Fernwartung nach BSI IT-Grundschutz

Eine sichere Fernwartung erfordert einen kontrollierten Zugriff, gesicherte Verbindungen, klare Zuständigkeiten und verwertbare Nachweise. Dieser Leitfaden hilft IT-Teams und MSPs dabei, ihre Fernwartungs-Workflows anhand des BSI IT-Grundschutzes zu bewerten und praktische Verbesserungsmöglichkeiten zu identifizieren.

Kurze Antwort: OPS.1.2.5 Fernwartung ist das Hauptmodul für die Fernwartung von IT-Systemen. OPS.1.1.2 ergänzt dies durch administrative Anforderungen. Die industrielle Fernwartung erfordert eine gesonderte Bewertung gemäß IND.3.2. Software unterstützt die Umsetzung; sie dient nicht der Feststellung der Konformität oder der Zertifizierung.

Was bedeutet Fernwartung?

Fernwartung ist ein zeitlich begrenzter Zugriff von einem anderen System aus für Aufgaben wie Konfiguration, Fehlerbehebung und Reparatur. Dazu gehören aktive Fernsteuerung und passiver Support, bei der Techniker:innen den Bildschirm einsehen und die Benutzer:innen vor Ort anleiten. OPS.1.2.5 befasst sich mit dem Wartungszugriff und den darin verarbeiteten Informationen.

Dies unterscheidet sich von der üblichen Remote-Arbeit von Mitarbeitenden. Ein Fernzugriffsprodukt kann zwar beiden Zwecken dienen, doch hängen die anzuwendenden Kontrollmaßnahmen vom jeweiligen Anwendungsfall ab.

Welche BSI-Module gelten?

Verwenden Sie diese Modulübersicht, um den Umfang Ihrer Bewertung festzulegen.

Zu den zugehörigen Modulen gehören OPS.2.3 Nutzung von Outsourcing für externe Wartungsdienstleister und OPS.2.2 Cloud-Nutzung für Cloud-Dienste. Je nach Umfang sind auch OPS.1.1.7 Systemmanagement und OPS.1.1.3 Patch- und Änderungsmanagement, OPS.1.1.5 Protokollierung, ORP.4 Identitäts- und Berechtigungsmanagement, CON.1 Kryptokonzept, CON.3 Datensicherungskonzept, ORP.3 Sensibilisierung und Schulung zur Informationssicherheit sowie relevante NET-Module, einschließlich NET.3.2 Firewall.

Wie sind die BSI-Anforderungen zu interpretieren?

Das Kompendium unterscheidet zwischen Grundanforderungen (B), Standardanforderungen (S) und Anforderungen für erhöhten Schutzbedarf (H). Die Basis-Absicherung prüft die grundlegenden Anforderungen; die Standard-Absicherung und die Kern-Absicherung umfassen darüber hinaus auch die Standardanforderungen. Ein erhöhter Schutzbedarf erfordert zusätzliche Überlegungen. Diese Kategorien sind nicht austauschbar, und der Wortlaut der einzelnen Anforderungen ist entscheidend.

Zwei konkrete Grundvoraussetzungen sind dabei besonders relevant: OPS.1.2.5.A2 schreibt vor, dass vor dem Herstellen einer Verbindung zu einer Kunden-Desktopumgebung die ausdrückliche Zustimmung des Benutzers eingeholt werden muss. OPS.1.2.5.A3 schreibt vor, dass Zugriffspfade und Verbindungen auf das Notwendige beschränkt und Wartungsverbindungen nach Beendigung des Zugriffs getrennt werden müssen. Eine Eingabeaufforderung, die nach ausbleibender Antwort automatisch Zugriff gewährt, stellt keine ausdrückliche Genehmigung dar.

Die nachstehende Checkliste dient als praktische Anleitung für die Umsetzung und stellt keinen vollständigen BSI-Kontrollkatalog dar. Erfassen Sie für jeden Punkt die jeweilige Anforderung, den Verantwortlichen, den Umsetzungsstatus, den Nachweis sowie etwaige Lücken. Verwenden Sie den vollständigen Modultext für den formellen IT-Grundschutz-Check.

