{"id":919999,"date":"2026-11-04T15:14:49","date_gmt":"2026-11-04T15:14:49","guid":{"rendered":"https:\/\/www.ninjaone.com\/?p=919999"},"modified":"2026-11-04T15:14:49","modified_gmt":"2026-11-04T15:14:49","slug":"fernwartung-im-rahmen-des-bsi-it-grundschutzes","status":"publish","type":"post","link":"https:\/\/www.ninjaone.com\/de\/blog\/fernwartung-im-rahmen-des-bsi-it-grundschutzes\/","title":{"rendered":"Fernwartung nach BSI IT-Grundschutz"},"content":{"rendered":"

Eine sichere Fernwartung erfordert einen kontrollierten Zugriff, gesicherte Verbindungen, klare Zust\u00e4ndigkeiten und verwertbare Nachweise. Dieser Leitfaden hilft IT-Teams und MSPs dabei, ihre Fernwartungs-Workflows anhand des BSI IT-Grundschutzes zu bewerten und praktische Verbesserungsm\u00f6glichkeiten zu identifizieren.<\/p>\n

Kurze Antwort: OPS.1.2.5 Fernwartung ist das Hauptmodul f\u00fcr die Fernwartung von IT-Systemen. OPS.1.1.2 erg\u00e4nzt dies durch administrative Anforderungen. Die industrielle Fernwartung erfordert eine gesonderte Bewertung gem\u00e4\u00df IND.3.2. Software unterst\u00fctzt die Umsetzung; sie dient nicht der Feststellung der Konformit\u00e4t oder der Zertifizierung.<\/p>\n

Was bedeutet Fernwartung?<\/h2>\n

Fernwartung ist ein zeitlich begrenzter Zugriff von einem anderen System aus f\u00fcr Aufgaben wie Konfiguration, Fehlerbehebung und Reparatur. Dazu geh\u00f6ren aktive Fernsteuerung und passiver Support, bei der Techniker:innen den Bildschirm einsehen und die Benutzer:innen vor Ort anleiten. OPS.1.2.5 befasst sich mit dem Wartungszugriff und den darin verarbeiteten Informationen.<\/p>\n

Dies unterscheidet sich von der \u00fcblichen Remote-Arbeit von Mitarbeitenden. Ein Fernzugriffsprodukt kann zwar beiden Zwecken dienen, doch h\u00e4ngen die anzuwendenden Kontrollma\u00dfnahmen vom jeweiligen Anwendungsfall ab.<\/p>\n

Welche BSI-Module gelten?<\/h2>\n

Verwenden Sie diese Modul\u00fcbersicht, um den Umfang Ihrer Bewertung festzulegen.<\/p>\n\n\n\n\n\n\n
Modul<\/strong><\/td>\nRolle bei der Bewertung<\/strong><\/td>\n<\/tr>\n
OPS.1.2.5 Fernwartung<\/td>\nZugriff f\u00fcr die Fernwartung, Schnittstellen, Verbindungen und operative Steuerungen.<\/td>\n<\/tr>\n
OPS.1.1.2 Ordnungsgem\u00e4\u00dfe IT-Administration<\/td>\nVerwaltungsprozesse, Sonderrechte und nachverfolgbare Verwaltungsaufgaben.<\/td>\n<\/tr>\n
IND.3.2 Fernwartung im industriellen Umfeld<\/td>\nFernwartung von Industrie- und OT-Systemen (Operational Technology)<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Zu den zugeh\u00f6rigen Modulen geh\u00f6ren OPS.2.3 Nutzung von Outsourcing f\u00fcr externe Wartungsdienstleister und OPS.2.2 Cloud-Nutzung f\u00fcr Cloud-Dienste. Je nach Umfang sind auch OPS.1.1.7 Systemmanagement und OPS.1.1.3 Patch- und \u00c4nderungsmanagement, OPS.1.1.5 Protokollierung, ORP.4 Identit\u00e4ts- und Berechtigungsmanagement, CON.1 Kryptokonzept, CON.3 Datensicherungskonzept, ORP.3 Sensibilisierung und Schulung zur Informationssicherheit sowie relevante NET-Module, einschlie\u00dflich NET.3.2 Firewall.<\/p>\n

Wie sind die BSI-Anforderungen zu interpretieren?<\/h2>\n

Das Kompendium unterscheidet zwischen Grundanforderungen (B), Standardanforderungen (S) und Anforderungen f\u00fcr erh\u00f6hten Schutzbedarf (H). Die Basis-Absicherung pr\u00fcft die grundlegenden Anforderungen; die Standard-Absicherung und die Kern-Absicherung umfassen dar\u00fcber hinaus auch die Standardanforderungen. Ein erh\u00f6hter Schutzbedarf erfordert zus\u00e4tzliche \u00dcberlegungen. Diese Kategorien sind nicht austauschbar, und der Wortlaut der einzelnen Anforderungen ist entscheidend.<\/p>\n

