> For the complete documentation index, see [llms.txt](https://docs.enginsight.com/docs/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.enginsight.com/docs/knowledge-base/systemhaertung/welche-vordefinierten-checks-stellt-enginsight-fur-die-automatische-systemhartung-zur-verfugung.md).

# Welche vordefinierten Checks stellt Enginsight für die automatische Systemhärtung zur Verfügung?

Die automatische Systemhärtung unterstützt dich dabei, technische Vorgaben und gesetzliche Compliance-Anforderungen zu erfüllen. 

Sie beinhaltet sicherheitsrelevante technische Checks deiner Hosts, die automatisiert durchgeführt werden. Bei Bedarf wird die entsprechende Systemhärtung automatisch auf den zugeordneten Hosts ausgerollt.

Enginsight stellt zu diesem Zweck [verwaltete Checklisten-Kataloge](https://docs.enginsight.com/docs/manual/bedienung-der-plattform/hosts/compliance/automatische-systemhartung-checklisten#checklistenkatalog-importieren) mit vordefinierten Checks (auch Controls genannt) für verschiedene Betriebssysteme zur Verfügung. Im Folgenden zeigen wir dir, welche Checks dies jeweils für [Windows-Hosts](#controls-fur-die-automatische-systemhartung-auf-windows-systemen) sowie für [Linux-Hosts](#controls-fur-die-automatische-systemhartung-auf-linux-systemen) sind.

***

## Checks für die automatische Systemhärtung auf Windows-Hosts

<table><thead><tr><th width="148.93359375">Name (EN)</th><th width="189.83203125">Name (DE)</th><th>Beschreibung</th></tr></thead><tbody><tr><td>Block Microsoft Accounts for Local Sign-in</td><td>Microsoft-Konten für lokale Anmeldungen blockieren</td><td><strong>Microsoft-Konten für lokale Anmeldungen blockieren</strong> setzt bei Aktivierung den Registrierungswert <code>NoConnectedUser</code> unter <code>HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System</code> auf <code>3</code>. Der Wert 3 unterbindet sowohl das Hinzufügen als auch das Anmelden mit Microsoft-Konten, sodass das System auf lokal verwaltete Konten setzt und die Angriffsfläche über kompromittierte Online-Konten verringert wird.</td></tr><tr><td>Force Audit Subcategory Settings to Override Category Settings</td><td>Audit-Unterkategorien-Einstellungen über Kategorie-Einstellungen erzwingen</td><td><strong>Audit-Unterkategorien-Einstellungen über Kategorie-Einstellungen erzwingen</strong> setzt bei Aktivierung den Registrierungswert <code>SCENoApplyLegacyAuditPolicy</code> unter <code>HKLM\SYSTEM\CurrentControlSet\Control\Lsa</code> auf <code>1</code>. Der Wert 1 sorgt dafür, dass die feingranularen Unterkategorien Vorrang vor den veralteten pauschalen Kategorie-Einstellungen erhalten, wodurch die Überwachung präziser konfiguriert und die Erkennung relevanter Sicherheitsereignisse verbessert wird.</td></tr><tr><td>Require CTRL+ALT+DEL Before Login</td><td>CTRL+ALT+ENTF vor der Anmeldung erfordern</td><td><strong>CTRL+ALT+ENTF vor der Anmeldung erfordern</strong> setzt bei Aktivierung den Registrierungswert <code>DisableCAD</code> unter <code>HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System</code> auf <code>0</code>. Der Wert 0 erzwingt die sichere Aufmerksamkeitssequenz (CTRL+ALT+ENTF) vor der Anmeldung; diese Tastenkombination kann nur das Betriebssystem abfangen, wodurch das Abgreifen von Anmeldedaten über gefälschte Anmeldebildschirme erschwert wird.</td></tr><tr><td>Do Not Display Last Signed-in Username</td><td>Zuletzt angemeldeten Benutzernamen nicht anzeigen</td><td><strong>Zuletzt angemeldeten Benutzernamen nicht anzeigen</strong> setzt bei Aktivierung den Registrierungswert <code>DontDisplayLastUserName</code> unter <code>HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System</code> auf <code>1</code>. Der Wert 1 blendet das zuletzt angemeldete Konto auf dem Anmeldebildschirm aus, wodurch die Preisgabe gültiger Benutzernamen eingeschränkt und für gezielte Angriffe verwertbare Informationen reduziert werden.</td></tr><tr><td>Always Digitally Sign Communications (Client)</td><td>Kommunikation immer digital signieren (Client)</td><td><strong>Kommunikation immer digital signieren (Client)</strong> setzt bei Aktivierung den Registrierungswert <code>RequireSecuritySignature</code> unter <code>HKLM\SYSTEM\CurrentControlSet\Services\LanManWorkstation\Parameters</code> auf <code>1</code>. Der Wert 1 zwingt den SMB-Client, die digitale Signierung aller Kommunikation zu verlangen, was die Integrität übertragener Daten schützt und das Risiko von Manipulation und Man-in-the-Middle-Angriffen verringert.</td></tr><tr><td>Digitally Sign Communications If Server Agrees</td><td>Kommunikation digital signieren, wenn Server zustimmt</td><td><strong>Kommunikation digital signieren, wenn Server zustimmt</strong> setzt bei Aktivierung den Registrierungswert <code>EnableSecuritySignature</code> unter <code>HKLM\SYSTEM\CurrentControlSet\Services\LanManWorkstation\Parameters</code> auf <code>1</code>. Der Wert 1 lässt den SMB-Client die Signierung aushandeln, sobald der Server sie unterstützt, was die Integrität der Verbindung stärkt und das Risiko der Manipulation übertragener Daten verringert.</td></tr><tr><td>Always Digitally Sign Communications (Server)</td><td>Kommunikation immer digital signieren (Server)</td><td><strong>Kommunikation immer digital signieren (Server)</strong> setzt bei Aktivierung den Registrierungswert <code>RequireSecuritySignature</code> unter <code>HKLM\SYSTEM\CurrentControlSet\Services\LanManServer\Parameters</code> auf <code>1</code>. Der Wert 1 zwingt den SMB-Server, die digitale Signierung aller Kommunikation zu verlangen, was die Authentizität und Integrität übertragener Daten schützt und das Risiko von Manipulation und Man-in-the-Middle-Angriffen verringert.</td></tr><tr><td>Digitally Sign Communications If Client Agrees</td><td>Kommunikation digital signieren, wenn Client zustimmt</td><td><strong>Kommunikation digital signieren, wenn Client zustimmt</strong> setzt bei Aktivierung den Registrierungswert <code>EnableSecuritySignature</code> unter <code>HKLM\SYSTEM\CurrentControlSet\Services\LanManServer\Parameters</code> auf <code>1</code>. Der Wert 1 lässt den SMB-Server die Signierung aushandeln, sobald der verbindende Client sie unterstützt, was die Integrität der Verbindung stärkt und das Risiko der Manipulation übertragener Daten verringert.</td></tr><tr><td>Do Not Allow Storage of Passwords and Credentials for Network Authentication</td><td>Speichern von Passwörtern und Anmeldeinformationen für die Netzwerkauthentifizierung verbieten</td><td><strong>Speichern von Passwörtern und Anmeldeinformationen für die Netzwerkauthentifizierung verbieten</strong> setzt bei Aktivierung den Registrierungswert <code>DisableDomainCreds</code> unter <code>HKLM\SYSTEM\CurrentControlSet\Control\Lsa</code> auf <code>1</code>. Der Wert 1 verhindert, dass Windows Passwörter und Anmeldeinformationen für die Netzwerkauthentifizierung im Anmeldeinformationsspeicher zwischenspeichert, wodurch die Gefahr des Abgreifens wiederverwendbarer Geheimnisse bei einer Kompromittierung verringert wird.</td></tr><tr><td>NULL Session Fallback prevented for LocalSystem</td><td>NULL-Sitzungs-Fallback für LocalSystem verbieten</td><td><strong>NULL-Sitzungs-Fallback für LocalSystem verbieten</strong> setzt bei Aktivierung den Registrierungswert <code>allownullsessionfallback</code> unter <code>HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0</code> auf <code>0</code>. Der Wert 0 untersagt NTLM den Rückfall auf nicht authentifizierte NULL-Sitzungen, wodurch anonyme Zugriffswege eingeschränkt und das Risiko unbefugten Zugriffs verringert wird.</td></tr><tr><td>Set Minimum Session Security Requirements for NTLM SSP Based Clients</td><td>Minimale Sitzungssicherheit für NTLM-SSP-basierte Clients aktivieren</td><td><strong>Minimale Sitzungssicherheit für NTLM-SSP-basierte Clients aktivieren</strong> setzt bei Aktivierung den Registrierungswert <code>NTLMMinClientSec</code> unter <code>HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0</code> auf <code>537395200</code>. Dieser Wert (0x20080000) verlangt von NTLM-SSP-Clients NTLMv2-Sitzungssicherheit und 128-Bit-Verschlüsselung und härtet damit ausgehende NTLM-Sitzungen gegen Manipulation und Mitlesen.</td></tr><tr><td>Set Minimum Session Security for NTLM SSP Based Servers</td><td>Minimale Sitzungssicherheit für NTLM-SSP-basierte Server aktivieren</td><td><strong>Minimale Sitzungssicherheit für NTLM-SSP-basierte Server aktivieren</strong> setzt bei Aktivierung den Registrierungswert <code>NTLMMinServerSec</code> unter <code>HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0</code> auf <code>537395200</code>. Dieser Wert (0x20080000) verlangt von NTLM-SSP-Servern NTLMv2-Sitzungssicherheit und 128-Bit-Verschlüsselung und härtet damit eingehende NTLM-Sitzungen gegen Abhören und Veränderung.</td></tr><tr><td>Enforce Admin Approval Mode for the Built-in Administrator Account</td><td>Erzwinge Admin-Approval-Modus für das integrierte Administratorkonto</td><td><strong>Erzwinge Admin-Approval-Modus für das integrierte Administratorkonto</strong> setzt bei Aktivierung den Registrierungswert <code>FilterAdministratorToken</code> unter <code>HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System</code> auf <code>1</code>. Der Wert <code>1</code> unterstellt das integrierte Administratorkonto der Benutzerkontensteuerung, sodass erhöhte Aktionen eine ausdrückliche Bestätigung erfordern, und begrenzt so die Auswirkungen eines missbrauchten Administratorkontos.