Windows-Härtung auf Anlagen-, Labor- und Leitstandsrechnern prüfen – offline und ohne Agent

Warum Agent, Installation und Netzwerk-Scan auf Anlagen-PCs oft ausscheiden

Bedienrechner (HMI), Engineering-Stationen, Labor- und Leitstandsrechner stehen oft außerhalb der zentralen IT: manche ohne Netz, manche validiert oder vom Anlagenhersteller abgenommen, manche mit Software, die eine unsichere Einstellung braucht. Wer dort die Windows-Härtung nachweisen soll, stößt auf Hürden, die es in der Büro-IT so nicht gibt:

• Jede Installation ist eine Änderung

  Ein Prüfprogramm aufzuspielen, verändert das System. Für computergestützte Systeme im GMP-Umfeld sieht EU-GMP Annex 11 vor, dass Änderungen – ausdrücklich auch an der Konfiguration – nur kontrolliert nach einem festgelegten Verfahren erfolgen.

• Der Anlagenhersteller entscheidet mit

  Der OT-Sicherheitsleitfaden des US-amerikanischen NIST (SP 800-82) weist darauf hin, dass Lizenz- und Serviceverträge der OT-Hersteller Sicherheitslösungen Dritter manchmal ausschließen und der Support entfallen kann, wenn Software Dritter ohne Zustimmung des Herstellers installiert wird.

• Updates brauchen Tests und Stillstände

  Laut NIST müssen Updates auf OT-Systemen vom Hersteller und vom Betreiber gründlich getestet werden; Stillstände werden Tage oder Wochen im Voraus geplant, manchmal ist eine erneute Validierung nötig. Ein Agent, der sich regelmäßig selbst aktualisiert, passt dazu schlecht.

• Aktive Netzwerk-Scans können stören

  NIST rät zu äußerster Vorsicht: Aktive Scans können Geräte instabil machen oder in den Prozesszustand eingreifen und sollten möglichst in geplanten Stillständen laufen. Auch Lösungen, die aktiv scannen oder Ressourcen auf dem Rechner selbst nutzen, sollen vor dem Einsatz im OT-System getestet werden.

• Manche Rechner haben gar kein Netz

  Ein isolierter Messrechner oder eine Bedienstation in einer abgeschotteten Zelle hat keine Verbindung, über die ein Agent melden oder ein Scanner zugreifen könnte.

• Alte Windows-Versionen bleiben im Einsatz

  Die Lebensdauer eines OT-Systems kann laut NIST über 20 Jahre betragen, und viele OT-Systeme laufen mit Betriebssystemen, für die es keine Updates mehr gibt. Ein Prüfweg muss also auch mit älteren Windows-Versionen zurechtkommen.

Gesucht ist also ein Weg, der nur liest, nichts installiert und ohne Netz auskommt – und dessen Ergebnis als Nachweis taugt.

Checkliste: was eine Prüfung der Windows-Härtung abdecken sollte

Wer für einen Audit – etwa im Rahmen von IEC 62443, NIS2 oder GMP – die Windows-Härtung belegen muss, braucht zuerst eine Liste dessen, was geprüft wird. Die Sollwerte hängen von Windows-Version, Rolle und Anlagensoftware ab; Microsoft nennt etwa für die LAN-Manager-Authentifizierung je nach Rolle unterschiedliche Standardwerte. Diese Bereiche gehören dazu, hier als Fragen formuliert – die Sollwerte legen Sie mit Ihrer Quelle und dem Anlagenhersteller fest:

• Konten und Anmeldung

  Wer ist lokaler Administrator, welche Konten sind aktiv, auch das Gastkonto? Gibt es eine automatische Anmeldung – und ist sie begründet? Dabei kann das Kennwort laut Microsoft im Klartext in der Registry stehen.

• Anmeldedaten und NTLM

  Welche NTLM-Varianten lässt die LAN-Manager-Authentifizierungsebene zu? Ist der LSA-Schutz aktiv?

• Netzwerk, Freigaben und Dienste

  Ist SMBv1 aktiv, wird SMB-Signierung verlangt? Welche Freigaben gibt es, und welche Dienste laufen, die die Anlage nicht braucht?

• Remotedesktop

  Ist Remotedesktop eingeschaltet – und wenn ja, nur mit Authentifizierung auf Netzwerkebene und für wen?

• Firewall

  Ist die Windows-Firewall in allen Profilen aktiv, und welche eingehenden Regeln gibt es?