Zwei konkrete Grundvoraussetzungen sind dabei besonders relevant: OPS.1.2.5.A2 schreibt vor, dass vor dem Herstellen einer Verbindung zu einer Kunden-Desktopumgebung die ausdr\u00fcckliche Zustimmung des Benutzers eingeholt werden muss. OPS.1.2.5.A3 schreibt vor, dass Zugriffspfade und Verbindungen auf das Notwendige beschr\u00e4nkt und Wartungsverbindungen nach Beendigung des Zugriffs getrennt werden m\u00fcssen. Eine Eingabeaufforderung, die nach ausbleibender Antwort automatisch Zugriff gew\u00e4hrt, stellt keine ausdr\u00fcckliche Genehmigung dar.<\/p>\n

Die nachstehende Checkliste dient als praktische Anleitung f\u00fcr die Umsetzung und stellt keinen vollst\u00e4ndigen BSI-Kontrollkatalog dar. Erfassen Sie f\u00fcr jeden Punkt die jeweilige Anforderung, den Verantwortlichen, den Umsetzungsstatus, den Nachweis sowie etwaige L\u00fccken. Verwenden Sie den vollst\u00e4ndigen Modultext f\u00fcr den formellen IT-Grundschutz-Check.<\/p>\n

Praktische Checkliste f\u00fcr eine sichere Fernwartung<\/h2>\n

Governance und Umfang<\/h3>\n
    \n
  • Inventarisieren Sie die genehmigten Tools, Zielsysteme, Zugriffsschnittstellen und Dienstleister. Ber\u00fccksichtigen Sie auch die fest eingebauten Zug\u00e4nge und Verwaltungsschnittstellen der Hersteller, die unabh\u00e4ngig vom Betriebssystem funktionieren.<\/li>\n
  • Bestimmen Sie Verantwortliche f\u00fcr die Zugriffsgenehmigung, die technische Konfiguration, die \u00dcberwachung und die regelm\u00e4\u00dfige \u00dcberpr\u00fcfung. Verbinden Sie den Wartungsprozess mit dem \u00c4nderungsmanagement und der St\u00f6rungsbehebung.<\/li>\n
  • Beziehen Sie bei OT den Anlagen- oder Systembetreiber mit ein und wenden Sie IND.3.2 an. Koordinieren Sie die Zust\u00e4ndigkeiten im IT- und OT-Bereich, die Wartungsfenster sowie die m\u00f6glichen Auswirkungen auf Produktion und Sicherheit.<\/li>\n<\/ul>\n

    Identit\u00e4t und Zugriff<\/h3>\n
      \n
    • Verwenden Sie benannte Technikerkonten, das Prinzip der geringsten Berechtigungen und die Multi-Faktor-Authentifizierung. Entziehen Sie den Zugriff, wenn eine Rolle, ein Vertrag oder ein Support-Auftrag endet.<\/li>\n
    • Legen Sie die Zust\u00e4ndigkeiten externer Dienstleister schriftlich fest. Geben Sie das befugte Personal, die Systeme, die Aktivit\u00e4ten, die Zugriffszeiten, die Ansprechpartner f\u00fcr Eskalationen und die \u00dcbermittlung von Nachweisen an.<\/li>\n
    • Testen Sie die Genehmigung des Client-Desktops unter Verwendung von Szenarien sowohl f\u00fcr die Annahme als auch f\u00fcr die Ablehnung. Stellen Sie sicher, dass eine ausbleibende Antwort nicht dazu f\u00fchren kann, dass eine Sitzung stillschweigend autorisiert wird, wenn eine ausdr\u00fcckliche Genehmigung erforderlich ist.<\/li>\n
    • Beurteilen Sie unbeaufsichtigte Server oder die Verwaltung im Hintergrund separat. Halten Sie den Verwendungszweck und das Genehmigungsmodell fest; gehen Sie nicht davon aus, dass der Name eines Produktmodus bereits festlegt, welche BSI-Anforderungen gelten.<\/li>\n<\/ul>\n