</td></tr><tr><td>Behavior of the Elevation Prompt for Administrators in Admin Approval Mode</td><td>Verhalten der Erhöhungsaufforderung für Administratoren im Admin-Approval-Modus</td><td><strong>Verhalten der Erhöhungsaufforderung für Administratoren im Admin-Approval-Modus</strong> setzt bei Aktivierung den Registrierungswert <code>ConsentPromptBehaviorAdmin</code> unter <code>HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System</code> auf <code>2</code>. Der Wert <code>2</code> bedeutet "Zustimmung auf dem sicheren Desktop anfordern", sodass jede Rechteerhöhung auf einem isolierten Desktop bestätigt werden muss, was das Risiko unbemerkter oder vorgetäuschter Rechteausweitung verringert.</td></tr><tr><td>Prevent Enabling Lock Screen Camera</td><td>Sperrbildschirmkamera deaktivieren</td><td><strong>Sperrbildschirmkamera deaktivieren</strong> setzt bei Aktivierung den Registrierungswert <code>NoLockScreenCamera</code> unter <code>HKLM\SOFTWARE\Policies\Microsoft\Windows\Personalization</code> auf <code>1</code>. Der Wert <code>1</code> deaktiviert den Kamerazugriff auf dem Sperrbildschirm und verringert so die Angriffsfläche für unbefugtes Betrachten oder Aufzeichnen bei gesperrtem Gerät.</td></tr><tr><td>Turn Off Multicast Name Resolution (LLMNR)</td><td>Multicast-Namensauflösung (LLMNR) deaktivieren</td><td><strong>Multicast-Namensauflösung (LLMNR) deaktivieren</strong> setzt bei Aktivierung den Registrierungswert <code>EnableMulticast</code> unter <code>HKLM\SOFTWARE\Policies\Microsoft\Windows NT\DNSClient</code> auf <code>0</code>. Der Wert <code>0</code> deaktiviert die Link-Local Multicast Name Resolution und verringert so die Angriffsfläche für gefälschte Namensauflösung und Credential-Relay-Angriffe im lokalen Netz.</td></tr><tr><td>Turn Off Microsoft Peer-to-Peer Networking Services</td><td>Microsoft Peer-to-Peer-Netzwerkdienste deaktivieren</td><td><strong>Microsoft Peer-to-Peer-Netzwerkdienste deaktivieren</strong> setzt bei Aktivierung den Registrierungswert <code>Disabled</code> unter <code>HKLM\SOFTWARE\Policies\Microsoft\Peernet</code> auf <code>1</code>. Der Wert <code>1</code> schaltet die Peer-to-Peer-Netzwerkdienste ab, entfernt so nicht benötigte Netzwerkfunktionen und verringert die exponierte Angriffsfläche.</td></tr><tr><td>Enable Script Block Logging</td><td>Skriptblockprotokollierung aktivieren</td><td><strong>Skriptblockprotokollierung aktivieren</strong> setzt bei Aktivierung den Registrierungswert <code>EnableScriptBlockLogging</code> unter <code>HKLM\SOFTWARE\Policies\Microsoft\PowerShell\ScriptBlockLogging</code> auf <code>1</code>. Der Wert <code>1</code> protokolliert ausgeführte PowerShell-Skriptblöcke im Ereignisprotokoll und verbessert so die Erkennung schädlicher Skripte sowie die forensische Auswertung.</td></tr><tr><td>Enable Transcription for Powershell Sessions</td><td>Transkription für Powershell Sessions aktivieren</td><td><strong>Transkription für Powershell Sessions aktivieren</strong> setzt bei Aktivierung den Registrierungswert <code>EnableTranscripting</code> unter <code>HKLM\SOFTWARE\Policies\Microsoft\PowerShell\Transcription</code> auf <code>1</code>. Der Wert <code>1</code> zeichnet Ein- und Ausgaben von PowerShell-Sitzungen in Transkriptdateien auf und verbessert so die Nachvollziehbarkeit und die Erkennung unbefugter oder schädlicher PowerShell-Nutzung.</td></tr><tr><td>Apply Strict Driver Initialization Policy</td><td>Strikte Treiberinitialisierungsrichtlinie anwenden</td><td><strong>Strikte Treiberinitialisierungsrichtlinie anwenden</strong> setzt bei Aktivierung den Registrierungswert <code>DriverLoadPolicy</code> unter <code>HKLM\SYSTEM\CurrentControlSet\Policies\EarlyLaunch</code> auf <code>3</code>. Der Wert <code>3</code> weist Early Launch Anti-Malware an, nur Boot-Start-Treiber der Kategorien gut, unbekannt sowie schlecht-aber-kritisch zu laden, und härtet so den Startvorgang gegen bekannte schädliche Treiber, während das System startfähig bleibt.</td></tr><tr><td>Turn Off Windows Messenger Customer Experience Improvement Program</td><td>Windows Messenger Customer Experience Improvement Program deaktivieren</td><td><strong>Windows Messenger Customer Experience Improvement Program deaktivieren</strong> setzt bei Aktivierung den Registrierungswert <code>CEIP</code> unter <code>HKLM\SOFTWARE\Policies\Microsoft\Messenger\Client</code> auf <code>2</code>, wobei <code>2</code> die Teilnahme abschaltet. Dies begrenzt die von Windows Messenger an Microsoft gesendeten Nutzungs- und Diagnosedaten und reduziert so den Datenabfluss vom System.</td></tr><tr><td>Turn Off Downloading of Print Drivers Over HTTP</td><td>Herunterladen von Druckertreibern über HTTP deaktivieren</td><td><strong>Herunterladen von Druckertreibern über HTTP deaktivieren</strong> setzt bei Aktivierung den Registrierungswert <code>DisableWebPnPDownload</code> unter <code>HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Printers</code> auf <code>1</code>, wobei <code>1</code> den Treiber-Download über HTTP unterbindet. Dadurch bezieht das System keine Druckertreiber mehr über HTTP, was das Risiko manipulierter oder kompromittierter Treiber aus nicht vertrauenswürdigen Quellen verringert.</td></tr><tr><td>Turn Off Windows Error Reporting (Method 1)</td><td>Windows-Fehlerberichterstattung deaktivieren (Methode 1)</td><td><strong>Windows-Fehlerberichterstattung deaktivieren (Methode 1)</strong> setzt bei Aktivierung den Registrierungswert <code>DoReport</code> unter <code>HKLM\SOFTWARE\Policies\Microsoft\PCHealth\ErrorReporting</code> auf <code>0</code>, wobei <code>0</code> die Fehlerberichterstattung abschaltet. Dies verhindert die Übertragung von Absturz- und Diagnosedaten an Microsoft und begrenzt die Preisgabe möglicherweise sensibler Informationen.</td></tr><tr><td>Turn Off Windows Error Reporting (Method 2)</td><td>Windows-Fehlerberichterstattung deaktivieren (Methode 2)</td><td><strong>Windows-Fehlerberichterstattung deaktivieren (Methode 2)</strong> setzt bei Aktivierung den Registrierungswert <code>Disabled</code> unter <code>HKLM\SOFTWARE\Policies\Microsoft\Windows\Windows Error Reporting</code> auf <code>1</code>, wobei <code>1</code> die Fehlerberichterstattung abschaltet. Dies verhindert das Senden von Absturz- und Diagnosedaten an Microsoft und verringert die Preisgabe möglicherweise sensibler Informationen.</td></tr><tr><td>Turn Off Internet Download for Web Publishing and Online Ordering Wizards</td><td>Herunterladen von Web-Publishing- und Online-Bestell-Assistenten deaktivieren</td><td><strong>Herunterladen von Web-Publishing- und Online-Bestell-Assistenten deaktivieren</strong> setzt bei Aktivierung den Registrierungswert <code>NoWebServices</code> unter <code>HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer</code> auf <code>1</code>, wobei <code>1</code> den Download der Anbieterlisten für diese Assistenten unterbindet. Dadurch lädt das System keine Komponenten mehr aus dem Internet nach, was die Angriffsfläche für den Bezug unerwünschter oder schädlicher Software verringert.</td></tr><tr><td>Turn Off Windows Customer Experience Improvement Program</td><td>Windows Customer Experience Improvement Program deaktivieren</td><td><strong>Windows Customer Experience Improvement Program deaktivieren</strong> setzt bei Aktivierung den Registrierungswert <code>CEIPEnable</code> unter <code>HKLM\SOFTWARE\Policies\Microsoft\SQMClient\Windows</code> auf <code>0</code>, wobei <code>0</code> die Teilnahme abschaltet. Dies begrenzt die von Windows an Microsoft gesendeten Telemetrie- und Nutzungsdaten und reduziert den Datenabfluss vom System.</td></tr><tr><td>Turn Off Convenience PIN Sign-in</td><td>Convenience-PIN-Anmeldung deaktivieren</td><td><strong>Convenience-PIN-Anmeldung deaktivieren</strong> setzt bei Aktivierung den Registrierungswert <code>AllowDomainPINLogon</code> unter <code>HKLM\SOFTWARE\Policies\Microsoft\Windows\System</code> auf <code>0</code>, wobei <code>0</code> die PIN-Anmeldung für Domänenbenutzer abschaltet. Dies entfernt die Komfort-PIN als Alternative zum Domänenpasswort und verringert die Angriffsfläche eines lokal zwischengespeicherten Anmeldemerkmals.</td></tr><tr><td>Turn Off App Notifications on the Lock Screen</td><td>App-Benachrichtigungen auf dem Sperrbildschirm deaktivieren</td><td><strong>App-Benachrichtigungen auf dem Sperrbildschirm deaktivieren</strong> setzt bei Aktivierung den Registrierungswert <code>DisableLockScreenAppNotifications</code> unter <code>HKLM\SOFTWARE\Policies\Microsoft\Windows\System</code> auf <code>1</code>, wobei <code>1</code> App-Benachrichtigungen auf dem Sperrbildschirm unterdrückt. Dies begrenzt die Preisgabe möglicherweise sensibler Benachrichtigungsinhalte, solange das Gerät gesperrt ist.