Praktische Checkliste für eine sichere Fernwartung

Governance und Umfang

• Inventarisieren Sie die genehmigten Tools, Zielsysteme, Zugriffsschnittstellen und Dienstleister. Berücksichtigen Sie auch die fest eingebauten Zugänge und Verwaltungsschnittstellen der Hersteller, die unabhängig vom Betriebssystem funktionieren.
• Bestimmen Sie Verantwortliche für die Zugriffsgenehmigung, die technische Konfiguration, die Überwachung und die regelmäßige Überprüfung. Verbinden Sie den Wartungsprozess mit dem Änderungsmanagement und der Störungsbehebung.
• Beziehen Sie bei OT den Anlagen- oder Systembetreiber mit ein und wenden Sie IND.3.2 an. Koordinieren Sie die Zuständigkeiten im IT- und OT-Bereich, die Wartungsfenster sowie die möglichen Auswirkungen auf Produktion und Sicherheit.

Identität und Zugriff

• Verwenden Sie benannte Technikerkonten, das Prinzip der geringsten Berechtigungen und die Multi-Faktor-Authentifizierung. Entziehen Sie den Zugriff, wenn eine Rolle, ein Vertrag oder ein Support-Auftrag endet.
• Legen Sie die Zuständigkeiten externer Dienstleister schriftlich fest. Geben Sie das befugte Personal, die Systeme, die Aktivitäten, die Zugriffszeiten, die Ansprechpartner für Eskalationen und die Übermittlung von Nachweisen an.
• Testen Sie die Genehmigung des Client-Desktops unter Verwendung von Szenarien sowohl für die Annahme als auch für die Ablehnung. Stellen Sie sicher, dass eine ausbleibende Antwort nicht dazu führen kann, dass eine Sitzung stillschweigend autorisiert wird, wenn eine ausdrückliche Genehmigung erforderlich ist.
• Beurteilen Sie unbeaufsichtigte Server oder die Verwaltung im Hintergrund separat. Halten Sie den Verwendungszweck und das Genehmigungsmodell fest; gehen Sie nicht davon aus, dass der Name eines Produktmodus bereits festlegt, welche BSI-Anforderungen gelten.

Verbindungen und Sitzungssteuerung

• Verwenden Sie zugelassene, unterstützte Protokolle und starke Verschlüsselung. Bei Cloud-vermittelten Verbindungen ist zu klären, wo die Verschlüsselung endet und ob der Anbieter Zugriff auf die Inhalte der Sitzung hat.
• Schränken Sie die Netzwerkzugänglichkeit ein und deaktivieren Sie nicht genutzte Wartungsschnittstellen. Beendigung der Testsitzung, Zeitlimit bei Inaktivität, Verhalten bei der Wiederverbindung und Entzug des Notfallzugangs.
• Beschränken Sie die gemeinsame Nutzung der Zwischenablage, die Dateiübertragung, das Drucken aus der Ferne und die Erweiterung von Berechtigungen auf die Aufgaben, für die sie erforderlich sind. Wählen Sie die Sperr- oder Abmeldefunktion aus, die zum System und zum Arbeitsablauf passt.
• Halten Sie Wartungssoftware und die Geräte der Techniker:innen auf dem neuesten Stand. Überwachen Sie nicht genehmigte Fernzugriffstools und unerwartete Nutzung. [6]

Protokolle und Nachweise

• Legen Sie fest, welche Ereignisse protokolliert werden sollen, wo die Protokolle gespeichert werden, wer darauf zugreifen darf und wie sie überprüft werden. Schützen Sie die Protokollierungsinfrastruktur und die aufbewahrten Aufzeichnungen.
• Überprüfen Sie für eine Beispielsitzung, ob die Datensätze den Techniker, das Zielgerät, die Start- und Endzeiten, die Autorisierung sowie das zugehörige Support- oder Änderungs-Ticket miteinander verknüpfen können. Prüfen Sie, was das Produkt tatsächlich erfasst.
• Unterscheiden Sie Aktivitätsprotokolle von Bildschirmaufzeichnungen. Ein Video mag zwar die Aktivitäten auf dem Bildschirm zeigen, es kann jedoch nicht davon ausgegangen werden, dass es jede administrative Maßnahme dokumentiert oder andere Beweismittel ersetzt.
• Wenn Datensätze personenbezogene Daten enthalten, müssen eine rechtmäßige Grundlage, ein festgelegter Zweck, eine verhältnismäßige Erhebung, angemessene Zugriffskontrollen sowie Aufbewahrungs- und Löschregeln festgelegt werden. Beziehen Sie die verantwortliche Person der personenbezogenen Daten ein, bevor Sie die Aufzeichnung aktivieren.