      Verbindungen und Sitzungssteuerung<\/h3>\n
        \n
      • Verwenden Sie zugelassene, unterst\u00fctzte Protokolle und starke Verschl\u00fcsselung. Bei Cloud-vermittelten Verbindungen ist zu kl\u00e4ren, wo die Verschl\u00fcsselung endet und ob der Anbieter Zugriff auf die Inhalte der Sitzung hat.<\/li>\n
      • Schr\u00e4nken Sie die Netzwerkzug\u00e4nglichkeit ein und deaktivieren Sie nicht genutzte Wartungsschnittstellen. Beendigung der Testsitzung, Zeitlimit bei Inaktivit\u00e4t, Verhalten bei der Wiederverbindung und Entzug des Notfallzugangs.<\/li>\n
      • Beschr\u00e4nken Sie die gemeinsame Nutzung der Zwischenablage, die Datei\u00fcbertragung, das Drucken aus der Ferne und die Erweiterung von Berechtigungen auf die Aufgaben, f\u00fcr die sie erforderlich sind. W\u00e4hlen Sie die Sperr- oder Abmeldefunktion aus, die zum System und zum Arbeitsablauf passt.<\/li>\n
      • Halten Sie Wartungssoftware und die Ger\u00e4te der Techniker:innen auf dem neuesten Stand. \u00dcberwachen Sie nicht genehmigte Fernzugriffstools und unerwartete Nutzung. [6]<\/li>\n<\/ul>\n

        Protokolle und Nachweise<\/h3>\n
          \n
        • Legen Sie fest, welche Ereignisse protokolliert werden sollen, wo die Protokolle gespeichert werden, wer darauf zugreifen darf und wie sie \u00fcberpr\u00fcft werden. Sch\u00fctzen Sie die Protokollierungsinfrastruktur und die aufbewahrten Aufzeichnungen.<\/li>\n
        • \u00dcberpr\u00fcfen Sie f\u00fcr eine Beispielsitzung, ob die Datens\u00e4tze den Techniker, das Zielger\u00e4t, die Start- und Endzeiten, die Autorisierung sowie das zugeh\u00f6rige Support- oder \u00c4nderungs-Ticket miteinander verkn\u00fcpfen k\u00f6nnen. Pr\u00fcfen Sie, was das Produkt tats\u00e4chlich erfasst.<\/li>\n
        • Unterscheiden Sie Aktivit\u00e4tsprotokolle von Bildschirmaufzeichnungen. Ein Video mag zwar die Aktivit\u00e4ten auf dem Bildschirm zeigen, es kann jedoch nicht davon ausgegangen werden, dass es jede administrative Ma\u00dfnahme dokumentiert oder andere Beweismittel ersetzt.<\/li>\n
        • Wenn Datens\u00e4tze personenbezogene Daten enthalten, m\u00fcssen eine rechtm\u00e4\u00dfige Grundlage, ein festgelegter Zweck, eine verh\u00e4ltnism\u00e4\u00dfige Erhebung, angemessene Zugriffskontrollen sowie Aufbewahrungs- und L\u00f6schregeln festgelegt werden. Beziehen Sie die verantwortliche Person der personenbezogenen Daten ein, bevor Sie die Aufzeichnung aktivieren.<\/li>\n<\/ul>\n

          Laufende \u00dcberpr\u00fcfung<\/h3>\n
            \n
          • \u00dcberpr\u00fcfen Sie Berechtigungen, den Zugriff von Anbietern, Konfigurations\u00e4nderungen und Ausnahmen nach einem festgelegten Zeitplan. F\u00fchren Sie nach wesentlichen \u00c4nderungen oder Vorf\u00e4llen erneute \u00dcberpr\u00fcfungen durch.<\/li>\n
          • Pr\u00fcfen Sie in der Praxis, ob Ihr Reaktionsteam bei einem Missbrauchsverdacht handlungsf\u00e4hig ist: Kann es Sitzungen beenden, Konten deaktivieren, betroffene Zugangsdaten widerrufen und Beweise sichern?<\/li>\n
          • Halten Sie f\u00fcr jede noch nicht behobene L\u00fccke einen Verantwortlichen, einen Zieltermin, vorl\u00e4ufige Ma\u00dfnahmen und einen \u00dcberpr\u00fcfungstermin fest. \u00dcberpr\u00fcfen Sie die einschl\u00e4gigen BSI-Ver\u00f6ffentlichungen vor der Ver\u00f6ffentlichung und im Rahmen nachfolgender \u00dcberpr\u00fcfungen erneut.<\/li>\n<\/ul>\n

            So bewerten Sie Fernwartungstools<\/h2>\n

            Bitten Sie die Anbieter, das entsprechende Verhalten in der von Ihnen vorgesehenen Konfiguration zu demonstrieren, einschlie\u00dflich etwaiger Unterschiede zwischen Betriebssystemen und Sitzungstypen.<\/p>\n

