, identisch zu unternehmenseigenen Geräten; (b) dass organisatorische Daten auf dem Gerät Eigentum der Organisation bleiben und der Benutzer keine Eigentumsrechte daran hält; (c) ausdrückliche Einwilligung in den Remote-Wipe des organisatorischen Containers oder Arbeitsprofils im Falle von Verlust, Diebstahl, Beendigung des Beschäftigungsverhältnisses oder Sicherheitsvorfall; (d) Kenntnis, dass in Ausnahmefällen, in denen ein selektiver Wipe technisch nicht ausreicht, ein vollständiger Geräte-Wipe durchgeführt werden kann; und (e) Kenntnis der datenschutzrechtlichen Implikationen — insbesondere dass das MDM-System nicht auf persönliche Daten außerhalb des Arbeitsprofils zugreift und dass die geltende Datenschutzinformation gelesen und verstanden wurde.

5.3 Geistiges Eigentum

  • Geistiges Eigentum: Arbeitsinhalte, die mit organisatorischen Anwendungen auf einem BYOD-Gerät erstellt wurden — einschließlich Dokumenten, Designs, Quellcode, Analysen und Kommunikation —, gehören der Organisation. Eine separate themenspezifische Richtlinie oder Arbeitsvertragsklausel regelt das Eigentum an Inhalten, die während der Arbeitszeit mit privaten Anwendungen auf demselben Gerät entwickelt werden, um Streitigkeiten über geistiges Eigentum zu vermeiden. Benutzer werden vor der BYOD-Einschreibung über diese Grenzen informiert.

5.4 Zugriff zur Überprüfung & Untersuchung

  • Zugriff zur Überprüfung & Untersuchung: Das Recht der Organisation, auf ein privates Gerät zur Sicherheitsüberprüfung oder forensischen Untersuchung zuzugreifen, ist auf den vom MDM verwalteten organisatorischen Container oder das Arbeitsprofil beschränkt. Der Zugriff auf persönliche Daten außerhalb dieses Umfangs wird von der Organisation nicht ausgeübt, außer wenn es nach geltendem Recht erforderlich ist (z. B. gerichtliche Anordnung). Wo die Gesetzgebung in der Jurisdiktion eines Benutzers auch den Zugriff auf Containerebene oder forensische Untersuchung verhindert, wird dies vor der BYOD-Genehmigung in dieser Jurisdiktion bewertet, und alternative Maßnahmen (unternehmenseigenes Gerät) werden bereitgestellt, wenn der Zugriff nicht gewährleistet werden kann.

5.5 Softwarelizenzierung

  • Softwarelizenzierung: Die Organisation stellt Client-Software nicht in einer Weise auf BYOD-Geräten bereit, die die Organisation unter Softwarelizenzvereinbarungen für die private Nutzung derselben Software auf demselben Gerät haftbar machen würde. Wo organisatorische Anwendungen Per-Seat- oder Per-Device-Lizenzen tragen, werden die Lizenzbedingungen vor der Bereitstellung auf BYOD-Geräten geprüft, um zu bestätigen, dass die private Nutzung desselben Geräts keine unlizenzierte Nutzung darstellt. Benutzer installieren keine andere organisatorische Software auf BYOD-Geräten als die über das MDM bereitgestellten und genehmigten Anwendungen.

6. Drahtlose Verbindungen (A 8.1)

Drahtlose Konnektivität auf Endgeräten wird so konfiguriert, dass die Exposition gegenüber Abhörangriffen, unbefugtem Zugriff und protokollbasierten Angriffen minimiert wird. Benutzer ändern drahtlose Konfigurationseinstellungen auf verwalteten Geräten nicht über die erlaubte Personalisierung hinaus.