</td></tr><tr><td>Do Not Display Network Selection UI On Login Screen</td><td>Netzwerk-Auswahl-UI in der Login-Ansicht nicht anzeigen</td><td><strong>Netzwerk-Auswahl-UI in der Login-Ansicht nicht anzeigen</strong> setzt bei Aktivierung den Registrierungswert <code>DontDisplayNetworkSelectionUI</code> unter <code>HKLM\SOFTWARE\Policies\Microsoft\Windows\System</code> auf <code>1</code>, wobei <code>1</code> die Netzwerkauswahl im Anmeldebildschirm ausblendet. Dies verhindert, dass nicht angemeldete Benutzer die Netzwerkverbindung über den Sperrbildschirm ändern, und verringert die Angriffsfläche vor der Anmeldung.</td></tr><tr><td>Require a Password When a Computer Wakes While Plugged In</td><td>Passwort bei Aufwachen des Computers im Netzbetrieb verlangen</td><td><strong>Passwort bei Aufwachen des Computers im Netzbetrieb verlangen</strong> setzt bei Aktivierung den Registrierungswert <code>ACSettingIndex</code> unter <code>HKLM\SOFTWARE\Policies\Microsoft\Power\PowerSettings\0e796bdb-100d-47d6-a2d5-f7d2daa51f51</code> auf <code>1</code>, wobei <code>1</code> im Netzbetrieb (AC) eine Passwortabfrage beim Aufwachen erzwingt. Dies verlangt eine Authentifizierung, wenn das Gerät im Netzbetrieb aus dem Ruhezustand zurückkehrt, und begrenzt den unbefugten Zugriff auf ein unbeaufsichtigtes System.</td></tr><tr><td>Require a Password When a Computer Wakes While On Battery</td><td>Passwort bei Aufwachen des Computers im Batteriebetrieb verlangen</td><td><strong>Passwort bei Aufwachen des Computers im Batteriebetrieb verlangen</strong> setzt bei Aktivierung den Registrierungswert <code>DCSettingIndex</code> unter HKLM\SOFTWARE\Policies\Microsoft\Power\PowerSettings\0e796bdb-100d-47d6-a2d5-f7d2daa51f51 auf <code>1</code> (DC steht für den Batteriebetrieb, 1 aktiviert die Passwortabfrage). Die erzwungene Passworteingabe beim Aufwachen verringert die Angriffsfläche eines unbeaufsichtigten Geräts und mindert das Risiko unbefugten lokalen Zugriffs.</td></tr><tr><td>Configure User Control Over Windows Installer</td><td>Administriere Nutzerberechtigungen von Windows Installer</td><td><strong>Administriere Nutzerberechtigungen von Windows Installer</strong> setzt bei Aktivierung den Registrierungswert <code>EnableUserControl</code> unter HKLM\SOFTWARE\Policies\Microsoft\Windows\Installer auf <code>0</code> (0 entzieht Benutzern die Kontrolle über installationsbezogene Eigenschaften). Da Benutzer das Installationsverhalten nicht mehr beeinflussen können, verringert dies das Risiko unautorisierter oder mit erhöhten Rechten laufender Installationen und reduziert die Angriffsfläche.</td></tr><tr><td>Limit Local Account Use of Blank Passwords to Console Logon Only</td><td>Verwendung leerer Passwörter lokaler Konten nur auf der Konsolenanmeldung beschränken</td><td><strong>Verwendung leerer Passwörter lokaler Konten nur auf der Konsolenanmeldung beschränken</strong> setzt bei Aktivierung den Registrierungswert <code>LimitBlankPasswordUse</code> unter HKLM\SYSTEM\CurrentControlSet\Control\Lsa auf <code>1</code> (1 beschränkt Konten mit leerem Passwort auf die Konsolenanmeldung). Da Netzwerk-, Remotedesktop- und Dienstanmeldungen für Konten ohne Passwort unterbunden werden, verringert dies die aus der Ferne nutzbare Angriffsfläche.</td></tr><tr><td>Prevent Users from Installing Printer Drivers</td><td>Benutzer daran hindern, Druckertreiber zu installieren</td><td><strong>Benutzer daran hindern, Druckertreiber zu installieren</strong> setzt bei Aktivierung den Registrierungswert <code>AddPrinterDrivers</code> unter HKLM\SYSTEM\CurrentControlSet\Services\LanManServer\Parameters auf <code>1</code> (1 beschränkt das Hinzufügen von Druckertreibern auf Administratoren). Indem die Treiberinstallation auf privilegierte Konten begrenzt wird, sinkt das Risiko, dass Standardbenutzer schädliche oder nicht vertrauenswürdige Treiber einspielen.</td></tr><tr><td>Allow System to Be Shut Down Without Having to Log On</td><td>Herunterfahren des Systems ohne Anmeldung zulassen</td><td><strong>Herunterfahren des Systems ohne Anmeldung zulassen</strong> setzt trotz des Namens bei Aktivierung den Registrierungswert <code>ShutdownWithoutLogon</code> unter HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System auf <code>0</code> (0 entfernt die Herunterfahren-Schaltfläche vom Anmeldebildschirm). Da vor dem Herunterfahren eine Anmeldung erforderlich ist, sinkt das Risiko, dass eine nicht authentifizierte Person an der Konsole das System stört oder ausschaltet.</td></tr><tr><td>Disable Font Providers</td><td>Blockiere Font-Provider</td><td><strong>Blockiere Font-Provider</strong> setzt bei Aktivierung den Registrierungswert <code>EnableFontProviders</code> unter HKLM\SOFTWARE\Policies\Microsoft\Windows\System auf <code>0</code> (0 unterbindet das Herunterladen von Schriftarten und Schriftkatalogdaten von Online-Anbietern). Da diese Netzwerkaktivität entfällt, verringert sich die ausgehende Exposition und die mit externen Schriftdiensten verbundene Angriffsfläche.</td></tr><tr><td>Disable Insecure guest logons</td><td>Blockiere unsicheren Gast-Login</td><td><strong>Blockiere unsicheren Gast-Login</strong> setzt bei Aktivierung den Registrierungswert <code>AllowInsecureGuestAuth</code> unter HKLM\SOFTWARE\Policies\Microsoft\Windows\System auf <code>0</code> (0 verhindert, dass der SMB-Client unauthentifizierten Gastzugriff nutzt). Das Unterbinden unsicherer Gast-Anmeldungen härtet SMB-Verbindungen gegen Man-in-the-Middle-Angriffe und unbefugten Zugriff auf freigegebene Ressourcen.</td></tr><tr><td>Turn on I/O Mapper for Link Layer Topology Discovery (AllowLLTDIOOndomain)</td><td>I/O-Mapper für Link Layer Topology Discovery aktivieren (AllowLLTDIOOnDomain)</td><td><strong>I/O-Mapper für Link Layer Topology Discovery aktivieren (AllowLLTDIOOnDomain)</strong> setzt trotz des Namens bei Aktivierung den Registrierungswert <code>AllowLLTDIOOnDomain</code> unter HKLM\SOFTWARE\Policies\Microsoft\Windows\LLTD auf <code>0</code> (0 deaktiviert den Mapper-I/O-Treiber der Link Layer Topology Discovery in Domänennetzwerken). Das Abschalten dieses Protokolls zur Netzwerkkartierung verringert die Auffindbarkeit des Geräts und die Angriffsfläche in verwalteten Netzwerken.</td></tr><tr><td>Turn on I/O Mapper for Link Layer Topology Discovery (AllowLLTDIOOnPublicNet)</td><td>I/O-Mapper für Link Layer Topology Discovery aktivieren (AllowLLTDIOOnPublicNet)</td><td><strong>I/O-Mapper für Link Layer Topology Discovery aktivieren (AllowLLTDIOOnPublicNet)</strong> setzt trotz des Namens bei Aktivierung den Registrierungswert <code>AllowLLTDIOOnPublicNet</code> unter HKLM\SOFTWARE\Policies\Microsoft\Windows\LLTD auf <code>0</code> (0 deaktiviert den Mapper-I/O-Treiber der Link Layer Topology Discovery in öffentlichen Netzwerken). Das Abschalten dieses Protokolls zur Netzwerkkartierung in nicht vertrauenswürdigen Netzwerken verringert die Auffindbarkeit des Geräts und begrenzt seine Exposition.</td></tr><tr><td>Turn on I/O Mapper for Link Layer Topology Discovery (EnableLLTDIO)</td><td>I/O-Mapper für Link Layer Topology Discovery aktivieren (EnableLLTDIO)</td><td><strong>I/O-Mapper für Link Layer Topology Discovery aktivieren (EnableLLTDIO)</strong> setzt trotz des Namens bei Aktivierung den Registrierungswert <code>EnableLLTDIO</code> unter HKLM\SOFTWARE\Policies\Microsoft\Windows\LLTD auf <code>0</code> (0 deaktiviert den Mapper-I/O-Treiber der Link Layer Topology Discovery). Das Abschalten dieses Protokolls zur Netzwerkkartierung verringert die Auffindbarkeit des Geräts im Netzwerk und die damit verbundene Angriffsfläche.</td></tr><tr><td>Turn on I/O Mapper for Link Layer Topology Discovery (ProhibitLLTDIOOnPrivateNet)</td><td>I/O-Mapper für Link Layer Topology Discovery aktivieren (ProhibitLLTDIOOnPrivateNet)</td><td><strong>I/O-Mapper für Link Layer Topology Discovery aktivieren (ProhibitLLTDIOOnPrivateNet)</strong> setzt bei Aktivierung den Registrierungswert <code>ProhibitLLTDIOOnPrivateNet</code> unter <code>HKLM\SOFTWARE\Policies\Microsoft\Windows\LLTD</code> auf <code>0</code>. Der Wert 0 entspricht dem deaktivierten Zustand des LLTD-Mapper-I/O-Treibers (LLTDIO), der Geräte im Netzwerk erkennt und die Topologie abbildet; das Deaktivieren begrenzt die Netzwerk-Topologieerkennung und verringert die gegenüber anderen Hosts preisgegebenen Informationen.</td></tr><tr><td>Disable Responder (RSPNDR) driver. (AllowRspndrOnDomain)</td><td>Deaktiviere Responder (RSPNDR)-Treiber (AllowRspndrOnDomain)</td><td><p><strong>Deaktiviere Responder (RSPNDR)-Treiber</strong></p><p> <strong>(AllowRspndrOnDomain)</strong> setzt bei Aktivierung den Registrierungswert <code>AllowRspndrOnDomain</code> unter <code>HKLM\SOFTWARE\Policies\Microsoft\Windows\LLTD</code> auf <code>0</code>. Der Wert 0 deaktiviert den Link-Layer-Topology-Discovery-Responder-Treiber (RSPNDR) in Domänennetzwerken, sodass der Host keine Topologie-Anfragen mehr beantwortet, was seine Sichtbarkeit und Angriffsfläche im Netzwerk verringert.