• Virenschutz

  Läuft ein Virenschutz, etwa Microsoft Defender Antivirus? Wie alt sind die Signaturen, welche Ausnahmen sind eingetragen? Manche Anlagenhersteller empfehlen dafür bestimmte Virenschutz-Lösungen; NIST rät, den Empfehlungen des Herstellers zu folgen.

• Überwachung und Protokollierung

  Was zeichnet die Überwachungsrichtlinie auf, wie groß ist das Sicherheitsprotokoll, wird PowerShell protokolliert?

• Wechselmedien und Autostart

  Wie sind USB-Speicher und der Autostart von Wechselmedien eingestellt?

• Verschlüsselung und TLS

  Ist das Systemlaufwerk verschlüsselt? Welche Versionen von SSL und TLS lässt Windows zu?

• Updates und Lebenszyklus

  Bekommt die Windows-Version noch Sicherheitsupdates, und wann wurde zuletzt eines installiert?

Mit Windows-Bordmitteln prüfen: secedit, auditpol, reg query

Windows bringt Befehle mit, die die Sicherheitseinstellungen auslesen, ohne etwas zu installieren. Öffnen Sie die Eingabeaufforderung mit „Als Administrator ausführen“ – auditpol braucht laut Microsoft ein Recht, das ab Werk nur Administratoren haben. Wechseln Sie vorher in den Zielordner, etwa auf den USB-Stick: Ohne Pfad landen Ausgabedateien im aktuellen Ordner.

• Sicherheitsrichtlinie: secedit

  secedit /export /cfg secpol.inf /log secedit.log schreibt die lokale Sicherheitsrichtlinie als Textdatei, unter anderem Kontorichtlinien, Sicherheitsoptionen und Benutzerrechte. Mit /mergedpolicy kommen die Einstellungen aus der Domäne dazu; /log legt das Protokoll mit in den aktuellen Ordner.

• Überwachungsrichtlinie: auditpol

  auditpol /get /category:* zeigt die Einstellungen der Überwachungsrichtlinie für alle Kategorien und Unterkategorien; mit /r kommt das Ergebnis als CSV.

• Einzelne Werte: reg query

  reg query HKLM\System\CurrentControlSet\Control\Lsa /v LmCompatibilityLevel liest die LAN-Manager-Authentifizierungsebene. Fehlt der Wert, steht in der Registry nichts – welches Verhalten dann gilt, muss man in der Microsoft-Dokumentation für Version und Rolle nachlesen. Am Rückgabewert sehen Sie nicht, ob ein Wert fehlt oder nicht lesbar war: reg query kennt nur 0 (Erfolg) und 1 (Fehler).

• Gruppenrichtlinien: gpresult

  gpresult /scope computer /r zeigt eine Zusammenfassung, welche Gruppenrichtlinienobjekte für den Rechner gelten; gpresult /scope computer /h gpresult.html schreibt stattdessen einen HTML-Bericht (/h lässt sich nicht mit /r kombinieren). Das hilft vor allem bei Rechnern in einer Domäne.

Zwei Stolperfallen bei reg query: Für viele Schlüssel unter HKLM\SOFTWARE sieht ein 32-Bit-Programm auf 64-Bit-Windows eine eigene Ansicht der Registry (Wow6432Node), etwa für Winlogon; die Richtlinienschlüssel unter HKLM\SOFTWARE\Policies teilen sich beide Ansichten. Wurde die Eingabeaufforderung aus einem 32-Bit-Programm heraus gestartet, etwa aus einem Fernwartungswerkzeug, kann ein Wert fehlen, der in Wirklichkeit gesetzt ist; /reg:64 liest die 64-Bit-Ansicht. Und bei automatischer Anmeldung kann im Schlüssel Winlogon das Kennwort im Klartext stehen – fragen Sie dort nur einzelne Werte ab, etwa reg query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v AutoAdminLogon, statt den ganzen Schlüssel auszugeben.

Wo die Bordmittel enden:

• Sie liefern Rohwerte, keine Bewertung: Ob ein Wert passt, steht nicht in der Ausgabe.
• Die Sollwerte pflegen Sie selbst – je Windows-Version und Rolle, mit Quelle.
• Die Auswertung geschieht von Hand, etwa in einer Tabelle; fehlende Werte und Standardwerte muss man richtig deuten.
• Eingestellt heißt nicht wirksam: Ob etwa der Virenschutz wirklich läuft, zeigt eine Richtlinie allein nicht.
• Ausnahmen und Freigaben verwalten die Befehle nicht, und es entsteht kein Nachweis, wer wann was erhoben und wer das Ergebnis abgezeichnet hat.