6.1 Konfiguration drahtloser Schnittstellen

  • Konfiguration drahtloser Schnittstellen: Drahtlose Schnittstellen auf Endgeräten werden gemäß der Sicherheits-Baseline konfiguriert. Bluetooth wird deaktiviert, wenn es nicht aktiv genutzt wird. Die automatische Verbindung zu unbekannten oder offenen WLAN-Netzen ist deaktiviert; Geräte verbinden sich automatisch nur mit ausdrücklich vertrauenswürdigen, in der MDM-Konfiguration definierten Netzen. Veraltete drahtlose Protokolle mit bekannten Sicherheitsschwachstellen (z. B. WEP, WPA-TKIP, Bluetooth-Profile, die unauthentisierte Kopplung erlauben) sind auf Betriebssystemebene deaktiviert. Auf Laptops ist die Personal Firewall (siehe Abschnitt 3.4) auf allen drahtlosen Schnittstellen aktiv. Externe Schnittstellen über den Betriebszweck des Geräts hinaus sind deaktiviert.

6.2 Bandbreiten- & Konnektivitätsanforderungen

  • Bandbreiten- & Konnektivitätsanforderungen: Bestimmte Endpunktoperationen — einschließlich Betriebssystem-Updates, Anwendungs-Updates, Backup-Synchronisation und MDM-Richtlinien-Pushs — erfordern kabelgebundene oder breitbandige drahtlose Verbindungen. Benutzer stellen sicher, dass ihre Geräte mit einem ausreichend schnellen Netzwerk verbunden sind, um geplante Update- und Backup-Vorgänge innerhalb ihrer definierten Fenster abzuschließen. Wo mobile Datenverbindungen die einzige Option sind, werden große Updates und Backup-Vorgänge auf die nächste verfügbare breitbandige Verbindung verschoben, es sei denn, der Vorgang ist sicherheitskritisch.

7. Schutz vor Schadsoftware (A 8.7)

Schadsoftware — einschließlich Viren, Ransomware, Spyware, Trojanern, Würmern und anderem bösartigem Code — stellt eine anhaltende Bedrohung für organisatorische Systeme und Informationen dar. Der Schutz vor Schadsoftware wird als geschichtete Defence-in-Depth-Strategie umgesetzt, die Netzwerk-Gateways, E-Mail-Systeme, Endpunkte und Server abdeckt. Ein Konzept für den Schutz vor Schadsoftware definiert, welche Systeme Schutz erfordern, welche Mechanismen eingesetzt werden und wer für deren Betrieb verantwortlich ist. Betriebssystem-eigene Sicherheitsmechanismen (z. B. Windows Defender, macOS XProtect) werden als Baseline aktiviert und wo durch Risikobewertung erforderlich durch Enterprise-Grade-Werkzeuge ergänzt.

7.1 Verhinderung nicht genehmigter Software

  • Anwendungs-Allowlisting & Verhinderung nicht genehmigter Software: Anwendungskontrolle (Allowlisting) wird auf Endgeräten implementiert, um die Ausführung nicht genehmigter Software zu verhindern. Nur Anwendungen aus dem genehmigten Softwarekatalog oder aus von der IT genehmigten vertrauenswürdigen Quellen dürfen ausgeführt werden. Ausführungskontrollen sind so konfiguriert, dass unsignierte oder unbekannte ausführbare Dateien, Skripte aus nicht vertrauenswürdigen Orten und interpretierte Skripte (z. B. PowerShell, VBScript), die nicht aus genehmigten Pfaden stammen, blockiert werden. Auf Smartphones und Tablets werden Apps nur aus offiziell genehmigten App-Stores installiert; Sideloading aus nicht genehmigten Quellen ist untersagt. Blockierte Ausführungsversuche werden protokolliert und vom IT-Betrieb überprüft.

7.2 Kontrollen für bösartige Websites

  • Kontrollen für bösartige Websites: Der Zugriff auf bekannte und vermutete bösartige Websites wird durch DNS-basierte oder Proxy-basierte Blocklisten auf allen Endgeräten verhindert. Die Blockliste umfasst Kategorien einschließlich Malware-Verteilungsseiten, Phishing-Seiten, Command-and-Control-Infrastruktur, Exploit-Kit-Landing-Pages und Seiten, die für Drive-by-Download-Angriffe bekannt sind. Auf mobilen Geräten wird die Webfilterung über die via MDM bereitgestellte Sicherheits-App oder die Browser-Konfiguration durchgesetzt. Die Blockliste wird automatisch aus den in Abschnitt 7.12 definierten Threat-Intelligence-Quellen aktualisiert. Versuche, blockierte Seiten aufzurufen, werden protokolliert, und eine regelmäßige Überprüfung der Blockprotokolle wird durchgeführt, um gezielte Angriffsmuster zu identifizieren.

