Härtung bedeutet, Systeme, Anwendungen und Konfigurationen so einzuschränken, dass nur benötigte Funktionen aktiv sind und Angreifern möglichst wenig Angriffsfläche und Fehlkonfigurationen bleiben.
Härtung (Hardening) ist die systematische Reduzierung der Angriffsfläche eines Systems durch sichere Konfiguration. Betriebssysteme, Anwendungen, Datenbanken und Netzwerkgeräte werden mit Standardeinstellungen ausgeliefert, die auf Kompatibilität und Komfort ausgelegt sind, nicht auf Sicherheit. Härtung schaltet nicht benötigte Dienste und Protokolle ab, setzt restriktive Berechtigungen, aktiviert Schutzfunktionen und Protokollierung und entfernt Standardkonten und -passwörter.
Härtung unterscheidet sich vom Patch-Management: Ein Patch schließt einen Fehler im Code, Härtung schließt Wege, die der Hersteller absichtlich offengelassen hat. Viele erfolgreiche Angriffe nutzen gar keine Schwachstelle im engeren Sinne, sondern eine zulässige, aber unsichere Konfiguration.
Ebenen der Härtung
- Betriebssystem: Deaktivierung veralteter Protokolle wie SMBv1 oder NTLMv1, Einschränkung lokaler Administratoren, Aktivierung von Speicherschutz und Credential Guard, erweiterte Protokollierung.
- Verzeichnisdienst: Im Active Directory etwa Tiering, Schutz privilegierter Konten, regelmäßiger Wechsel kritischer Dienstpasswörter, Abschaltung unsicherer Delegationen.
- Anwendungen: Office-Makros blockieren, Browser-Richtlinien, Application Allowlisting, Skript-Ausführung einschränken.
- Server und Dienste: Nur benötigte Ports und Rollen, sichere TLS-Konfiguration, Entfernen von Beispiel- und Debug-Inhalten, eigene Dienstkonten mit Mindestrechten.
- Netzwerk- und Cloud-Komponenten: Verwaltungszugriff nur aus Management-Netzen, Standardpasswörter ersetzt, Cloud-Sicherheitsrichtlinien aktiviert.
Als Vorlagen dienen die Baselines der Hersteller, die CIS Benchmarks und die Bausteine des BSI-IT-Grundschutzes; verteilt werden die Einstellungen meist über Gruppenrichtlinien oder Konfigurationsmanagement.
Bedeutung für Unternehmen
Härtung ist die Maßnahme mit dem größten Einfluss darauf, wie weit ein Angreifer nach dem Erstzugriff kommt. Das CISA-Advisory AA23-059A listet die Befunde eines Red-Team-Einsatzes bei einer reifen Organisation: ein seit über zehn Jahren unverändertes krbtgt-Passwort, weit verbreitete lokale Administratorrechte, unconstrained delegation und Klartext-Zugangsdaten. Keiner dieser Punkte war eine Software-Schwachstelle; alle wären durch Härtung vermeidbar gewesen. Auch laut CrowdStrike Global Threat Report 2026 verliefen 82 Prozent der Erkennungen malware-frei, also über Konfiguration und Identitäten, nicht über Schadcode.
Was wir in Einsätzen sehen: Standard-Baselines sind ausgerollt, aber mit vielen Ausnahmen, oft wegen einer einzelnen Altanwendung. Diese Ausnahmen gelten dann für ganze Organisationseinheiten. Ebenso häufig: Server, die bei der Installation gehärtet wurden und seitdem durch manuelle Änderungen schleichend wieder aufgeweicht sind (Configuration Drift).
Praxis: Umsetzung und Prüfung
- Baseline festlegen und messen: Wählen Sie einen Standard (CIS, Hersteller-Baseline, Grundschutz) und prüfen Sie die Einhaltung automatisiert; Abweichungen werden gemeldet, nicht nur dokumentiert.
- Ausnahmen klein halten: Ausnahmen gelten für einzelne Systeme, haben einen Eigentümer und ein Ablaufdatum.
- Identitätsebene zuerst: Die Härtung des Active Directory und der Cloud-Identitäten verhindert mehr Angriffspfade als jede Einzelmaßnahme auf Endgeräten.
- Protokollierung gehört dazu: Ein gehärtetes System ohne Logging ist für die Erkennung blind. Erweitertes Audit-Logging und Skript-Protokollierung sind Teil jeder Baseline.
- Aus Angreifersicht prüfen: Im Assumed Breach stoßen wir auf genau die Konfigurationen, die Angreifer nutzen. Der Bericht benennt sie als Root Cause mit konkreten Härtungsempfehlungen und nicht als abstrakte Liste von Abweichungen.