RMM-basierte Compliance-Audits unter macOS, Linux und Windows durchführen

Dieser Leitfaden erklärt, wie Sie RMM-basierte Compliance-Audits auf Windows-, macOS- und Linux-Endpunkten umsetzen, und zwar mit Werkzeugen für Fernwartung und -Verwaltung (RMM). Das ist eine zentrale Aufgabe für interne IT-Abteilungen und Managed Service Provider (MSPs), die regulatorische Vorgaben wie die Datenschutz-Grundverordnung, HIPAA und SOC2 erfüllen und zugleich ihre eigenen internen Sicherheits- und Datenschutzanforderungen einhalten müssen.

Was ist ein IT-Compliance-Audit?

Ein Compliance-Audit ist die systematische Dokumentation und Bewertung Ihrer IT-Infrastruktur und Unternehmensprozesse, um zu bestätigen, dass diese den gesetzlichen Vorgaben oder internen Sicherheitsrichtlinien entsprechen. Dazu können die Prüfung von Datenverarbeitung und Schutzmaßnahmen, das Verhalten der Beschäftigten, Cybersicherheitsmaßnahmen sowie die Frage gehören, ob Betriebssystem- und Software-Updates korrekt eingespielt werden.

So führen Sie ein Compliance-Audit durch

Compliance-Auditing sollte ein mehrstufiger, regelmäßig wiederkehrender Prozess sein. Dazu gehört die Prüfung der Konfiguration von Servern, Netzwerken und Cloud-Infrastruktur ebenso wie der Zustand einzelner Endpunkte, etwa Workstations, Laptops und Mobilgeräte, die Endbenutzer:innen zur Verfügung gestellt werden.

Automatisierung ist entscheidend, damit dieser Prozess kontinuierlich und effizient abläuft: Skripte und RMM-Tools lassen sich kombinieren, um die wichtigsten Kennzahlen für den Compliance-Nachweis zu erfassen, ohne störende manuelle Eingriffe. Das gilt besonders für Geräte außerhalb des Standorts.

Diese Bereiche sollten Sie bei der Datenerfassung für Ihr Audit unbedingt berücksichtigen:

• Patch-Compliance von Betriebssystem und Software
• Status von Verschlüsselung und Backup
• Konfiguration von Firewall und Virenschutz
• Benutzerkonten und Berechtigungsstufen
• Durchsetzung lokaler Richtlinien und Hardening-Maßnahmen für Systeme

Wichtig zu verstehen: Es liegt in Ihrer Verantwortung, dass Ihr Compliance-Auditing die gesetzlich vorgeschriebenen Kennzahlen und Berichterstattungsanforderungen abdeckt, die für Ihr Unternehmen, Ihre Benutzer:innen und Ihre Kund:innen gelten. Auch wenn Sie fertige Lösungen für die Compliance-Berichterstattung einsetzen, müssen Sie selbst prüfen, ob diese zu den rechtlichen und betrieblichen Rahmenbedingungen Ihres Unternehmens passen.

Das brauchen Sie für Remote-Compliance-Audits über mehrere Geräte hinweg

Windows-, macOS- und Linux-Systeme bringen Skriptfunktionen mit, mit denen sich Informationen für Compliance-Audits erfassen lassen. Sind diese Informationen clientseitig per PowerShell- oder Bash-Skript erzeugt, können sie über eine RMM-Plattform zentral gesammelt, überwacht, verwaltet und ausgewertet werden.

Dafür benötigen Sie:

• Eine RMM-Plattform mit Unterstützung für Windows-, macOS- und Linux-Agenten
• Administratorrechte auf allen verwalteten Endpunkten
• Skriptfähigkeit für Bash unter macOS und Linux bzw. PowerShell für Windows 11 (optional auch die Eingabeaufforderung für Altsysteme)
• Kenntnis der geltenden Compliance-Frameworks oder internen Benchmarks
• Zugriff auf Protokolldateien, Konfigurationsdateien und die Registry auf Windows-Geräten

Die folgenden Skriptbeispiele bilden ein Grundgerüst. Sie zeigen, wie sich mit PowerShell und Bash plattformübergreifend Audit-Daten erzeugen und Richtlinien durchsetzen lassen und wie RMM-Lösungen eingebunden werden, um Daten zentral zu erfassen, zu speichern, zu validieren und darüber zu berichten.

Windows-Compliance-Einstellungen mit PowerShell prüfen

Die folgenden PowerShell-Schnipsel zeigen, wie sich mehrere zentrale Compliance-Daten erfassen lassen.