7.3 Schwachstellenreduzierung

  • Schwachstellenreduzierung: Die für Schadsoftware verfügbare Angriffsfläche wird durch systematisches Schwachstellenmanagement reduziert. Betriebssysteme, Anwendungen und Browser-Plugins werden gemäß dem in Abschnitt 3.3 definierten Patch-Management-Zeitplan aktuell gehalten. Unnötige Software, Dienste und Funktionen werden entfernt oder deaktiviert. Das technische Schwachstellenmanagement — einschließlich regelmäßigem Scannen, Priorisierung und Behebungsnachverfolgung — wird durch den Schwachstellenmanagementprozess geregelt. Speicher-Exploitation-Schutz (ASLR, DEP) ist auf allen unterstützten Endgeräten aktiviert. Das Prinzip der minimalen Rechte wird auf Endpunktkonten angewandt, um den Schaden zu begrenzen, den Schadsoftware bei Ausführung unter einem Benutzerkonto anrichten kann.

7.4 Automatisierte Validierung & Integritätsprüfung

  • Automatisierte Validierung & Integritätsprüfung: Systeme, die kritische Geschäftsprozesse unterstützen, unterliegen einer regelmäßigen automatisierten Validierung von Softwareintegrität und Dateninhalt. File Integrity Monitoring wird auf kritischen Servern und Arbeitsplätzen konfiguriert, um unbefugte Änderungen an ausführbaren Dateien, Konfigurationsdateien und Datenverzeichnissen zu erkennen. Erkannte unbefugte Dateien oder unerwartete Änderungen an überwachten Pfaden lösen Warnungen für sofortige Untersuchung durch den IT-Betrieb aus. Ergebnisse und Warnungen der Integritätsprüfung werden in definierten Intervallen überprüft; Anomalien werden an die/den Informationssicherheitsbeauftragte/n eskaliert und im Vorfallmanagementsystem dokumentiert.

7.5 Schutz vor externen Dateien & Software

  • Schutz vor externen Dateien & Software: Dateien und Software, die aus externen Netzwerken (Internet-Downloads, E-Mail-Anhänge, Cloud-Sharing-Dienste) bezogen oder auf Wechseldatenträgern geliefert werden, werden vor Gebrauch auf Schadsoftware geprüft. Benutzer öffnen keine E-Mail-Anhänge oder heruntergeladenen Dateien ohne bestätigten Abschluss des Malware-Scans. Aus externen Quellen bezogene Software wird vor der Installation gegen einen veröffentlichten Hash oder eine digitale Signatur verifiziert. Über verschlüsselte Kanäle empfangene Dateien, die Gateway-Scans umgehen, werden vor dem Öffnen von der Endpunkt-Anti-Malware-Lösung geprüft, was die von der Richtlinie zum Informationstransfer und der Kryptographie-Richtlinie geforderte kompensierende Maßnahme bietet.