Zentrale Wege: Gruppenrichtlinie, MDM, Agent, Netzwerk-Scan

• Gruppenrichtlinie

  In einer Windows-Domäne verteilt die Gruppenrichtlinie Einstellungen nach Standort, Domäne und Organisationseinheit und überschreibt lokale Werte beim nächsten Update. Sie setzt Sollwerte, einen Prüfbericht liefert sie nicht – gpresult zeigt nur, welche Richtlinien gelten.

• MDM mit Compliance-Berichten

  Bei einem MDM-Dienst registrierte Rechner gleichen sich regelmäßig mit dem Verwaltungsserver ab und übernehmen dessen Richtlinien; Compliance-Richtlinien können dabei die Konfiguration der Geräte bewerten. Ohne Verbindung zum Verwaltungsserver geht das nicht.

• Agent

  Ein Agent ist ein Programm, das in der Regel dauerhaft auf jedem Rechner läuft, die Konfiguration erhebt und an einen Server meldet. Für verwaltete Rechner bequem – auf einem Anlagen-PC ist schon die Installation eine Änderung, und jedes Update des Agenten ist die nächste.

• Netzwerk-Scan mit Anmeldedaten

  Ein Scanner meldet sich über das Netz mit einem Konto an jedem Rechner an und liest die Konfiguration aus. Das braucht Netzzugang, erreichbare Verwaltungsschnittstellen, ein Konto mit Rechten auf jedem Rechner – und im Anlagennetz die Erlaubnis zu scannen.

Für verwaltete Büro-IT sind das die üblichen Wege. Auf Anlagenrechnern ohne Domäne, ohne Netz oder ohne Freigabe für zusätzliche Software passen sie oft nicht – dort bleiben die Bordmittel oder ein portabler Sammler, der lesend erhebt und die Auswertung einem anderen PC überlässt.

Prüfen und Setzen trennen

Prüfskripte und -programme, die die Konfiguration direkt auf dem Rechner mit einer Liste von Sollwerten vergleichen, gibt es von mehreren Herstellern und Projekten; einen sachlichen Vergleich mit bekannten finden Sie auf der Produktseite von Riegel. Manche können die Einstellungen auch gleich setzen – in der Büro-IT spart das Zeit. Auf einem validierten oder abgenommenen Anlagenrechner ist jede Einstellung, die sie setzen, eine Konfigurationsänderung – mit allem, was dazugehört: Änderungsantrag, Abstimmung mit dem Anlagenhersteller, Test und unter Umständen eine erneute Validierung.

Dass eine Einstellung zur Windows-Härtung auch etwas kaputt machen kann, schreibt Microsoft selbst: Eine Änderung der LAN-Manager-Authentifizierungsebene könne die Kompatibilität mit Geräten, Diensten und Anwendungen beeinträchtigen, und Geräte, die NTLMv2 nicht beherrschen, können sich bei der strengeren Einstellung nicht mehr in der Domäne anmelden. NIST empfiehlt für OT, Änderungen vor dem Einsatz zu dokumentieren, zu testen und freizugeben. Sinnvoll ist deshalb diese Reihenfolge:

• Zuerst lesend prüfen und den Ist-Stand festhalten.
• Jede Abweichung entscheiden: beheben, als Ausnahme begründen oder für diese Rolle bewusst aus dem Prüfumfang nehmen.
• Änderungen als Dateien vorbereiten, mit einer Rücknahme, und mit dem Anlagenhersteller abstimmen.
• Auf einem Testsystem oder einer Ersatzstation testen und im Wartungsfenster über das Änderungsverfahren einspielen.
• Danach erneut prüfen und den neuen Stand als freigegebenen Stand festhalten.

Ausnahmen begründen, freigeben und mit dem freigegebenen Stand vergleichen

Auf Anlagenrechnern wird nicht jede Regel erfüllt – manchmal aus gutem Grund: Die Bedienstation soll nach einem Neustart ohne Anmeldung wieder laufen, eine ältere Software braucht ein altes Protokoll, der Hersteller gibt einen bestimmten Virenschutz nicht frei. Microsoft empfiehlt die automatische Anmeldung zum Beispiel nur, wenn der Rechner physisch gesichert ist und Unbefugte nicht aus der Ferne auf die Registry zugreifen können. Genau solche Bedingungen gehören in eine begründete Ausnahme – statt in eine stille Abweichung, die beim nächsten Audit niemand mehr erklären kann.