Daten zu Windows Update und Patch-Compliance mit Get-HotFix erfassen:

Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 5

BitLocker-Verschlüsselungsstatus mit Get-BitLockerVolume erfassen:

Get-BitLockerVolume | Select-Object MountPoint, ProtectionStatus

Get-LocalGroupMember zur Auflistung von Benutzer:innen und Gruppen verwenden:

Get-LocalGroupMember -Group "Administrators"

Status von Firewall und Defender-Virenschutz mit Get-MpComputerStatus erfassen:

Get-MpComputerStatus | Select-Object AMServiceEnabled, AntispywareEnabled, RealTimeProtectionEnabled

Die Ausgabe dieser Befehle lässt sich anschließend in eine standardisierte Datei oder in die Windows-Ereignisanzeige schreiben, damit Ihre RMM-Software sie später abholen kann.

Schlanke Audits auf älteren Windows-PCs mit der Eingabeaufforderung

PowerShell ist zwar die bevorzugte moderne Lösung für Skripte und Automatisierung unter Windows 11, in manchen Fällen sind für die Compliance-Überwachung von Altsystemen aber Batch-Skripte und die Eingabeaufforderung nötig.

Prüfen, ob Laufwerk C: mit BitLocker verschlüsselt ist:

manage-bde -status C:

Datum des letzten Patches abrufen:

systeminfo | findstr /C:“Hotfix(s)“

Firewall-Status ausgeben:

netsh advfirewall show allprofiles

Das ist lediglich eine schlanke Lösung, während PowerShell deutlich umfangreichere und detailliertere Daten liefern kann.

Windows-Compliance-Einstellungen über die Registry validieren

Einige Compliance-Daten liegen in der Windows-Registry, etwa Informationen zum Status eines Virenschutzes von Drittanbietern oder Systemkonfigurationswerte wie die Frage, ob die Benutzerkontensteuerung aktiviert ist oder die richtigen Kennwortrichtlinien gesetzt sind. Diese Prüfungen lassen sich in andere PowerShell-Skripte einbauen.

Durchsetzung der Benutzerkontensteuerung über die Windows-Registry bestätigen, indem Sie folgenden Registrierungsschlüssel prüfen:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System

Enthält den Wert:

"EnableLUA"=dword:00000001

Auch die Systemkonfiguration findet sich in der Windows-Registry: Kennwortanforderungen liegen beispielsweise unter dem Schlüssel:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters

Dort können Sie Werte prüfen, etwa das maximale Kennwortalter:

"MaximumPasswordAge"=dword:0000001E

Mit Gruppenrichtlinien eine Compliance-Baseline unter Windows sicherstellen

Gruppenrichtlinien lassen sich nutzen, um Einstellungen sowohl für Compliance als auch für Auditing durchzusetzen. Kennwortrichtlinien konfigurieren Sie etwa über die Einstellungen unter Computerkonfiguration > Windows-Einstellungen > Sicherheitseinstellungen > Kontorichtlinien > Kennwortrichtlinie.

BitLocker lässt sich über die Einstellungen unter Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten > BitLocker-Laufwerkverschlüsselung erzwingen, die Überwachungsprotokollierung über die Einstellungen in Computerkonfiguration > Erweiterte Überwachungsrichtlinienkonfiguration.

Linux- und macOS-Systeme mit Bash-Skripten prüfen

Mit Bash-Skripten lassen sich Compliance-Audit-Daten von Linux-Systemen über gängige Systemwerkzeuge erfassen, wie die folgenden Beispiele zeigen.

Letztes System-Update prüfen:

lastupdate=$(stat -c %y /var/lib/apt/periodic/update-success-stamp)
echo „Last APT update: $lastupdate“

Prüfen, ob die Firewall (UFW) aktiv ist:

ufw status | grep -i active

sudo-Benutzer:innen prüfen:

grep ‚^sudo‘ /etc/group

Verschlüsselungsstatus bestätigen (LUKS):

lsblk -o NAME,FSTYPE | grep luks

Compliance-Audit-Daten von macOS-Geräten erfassen

Bash-Skripte eignen sich ebenso, um die Erfassung von Systeminformationen auf macOS-Geräten zu automatisieren, damit Ihre RMM-Plattform sie später abholen und auswerten kann.

Firewall-Status prüfen:

/usr/libexec/ApplicationFirewall/socketfilterfw –getglobalstate

Status von FileVault (Festplattenverschlüsselung) prüfen:

fdesetup status

Angemeldete Benutzer:innen mit Administratorrechten auflisten:

dscl . -read /Groups/admin GroupMembership

Zentrale Protokollierung und Erfassung der Ausgaben

Jedes Audit-Skript sollte Protokolle ausgeben, die Ihre RMM-Plattform auswerten oder für die Compliance-Berichterstattung exportieren kann.