7.6 Anti-Malware-Bereitstellung

  • Anti-Malware auf Endgeräten & Wechselmedien: Auf allen Endgeräten ist eine Enterprise-Anti-Malware-Lösung mit Echtzeitschutz und On-Demand-Scans installiert. Die Lösung umfasst die Erkennung von Schadsoftware in komprimierten und archivierten Dateien. Signaturdatenbanken und Erkennungslogik werden automatisch und mindestens täglich aus der Update-Infrastruktur des Herstellers aktualisiert. Alle über Netzwerke empfangenen Daten und alle Dateien auf elektronischen Speichermedien werden vor erstmaligem Gebrauch gescannt. Scan-Ergebnisse und Erkennungsereignisse werden zentral gemeldet.
  • E-Mail-, Instant-Messaging- & Download-Scannen: Anti-Malware-Scanning wird in mehreren Schichten für E-Mail und Kommunikation angewendet: am E-Mail-Server vor Zustellung an Benutzerpostfächer, am E-Mail-Client auf dem Endgerät und für Dateien, die aus Web- und Dateifreigabediensten heruntergeladen werden. Anhänge in E-Mails und Instant Messaging werden vor dem Öffnen durch den Benutzer gescannt. Wo sowohl ein Gateway-E-Mail-Scanner als auch ein Endpunkt-E-Mail-Scanner vorhanden sind, werden beide unabhängig gepflegt und aktualisiert, um Defence-in-Depth-Abdeckung zu bieten.
  • Webseiten-Scan: Anti-Malware-Fähigkeiten werden auf Webinhalte angewendet, auf die von Endgeräten aus zugegriffen wird. Browser-integrierter Schutz und endpunktbasiertes Web-Scanning prüfen Webseiten beim Zugriff auf eingebetteten bösartigen Code, Drive-by-Download-Skripte und bösartige Weiterleitungen. Das Webseiten-Scanning arbeitet mit den in Abschnitt 7.2 definierten Blockierungskontrollen zusammen, um eine mehrschichtige Abdeckung zu bieten.
  • Platzierung & Konfiguration von Anti-Malware-Werkzeugen: Anti-Malware-Werkzeuge werden auf Basis einer Risikobewertung nach einem Defence-in-Depth-Ansatz platziert und konfiguriert: Netzwerk-Gateway, Endgeräte, E-Mail-Server und Dateiserver tragen jeweils angemessene Erkennungs- und Blockierungskontrollen. Die Risikobewertung berücksichtigt Angreifer-Umgehungstechniken, einschließlich verschlüsselter Dateiformate und verschlüsselter Kommunikationsprotokolle, die die Gateway-Inspektion einschränken. Die Konfiguration wird mindestens jährlich und nach wesentlichen Infrastrukturänderungen überprüft. Die Erkennungsempfindlichkeit wird so eingestellt, dass die Malware-Erkennung maximiert wird, während eine im Malware-Schutz-Konzept dokumentierte akzeptable False-Positive-Rate beibehalten wird.

7.7 Wartung & Notfallverfahren

  • Wartungs- & Notfallverfahrens-Kontrollen: Wartungsaktivitäten und Notfallverfahren, die ein vorübergehendes Umgehen normaler Zugriffskontrollen oder Sicherheitsüberwachung erfordern — etwa das Anwenden von Out-of-Band-Patches, die Durchführung von Disaster-Recovery-Operationen oder die Gewährung erhöhten Notfallzugriffs — bergen ein erhöhtes Risiko der Malware-Einführung über nicht überwachte Kanäle. Für solche Verfahren wendet der IT-Betrieb kompensierende Maßnahmen an, einschließlich: Scannen aller während der Wartung eingeführten Werkzeuge und Medien vor Gebrauch, Durchführen von Post-Wartungs-Integritätsprüfungen auf betroffenen Systemen und Überprüfung von Ereignisprotokollen für das Wartungsfenster. Notfallverfahren, die Sicherheitsmaßnahmen umgehen, werden dokumentiert, zeitlich begrenzt und nach Abschluss von der/dem Informationssicherheitsbeauftragten überprüft.

7.8 Ausnahmeprozess für die Deaktivierung des Malware-Schutzes

  • Ausnahmeprozess für die Deaktivierung des Malware-Schutzes: Die temporäre oder permanente Deaktivierung des Malware-Schutzes auf einem System erfordert einen formalen Ausnahmeprozess. Die anfragende Partei dokumentiert die Begründung, die betroffenen Systeme, die Dauer der Deaktivierung, die während des Ausnahmezeitraums angewandten kompensierenden Maßnahmen und ein festgelegtes Überprüfungsdatum. Die/der Informationssicherheitsbeauftragte genehmigt die Ausnahme schriftlich vor der Deaktivierung. Genehmigte Ausnahmen werden im Ausnahmeregister nachverfolgt und am festgelegten Überprüfungsdatum oder bei relevanten Umständen überprüft. Ausnahmen zur permanenten Deaktivierung werden jährlich neu genehmigt. Nicht genehmigte Deaktivierungen des Malware-Schutzes werden als Sicherheitsvorfall behandelt.