Eine Ausnahme ist kein Abhaken, sondern eine dokumentierte Entscheidung. Sie nennt:

• die Regel und die Rechner oder Gruppen, für die sie gilt
• die Begründung und den akzeptierten Wert – ändert sich der Wert später, sollte die Ausnahme nicht mehr greifen
• die Ersatzmaßnahme, etwa einen abgeschlossenen Schaltschrank oder ein abgeschottetes Netz
• wer sie freigegeben hat, mit Verweis auf den Änderungs- oder QMS-Vorgang
• bis wann sie gilt und wann sie wieder überprüft wird

Das deckt sich mit Leitfäden: NIST rät für ältere OT-Systeme, die eine Sicherheitsfunktion nicht unterstützen, Ersatzmaßnahmen in Betracht zu ziehen, und empfiehlt, die freigegebene Basiskonfiguration der Geräte zu dokumentieren. Die ENISA nennt in ihrer Umsetzungshilfe zu den NIS2-Pflichten digitaler Dienste wie Rechenzentren und Managed-Service-Anbieter dokumentierte und genehmigte Ausnahmen von der Basiskonfiguration samt Ersatzmaßnahmen als Beispiel für einen Nachweis.

Ebenso wichtig ist der Vergleich mit dem freigegebenen Stand: Halten Sie nach der Inbetriebnahme oder einer Abnahme fest, wie der Rechner konfiguriert war, und vergleichen Sie spätere Prüfungen damit – etwa nach einem Servicebesuch des Herstellers. So fällt auf, was sich verändert hat, auch wenn es niemand gemeldet hat. Für computergestützte Systeme im GMP-Umfeld sieht EU-GMP Annex 11 ohnehin eine periodische Bewertung vor, ob sie noch in einem validierten Zustand sind.

Riegel: portabler Sammler, Auswertung offline

Riegel ist unser Härtungs-Check für Windows-Rechner in Anlagen, Laboren und Leitständen. Riegel trennt Erhebung und Auswertung: Ein portabler Sammler von rund 130 KB läuft vom USB-Stick auf dem Anlagen-PC, installiert nichts, ändert keine Konfiguration, öffnet keine Netzwerkverbindung und schreibt nur seinen Export; Windows selbst vermerkt, dass ein Programm lief, und gpresult kann den Gruppenrichtliniendienst bei Bedarf starten. Ausgewertet wird auf einem Auswerte-PC – dorthin gehören auch die MSI und die Auswerte-App (ab Windows 10 1809 oder Windows Server 2019), nicht auf den Anlagenrechner.

• Für Anlagen-PCs ausgelegt

  Der Sammler ist für Windows 7 SP1 bis 11 und Windows Server 2008 R2 SP1 bis 2025 gebaut und braucht .NET Framework 3.5.1 oder 4.x. Wo kein fremdes Programm laufen darf, nutzt collect-builtin.cmd nur Windows-Bordmittel wie secedit, auditpol und reg; --minimal startet auf empfindlichen HMIs kein weiteres Programm.

• 153 Regeln, ehrlich bewertet

  Konten, Anmeldedaten und NTLM, Defender, Firewall, Protokollierung und PowerShell, RDP, Wechselmedien, TLS und mehr. Erfüllt heißt positiv belegt; was nicht lesbar war, heißt „nicht prüfbar“, nie stillschweigend erfüllt.

• Begründete Ausnahmen mit Freigabe

  Begründung, akzeptierter Wert, freigebende Rolle und ein Nachweis aus dem Änderungs- oder QMS-Verfahren – an den Inhalt gebunden, mit Ablaufdatum und Verlauf. Weicht der Wert später ab, ist der Befund wieder offen.

• Vergleich mit dem freigegebenen Stand

  Was hat sich seit Inbetriebnahme oder Herstellerbesuch geändert? Verschlechterungen zuerst, dann Abweichungen der Rohwerte.

• Bericht zum Abzeichnen

  Anlagenbericht als PDF, dazu Excel, CSV und ein Nachweispaket, das Prüfer mit verify nachrechnen – auch unter Linux.

