Workflows für die sichere Dateiübertragung unter Windows und Linux gestalten

Server stellen anderen Endpunkten Ressourcen über ein Netzwerk bereit. Wer Workflows für eine sichere Dateiübertragung unter Windows und Linux etabliert, vermeidet ungewollten Datenverlust. Während die meisten IT-Engineers Kopierfunktionen am liebsten komplett entfernen würden, können MSPs in gemischten Umgebungen rollenbasierte Berechtigungen durchsetzen und den Datenfluss so kontrolliert steuern.

Dieser Artikel zeigt, wie Sie Dateiübertragungen auf Windows- und Linux-Servern mit nativen Tools und Remote-Überwachung absichern.

Leitfaden für die sichere Dateiübertragung unter Windows und Linux

Bevor Sie Dateiübertragungen auf Servern konfigurieren, sollten Sie Ihre technischen Rahmenbedingungen prüfen.

Voraussetzungen:

• Liste der Geschäftsprozesse, die einen Datenexport oder -import erfordern
• Definierte Benutzerkonten oder Dienstidentitäten, die zur Dateiübertragung berechtigt sind.
• Administratorrechte zur Konfiguration von RDP-, SMB- und SSH-Diensten
• SIEM oder Log-Collector für die Übertragungs- und Sitzungsdaten

Phase 1: Bestehende Übertragungswege erfassen und klassifizieren

Listen Sie zunächst alle aktiven Übertragungskanäle auf, um zu sehen, wie Dateien in Ihrer Infrastruktur ausgetauscht werden. Das hilft Ihnen, die Sicherheitslage Ihrer Windows- und Linux-Systeme zu härten.

So erkennen Sie, welche Wege bereits verschlüsselte Transportwege nutzen (etwa SSH), und finden Workflows, in denen rsync über SSH durch inkrementelle Übertragungen Bandbreite spart. Prüfen Sie außerdem, ob NTFS-Berechtigungen aktiviert sind, um die Sicherheitslage in Ihrem Workflow für die sichere Dateiübertragung unter Windows und Linux zu bestätigen.

So sollte Ihre Übersicht für die sichere Dateiübertragung zwischen Windows und Linux aussehen:

Phase 2: Einen einzigen autorisierten Übertragungskanal pro Server festlegen

Die Zahl der verfügbaren Kanäle zu begrenzen, ist eine bewährte Methode für sichere Dateiübertragungen, auch wenn die Umsetzung je nach Betriebssystem unterschiedlich ausfällt. Das Vorgehen bleibt dabei gleich: einen Standardkanal einrichten, den Rest abschalten und in Ihrem Rahmenwerk für die sichere Dateiübertragung unter Windows und Linux Minimalprivilegien durchsetzen.

Unter Windows

1. Installieren Sie OpenSSH oder einen verwalteten Kanal über das Secure File Transfer Protocol (SFTP).
2. Nutzen Sie für den Zugriff auf sichere Übertragungswege eine schlüsselbasierte SSH-Authentifizierung statt Passwörtern.
3. Deaktivieren Sie veraltete Sicherheitsprotokolle (z. B. FTP, SMB1), die sich leicht ausnutzen lassen.

Unter Linux

1. Verwenden Sie SFTP oder das Dienstprogramm rsync, um Daten sicher zwischen zwei entfernten Systemen oder zwischen einem entfernten und einem lokalen System zu übertragen.
2. Setzen Sie Regeln wie AllowUsers oder Match User ein.
   1. So können ausschließlich autorisierte Konten Dateien übertragen.

Phase 3: Alle übrigen Wege zur Dateibewegung schließen oder einschränken

So schränken Sie Kopier- und Einfügefunktionen für Remote Desktop, USB-Laufwerke, private Cloud-Apps und ungesicherte Netzwerkfreigaben ein, ohne den Betrieb auszubremsen.

RDP-Zwischenablage deaktivieren

Das begrenzt das Kopieren zwischen Systemen in Ihren Workflows für die sichere Dateiübertragung unter Windows und Linux.

1. Drücken Sie Win + R, geben Sie gpedit.msc ein und drücken Sie die Eingabetaste.
2. Navigieren Sie zu:

Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten > Remotedesktopdienste > Remotedesktopsitzungs-Host > Geräte- und Ressourcenumleitung

3. Suchen Sie diese Einstellungen:
   1. Laufwerksumleitung nicht zulassen
      1. Auf Aktiviert setzen.
   2. Umleitung der Zwischenablage nicht zulassen
      1. Auf Aktiviert setzen.
4. Gehen Sie so vor, wenn Sie eine Zwischenablage ausschließlich für Text benötigen:
   1. Aktivieren Sie die Umleitung der Zwischenablage, konfigurieren Sie die RDP-Einstellungen aber so, dass nur Text zulässig ist.