7.9 Geschäftskontinuität & Wiederherstellung

  • Geschäftskontinuität & Wiederherstellung nach Malware-Angriffen: Geschäftskontinuitätspläne adressieren Wiederherstellungsszenarien bei Malware-Angriffen, einschließlich Ransomware-Vorfällen, systemweiten Infektionen und Datenkorruptionsereignissen. Die Pläne definieren Wiederherstellungsverfahren, verantwortliche Personen, Wiederherstellungsziele und Kommunikationskanäle. Sowohl Online-Backups (für schnelle Wiederherstellung) als auch Offline-Backups, die vom Produktionsnetzwerk isoliert sind (für Ransomware-Szenarien, in denen Online-Backups verschlüsselt sein können), werden gepflegt. Backup- und Wiederherstellungsverfahren werden in den im Geschäftskontinuitätsplan definierten Intervallen getestet, um zu verifizieren, dass eine saubere Wiederherstellung innerhalb des Wiederherstellungsziels erreichbar ist.
  • Isolierung hochkritischer Umgebungen: Umgebungen, in denen eine Malware-Infektion katastrophale Folgen haben könnte — etwa industrielle Steuerungssysteme, sicherheitskritische Infrastruktur, Systeme mit großen Mengen sensibler personenbezogener Daten oder Finanztransaktionssysteme —, werden durch Netzwerksegmentierung von allgemeinen Unternehmensnetzen isoliert. Die Kommunikation zwischen isolierten Umgebungen und anderen Systemen ist auf definierte, überwachte Kanäle beschränkt. Isolierungskontrollen werden regelmäßig getestet. Malware-Vorfälle in oder angrenzend an isolierte Umgebungen lösen sofortige Netzwerkisolierungsverfahren aus.

7.10 Verfahren & Verantwortlichkeiten

  • Verfahren & Verantwortlichkeiten: Dokumentierte Verfahren definieren Verantwortlichkeiten und erforderliche Maßnahmen für den Betrieb des Malware-Schutzes, einschließlich: initialer Bereitstellung und Konfiguration von Anti-Malware-Werkzeugen; Reaktion auf Malware-Erkennungswarnungen (automatisches Blockieren, Quarantäne, Untersuchung, Beseitigung, Wiederherstellung); Meldung erkannter Schadsoftware an die/den Informationssicherheitsbeauftragte/n und, wo zutreffend, an Aufsichtsbehörden oder Betroffene; und Post-Vorfall-Überprüfung. Verantwortliche Parteien für jedes Verfahren werden nach Rolle zugewiesen. Alle Personen mit Malware-Reaktions-Verantwortlichkeiten erhalten Schulungen zu Werkzeugeinsatz, Eskalationswegen, Meldepflichten und Wiederherstellungsschritten.

7.11 Schulung & Sensibilisierung

  • Schulung & Sensibilisierung: Alle Benutzer erhalten Sensibilisierungsschulungen zur Erkennung und Abwehr von Malware-Bedrohungen. Schulungsinhalte umfassen: Erkennen von mit Malware infizierten E-Mails — einschließlich Phishing-, Spear-Phishing- und Business-Email-Compromise-Versuchen — und verdächtiger Anhänge; Identifizierung wahrscheinlich bösartiger Dateien, Programme und Browser-Erweiterungen; die zu ergreifenden Schritte bei Verdacht auf oder Begegnung mit einer Malware-Infektion; und Meldekanäle und Ansprechpartner. Die initiale Schulung wird abgeschlossen, bevor ein Benutzer erstmals auf organisatorische Systeme zugreift, mit jährlichen Auffrischungsschulungen danach.

