Serverhärtung

Serverhärtung einfach erklärt

Serverhärtung bezeichnet die systematische Absicherung eines Servers durch sichere Konfiguration, reduzierte Angriffsfläche und kontrollierte Zugriffsrechte. Ziel ist es, unnötige Funktionen zu entfernen, bekannte Schwachstellen zu schließen und die Auswirkungen eines erfolgreichen Angriffs zu begrenzen.

Die Härtung betrifft nicht nur das Betriebssystem. Auch installierte Anwendungen, Benutzerkonten, Netzwerkdienste, Schnittstellen und Verwaltungszugänge müssen berücksichtigt werden.

Was bedeutet Serverhärtung?

Ein Server wird häufig mit einer Standardkonfiguration installiert, die möglichst viele Einsatzmöglichkeiten unterstützt. Dadurch können jedoch Funktionen, Dienste oder Zugänge aktiv sein, die im konkreten Betrieb nicht benötigt werden.

Bei der Serverhärtung wird die Konfiguration an den tatsächlichen Einsatzzweck angepasst. Ein Datenbankserver benötigt beispielsweise andere Dienste und Netzwerkfreigaben als ein Webserver oder Domänencontroller.

Grundsätzlich gilt: Nur Funktionen, Zugänge und Verbindungen, die für den Betrieb erforderlich sind, sollten aktiviert werden.

Welche Maßnahmen gehören zur Serverhärtung?

Nicht benötigte Komponenten entfernen

Nicht verwendete Anwendungen, Dienste, Benutzerkonten, Protokolle und Schnittstellen sollten deaktiviert oder entfernt werden.

Dadurch sinkt die Anzahl möglicher Angriffspunkte.

Beispiele sind:

ungenutzte Netzwerkdienste
nicht benötigte Verwaltungswerkzeuge
veraltete Protokolle
Test- und Standardkonten
ungenutzte Softwarepakete
unnötige Datei- und Druckfreigaben

Updates und Patch Management

Betriebssystem, Anwendungen, Treiber und Firmware müssen regelmäßig aktualisiert werden.

Ein fehlendes Sicherheitsupdate kann eine bekannte Schwachstelle offenlassen. Patch Management ist deshalb ein zentraler Bestandteil der Härtung, aber nicht mit ihr gleichzusetzen.

Patch Management hält Software aktuell. Serverhärtung umfasst zusätzlich sichere Konfigurationen, Berechtigungen, Netzwerkregeln und Überwachung.

Berechtigungen begrenzen

Benutzer, Dienste und Anwendungen sollten nur die Rechte erhalten, die sie für ihre Aufgaben benötigen.

Zum Prinzip der minimalen Berechtigungen gehören:

getrennte Benutzer- und Administratorkonten
keine dauerhafte Arbeit mit Administratorrechten
eingeschränkte Dienstkonten
regelmäßige Prüfung von Gruppenmitgliedschaften
Schutz privilegierter Zugangsdaten
zeitlich begrenzte administrative Berechtigungen

Gemeinsam verwendete Administratorkonten sollten möglichst vermieden werden.

Authentifizierung absichern

Administrative Zugänge benötigen einen besonderen Schutz.

Geeignete Maßnahmen sind:

Multi-Faktor-Authentifizierung
starke und individuelle Kennwörter
sichere Verwaltung von Dienstkonten
kontrollierte Notfallkonten
Sperrregeln gegen automatisierte Anmeldeversuche
Deaktivierung unsicherer Authentifizierungsverfahren

Administrationszugänge sollten außerdem nur aus vorgesehenen Netzwerkbereichen oder über besonders geschützte Verwaltungsgeräte erreichbar sein.

Netzwerkzugriffe einschränken

Eine Host-Firewall sollte nur die Ports und Protokolle freigeben, die der Server tatsächlich benötigt.

Weitere Schutzmaßnahmen sind:

Trennung von Benutzer-, Server- und Administrationsnetzen
kein direkter Internetzugriff für interne Server, sofern nicht erforderlich
eingeschränkte ausgehende Verbindungen
sichere VPN- oder Verwaltungszugänge
separate Netze für Backup und Management
Schutz öffentlich erreichbarer Dienste durch Reverse Proxy oder Firewall

Ein Server sollte nicht allein deshalb auf andere Systeme zugreifen dürfen, weil er sich im internen Netzwerk befindet.

Sichere Protokolle und Verschlüsselung

Veraltete oder unverschlüsselte Protokolle sollten deaktiviert werden.

Datenübertragungen und administrative Sitzungen sollten über sichere Verfahren erfolgen. Dazu gehören beispielsweise aktuelle TLS-Konfigurationen und verschlüsselte Verwaltungsprotokolle.