              \n
            • K\u00f6nnen Berechtigungen nach Organisationen, Ger\u00e4tegruppen, Fernsteuerung, Dateizugriff und erweiterten Administratorrechten differenziert werden? Wie werden Rollenkonflikte gel\u00f6st?<\/li>\n
            • K\u00f6nnen MFA- und Genehmigungsrichtlinien durchgesetzt werden? Was passiert, wenn ein:e Benutzer:in ablehnt, nicht antwortet oder die Verbindung trennt?<\/li>\n
            • K\u00f6nnen Administrator:innen \u00dcbertragungen einschr\u00e4nken und den Zugriff sofort widerrufen? Was d\u00fcrfen Techniker:innen \u00e4ndern, und welche Einstellungen lassen sich auf einzelnen Ger\u00e4ten \u00fcberschreiben?<\/li>\n
            • Welche Ereignisse werden in den Aktivit\u00e4tsprotokollen angezeigt, f\u00fcr welche Aktionen sind weitere Nachweise erforderlich und wie werden Aufzeichnungen exportiert, gesch\u00fctzt, aufbewahrt und gel\u00f6scht?<\/li>\n
            • Welche Datenfl\u00fcsse, Hosting-Standorte, Unterauftragsverarbeiter, Verschl\u00fcsselungsgrenzen und vertraglichen Verpflichtungen gibt es bei Cloud-Diensten?<\/li>\n
            • Kann das Tool Ger\u00e4te und Wartungsarbeiten mit Ihrem Bestandsverwaltungssystem, Ihrem Service Desk und Ihren Dokumentationsprozessen verkn\u00fcpfen?<\/li>\n<\/ul>\n

              So unterst\u00fctzt NinjaOne die Fernwartung<\/h2>\n

              NinjaOne kombiniert Fernsupport mit Workflows f\u00fcr das Endpunkt-Management f\u00fcr interne IT-Teams und MSPs. In der Dokumentation werden rollenbasierte Berechtigungen f\u00fcr Techniker:innen, verschl\u00fcsselte Remote-Sitzungen, Einstellungen zur Benutzerfreigabe, Zeitlimits bei Inaktivit\u00e4t, das Verhalten bei Sperrung oder Abmeldung sowie die Sitzungsaufzeichnung beschrieben. Die Funktionen und Einstellungen variieren je nach Plattform und Sitzungstyp.<\/p>\n

              Es kommt auf die Konfiguration an. NinjaOne bietet eine Option, mit der der Zugriff gew\u00e4hrt wird, wenn Benutzer:innen nicht auf eine Best\u00e4tigungsaufforderung reagiert. Deaktivieren Sie diese Option \u00fcberall dort, wo eine ausdr\u00fcckliche Genehmigung erforderlich ist. In der Dokumentation hei\u00dft es au\u00dferdem, dass Aufzeichnungen standardm\u00e4\u00dfig auf dem Computer der Techniker:innen gespeichert werden; pr\u00fcfen Sie daher die Schutzma\u00dfnahmen, die Erfassung, die Aufbewahrung und die L\u00f6schung der lokalen Speicherdaten. Gehen Sie nicht davon aus, dass Aufzeichnungen automatisiert in einem zentralen Audit-Repository gespeichert werden.<\/p>\n

              \u00dcberpr\u00fcfen Sie die ausgew\u00e4hlte Konfiguration anhand Ihrer Anforderungen und bewahren Sie die Nachweise der Tests auf. Diese Funktionen k\u00f6nnen Kontrollma\u00dfnahmen unterst\u00fctzen; sie begr\u00fcnden jedoch keine BSI-Zulassung, keine Konformit\u00e4t mit dem IT-Grundschutz, keine Zertifizierung und keine Audit-Bereitschaft.<\/p>\n","protected":false},"excerpt":{"rendered":"

              Eine sichere Fernwartung erfordert einen kontrollierten Zugriff, gesicherte Verbindungen, klare Zust\u00e4ndigkeiten und verwertbare Nachweise. Dieser Leitfaden hilft IT-Teams und MSPs dabei, ihre Fernwartungs-Workflows anhand des BSI IT-Grundschutzes zu bewerten und praktische Verbesserungsm\u00f6glichkeiten zu identifizieren. Kurze Antwort: OPS.1.2.5 Fernwartung ist das Hauptmodul f\u00fcr die Fernwartung von IT-Systemen. OPS.1.1.2 erg\u00e4nzt dies durch administrative Anforderungen. Die industrielle Fernwartung […]<\/p>\n","protected":false},"author":35,"featured_media":905321,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","_lmt_disableupdate":"no","_lmt_disable":"","footnotes":""},"categories":[4337],"tags":[],"class_list":["post-919999","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-it-dokumentation"],"acf":[],"modified_by":"Mara Schulz","_links":{"self":[{"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/posts\/919999","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/users\/35"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/comments?post=919999"}],"version-history":[{"count":1,"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/posts\/919999\/revisions"}],"predecessor-version":[{"id":920000,"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/posts\/919999\/revisions\/920000"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/media\/905321"}],"wp:attachment":[{"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/media?parent=919999"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/categories?post=919999"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/tags?post=919999"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}