</p></td></tr><tr><td>Disable Responder (RSPNDR) driver. (AllowRspndrOnPublicNet)</td><td>Deaktiviere Responder (RSPNDR)-Treiber (AllowRspndrOnPublicNet)</td><td><strong>Deaktiviere Responder (RSPNDR)-Treiber (AllowRspndrOnPublicNet)</strong> setzt bei Aktivierung den Registrierungswert <code>AllowRspndrOnPublicNet</code> unter <code>HKLM\SOFTWARE\Policies\Microsoft\Windows\LLTD</code> auf <code>0</code>. Der Wert 0 deaktiviert den Link-Layer-Topology-Discovery-Responder-Treiber (RSPNDR) in öffentlichen Netzwerken, sodass der Host in nicht vertrauenswürdigen Umgebungen keine Topologie-Anfragen mehr beantwortet, was seine Sichtbarkeit und Angriffsfläche verringert.</td></tr><tr><td>Disable Responder (RSPNDR) driver. (EnableRspndr)</td><td>Deaktiviere Responder (RSPNDR)-Treiber (EnableRspndr)</td><td><strong>Deaktiviere Responder (RSPNDR)-Treiber (EnableRspndr)</strong> setzt bei Aktivierung den Registrierungswert <code>EnableRspndr</code> unter <code>HKLM\SOFTWARE\Policies\Microsoft\Windows\LLTD</code> auf <code>0</code>. Der Wert 0 schaltet den Link-Layer-Topology-Discovery-Responder-Treiber (RSPNDR) vollständig ab, sodass der Host nicht auf Topologie-Anfragen antwortet, was seine Netzwerk-Sichtbarkeit und Angriffsfläche verringert.</td></tr><tr><td>Disable Responder (RSPNDR) driver. (ProhibitRspndrOnPrivateNet)</td><td>Deaktiviere Responder (RSPNDR)-Treiber (ProhibitRspndrOnPrivateNet)</td><td><strong>Deaktiviere Responder (RSPNDR)-Treiber (ProhibitRspndrOnPrivateNet)</strong> setzt bei Aktivierung den Registrierungswert <code>ProhibitRspndrOnPrivateNet</code> unter <code>HKLM\SOFTWARE\Policies\Microsoft\Windows\LLTD</code> auf <code>0</code>. Der Wert 0 ist der Zustand, der geschrieben wird, wenn der Responder-Treiber (RSPNDR) per Gruppenrichtlinie in privaten Netzwerken deaktiviert wird, was die Antworten des Hosts auf Topologie-Anfragen begrenzt und seine Netzwerk-Sichtbarkeit verringert.</td></tr><tr><td>Prohibit installation and configuration of Network Bridge</td><td>Installation und Konfiguration einer Netzwerkbrücke verbieten</td><td><strong>Installation und Konfiguration einer Netzwerkbrücke verbieten</strong> setzt bei Aktivierung den Registrierungswert <code>NC_AllowNetBridge_NLA</code> unter <code>HKLM\SOFTWARE\Policies\Microsoft\Windows\Network Connections</code> auf <code>0</code>, was der gleichnamigen Gruppenrichtlinie im Status Aktiviert entspricht (die ADMX verwendet enabledValue=0). Indem Benutzer daran gehindert werden, getrennte Netzwerksegmente über ihren Host zu verbinden, werden ungewollte laterale Netzwerkpfade begrenzt und die Angriffsfläche verringert.</td></tr><tr><td>Prohibit use of Network Bridge</td><td>Blockiere Nutzung einer Netzwerkbrücke</td><td><strong>Blockiere Nutzung einer Netzwerkbrücke</strong> setzt bei Aktivierung den Registrierungswert <code>NC_ShowSharedAccessUI</code> unter <code>HKLM\Software\Policies\Microsoft\Windows\Network Connections</code> auf <code>1</code>. Die Steuerung, ob Nutzer über ihren Host Netzwerkverbindungen überbrücken oder freigeben können, hilft, ungewollte laterale Netzwerkpfade zu begrenzen und die Angriffsfläche zu reduzieren.</td></tr><tr><td>Require domain users to elevate whensetting a networks location</td><td>Aktiviere Berechtigungserhöhungszwang bei Netzwerkstandortvergabe</td><td><strong>Aktiviere Berechtigungserhöhungszwang bei Netzwerkstandortvergabe</strong> setzt bei Aktivierung den Registrierungswert <code>NC_StdDomainUserSetLocation</code> unter <code>HKLM\Software\Policies\Microsoft\Windows\Network Connections</code> auf <code>1</code>. Der Wert 1 zwingt normale Domänenbenutzer, vor dem Ändern eines Netzwerkstandorts (etwa von Öffentlich zu Privat) eine administrative Rechteerhöhung durchzuführen, wodurch ein unbemerktes Aufweichen des Firewall-Profils verhindert und die Angriffsfläche reduziert wird.</td></tr><tr><td>Activate hardened UNC Paths</td><td>Aktiviere gehärtete UNC-Pfade</td><td><strong>Aktiviere gehärtete UNC-Pfade</strong> setzt bei Aktivierung den Registrierungswert <code>\\*\NETLOGON</code> unter <code>HKLM\Software\Policies\Microsoft\Windows\NetworkProvider\HardenedPaths</code> auf <code>RequireMutualAuthentication=1, RequireIntegrity=1, RequirePrivacy=1</code>. Diese Flags verlangen gegenseitige Authentifizierung, Integritätsprüfung und Vertraulichkeit (Verschlüsselung) für Verbindungen zur NETLOGON-Freigabe und härten so den Zugriff auf Domänen-Anmeldeskripte gegen Manipulation und Man-in-the-Middle-Angriffe.</td></tr><tr><td>Activate hardened UNC Paths (SYSVOL)</td><td>Aktiviere gehärtete UNC-Pfade (SYSVOL)</td><td><strong>Aktiviere gehärtete UNC-Pfade (SYSVOL)</strong> setzt bei Aktivierung den Registrierungswert <code>\\*\SYSVOL</code> unter <code>HKLM\Software\Policies\Microsoft\Windows\NetworkProvider\HardenedPaths</code> auf <code>RequireMutualAuthentication=1, RequireIntegrity=1, RequirePrivacy=1</code>. Diese Flags verlangen gegenseitige Authentifizierung, Integritätsprüfung und Vertraulichkeit (Verschlüsselung) für Verbindungen zur SYSVOL-Freigabe und härten so den Zugriff auf Domänen-Gruppenrichtliniendateien gegen Manipulation und Man-in-the-Middle-Angriffe.</td></tr><tr><td>Deactivate WCN Registrar</td><td>Deaktiviere WCN Registrar</td><td><strong>Deaktiviere WCN Registrar</strong> setzt bei Aktivierung den Registrierungswert <code>EnableRegistrars</code> unter <code>HKLM\SOFTWARE\Policies\Microsoft\Windows\WCN\Registrars</code> auf <code>0</code>. Der Wert <code>0</code> schaltet den Windows-Connect-Now-Registrar ab und verringert so die Angriffsfläche für die automatische Geräteerkennung und -konfiguration.</td></tr><tr><td>Deactivate WCN Registrar (DisableUPnPRegistrar)</td><td>Deaktiviere WCN Registrar (DisableUPnPRegistrar)</td><td><strong>Deaktiviere WCN Registrar (DisableUPnPRegistrar)</strong> setzt bei Aktivierung den Registrierungswert <code>DisableUPnPRegistrar</code> unter <code>HKLM\SOFTWARE\Policies\Microsoft\Windows\WCN\Registrars</code> auf <code>0</code>. Der Wert <code>0</code> deaktiviert den UPnP-Transport (Ethernet) des Windows-Connect-Now-Registrars und begrenzt so die Angriffsfläche für ungewollte Geräteerkennung über das Netzwerk.</td></tr><tr><td>Deactivate WCN Registrar (DisableInBand802DOT11Registrar)</td><td>Deaktiviere WCN Registrar (DisableInBand802DOT11Registrar)</td><td><strong>Deaktiviere WCN Registrar (DisableInBand802DOT11Registrar)</strong> setzt bei Aktivierung den Registrierungswert <code>DisableInBand802DOT11Registrar</code> unter <code>HKLM\SOFTWARE\Policies\Microsoft\Windows\WCN\Registrars</code> auf <code>0</code>. Der Wert <code>0</code> deaktiviert den In-Band-802.11-WLAN-Transport des Windows-Connect-Now-Registrars und verringert so die Angriffsfläche für die drahtlose Gerätekonfiguration.</td></tr><tr><td>Deactivate WCN Registrar (DisableFlashConfigRegistrar)</td><td>Deaktiviere WCN Registrar (DisableFlashConfigRegistrar)</td><td><strong>Deaktiviere WCN Registrar (DisableFlashConfigRegistrar)</strong> setzt bei Aktivierung den Registrierungswert <code>DisableFlashConfigRegistrar</code> unter <code>HKLM\SOFTWARE\Policies\Microsoft\Windows\WCN\Registrars</code> auf <code>0</code>. Der Wert <code>0</code> deaktiviert den USB-Flash-Laufwerk-Transport des Windows-Connect-Now-Registrars und begrenzt so die Angriffsfläche für eine Konfiguration über Wechseldatenträger.</td></tr><tr><td>Deactivate WCN Registrar (DisableWPDRegistrar)</td><td>Deaktiviere WCN Registrar (DisableWPDRegistrar)</td><td><strong>Deaktiviere WCN Registrar (DisableWPDRegistrar)</strong> setzt bei Aktivierung den Registrierungswert <code>DisableWPDRegistrar</code> unter <code>HKLM\SOFTWARE\Policies\Microsoft\Windows\WCN\Registrars</code> auf <code>0</code>. Der Wert <code>0</code> deaktiviert den WPD-Transport (Windows Portable Device) des Windows-Connect-Now-Registrars und verringert so die Angriffsfläche für die Gerätekonfiguration über die WPD-API.</td></tr><tr><td>Prohibit access of the Windows Connect Now wizards</td><td>Blockiere den Windows Connect Now Wizard</td><td><strong>Blockiere den Windows Connect Now Wizard</strong> setzt bei Aktivierung den Registrierungswert <code>DisableWcnUi</code> unter <code>HKLM\SOFTWARE\Policies\Microsoft\Windows\WCN\UI</code> auf <code>1</code>. Der Wert <code>1</code> deaktiviert die Oberfläche des Windows-Connect-Now-Assistenten und verringert die Angriffsfläche, indem Standardbenutzer keine Geräte darüber einrichten können.</td></tr><tr><td>Prevent Wi-Fi when on Ethernet</td><td>Deaktiviere Wi-Fi wenn man über Ethernet verbunden ist</td><td><strong>Deaktiviere Wi-Fi wenn man über Ethernet verbunden ist</strong> setzt bei Aktivierung den Registrierungswert <code>fMinimizeConnections</code> unter <code>HKLM\SOFTWARE\Policies\Microsoft\Windows\WcmSvc\GroupPolicy</code> auf <code>3</code>. Der Wert <code>3</code> deaktiviert WLAN, solange eine kabelgebundene Ethernet-Verbindung besteht, und verringert die Angriffsfläche, indem überbrückte Verbindungen zwischen internen und externen Netzwerken verhindert werden.</td></tr><tr><td>Prohibit additional connection to non-domain networks</td><td>Blockiere zusätzliche Verbindungen zu Nicht-Domänen-Netzwerken</td><td><strong>Blockiere zusätzliche Verbindungen zu Nicht-Domänen-Netzwerken</strong> setzt bei Aktivierung den Registrierungswert <code>fBlockNonDomain</code> unter <code>HKLM\SOFTWARE\Policies\Microsoft\Windows\WcmSvc\GroupPolicy</code> auf <code>1</code>. Der Wert <code>1</code> verhindert, dass ein System gleichzeitig mit einem Domänen- und einem Nicht-Domänen-Netzwerk verbunden ist, und verringert so die Angriffsfläche durch die gleichzeitige Anbindung an nicht vertrauenswürdige Netzwerke.