Laufende Überprüfung

• Überprüfen Sie Berechtigungen, den Zugriff von Anbietern, Konfigurationsänderungen und Ausnahmen nach einem festgelegten Zeitplan. Führen Sie nach wesentlichen Änderungen oder Vorfällen erneute Überprüfungen durch.
• Prüfen Sie in der Praxis, ob Ihr Reaktionsteam bei einem Missbrauchsverdacht handlungsfähig ist: Kann es Sitzungen beenden, Konten deaktivieren, betroffene Zugangsdaten widerrufen und Beweise sichern?
• Halten Sie für jede noch nicht behobene Lücke einen Verantwortlichen, einen Zieltermin, vorläufige Maßnahmen und einen Überprüfungstermin fest. Überprüfen Sie die einschlägigen BSI-Veröffentlichungen vor der Veröffentlichung und im Rahmen nachfolgender Überprüfungen erneut.

So bewerten Sie Fernwartungstools

Bitten Sie die Anbieter, das entsprechende Verhalten in der von Ihnen vorgesehenen Konfiguration zu demonstrieren, einschließlich etwaiger Unterschiede zwischen Betriebssystemen und Sitzungstypen.

• Können Berechtigungen nach Organisationen, Gerätegruppen, Fernsteuerung, Dateizugriff und erweiterten Administratorrechten differenziert werden? Wie werden Rollenkonflikte gelöst?
• Können MFA- und Genehmigungsrichtlinien durchgesetzt werden? Was passiert, wenn ein:e Benutzer:in ablehnt, nicht antwortet oder die Verbindung trennt?
• Können Administrator:innen Übertragungen einschränken und den Zugriff sofort widerrufen? Was dürfen Techniker:innen ändern, und welche Einstellungen lassen sich auf einzelnen Geräten überschreiben?
• Welche Ereignisse werden in den Aktivitätsprotokollen angezeigt, für welche Aktionen sind weitere Nachweise erforderlich und wie werden Aufzeichnungen exportiert, geschützt, aufbewahrt und gelöscht?
• Welche Datenflüsse, Hosting-Standorte, Unterauftragsverarbeiter, Verschlüsselungsgrenzen und vertraglichen Verpflichtungen gibt es bei Cloud-Diensten?
• Kann das Tool Geräte und Wartungsarbeiten mit Ihrem Bestandsverwaltungssystem, Ihrem Service Desk und Ihren Dokumentationsprozessen verknüpfen?

So unterstützt NinjaOne die Fernwartung

NinjaOne kombiniert Fernsupport mit Workflows für das Endpunkt-Management für interne IT-Teams und MSPs. In der Dokumentation werden rollenbasierte Berechtigungen für Techniker:innen, verschlüsselte Remote-Sitzungen, Einstellungen zur Benutzerfreigabe, Zeitlimits bei Inaktivität, das Verhalten bei Sperrung oder Abmeldung sowie die Sitzungsaufzeichnung beschrieben. Die Funktionen und Einstellungen variieren je nach Plattform und Sitzungstyp.

Es kommt auf die Konfiguration an. NinjaOne bietet eine Option, mit der der Zugriff gewährt wird, wenn Benutzer:innen nicht auf eine Bestätigungsaufforderung reagiert. Deaktivieren Sie diese Option überall dort, wo eine ausdrückliche Genehmigung erforderlich ist. In der Dokumentation heißt es außerdem, dass Aufzeichnungen standardmäßig auf dem Computer der Techniker:innen gespeichert werden; prüfen Sie daher die Schutzmaßnahmen, die Erfassung, die Aufbewahrung und die Löschung der lokalen Speicherdaten. Gehen Sie nicht davon aus, dass Aufzeichnungen automatisiert in einem zentralen Audit-Repository gespeichert werden.

Überprüfen Sie die ausgewählte Konfiguration anhand Ihrer Anforderungen und bewahren Sie die Nachweise der Tests auf. Diese Funktionen können Kontrollmaßnahmen unterstützen; sie begründen jedoch keine BSI-Zulassung, keine Konformität mit dem IT-Grundschutz, keine Zertifizierung und keine Audit-Bereitschaft.