7.12 Threat Intelligence

  • Erhebung von Threat Intelligence: Der IT-Betrieb erhebt regelmäßig aktuelle Informationen über neue und aufkommende Malware-Bedrohungen aus definierten Intelligence-Quellen. Diese Quellen umfassen Hersteller-Sicherheitsbulletins, nationale CERT/CSIRT-Feeds (z. B. BSI CERT-Bund), branchenspezifische Information-Sharing-Communities und kuratierte Threat-Intelligence-Mailinglisten. Threat Intelligence wird mindestens wöchentlich überprüft; kritische Bedrohungsinformationen, die sofortige Maßnahmen erfordern, werden bei Empfang umgesetzt. Neue Bedrohungsinformationen werden genutzt, um Erkennungssignaturen, Blocklisten, Sensibilisierungsinhalte und — wo zutreffend — Sicherheitsmaßnahmen zu aktualisieren.
  • Verifizierung von Threat-Intelligence-Quellen: Informationen über neue Schadsoftware und Malware-bezogene Warnungen — einschließlich Warnhinweisen, Patch-Advisories und Erkennungsempfehlungen — werden ausschließlich von qualifizierten und seriösen Anbietern bezogen. Vor dem Handeln nach Threat Intelligence (z. B. Anwenden eines Patches, Blockieren eines IP-Bereichs, Auslösen einer Vorfallreaktion) wird die Quelle als autoritativ verifiziert. Warnhinweise über informelle Kanäle (soziale Medien, weitergeleitete E-Mails) werden vor dem Handeln gegen offizielle Hersteller- und CERT-Veröffentlichungen gegengeprüft. Unverifizierte Bedrohungswarnungen werden nicht ohne vorherige Verifizierung an alle Benutzer verteilt, um unnötige Beunruhigung zu vermeiden.

8. Rollen & Verantwortlichkeiten

  • Geschäftsleitung: Genehmigt diese Richtlinie, stellt angemessene Ressourcen für Endpunktsicherheit und Malware-Schutz-Infrastruktur bereit und fördert eine sicherheitsbewusste Kultur in der Organisation.
  • Informationssicherheitsbeauftragte/r (ISB): Pflegt diese Richtlinie und das Malware-Schutz-Konzept, genehmigt Ausnahmen zur Deaktivierung des Malware-Schutzes, überprüft Warnungen und Vorfälle, koordiniert die Vorfallreaktion bei Malware-Ereignissen und stellt die Ausrichtung an aktueller Threat Intelligence und regulatorischen Anforderungen sicher.
  • IT-Betrieb: Implementiert und pflegt die Endpunktkonfigurations-Baseline, die MDM-Einschreibung und -Verwaltung, die Anti-Malware-Plattform, das Patch-Management, das Anwendungs-Allowlisting, die Remote-Wipe-Fähigkeit und die zentrale Überwachung. Reagiert auf Malware-Erkennungswarnungen, führt Post-Verlust-Geräte-Wiederherstellungsbewertungen durch und pflegt die Backup-Infrastruktur. Verwaltet die drahtlose Konfiguration und externe Schnittstellenkontrollen auf verwalteten Geräten.
  • Geräteeigentümer / alle Benutzer: Nutzen Endgeräte gemäß dieser Richtlinie, wenden erforderliche physische Sicherheitsmaßnahmen an, melden Verlust oder Diebstahl unverzüglich, halten die BYOD-Registrierungs- und Bestätigungsanforderungen ein, absolvieren verpflichtende Sensibilisierungsschulungen und melden vermutete Malware-Infektionen oder anomales Geräteverhalten unverzüglich an den IT-Betrieb.
  • HR / Personalmanagement: Stellt sicher, dass BYOD-Bestätigungsdokumente als Teil des Onboardings ausgefüllt und aufbewahrt werden und dass Richtlinienverstöße im Zusammenhang mit Endpunktnutzung über das Disziplinarverfahren adressiert werden.
  • System- & Anwendungseigentümer: Stellen sicher, dass die ihnen zugewiesenen Anwendungen und Systeme in Schwachstellenscans, Patch-Management und Integritätsüberwachungsprogramme einbezogen werden und dass Nur-Zugriffs-Kontrollen für Informationen umgesetzt werden, die auf Stufen klassifiziert sind, die eine Nur-Zugriffs-Verarbeitung erfordern.