</td></tr><tr><td>Block client connections to Print Spooler service</td><td>Blockiere Nutzerverbindungen zum Print Spooler Dienst</td><td><strong>Blockiere Nutzerverbindungen zum Print Spooler Dienst</strong> setzt bei Aktivierung den Registrierungswert <code>RegisterSpoolerRemoteRpcEndPoint</code> unter <code>HKLM\Software\Policies\Microsoft\Windows NT\Printers</code> auf <code>2</code>. Der Wert <code>2</code> deaktiviert den Remote-RPC-Endpunkt, sodass der Druckwarteschlangendienst keine eingehenden Clientverbindungen mehr annimmt, und verringert so die Angriffsfläche für Angriffe auf den Print Spooler.</td></tr><tr><td>Activate Redirection Guard</td><td>Aktiviere Redirection Guard</td><td><strong>Aktiviere Redirection Guard</strong> setzt bei Aktivierung den Registrierungswert <code>RedirectionguardPolicy</code> unter <code>HKLM\Software\Policies\Microsoft\Windows NT\Printers</code> auf <code>1</code>. Der Wert <code>1</code> aktiviert Redirection Guard für den Druckwarteschlangendienst und härtet ihn gegen Angriffe über manipulierte Datei- und Pfadumleitungen ab.</td></tr><tr><td>Configure RPC connection settings (RpcUseNamedPipeProtocol)</td><td>Konfiguriere RPC-Verbindungen (RpcUseNamedPipeProtocol)</td><td><strong>Konfiguriere RPC-Verbindungen (RpcUseNamedPipeProtocol)</strong> setzt bei Aktivierung den Registrierungswert <code>RpcUseNamedPipeProtocol</code> unter <code>HKLM\Software\Policies\Microsoft\Windows NT\Printers\RPC</code> auf <code>0</code> (0 = das Named-Pipe-Protokoll wird für ausgehende Druck-RPC nicht verwendet). Die Beschränkung des Spoolers auf RPC über TCP entfernt den älteren Named-Pipe-Transport und verringert die Angriffsfläche für entfernte Druckverbindungen.</td></tr><tr><td>Configure RPC connection settings (RpcAuthentication)</td><td>Konfiguriere RPC- Verbindungen (RpcAuthentication)</td><td><strong>Konfiguriere RPC-Verbindungen (RpcAuthentication)</strong> setzt bei Aktivierung den Registrierungswert <code>RpcAuthentication</code> unter <code>HKLM\Software\Policies\Microsoft\Windows NT\Printers\RPC</code> auf <code>0</code> (0 = Standard, d. h. die Authentifizierung für Druck-RPC-Verbindungen wird automatisch ausgehandelt). Ein definiertes Authentifizierungsverhalten für Druck-RPC härtet die Kommunikation mit entfernten Spoolern und schränkt unauthentifizierten Zugriff ein.</td></tr><tr><td>Configure RPC connection settings (RpcProtocols)</td><td>Konfiguriere RPC- Verbindungen (RpcProtocols)</td><td><strong>Konfiguriere RPC-Verbindungen (RpcProtocols)</strong> setzt bei Aktivierung den Registrierungswert <code>RpcProtocols</code> unter <code>HKLM\Software\Policies\Microsoft\Windows NT\Printers\RPC</code> auf <code>5</code> (5 legt den empfohlenen Protokollsatz für ausgehende Druck-RPC fest, RPC über TCP). Die Festlegung des Spoolers auf den vorgesehenen Transport härtet entfernte Druckverbindungen und verringert die offene Protokollfläche.</td></tr><tr><td>Configure RPC connection settings (ForceKerberosForRpc)</td><td>Konfiguriere RPC- Verbindungen (ForceKerberosForRpc)</td><td><strong>Konfiguriere RPC-Verbindungen (ForceKerberosForRpc)</strong> setzt bei Aktivierung den Registrierungswert <code>ForceKerberosForRpc</code> unter <code>HKLM\Software\Policies\Microsoft\Windows NT\Printers\RPC</code> auf <code>0</code> (0 = Aushandeln, Kerberos wird für Druck-RPC nicht zwingend erzwungen). Ein definiertes Authentifizierungsverhalten für Druck-RPC härtet die Kommunikation mit entfernten Spoolern entsprechend der Richtlinienvorgabe.</td></tr><tr><td>Configure RPC over TCP port</td><td>Konfiguriere RPC über einen TCP-Port</td><td><strong>Konfiguriere RPC über einen TCP-Port</strong> setzt bei Aktivierung den Registrierungswert <code>RpcTcpPort</code> unter <code>HKLM\Software\Policies\Microsoft\Windows NT\Printers\RPC</code> auf <code>0</code> (0 = der Spooler verwendet einen dynamisch zugewiesenen statt eines festen Ports). Der Verzicht auf einen statischen, vorhersehbaren RPC-Port verringert die Exposition des Druckspoolers gegenüber gezielten entfernten Verbindungen.</td></tr><tr><td>Configure RPC packet level privacy (print)</td><td>Konfiguriere RPC Packet Level Privacy (Drucker)</td><td><strong>Konfiguriere RPC Packet Level Privacy (Drucker)</strong> setzt bei Aktivierung den Registrierungswert <code>RpcAuthnLevelPrivacyEnabled</code> unter <code>HKLM\SYSTEM\CurrentControlSet\Control\Print</code> auf <code>1</code> (1 = Packet-Level-Privacy aktiviert). Die erzwungene Paketvertraulichkeit schützt eingehenden Druck-RPC-Verkehr gegen Mitlesen und Manipulation im Netzwerk.</td></tr><tr><td>Configure Windows protected print</td><td>Konfiguriere Windows Protected Print</td><td><strong>Konfiguriere Windows Protected Print</strong> setzt bei Aktivierung den Registrierungswert <code>WindowsProtectedPrintGroupPolicyState</code> unter <code>HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Printers\WPP</code> auf <code>1</code> (1 = Windows protected print aktiviert). Der geschützte Druckmodus beschränkt das Drucken auf einen eingeschränkteren, modernen Stack und verringert die durch veraltete Druckkomponenten exponierte Angriffsfläche.</td></tr><tr><td>Block non-Admins from installing printer driver</td><td>Blockiere nicht-Admins Druckertreiber zu installieren</td><td><strong>Blockiere Nicht-Admins Druckertreiber zu installieren</strong> setzt bei Aktivierung den Registrierungswert <code>RestrictDriverInstallationToAdministrators</code> unter <code>HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Printers\PointAndPrint</code> auf <code>1</code> (1 = nur Administratoren dürfen Druckertreiber installieren). Die Beschränkung der Treiberinstallation auf Administratoren begrenzt einen bekannten Weg zur Rechteausweitung über schädliche oder unsignierte Druckertreiber.</td></tr><tr><td>Limit Queue-specific files to Color profiles</td><td>Begrenze Queue-spezifische Dateien für Farbprofile</td><td><strong>Begrenze Queue-spezifische Dateien für Farbprofile</strong> setzt bei Aktivierung den Registrierungswert <code>CopyFilesPolicy</code> unter <code>HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Printers</code> auf <code>1</code> (1 = bei der Druckerinstallation werden nur Farbprofildateien kopiert). Die Beschränkung queue-spezifischer Dateien auf Farbprofile verhindert, dass beliebige Dateien über die Druckerinstallation eingeschleust werden, und verringert die Angriffsfläche des Druckspoolers.</td></tr><tr><td>Elevation prompt for new connections to printers</td><td>Sicherheitserhöhungsaufforderung bei neuen Druckerverbindungen</td><td><strong>Sicherheitserhöhungsaufforderung bei neuen Druckerverbindungen</strong> setzt bei Aktivierung den Registrierungswert <code>NoWarningNoElevationOnInstall</code> unter <code>HKLM\Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint</code> auf <code>0</code> (0 = Warnungen und Rechteerhöhungsaufforderungen werden beim Einrichten einer neuen Druckerverbindung nicht unterdrückt). Die aktive Aufforderung erhält die administrative Bestätigung bei der Treiberinstallation und begrenzt den unbemerkten Missbrauch von Point-and-Print.</td></tr><tr><td>Elevation prompt for printer driver updates</td><td>Sicherheitserhöhungsaufforderung bei Druckertreiber- Updates</td><td><strong>Sicherheitserhöhungsaufforderung bei Druckertreiber-Updates</strong> setzt bei Aktivierung den Registrierungswert <code>UpdatePromptSettings</code> unter <code>HKLM\Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint</code> auf <code>0</code>. Der Wert 0 hält die Sicherheitserhöhungsaufforderung aktiv, sodass das Installieren oder Aktualisieren eines Point-and-Print-Druckertreibers eine administrative Bestätigung erfordert; das härtet den Weg der Treiberinstallation und verringert die Angriffsfläche für Rechteausweitung über manipulierte Druckertreiber.</td></tr></tbody></table>