Unter Windows gelingt das mit dem Befehl Start-Transcript:

Start-Transcript -Path "C:\Audit\audit_log.txt" -Append

Oder unter Linux/macOS:

exec > /var/log/rmm_compliance_audit.log 2>&1

Diese Beispiele schreiben in eine Datei namens audit_log.txt. Bevor Sie Ihre Audit-Daten schreiben, sollten Sie sie in ein einheitliches Format überführen, das Ihre RMM-Plattform unterstützt.

Fehlerbehebung bei Compliance-Audit-Skripten und Berichterstattung

Zu den häufigsten Problemen bei automatisierten Remote-Compliance-Audits zählen fehlende Ausgaben, weil Skripte mangels Lese- oder Schreibrechten scheitern, sowie falsch negative Ergebnisse durch veraltete oder ungültige Skriptbedingungen. Dem beugen Sie vor, indem Sie Ihre Skripte regelmäßig überprüfen und sicherstellen, dass Fehler im Fehlerfall auch gemeldet werden.

Wenn Sie Altsysteme betreiben, sorgen Sie dafür, dass diese entweder Ersatzbefehle oder eigene Skripte für Sonderfälle haben. Manche Maschinensteuerungen laufen beispielsweise auf veralteten Betriebssystemen, die man aus der allgemeinen Skriptverteilung ausnehmen und stattdessen mit einem eigenen Skript bedienen sollte.

Uneinheitliche Formate beheben Sie, indem alle Skripte in einem standardisierten Format und einer festen Struktur exportieren, die von Ihren Skripten vorgegeben wird und nicht von den aufgerufenen Werkzeugen zur Datenerfassung. Sie nehmen also die Ausgabe der PowerShell- oder Bash-Befehle und überführen sie in ein intern einheitliches Format, das Ihr RMM lesen kann.

Weitere Überlegungen beim Entwurf und Einsatz Ihrer RMM-basierten Compliance-Audits

Wenn Sie Ihr Compliance-Auditing konzipieren und festlegen, welche Kennzahlen Sie erfassen, sollten Sie sicherstellen, dass diese sämtliche Anforderungen der rechtlichen Rahmenwerke abdecken, die für Ihr Unternehmen und Ihre Benutzer:innen gelten. Dazu kann etwa die Verschlüsselung personenbezogener Daten oder die Einführung rollenbasierter Zugriffe gehören.

Skripte sollten Best Practices folgen und mit Exit-Codes und Protokollierung bestätigen, dass sie vollständig durchgelaufen sind, andernfalls Alarmierungen auslösen, damit alle Daten gesichert bestätigt sind. Die Skriptausgabe sollte plattformübergreifend normalisiert werden, damit keine Lücken entstehen und die konsolidierte Berichterstattung reibungslos läuft.

Entscheidend ist, dass alle Berichtsmechanismen und Daten abgesichert sind: Skripte können im Rahmen des Audits auf sensible Informationen zugreifen, und auch Protokolle können solche Daten enthalten. Teil des Auditings sollte deshalb sein, diese Überwachungssysteme selbst zu prüfen, damit auch sie konform sind und die Datenschutzanforderungen erfüllen.

So unterstützt NinjaOne Ihre Compliance, ohne die Arbeitslast Ihres IT-Teams zu erhöhen

Wenn Sie die Funktionen für Berichterstattung und Alarmierung Ihres RMM nutzen, halten Sie Ihr Unternehmen konform, und das angesichts eines stetig wachsenden Risikos, das Unternehmen durch Verstöße gegen Datenschutz- und Privatsphärengesetze droht.

NinjaOne bietet plattformübergreifendes RMM und Mobile Device Management (MDM) als Teil seiner Plattform für IT-Administration und MSPs, inklusive leistungsfähiger Auditing-Funktionen. Mit NinjaOne speichern und verteilen Sie PowerShell-, Eingabeaufforderungs- und Bash-Skripte und sprechen Windows-, Linux- und macOS-Endpunkte granular an.

Die Erfassung von Compliance-Daten lässt sich erzwingen und automatisieren und in einheitlichen Dashboards sowie geplanten Berichten nutzen. Automatisierte Behebung ist möglich, und Probleme, die sich nicht lösen lassen, können über benutzerdefinierte Warnmeldungen eskaliert werden, damit Administrator:innen sofort auf Compliance-Verstöße reagieren.