Schreibzugriff auf USB blockieren

Windows

1. Drücken Sie Win + R, geben Sie gpedit.msc ein und drücken Sie die Eingabetaste.
2. Navigieren Sie zu:

Computerkonfiguration > Administrative Vorlagen > System > Zugriff auf Wechselmedien

3. Um den Schreibzugriff auf USB zu blockieren, aktivieren Sie Wechseldatenträger: Schreibzugriff verweigern.

Linux

Erstellen Sie eine udev-Regel für:

sudo usbguard list-devices

sudo usbguard block-device <device-id>

Wichtig: USBGuard ist nicht in allen Linux-Distributionen standardmäßig vorhanden und muss vor der Verwendung dieser Befehle installiert und aktiviert werden.

Private Cloud-Sync-Tools über Intune blockieren

1. Gehen Sie zu Microsoft Intune Admin Center > Endpunktsicherheit > App Control for Business.
2. Erstellen Sie eine Richtlinie in App Control for Business.
3. Konfigurieren Sie die integrierten Steuerungen so, dass vertrauenswürdige, signierte Anwendungen zugelassen und nicht freigegebene ausführbare Dateien blockiert werden.
4. Weisen Sie die Richtlinie den passenden Windows-Gerätegruppen zu.

SMB-Netzwerkfreigaben absichern

1. Klicken Sie mit der rechten Maustaste auf den freigegebenen Ordner.
2. Wählen Sie Eigenschaften > Sicherheit und vergeben Sie Minimalprivilegien (z. B. nur Lesezugriff für Konsument:innen).
3. Drücken Sie Win + R, geben Sie gpedit.msc ein und drücken Sie die Eingabetaste.
4. Navigieren Sie zu:

Computerkonfiguration > Windows-Einstellungen > Sicherheitseinstellungen > Lokale Richtlinien > Sicherheitsoptionen

5. Aktivieren Sie die folgenden Richtlinien:
   1. Microsoft-Netzwerk (Client): Kommunikation digital signieren (immer)
   2. Microsoft-Netzwerk (Server): Kommunikation digital signieren (immer)

Phase 4: Protokollierung und Alarmierung für Übertragungen aufbauen

Windows-Systeme nutzen die Erweiterte Überwachungsrichtlinie, um Datei- und Freigabezugriffe nachzuverfolgen. Diese integrierte Funktion protokolliert Freigaben in Ihrer gesamten Infrastruktur und meldet Vorgänge auf Dateiebene (z. B. Schreiben, Lesen, Löschen) mit Ereignis-IDs. So erkennt Ihr Team unbefugte Löschungen oder Datenabflüsse.

Linux-Maschinen setzen dagegen auf auditd, ein System auf Kernel-Ebene, das Dateioperationen in Ihrer Konfiguration für die sichere Dateiübertragung unter Windows und Linux überwacht.

• Regeln wie -w /srv/xfer -p w -k transfer_activity prüfen auf Schreibvorgänge.
• Treffer werden mit dem Schlüssel transfer_activity gekennzeichnet.
• Diese Einträge werden in /var/log/audit/audit.log und /var/log/secure gespeichert.
• Systemtechniker:innen können diese Logs zur zentralen Auswertung an ein SIEM weiterleiten.

Anwendungsfälle: Protokollierung und Alarmierung für Datenübertragungen mit nativen Tools aufbauen.

Unter Windows

1. Drücken Sie Win + R, geben Sie secpol.msc ein und drücken Sie Strg + Umschalt + Eingabetaste.
2. Navigieren Sie zu:

Sicherheitseinstellungen → Erweiterte Überwachungsrichtlinienkonfiguration → Systemüberwachungsrichtlinien → Objektzugriff

3. Aktivieren Sie unter „Objektzugriff“:
   1. Dateifreigabe überwachen (Erfolg und Fehler)
   2. Dateisystem überwachen (Erfolg und Fehler)
4. Wenden Sie SACLs (System Access Control Lists) auf die betreffenden Ordner an
   1. Rechtsklick auf den Ordner → Eigenschaften → Sicherheit → Erweitert
   2. Öffnen Sie die Registerkarte „Überwachung“ und klicken Sie auf „Hinzufügen“
   3. Konfigurieren Sie den Überwachungseintrag:
   4. Wählen Sie die zu überwachenden Benutzer:innen oder Gruppen aus (zum Beispiel „Jeder“) und bestätigen Sie die Auswahl
   5. Setzen Sie im Fenster „Überwachungseintrag“ den Typ auf „Erfolg“
   6. Wählen Sie die zu überwachenden Aktionen aus (zum Beispiel Lesen, Schreiben und optional Löschen)
   7. Übernehmen Sie die Änderungen
5. Filtern Sie die Logs in der Ereignisanzeige, um Schreibvorgänge zu prüfen.
   1. Öffnen Sie Ereignisanzeige → Windows-Protokolle → Sicherheit.
   2. Filtern Sie nach:
      1. Ereignis-ID 5145 – zur Identifizierung von SMB-Netzwerkzugriffsversuchen, die dem Dateivorgang vorausgingen
      2. Ereignis-ID 4663 – zur Bestätigung der tatsächlichen Dateivorgänge (Lesen, Schreiben, Löschen)