• Abhilfe nur als Dateien

  .reg-Dateien mit Rücknahme, GptTmpl.inf und audit.csv für den Anlagenbauer; Riegel wendet sie nie selbst an.

Für den Änderungsantrag beschreibt die Dokumentation, welche Einträge der Sammler liest, welche Programme er startet und welche Spuren Windows vermerkt. Das Regelwerk stützt sich auf ACSC, Microsoft-Dokumentation und DISA STIGs; es enthält keine Inhalte von CIS und keine aus BSI SiSyPHuS. Riegel unterstützt Nachweise, macht aber keine Compliance-Aussage.

Ehrlich gesagt: Riegel ist eine Vorabversion (0.1.2) und noch nicht signiert – Windows kann beim Starten der Programme warnen, und der Sammler lässt sich nur über seinen Hash freigeben. Ein Kundenpilot auf OT- oder validierten Rechnern ist deshalb erst vorgesehen, wenn der Sammler signiert ist. Getestet ist Riegel mit Testdaten und auf CI-Rechnern, noch nicht auf echten Rechnern mit Windows 7, 8.1, Server 2008 R2 oder 2012 R2, nicht in einer echten Domäne, nicht mit Virenschutz oder EDR anderer Hersteller und nicht mit tatsächlich erzwungenem AppLocker. Ohne Administratorrechte, mit --minimal oder über die Bordmittel bleiben viele Regeln unentscheidbar; der Bericht sagt dann „Unvollständige Prüfung“. Riegel ist kostenlos unter der MIT-Lizenz. Der Download folgt mit der Veröffentlichung.

Unser Produkt

Riegel – Härtungs-Check für Windows in OT und Labor

Windows-Härtung lesend und offline prüfen: portabler Sammler ohne Installation, 153 Regeln, begründete Ausnahmen und Bericht zum Abzeichnen – ausgelegt für Windows 7 SP1 bis 11 und Windows Server 2008 R2 SP1 bis 2025.

Status: Demnächst · Demnächst

Mehr zu Riegel Vergleich mit anderen Prüfwerkzeugen

Die Wege im Vergleich

„Je nach Produkt“ und „je nach Lösung“: Funktionen unterscheiden sich von Werkzeug zu Werkzeug. Riegel ist eine Vorabversion (0.1.2) und noch nicht signiert; ein Kundenpilot auf OT- oder validierten Rechnern ist erst mit signiertem Sammler vorgesehen.

Was passt wann?

• Einzelne Werte nachsehen, etwa nach einer Störung oder vor einem Audit

  Die Bordmittel: reg query für einzelne Registry-Werte, auditpol /get für die Überwachungsrichtlinie, secedit /export für die Sicherheitsrichtlinie.

• Büro-IT in einer Domäne oder im MDM

  Die zentrale Verwaltung mit ihren Berichten, dazu je nach Bedarf Agent oder Netzwerk-Scan.

• Anlagen-PC ohne Netz oder ohne Freigabe für zusätzliche Software

  Ein portabler Sammler, der nichts installiert, und die Auswertung auf einem anderen PC – oder, wo gar kein fremdes Programm laufen darf, die Bordmittel. Riegel bietet beides, ist aber noch eine Vorabversion ohne Signatur.

• Validierter Rechner im GMP-Umfeld

  Lesend prüfen, Abweichungen als begründete Ausnahmen mit Freigabe festhalten, Änderungen nur über das Änderungsverfahren – und bei der periodischen Bewertung mit dem freigegebenen Stand vergleichen.

• Die Anlagensoftware braucht eine unsichere Einstellung

  Eine begründete Ausnahme mit Ersatzmaßnahme, Freigabe und Ablaufdatum statt einer stillen Abweichung.

• Maschinenbauer vor der Auslieferung

  Den Auslieferungszustand prüfen und die begründeten Abweichungen der eigenen Software mitliefern; Riegel hat dafür die Berichtsvorlage „Auslieferungszustand“ und läuft auch in der Werksabnahme (FAT). Riegel ist noch eine Vorabversion ohne Signatur; ein Kundenpilot auf OT- oder validierten Rechnern ist erst mit signiertem Sammler vorgesehen.

• Die Windows-Härtung soll umgesetzt werden

  Getrennt vom Prüfen: Änderungen als Dateien vorbereiten, mit dem Anlagenhersteller abstimmen, testen, im Wartungsfenster einspielen und danach erneut prüfen.