***

## Checks für die automatische Systemhärtung auf Linux-Hosts

<table><thead><tr><th width="150.0078125">Name (EN)</th><th width="195.6875">Name (DE)</th><th>Beschreibung (DE)</th></tr></thead><tbody><tr><td>Set SSH Client Idle Interval</td><td>SSH-Client-Leerlaufintervall festlegen</td><td><strong>SSH-Client-Leerlaufintervall festlegen</strong> setzt bei Aktivierung <code>ClientAliveInterval</code> in <code>/etc/ssh/sshd_config</code> auf <code>15</code>, sodass der Server auf einer stillen Verbindung alle 15 Sekunden eine Keepalive-Anfrage sendet. So erkennt und schliesst der Dienst unbeaufsichtigte oder unterbrochene Sitzungen schneller und verkleinert das Zeitfenster, in dem eine verlassene Sitzung missbraucht werden koennte.</td></tr><tr><td>Set SSH Idle Timeout Threshold</td><td>SSH-Leerlaufzeitgrenze festlegen</td><td><strong>SSH-Leerlaufzeitgrenze festlegen</strong> setzt bei Aktivierung <code>ClientAliveCountMax</code> in <code>/etc/ssh/sshd_config</code> auf <code>3</code>, sodass der Server hoechstens drei unbeantwortete Keepalive-Anfragen zulaesst, bevor er die Verbindung beendet. Zusammen mit dem Keepalive-Intervall begrenzt dies, wie lange eine nicht reagierende Sitzung offen bleibt, und verringert die Angriffsflaeche durch untaetige Sitzungen.</td></tr><tr><td>Disable SSH Host-Based Authentication</td><td>Hostbasierte SSH-Authentifizierung deaktivieren</td><td><strong>Hostbasierte SSH-Authentifizierung deaktivieren</strong> setzt bei Aktivierung <code>HostbasedAuthentication</code> in <code>/etc/ssh/sshd_config</code> auf <code>no</code>, sodass der Server keine Anmeldungen mehr auf Basis von Vertrauensbeziehungen zwischen Hosts akzeptiert. Dies entfernt eine Vertrauensbeziehung, ueber die ein kompromittierter Host das System sonst ohne individuelle Anmeldedaten erreichen koennte.</td></tr><tr><td>Reduce SSH Login Grace Time</td><td>SSH-Anmeldezeit verkuerzen</td><td><strong>SSH-Anmeldezeit verkuerzen</strong> setzt bei Aktivierung <code>LoginGraceTime</code> in <code>/etc/ssh/sshd_config</code> auf <code>60</code>, sodass jede Verbindung 60 Sekunden Zeit hat, die Anmeldung abzuschliessen, bevor sie getrennt wird. Ein kuerzeres Zeitfenster gibt Verbindungsplaetze schneller frei und verringert den Spielraum fuer Brute-Force- und Verbindungsflut-Versuche.</td></tr><tr><td>Ensure sshd MaxSessions is configured</td><td>Gleichzeitige SSH-Sitzungen begrenzen</td><td><strong>Gleichzeitige SSH-Sitzungen begrenzen</strong> setzt bei Aktivierung <code>MaxSessions</code> in <code>/etc/ssh/sshd_config</code> auf <code>10</code> und begrenzt damit die Zahl offener Sitzungen pro Netzwerkverbindung auf zehn. Das begrenzt den Ressourcenverbrauch je Verbindung und wie viele gemultiplexte Kanaele ein einzelner Client gleichzeitig oeffnen kann.</td></tr><tr><td>Ensure sshd MaxStartups is configured</td><td>SSH-MaxStartups zur Verbindungsdrosselung konfigurieren</td><td><strong>SSH-MaxStartups zur Verbindungsdrosselung konfigurieren</strong> setzt bei Aktivierung <code>MaxStartups</code> in <code>/etc/ssh/sshd_config</code> auf <code>10:30:60</code>; ab 10 nicht authentifizierten Verbindungen werden neue mit steigender Wahrscheinlichkeit abgewiesen, bei 60 zu 100 Prozent. Das drosselt Fluten halboffener Verbindungen und verringert die Auswirkung von Denial-of-Service-Versuchen gegen den Dienst.</td></tr><tr><td>Ensure sshd PermitUserEnvironment is disabled</td><td>Benutzerumgebungs-Konfiguration ueber SSH deaktivieren</td><td><strong>Benutzerumgebungs-Konfiguration ueber SSH deaktivieren</strong> setzt bei Aktivierung <code>PermitUserEnvironment</code> in <code>/etc/ssh/sshd_config</code> auf <code>no</code>, sodass Umgebungsvorgaben aus Benutzerdateien wie ~/.ssh/environment bei der Anmeldung ignoriert werden. Das verhindert das Einschleusen von Umgebungsvariablen, die die Sitzung veraendern koennten, und verringert das Risiko von Pfad- oder Rechte-Manipulation.</td></tr><tr><td>Ensure sshd Ciphers are configured</td><td>Nur starke SSH-Verschluesselungsverfahren erzwingen</td><td><strong>Nur starke SSH-Verschluesselungsverfahren erzwingen</strong> schreibt bei Aktivierung <code>Ciphers -3des-cbc,aes128-cbc,aes192-cbc,aes256-cbc</code> in <code>/etc/ssh/sshd_config</code>; das vorangestellte Minus entfernt die schwachen CBC-Verfahren 3des-cbc, aes128-cbc, aes192-cbc und aes256-cbc aus der aktivierten Auswahl. Das Abschalten dieser veralteten Verfahren haelt SSH-Verbindungen auf staerkeren Algorithmen und verringert die Angriffsflaeche durch bekannte Schwaechen im CBC-Modus.</td></tr><tr><td>Disable SSH X11 Forwarding</td><td>SSH X11-Weiterleitung deaktivieren</td><td><strong>SSH X11-Weiterleitung deaktivieren</strong> setzt bei Aktivierung <code>X11Forwarding</code> in <code>/etc/ssh/sshd_config</code> auf <code>no</code>, sodass der Server das grafische X11-Protokoll nicht mehr ueber SSH-Sitzungen tunnelt. Das Entfernen dieses Kanals schliesst einen Weg, ueber den grafische Anwendungen oder die lokale Anzeige missbraucht werden koennten, und verringert die SSH-Angriffsflaeche.</td></tr><tr><td>Enable DisableForwarding</td><td>Deaktiviere Forwarding</td><td><strong>Deaktiviere Forwarding</strong> setzt bei Aktivierung <code>DisableForwarding</code> in <code>/etc/ssh/sshd_config</code> auf <code>yes</code> und schaltet damit alle SSH-Weiterleitungsfunktionen einschliesslich TCP-, X11- und Agent-Weiterleitung zugleich ab. Das Sperren dieser Tunnel verhindert, dass SSH zum Weiterspringen auf andere Dienste genutzt wird, und verringert die Angriffsflaeche des Dienstes.</td></tr><tr><td>Ensure sshd GSSAPIAuthentication is disabled</td><td>Deaktiviere GSSAPIAUthentication</td><td><strong>Deaktiviere GSSAPIAUthentication</strong> setzt beim Aktivieren <code>GSSAPIAuthentication</code> in <code>/etc/ssh/sshd_config</code> auf <code>no</code>. Das Abschalten der GSSAPI-basierten Authentifizierung entfernt einen selten genutzten Anmeldeweg und verringert die Angriffsfläche von SSH.</td></tr><tr><td>Enable Ignoring of Rhosts Files in SSH</td><td>Ignorieren von Rhosts-Dateien in SSH aktivieren</td><td><strong>Ignorieren von Rhosts-Dateien in SSH aktivieren</strong> setzt beim Aktivieren <code>IgnoreRhosts</code> in <code>/etc/ssh/sshd_config</code> auf <code>yes</code>. Das Ignorieren veralteter .rhosts- und .shosts-Vertrauensdateien erzwingt eine individuelle Authentifizierung und verringert das Risiko unbefugter Zugriffe über Host-basiertes Vertrauen.</td></tr><tr><td>Ensure sshd KexAlgorithms is configured</td><td>Nur sichere SSH-Schlüsselaustausch-Algorithmen verwenden</td><td><strong>Nur sichere SSH-Schlüsselaustausch-Algorithmen verwenden</strong> setzt <code>KexAlgorithms</code> in <code>/etc/ssh/sshd_config</code> auf einen Wert mit vorangestelltem <code>-</code>, wodurch die schwachen SHA-1-Verfahren <code>diffie-hellman-group1-sha1</code>, <code>diffie-hellman-group14-sha1</code> und <code>diffie-hellman-group-exchange-sha1</code> aus der aktiven Liste entfernt werden. Das Ausschließen dieser veralteten Algorithmen härtet den Schlüsselaustausch und begrenzt die Angriffsfläche für Downgrade-Angriffe auf die ausgehandelten Sitzungsschlüssel.</td></tr><tr><td>Set an Appropriate SSH Logging Level</td><td>Angemessenes SSH-Protokollierungsniveau festlegen</td><td><strong>Angemessenes SSH-Protokollierungsniveau festlegen</strong> setzt beim Aktivieren <code>LogLevel</code> in <code>/etc/ssh/sshd_config</code> auf <code>VERBOSE</code>. Die ausführlichere Protokollierung (einschließlich der bei der Anmeldung verwendeten Schlüssel-Fingerprints) verbessert die Nachvollziehbarkeit von SSH-Zugriffen und unterstützt das Erkennen verdächtiger Aktivitäten.</td></tr><tr><td>Use Only Robust SSH MAC Algorithms</td><td>Nur robuste SSH-MAC-Algorithmen verwenden</td><td><strong>Nur robuste SSH-MAC-Algorithmen verwenden</strong> setzt <code>MACs</code> in <code>/etc/ssh/sshd_config</code> auf einen Wert mit vorangestelltem <code>-</code>, wodurch die folgenden schwachen Message Authentication Codes aus der aktiven Liste entfernt werden: <code>hmac-md5</code>, <code>hmac-md5-96</code>, <code>hmac-ripemd160</code>, <code>hmac-sha1-96</code>, <code>umac-64@openssh.com</code>, <code>hmac-md5-etm@openssh.com</code>, <code>hmac-md5-96-etm@openssh.com</code>, <code>hmac-ripemd160-etm@openssh.com</code>, <code>hmac-sha1-96-etm@openssh.com</code>, <code>umac-64-etm@openssh.com</code> und <code>umac-128-etm@openssh.com</code>. Das Ausschließen dieser schwachen Integritätsalgorithmen härtet SSH-Sitzungen gegen Fälschungs- und Downgrade-Angriffe.</td></tr><tr><td>Limit SSH Authentication Attempts</td><td>SSH-Authentifizierungsversuche begrenzen</td><td><strong>SSH-Authentifizierungsversuche begrenzen</strong> setzt beim Aktivieren <code>MaxAuthTries</code> in <code>/etc/ssh/sshd_config</code> auf <code>4</code>. Die Begrenzung der Authentifizierungsversuche pro Verbindung verlangsamt Brute-Force- und Passwort-Rateangriffe auf SSH.</td></tr><tr><td>Disallow SSH Logins with Empty Passwords</td><td>SSH-Anmeldungen mit leeren Passwörtern verbieten</td><td><strong>SSH-Anmeldungen mit leeren Passwörtern verbieten</strong> setzt beim Aktivieren <code>PermitEmptyPasswords</code> in <code>/etc/ssh/sshd_config</code> auf <code>no</code>. Das Ablehnen von Anmeldungen für Konten mit leerem Passwort schließt einen trivialen Zugangsweg und verringert das Risiko unbefugter Systemzugriffe.</td></tr><tr><td>Ensure sshd PermitRootLogin is disabled</td><td>Direkte SSH-Anmeldung als Root deaktivieren</td><td><strong>Direkte SSH-Anmeldung als Root deaktivieren</strong> setzt beim Aktivieren <code>PermitRootLogin</code> in <code>/etc/ssh/sshd_config</code> auf <code>no</code>. Das Sperren der direkten Root-Anmeldung über SSH erzwingt eine individuelle Nachvollziehbarkeit und verringert das Risiko einer direkten Kompromittierung privilegierter Zugänge.</td></tr><tr><td>Ensure sshd UsePAM is enabled</td><td>PAM für SSH-Authentifizierung aktivieren</td><td><strong>PAM für SSH-Authentifizierung aktivieren</strong> setzt beim Aktivieren <code>UsePam</code> in <code>/etc/ssh/sshd_config</code> auf <code>yes</code>. Das Einschalten von PAM (Pluggable Authentication Modules) bindet SSH an die zentralen Zugriffs- und Sitzungskontrollen des Systems und verbessert so die Durchsetzung von Kontorichtlinien.