Je nach Schutzbedarf können außerdem Datenträger, Datenbanken oder einzelne Dateien verschlüsselt werden.

Dateisystem und Anwendungen schützen

Berechtigungen auf Dateien, Verzeichnisse und Konfigurationsdateien müssen auf das notwendige Minimum begrenzt werden.

Besonders zu schützen sind:

private Schlüssel und Zertifikate
Zugangsdaten
Konfigurationsdateien
Protokolle
Anwendungsdaten
Backup-Dateien
Skripte mit administrativen Funktionen

Anwendungen sollten möglichst unter eigenen Dienstkonten und nicht mit umfassenden Systemrechten ausgeführt werden.

Welche Rolle spielen Sicherheits-Baselines?

Sicherheits-Baselines enthalten empfohlene Einstellungen für Betriebssysteme und Anwendungen.

Sie können beispielsweise Vorgaben machen für:

Kennwortrichtlinien
Benutzerrechte
Protokollierung
Netzwerkprotokolle
Firewall-Regeln
Verschlüsselung
administrative Freigaben
Sicherheitsoptionen

Bekannte Orientierungshilfen sind unter anderem Hersteller-Baselines, CIS Benchmarks und Empfehlungen des BSI.

Eine Baseline sollte jedoch nicht ungeprüft übernommen werden. Zu strenge oder unpassende Einstellungen können Anwendungen und Betriebsprozesse beeinträchtigen.

Überwachung und Protokollierung

Ein gehärteter Server muss weiterhin überwacht werden.

Wichtige Ereignisse sind beispielsweise:

fehlgeschlagene Anmeldungen
neue Benutzerkonten
Änderungen an Berechtigungen
Installation neuer Dienste
Manipulation von Sicherheitsfunktionen
ungewöhnliche Prozessstarts
veränderte Konfigurationsdateien
verdächtige Netzwerkverbindungen

Protokolle sollten möglichst zentral gesammelt und vor unbefugten Änderungen geschützt werden.

Endpoint- und Server-Sicherheitslösungen können zusätzlich verdächtiges Verhalten erkennen und Gegenmaßnahmen unterstützen.

Was bedeutet Configuration Drift?

Nach der ursprünglichen Härtung kann sich die Konfiguration eines Servers schrittweise verändern. Dieser Prozess wird als Configuration Drift bezeichnet.

Ursachen können sein:

manuelle Änderungen
neue Anwendungen
vorübergehende Freigaben
Updates
Fehlerbehebungen
nicht dokumentierte Ausnahmen

Deshalb sollte regelmäßig geprüft werden, ob ein Server noch dem vorgesehenen Sicherheitsstandard entspricht. Automatisierte Konfigurationsprüfungen können Abweichungen erkennen.

Gehören Backups zur Serverhärtung?

Backups sind keine eigentliche Härtungsmaßnahme, aber ein unverzichtbarer Bestandteil der Widerstandsfähigkeit.

Auch ein gut gehärteter Server kann durch einen Angriff, einen Fehler oder einen Hardwareausfall beeinträchtigt werden.

Wichtige Maßnahmen sind:

regelmäßige Datensicherungen
getrennte oder unveränderbare Backup-Kopien
gesicherte Systemkonfigurationen
dokumentierte Wiederherstellungsverfahren
regelmäßige Restore-Tests

Eine Datensicherung verhindert keinen Angriff, kann dessen Auswirkungen jedoch deutlich begrenzen.

Wie läuft eine Serverhärtung ab?

Ein typischer Ablauf umfasst:

Einsatzzweck und Schutzbedarf bestimmen
benötigte Dienste und Verbindungen dokumentieren
Sicherheits-Baseline auswählen
Server sicher konfigurieren
Änderungen in einer Testumgebung prüfen
Konfiguration dokumentieren
Überwachung und Patch Management einrichten
Einhaltung regelmäßig kontrollieren
Ausnahmen genehmigen und erneut bewerten

Die Härtung sollte möglichst bereits bei der Bereitstellung automatisiert angewendet werden. Dadurch entstehen einheitliche und reproduzierbare Serverkonfigurationen.

Fazit

Serverhärtung reduziert die Angriffsfläche eines Servers durch sichere Konfigurationen, minimale Berechtigungen und die Deaktivierung unnötiger Funktionen.

Sie ist kein einmaliger Arbeitsschritt. Neue Schwachstellen, Updates und Konfigurationsänderungen erfordern eine kontinuierliche Überwachung und regelmäßige Überprüfung. Gemeinsam mit Patch Management, Netzwerksegmentierung, Monitoring und getesteten Backups bildet die Serverhärtung eine wichtige Grundlage für einen sicheren IT-Betrieb.