Zusammenfassung
- Ein Standard-Server läuft, ist aber offen für viel mehr, als er braucht.
- Ein gehärteter Server erlaubt nur das Nötige, zeichnet alles auf und begrenzt den Schaden, wenn doch etwas passiert.
- Der CIS Benchmark macht das messbar. Sie bekommen einen Bericht, den Sie Kunden und Prüfern zeigen können.
Ein frisch installierter Server ist darauf eingestellt, dass alles sofort funktioniert. Sicherheit kommt danach, wenn überhaupt. Bei der Menge an neuen Sicherheitslücken reicht das 2026 nicht mehr. So unterscheidet sich ein Standard-Server von einem gehärteten.
Anmeldung
Standard: Anmeldung mit Passwort, oft auch direkt als Administrator.
Gehärtet: nur mit Schlüssel, kein direkter Admin-Zugang, nach mehreren Fehlversuchen gesperrt. Jede Admin-Sitzung wird aufgezeichnet.
Firewall auf dem Server
Standard: oft aus, oder alles nach außen erlaubt.
Gehärtet: Nur die nötigen Dienste sind erreichbar. Auch Verbindungen nach außen sind begrenzt. Ein Angreifer kann keine Werkzeuge nachladen und keine Daten abziehen.
Was ein gehackter Dienst darf
Standard: Ein gehackter Webserver liest alles, was der Benutzer lesen darf.
Gehärtet: SELinux sperrt jeden Dienst in seinen Bereich. Der Webserver sieht seine Dateien, sonst nichts.
Welche Programme laufen
Standard: Jedes Programm, das jemand auf den Server kopiert, kann starten.
Gehärtet: Nur geprüfte Programme aus vertrauenswürdigen Paketen starten.
Ob jemand etwas verändert
Standard: Niemand merkt, wenn eine Systemdatei ausgetauscht wird.
Gehärtet: Jede Änderung an Systemdateien löst eine Meldung aus. Wichtige Ereignisse landen in einem zentralen Protokoll, das ein Angreifer auf dem Server nicht löschen kann.
Wie man es misst
Der CIS Benchmark listet Hunderte Einstellungen pro Betriebssystem. Ein Prüfprogramm zeigt danach, wie viel Prozent erfüllt sind. So wird aus „wir sind sicher“ eine Zahl, die Sie belegen können.
Konkrete nächste Schritte
- Prüfen, wie Ihre Server heute eingestellt sind.
- Anmeldung auf Schlüssel und persönliche Konten umstellen.
- Firewall auf jedem Server einschalten, auch für Verbindungen nach außen.
- SELinux eingeschaltet lassen oder wieder einschalten.
- Einen CIS-Bericht erstellen und regelmäßig wiederholen.
vetosec härtet Linux-Server nach CIS Benchmark, mit SELinux, Firewall auf jedem Server und Aufzeichnung jeder Admin-Sitzung. Sie bekommen einen Bericht, den Sie vorlegen können.