</td></tr><tr><td>Disable Anonymous FTP Access</td><td>Anonyme FTP-Zugriffe deaktivieren</td><td><strong>Anonyme FTP-Zugriffe deaktivieren</strong> setzt beim Aktivieren <code>anonymous_enable=NO</code> in <code>/etc/vsftpd.conf</code>. Das Abschalten anonymer FTP-Anmeldungen bindet alle Dateiübertragungen an authentifizierte Benutzer und verringert die Angriffsfläche des FTP-Dienstes gegenüber unidentifiziertem Zugriff.</td></tr><tr><td>Restrict FTP Users to Their Home Directories</td><td>FTP-Benutzer auf ihre Home-Verzeichnisse beschränken</td><td><strong>FTP-Benutzer auf ihre Home-Verzeichnisse beschränken</strong> setzt <code>chroot_local_user</code> in <code>/etc/vsftpd.conf</code> auf <code>YES</code>, sobald die Richtlinie aktiviert wird. Dadurch werden lokale FTP-Benutzer auf ihr eigenes Home-Verzeichnis eingegrenzt, was den Zugriff auf systemweite Dateien über FTP-Sitzungen reduziert.</td></tr><tr><td>Limit Anonymous FTP Transfer Rate</td><td>Übertragungsrate für anonyme FTP-Zugriffe begrenzen</td><td><strong>Übertragungsrate für anonyme FTP-Zugriffe begrenzen</strong> setzt <code>anon_max_rate</code> in <code>/etc/vsftpd.conf</code> auf <code>30000</code> (Bytes pro Sekunde), sobald die Richtlinie aktiviert wird. Die Begrenzung des Durchsatzes anonymer Sitzungen schränkt Ressourcenmissbrauch ein und verringert das Risiko bandbreitenbasierter Überlastungen.</td></tr><tr><td>Limit Local FTP User Transfer Rate</td><td>Übertragungsrate für lokale FTP-Benutzer begrenzen</td><td><strong>Übertragungsrate für lokale FTP-Benutzer begrenzen</strong> setzt <code>local_max_rate</code> in <code>/etc/vsftpd.conf</code> auf <code>30000</code> (Bytes pro Sekunde), sobald die Richtlinie aktiviert wird. Die Begrenzung des Durchsatzes lokaler FTP-Benutzer schränkt Ressourcenmissbrauch ein und verringert das Risiko, dass ein einzelnes Konto den Server überlastet.</td></tr><tr><td>Set FTP Idle Session Timeout</td><td>FTP-Leerlaufzeit für Sitzungen festlegen</td><td><strong>FTP-Leerlaufzeit für Sitzungen festlegen</strong> setzt <code>idle_session_timeout</code> in <code>/etc/vsftpd.conf</code> auf <code>300</code> (Sekunden), sobald die Richtlinie aktiviert wird. Das automatische Schließen inaktiver Sitzungen nach fünf Minuten gibt Serverressourcen frei und verkürzt das Zeitfenster, in dem eine unbeaufsichtigte Verbindung missbraucht werden könnte.</td></tr><tr><td>Limit FTP Sessions per IP Address</td><td>FTP-Sitzungen pro IP-Adresse begrenzen</td><td><strong>FTP-Sitzungen pro IP-Adresse begrenzen</strong> setzt <code>max_per_ip</code> in <code>/etc/vsftpd.conf</code> auf <code>50</code>, sobald die Richtlinie aktiviert wird. Die Begrenzung gleichzeitiger Verbindungen von einer Adresse schränkt die Ressourcenerschöpfung ein und verringert die Auswirkung von Verbindungsflutungsversuchen.</td></tr><tr><td>Enable Local FTP User Access</td><td>Lokalen FTP-Benutzerzugriff aktivieren</td><td><strong>Lokalen FTP-Benutzerzugriff aktivieren</strong> setzt bei Aktivierung <code>local_enable=YES</code> in <code>/etc/vsftpd.conf</code> und erlaubt damit authentifizierten lokalen Systemkonten die Nutzung von FTP. Für sich genommen aktiviert die Einstellung einen Dienst, statt ihn einzuschränken; sie ist deshalb für den gemeinsamen Einsatz mit den übrigen vsftpd-Härtungen vorgesehen: Anonyme FTP-Zugriffe deaktivieren (<code>anonymous_enable=NO</code>), FTP-Benutzer auf ihr Home-Verzeichnis beschränken (<code>chroot_local_user=YES</code>), Übertragungsrate lokaler FTP-Benutzer begrenzen (<code>local_max_rate</code>), FTP-Leerlaufzeitüberschreitung festlegen (<code>idle_session_timeout</code>) und FTP-Sitzungen pro IP-Adresse begrenzen (<code>max_per_ip</code>). In dieser Kombination ersetzt sie anonymen Zugriff durch nachvollziehbare, per chroot eingesperrte und ratenbegrenzte lokale Anmeldungen und verringert so die Angriffsfläche des FTP-Dienstes.</td></tr><tr><td>Enable ASLR for Memory Randomization</td><td>ASLR zur Speicher-Adresszufallsanordnung aktivieren</td><td><strong>ASLR zur Speicher-Adresszufallsanordnung aktivieren</strong> setzt <code>kernel.randomize_va_space</code> in <code>/etc/sysctl.conf</code> auf <code>2</code> (vollständige Zufallsanordnung), sobald die Richtlinie aktiviert wird, und lädt sysctl neu. Die zufällige Anordnung des Prozessspeichers erschwert das Vorhersagen von Speicheradressen und erhöht so die Hürde für das Ausnutzen von Speicherfehler-Schwachstellen.</td></tr><tr><td>Disable IPv4 Packet Redirects (All Interfaces)</td><td>IPv4-Paketumleitungen (alle Schnittstellen) deaktivieren</td><td><strong>IPv4-Paketumleitungen (alle Schnittstellen) deaktivieren</strong> setzt <code>net.ipv4.conf.all.send_redirects</code> in <code>/etc/sysctl.conf</code> auf <code>0</code>, sobald die Richtlinie aktiviert wird, und lädt sysctl neu. Das Unterbinden von ICMP-Umleitungen über alle Schnittstellen schränkt die Beeinflussung von Routing-Tabellen ein und verringert das Risiko, dass Datenverkehr manipulativ umgeleitet wird.</td></tr><tr><td>Disable IPv4 Packet Redirects (Default)</td><td>IPv4-Paketumleitungen (Standard) deaktivieren</td><td><strong>IPv4-Paketumleitungen (Standard) deaktivieren</strong> setzt <code>net.ipv4.conf.default.send_redirects</code> in <code>/etc/sysctl.conf</code> auf <code>0</code>, sobald die Richtlinie aktiviert wird, und lädt sysctl neu. Dieser Standard gilt für neu hinzugefügte Schnittstellen, verhindert das Senden von ICMP-Umleitungen und verringert das Risiko, dass Angreifende die Pfade des Netzwerkverkehrs verändern.</td></tr><tr><td>Disable IPv4 Packet Forwarding</td><td>IPv4-Paketweiterleitung deaktivieren</td><td><strong>IPv4-Paketweiterleitung deaktivieren</strong> setzt <code>net.ipv4.ip_forward</code> in <code>/etc/sysctl.conf</code> auf <code>0</code>, sobald die Richtlinie aktiviert wird, und lädt sysctl neu. Das Unterbinden der Paketweiterleitung zwischen Schnittstellen reduziert die Angriffsfläche auf Systemen, die nicht als Router dienen sollen.</td></tr><tr><td>Disable IPv6 Packet Forwarding</td><td>IPv6-Paketweiterleitung deaktivieren</td><td><strong>IPv6-Paketweiterleitung deaktivieren</strong> setzt bei Aktivierung <code>net.ipv6.conf.all.forwarding</code> in <code>/etc/sysctl.conf</code> auf <code>0</code> und wendet dies per sysctl an. Da der Host keine IPv6-Pakete mehr weiterleitet, wird die Angriffsfläche auf Systemen reduziert, die nicht als Router dienen sollen.</td></tr><tr><td>Refuse IPv4 Source-Routed Packets (All Interfaces)</td><td>IPv4-Quellroutenpakete (alle Schnittstellen) verweigern</td><td><strong>IPv4-Quellroutenpakete (alle Schnittstellen) verweigern</strong> setzt bei Aktivierung <code>net.ipv4.conf.all.accept_source_route</code> in <code>/etc/sysctl.conf</code> auf allen Schnittstellen auf <code>0</code> und wendet dies per sysctl an. Das Ablehnen quellroutengesteuerter Pakete schränkt die Möglichkeit ein, den Paketweg vorzugeben und Routing-Kontrollen zu umgehen.</td></tr><tr><td>Refuse IPv4 Source-Routed Packets (Default)</td><td>IPv4-Quellroutenpakete (Standard) verweigern</td><td><strong>IPv4-Quellroutenpakete (Standard) verweigern</strong> setzt bei Aktivierung <code>net.ipv4.conf.default.accept_source_route</code> in <code>/etc/sysctl.conf</code> für die Standardrichtlinie auf <code>0</code> und wendet dies per sysctl an. Das standardmäßige Ablehnen quellroutengesteuerter Pakete schränkt die Umleitung von Datenverkehr auf neu hinzugefügten Schnittstellen ein und erschwert das Umgehen von Routing-Kontrollen.</td></tr><tr><td>Refuse IPv6 Source-Routed Packets (All Interfaces)</td><td>IPv6-Quellroutenpakete (alle Schnittstellen) verweigern</td><td><strong>IPv6-Quellroutenpakete (alle Schnittstellen) verweigern</strong> setzt bei Aktivierung <code>net.ipv6.conf.all.accept_source_route</code> in <code>/etc/sysctl.conf</code> auf allen Schnittstellen auf <code>0</code> und wendet dies per sysctl an. Das Ablehnen quellroutengesteuerter IPv6-Pakete schränkt die Möglichkeit ein, den Paketweg zu steuern und Routing-Kontrollen zu umgehen.</td></tr><tr><td>Refuse IPv6 Source-Routed Packets (Default)</td><td>IPv6-Quellroutenpakete (Standard) verweigern</td><td><strong>IPv6-Quellroutenpakete (Standard) verweigern</strong> setzt bei Aktivierung <code>net.ipv6.conf.default.accept_source_route</code> in <code>/etc/sysctl.conf</code> für die Standardrichtlinie auf <code>0</code> und wendet dies per sysctl an. Das standardmäßige Ablehnen quellroutengesteuerter IPv6-Pakete schränkt die Umleitung von Datenverkehr auf neu hinzugefügten Schnittstellen ein und erschwert die Manipulation des Routings.</td></tr><tr><td>Reject IPv4 ICMP Redirects (All Interfaces)</td><td>IPv4-ICMP-Umleitungen (alle Schnittstellen) ablehnen</td><td><strong>IPv4-ICMP-Umleitungen (alle Schnittstellen) ablehnen</strong> setzt bei Aktivierung <code>net.ipv4.conf.all.accept_redirects</code> in <code>/etc/sysctl.conf</code> auf allen Schnittstellen auf <code>0</code> und wendet dies per sysctl an. Das Ignorieren von ICMP-Redirect-Nachrichten schränkt die Möglichkeit ein, die Routing-Tabelle zu verändern und Datenverkehr umzuleiten.