9. Überprüfung & Pflege

Diese Richtlinie sowie das zugehörige Malware-Schutz-Konzept und die Endpunktkonfigurations-Baseline werden überprüft:

  • Mindestens jährlich, um die fortlaufende Ausrichtung an aktueller Threat Intelligence, Hersteller-Sicherheitsleitfäden, BSI-IT-Grundschutz-Empfehlungen und regulatorischen Anforderungen zu verifizieren.
  • Nach jedem wesentlichen Malware-Vorfall oder endpunktbezogenen Sicherheitsverstoß, um Kontrolllücken zu identifizieren und Verbesserungen umzusetzen.
  • Wenn neue Endgeräteklassen, Betriebssysteme oder Formfaktoren in die Geräteflotte der Organisation eingeführt werden.
  • Wenn wesentliche Änderungen an der IT-Infrastruktur, Netzwerkarchitektur oder den Telearbeitsregelungen der Organisation eintreten.
  • Wenn neue regulatorische Anforderungen oder geltende BSI- oder ISO-Leitfäden für Endpunktsicherheit oder Malware-Schutz veröffentlicht werden.
  • Nach Änderungen am BYOD-Programm — einschließlich neuer Gerätetypen, Jurisdiktionen oder Benutzergruppen —, um die rechtliche Konformität und technische Machbarkeit sicherzustellen.

Ausnahmeaufzeichnungen zur Deaktivierung des Malware-Schutzes werden an den in jeder Ausnahmegenehmigung festgelegten Überprüfungsdaten und gesamthaft mindestens jährlich überprüft. Die Anti-Malware-Lösungskonfiguration und die Anwendungs-Allowlist werden mindestens jährlich vom IT-Betrieb überprüft und von der/dem Informationssicherheitsbeauftragten genehmigt.

Quellen

Abgedeckte ISO-27001-Kontrollen

A.8.1 Benutzerendgeräte A.8.7 Schutz gegen Schadsoftware

Häufig gestellte Fragen

Brauche ich wirklich Vollverschlüsselung auf jedem Laptop?

Ja. ISO 27001 A 8.1 verlangt, dass Endgeräte gegen Verlust und unbefugten Zugriff geschützt sind. Vollverschlüsselung (BitLocker, FileVault, LUKS) ist die wirksamste Maßnahme gegen Datenabfluss bei Diebstahl oder Verlust. Ohne sie reicht ein gestohlener Laptop, um vertrauliche Daten offenzulegen — selbst wenn das Betriebssystem passwortgeschützt ist.

Was passiert mit privaten Daten auf BYOD-Geräten beim Remote Wipe?

Container-Lösungen (z. B. ein separates Arbeitsprofil auf Android oder eine MDM-Partition auf iOS) sorgen dafür, dass ein Remote Wipe nur den Unternehmensteil des Geräts löscht. Die Richtlinie verlangt eine schriftliche BYOD-Vereinbarung, in der die betroffene Person dem selektiven Remote Wipe ausdrücklich zustimmt. Trotzdem bleibt ein Restrisiko — deswegen empfiehlt die Vorlage, geschäftskritische Daten auf BYOD-Geräten grundsätzlich zu vermeiden.

Wie setze ich die 72-Stunden-Frist für kritische Patches durch?

Durch eine Kombination aus zentralem Patch-Management (WSUS, Intune, Jamf o. Ä.) und einem Eskalationsprozess. Geräte, die nach 72 Stunden nicht gepatcht sind, werden automatisch aus dem Netzwerk isoliert oder erhalten keinen VPN-Zugang mehr. Das klingt drastisch, aber ein ungepatchtes kritisches Sicherheitsleck ist ein offenes Tor.

Dürfen Benutzer:innen Software selbst installieren?

Die Richtlinie beschränkt Installationen auf einen freigegebenen Software-Katalog. Administratorrechte für Endbenutzer:innen sind deaktiviert. Wenn eine Person Software benötigt, die nicht im Katalog steht, läuft das über einen dokumentierten Genehmigungsprozess. Das verhindert, dass ungepatchte oder schadhafte Anwendungen auf Unternehmensgeräten landen.

Muss ich UEBA einführen, um die Richtlinie zu erfüllen?

UEBA (User and Entity Behavior Analytics) ist in der Vorlage als empfohlene Maßnahme für Anomalieerkennung enthalten, aber kein Muss für die Grundkonformität. Wenn du UEBA einsetzt, musst du die Datenschutz-Anforderungen einhalten — insbesondere eine Datenschutz-Folgenabschätzung und (wo vorhanden) die Abstimmung mit dem Betriebsrat. Die Richtlinie adressiert das explizit.