Unter Linux

1. Aktivieren Sie auditd-Regeln wie -w /srv/xfer -p w -k transfer_activity.
2. Leiten Sie /var/log/audit/audit.log und die Authentifizierungsprotokolle des Systems (etwa /var/log/auth.log) an eine zentrale Protokollierung weiter
3. Gleichen Sie Dateiübertragungsereignisse mit den Authentifizierungsprotokollen ab, um unbefugte Bewegungen genau zu lokalisieren.

Phase 5: Betrieb über Schlüsselrotation und Freigaben verankern

Um modernen Cyberbedrohungen einen Schritt voraus zu bleiben, müssen Zugriffsschlüssel häufig gewechselt und Berechtigungen regelmäßig überprüft werden. So verankern Sie Freigaben im Betrieb:

• Rotieren Sie SSH-/SFTP-Schlüssel bei verdächtigen Ereignissen, bei Personalwechseln oder alle 90 Tage
  • Vereinfachen Sie diesen Prozess mit einer zentralen Management-Plattform oder dem Tool SSH-Agent.
• Pflegen Sie geprüfte Empfängerlisten
• Automatisieren Sie Ablaufbenachrichtigungen, um den Aufwand zu senken

Phase 6: Berichterstattung und Nachweisführung

Kennzahlen in der Berichterstattung (z. B. Kontoaktivität, blockierte Übertragungsversuche, Verfügbarkeit der Kanäle) belegen die Compliance mit internationalen Standards wie CIS und ISO 27001. Liefern Sie Nachweise über monatliche Newsletter, um Vertrauen zu erhalten und Stakeholder auch zwischen den vierteljährlichen Business-Briefings auf dem Laufenden zu halten.

Übersichtstabelle der Best Practices

Berücksichtigen Sie Folgendes, wenn Sie sichere Übertragungskanäle zwischen Windows- und Linux-Servern aufbauen:

Beispiel für Automatisierung

Manuelle Prüfungen von RDP-Einstellungen, Secure-Shell-Schlüsseln (SSH) und Übertragungsprotokollen kosten viel Zeit und sind fehleranfällig. Automatisierte Workflows sorgen für mehr Konsistenz, senken das Risiko und helfen, Zero-Trust-Prinzipien umzusetzen.

Eine Möglichkeit besteht darin, Aufgaben zu planen und das Management zu zentralisieren. Über native Tools und eine RMM-Lösung von Drittanbietern lässt sich so Folgendes verschlanken:

• Prüfungen von Registry oder Gruppenrichtlinienobjekten (GPO)
• Abfragen zum Alter von SSH-Hostschlüsseln und zur Kontonutzung
• Filterung von Übertragungsereignissen anhand relevanter Ereignis-IDs
• Compliance-bezogene Kennzahlen und Nachverfolgung der Sicherheitslage

Kontinuierliche Überwachung mit der NinjaOne-Integration

Server tragen den Rest der Geräteflotte Ihrer Kund:innen, und das konsolidierte Dashboard von NinjaOne liefert Ihrem Team die nötige Transparenz, um Berechtigungen zu verfolgen, Alarmierungen zu setzen und vieles mehr. So vereinfacht NinjaOne das Management der sicheren Dateiübertragung zwischen Windows und Linux:

Dateibewegungen mit einer leistungsstarken Endpunkt-Plattform nachverfolgen

Datenübertragungen abzusichern, muss nicht zulasten der Produktivität gehen. Indem Sie bestehende Übertragungsmethoden erfassen, freigegebene Kanäle standardisieren und die Überwachung über eine Management-Plattform aktivieren, stellen Unternehmen sicher, dass Dateiübertragungen verschlüsselte Protokolle nutzen und für Audits korrekt protokolliert werden.

Verwandte Themen:

• Remote-Dateiübertragung für MSPs und IT-Teams
• So erklären Sie CIS Controls oder NIST einem nicht-technischen KMU-Kunden
• So sichern Sie Ihren Linux-Server ab: Der komplette Leitfaden
• 12 Arten von Netzwerkprotokollen: Ein umfassender Leitfaden
• Best Practices für den Fernzugriff für MSPs und IT-Profis