</td></tr><tr><td>Reject IPv4 ICMP Redirects (Default)</td><td>IPv4-ICMP-Umleitungen (Standard) ablehnen</td><td><strong>IPv4-ICMP-Umleitungen (Standard) ablehnen</strong> setzt bei Aktivierung <code>net.ipv4.conf.default.accept_redirects</code> in <code>/etc/sysctl.conf</code> für die Standardrichtlinie auf <code>0</code> und wendet dies per sysctl an. Das standardmäßige Ignorieren von ICMP-Umleitungen schränkt die Manipulation der Routing-Tabelle auf neu hinzugefügten Schnittstellen ein.</td></tr><tr><td>Reject IPv6 ICMP Redirects (All Interfaces)</td><td>IPv6-ICMP-Umleitungen (alle Schnittstellen) ablehnen</td><td><strong>IPv6-ICMP-Umleitungen (alle Schnittstellen) ablehnen</strong> setzt bei Aktivierung <code>net.ipv6.conf.all.accept_redirects</code> in <code>/etc/sysctl.conf</code> auf allen Schnittstellen auf <code>0</code> und wendet dies per sysctl an. Das Ignorieren von IPv6-ICMP-Redirect-Nachrichten schränkt die Möglichkeit ein, die Routing-Tabelle zu verändern und Datenverkehr umzuleiten.</td></tr><tr><td>Reject IPv6 ICMP Redirects (Default)</td><td>IPv6-ICMP-Umleitungen (Standard) ablehnen</td><td><strong>IPv6-ICMP-Umleitungen (Standard) ablehnen</strong> setzt bei Aktivierung <code>net.ipv6.conf.default.accept_redirects</code> in <code>/etc/sysctl.conf</code> für die Standardrichtlinie auf <code>0</code> und wendet dies per sysctl an. Das standardmäßige Ignorieren von IPv6-ICMP-Umleitungen schränkt die Manipulation der Routing-Tabelle auf neu hinzugefügten Schnittstellen ein.</td></tr><tr><td>Disallow Secure IPv4 ICMP Redirects (Default)</td><td>Sichere IPv4-ICMP-Umleitungen (Standard) ablehnen</td><td><strong>Sichere IPv4-ICMP-Umleitungen (Standard) ablehnen</strong> setzt bei Aktivierung <code>net.ipv4.conf.default.secure_redirects</code> in <code>/etc/sysctl.conf</code> für die Standardrichtlinie auf <code>0</code> und wendet dies per sysctl an. So werden ICMP-Umleitungen auch von konfigurierten Gateways nicht mehr akzeptiert, was die Manipulation des Routings bei einem kompromittierten vertrauenswürdigen Gateway reduziert.</td></tr><tr><td>Disallow Secure IPv4 ICMP Redirects (All Interfaces)</td><td>Sichere IPv4-ICMP-Umleitungen (alle Schnittstellen) ablehnen</td><td><strong>Sichere IPv4-ICMP-Umleitungen (alle Schnittstellen) ablehnen</strong> setzt bei Aktivierung <code>net.ipv4.conf.all.secure_redirects</code> in <code>/etc/sysctl.conf</code> auf <code>0</code>. Da ICMP-Redirects auch von eingetragenen Gateways ignoriert werden, verringert dies die Angriffsfläche für Routenmanipulation: Ein kompromittiertes Gateway kann den Datenverkehr des Systems nicht mehr umleiten.</td></tr><tr><td>Enable Logging of Suspicious IPv4 Packets (All Interfaces)</td><td>Protokollierung verdächtiger IPv4-Pakete (alle Schnittstellen) aktivieren</td><td><strong>Protokollierung verdächtiger IPv4-Pakete (alle Schnittstellen) aktivieren</strong> setzt bei Aktivierung <code>net.ipv4.conf.all.log_martians</code> in <code>/etc/sysctl.conf</code> auf <code>1</code>. Das Protokollieren von Paketen mit unmöglichen (Martian-)Quelladressen auf allen Schnittstellen verbessert die Erkennung von Spoofing und Fehlrouting und unterstützt die spätere Untersuchung.</td></tr><tr><td>Enable Logging of Suspicious IPv4 Packets (Default)</td><td>Protokollierung verdächtiger IPv4-Pakete (Standard) aktivieren</td><td><strong>Protokollierung verdächtiger IPv4-Pakete (Standard) aktivieren</strong> setzt bei Aktivierung <code>net.ipv4.conf.default.log_martians</code> in <code>/etc/sysctl.conf</code> auf <code>1</code>. Da die Martian-Protokollierung als Standard für neu hinzukommende Schnittstellen gilt, verbessert dies die Erkennung von gefälschtem oder fehlgeleitetem Datenverkehr und unterstützt die spätere Untersuchung.</td></tr><tr><td>Ignore Broadcast ICMP Echo Requests</td><td>Broadcast-ICMP-Echo-Anfragen ignorieren</td><td><strong>Broadcast-ICMP-Echo-Anfragen ignorieren</strong> setzt bei Aktivierung <code>net.ipv4.icmp_echo_ignore_broadcasts</code> in <code>/etc/sysctl.conf</code> auf <code>1</code>. Da ICMP-Echo-Anfragen an Broadcast-Adressen nicht mehr beantwortet werden, wird die Nutzung des Systems als Verstärker in Reflection-Angriffen wie Smurf eingeschränkt.</td></tr><tr><td>Ignore Bogus ICMP Error Responses</td><td>Fehlerhafte ICMP-Fehlermeldungen ignorieren</td><td><strong>Fehlerhafte ICMP-Fehlermeldungen ignorieren</strong> setzt bei Aktivierung <code>net.ipv4.icmp_ignore_bogus_error_responses</code> in <code>/etc/sysctl.conf</code> auf <code>1</code>. Das Verwerfen ungültiger ICMP-Fehlermeldungen verhindert ein Volllaufen der Protokolle durch fehlkonfigurierte oder bösartige Router und hält die Protokolldaten für die Erkennung besser auswertbar.</td></tr><tr><td>Enable IPv4 Reverse Path Filtering (All Interfaces)</td><td>IPv4-Reverse-Path-Filter (alle Schnittstellen) aktivieren</td><td><strong>IPv4-Reverse-Path-Filter (alle Schnittstellen) aktivieren</strong> setzt bei Aktivierung <code>net.ipv4.conf.all.rp_filter</code> in <code>/etc/sysctl.conf</code> auf <code>1</code> (strikter Modus). Die Prüfung, ob Pakete auf der zur Quelladresse passenden Schnittstelle eintreffen, hilft, gefälschte Quelladressen zu erkennen und zu verwerfen.</td></tr><tr><td>Enable IPv4 Reverse Path Filtering (Default)</td><td>IPv4-Reverse-Path-Filter (Standard) aktivieren</td><td><strong>IPv4-Reverse-Path-Filter (Standard) aktivieren</strong> setzt bei Aktivierung <code>net.ipv4.conf.default.rp_filter</code> in <code>/etc/sysctl.conf</code> auf <code>1</code> (strikter Modus). Da der Reverse-Path-Filter als Standard für neu hinzukommende Schnittstellen gilt, hilft dies, Pakete mit gefälschten Quelladressen zu erkennen und zu verwerfen.</td></tr><tr><td>Enable TCP SYN Cookies</td><td>TCP-SYN-Cookies aktivieren</td><td><strong>TCP-SYN-Cookies aktivieren</strong> setzt bei Aktivierung <code>net.ipv4.tcp_syncookies</code> in <code>/etc/sysctl.conf</code> auf <code>1</code>. Da Verbindungsanfragen bei vollem Backlog per SYN-Cookies validiert werden, bleibt das System während SYN-Flood-Angriffen eher erreichbar.</td></tr><tr><td>Reject IPv6 Router Advertisements (All Interfaces)</td><td>IPv6-Router-Ankündigungen (alle Interfaces) ablehnen</td><td><strong>IPv6-Router-Ankündigungen (alle Interfaces) ablehnen</strong> setzt bei Aktivierung <code>net.ipv6.conf.all.accept_ra</code> in <code>/etc/sysctl.conf</code> auf <code>0</code>. Da auf keiner Schnittstelle IPv6-Router-Ankündigungen angenommen werden, verringert dies die Angriffsfläche für das Einschleusen bösartiger Routen oder Standard-Gateways.</td></tr><tr><td>Reject IPv6 Router Advertisements (Default)</td><td>IPv6-Router-Ankündigungen (Standard) ablehnen</td><td><strong>IPv6-Router-Ankündigungen (Standard) ablehnen</strong> setzt bei Aktivierung <code>net.ipv6.conf.default.accept_ra</code> in <code>/etc/sysctl.conf</code> auf <code>0</code>. Da IPv6-Router-Ankündigungen als Standard für neu hinzukommende Schnittstellen abgelehnt werden, sinkt das Risiko, dass kompromittierte Knoten bösartige Routen oder Standard-Gateways einschleusen.</td></tr><tr><td>Enable ExecShield for Enhanced Memory Protection</td><td>ExecShield für erweiterten Speicherschutz aktivieren</td><td><strong>ExecShield für erweiterten Speicherschutz aktivieren</strong> setzt <code>kernel.exec-shield</code> in <code>/etc/sysctl.conf</code> auf <code>2</code>, sobald die Regel angewendet wird. Dadurch wird die Ausführung in als nicht ausführbar markierten Speicherbereichen eingeschränkt, was die Ausnutzung von Buffer-Overflows erschwert.</td></tr><tr><td>Restrict System Request (SysRq) Key Functions</td><td>System-Request-(SysRq)-Funktionen einschränken</td><td><strong>System-Request-(SysRq)-Funktionen einschränken</strong> setzt <code>kernel.sysrq</code> in <code>/etc/sysctl.conf</code> auf <code>0</code>, sobald die Regel angewendet wird, und deaktiviert damit die Magic-SysRq-Taste. Das entfernt einen Zugang zu systemnaher Steuerung (etwa erzwungene Neustarts oder Speicherausgaben) und verringert so die Angriffsfläche.</td></tr><tr><td>Comply with RFC1337 to Prevent TIME-WAIT Assassination</td><td>Mit RFC1337 konform, um TIME-WAIT-Angriffe zu verhindern</td><td><strong>Mit RFC1337 konform, um TIME-WAIT-Angriffe zu verhindern</strong> setzt <code>net.ipv4.tcp_rfc1337</code> in <code>/etc/sysctl.conf</code> auf <code>1</code>, sobald die Regel angewendet wird. Der Kernel verwirft dann RST-Pakete für Sockets im TIME-WAIT-Zustand, was die Anfälligkeit für TIME-WAIT-Assassination-Angriffe auf TCP-Verbindungen verringert.</td></tr><tr><td>Shorten TCP Keepalive Interval</td><td>TCP-Keepalive-Intervall verkürzen</td><td><strong>TCP-Keepalive-Intervall verkürzen</strong> setzt <code>net.ipv4.tcp_keepalive_time</code> in <code>/etc/sysctl.conf</code> auf <code>1800</code> Sekunden, sobald die Regel angewendet wird (Standard ist 7200). Da tote Verbindungen früher erkannt werden, werden zugehörige Ressourcen schneller freigegeben und das Zeitfenster für den Missbrauch verwaister Sockets verkleinert.</td></tr></tbody></table>

***