Bundesamt für Sicherheit in der Informationstechnik

B 3.213 Client unter Windows 8

Beschreibung

Mit Windows 8 hat Microsoft ein Client-Betriebssystem auf den Markt gebracht, bei dem einerseits die mit Windows 7 eingeführten Techniken und Komponenten fortentwickelt wurden, das andererseits aber insbesondere auf den Einsatz auf portablen Geräte ohne Hardware-Tastatur ausgerichtet ist, die bedient werden, indem der Bildschirm direkt berührt und damit als Eingabegerät verwendet wird.

Dies erfordert insbesondere ein neues Bedienkonzept für Anwendungen. Microsoft hat dazu neben den klassischen Desktop-Anwendungen auch eine Klasse mobiler Anwendungen zur Nutzung unter Windows 8 vorgesehen, die sogenannten "Apps". App s sind konsequent auf die Steuerung durch Berührung ausgelegt. Zusätzlich können sie als "Kachel" auf dem Bildschirm Anzeigefunktionen wahrnehmen. Einige Anwendungen, allen voran der mit Windows 8 ausgelieferte Internet-Explorer, stehen entsprechend in zwei Varianten für Windows 8 zur Verfügung. Desktop-Anwendung und App können dabei auch parallel auf demselben System installiert sein und wechselseitig genutzt werden. Viele andere Anwendungen sind allerdings nur in der Desktop-Variante oder als App verfügbar.

Seit der Markteinführung von Windows 8 hat Microsoft einige Verbesserungen vorgenommen und in das Betriebssystem integriert, das damit die Versionsnummer 8.1 erhält. Dieser Baustein geht davon aus, dass eine Windows-8.1-Version im Einsatz ist. Soweit für die beschriebenen Sicherheitsmaßnahmen Abweichungen für Windows 8 bestehen, sind diese in den Texten ausgewiesen.

Die Struktur des Bausteins orientiert sich an der Struktur des Bausteins B 3.212 Client unter Windows 7 , so dass bei einem Migrationsprojekt von Windows 7 auf Windows 8 eine leichte Anpassung der vorhandenen Sicherheitsrichtlinien möglich ist. Besondere Aufmerksamkeit muss in diesem Fall auf die integrierte Unterstützung des Trusted Platform Modules ( TPM ) sowie die Integration von Cloud-Funktionen in das Betriebssystem gerichtet werden, da für diese Bereiche in der Regel neue Sicherheitsabwägungen getroffen und dokumentiert werden müssen. Gleiches gilt auch für den Einsatz von App s in der Institution sowie für die erweiterten Schutzmechanismen für Anwendungen. Hierzu finden sich Hinweise in den Hilfsmitteln zu diesem Baustein.

Gefährdungslage

Die folgenden Gefährdungen sind beim Einsatz eines Client-Systems mit dem Betriebssystem Windows 8 relevant:

Höhere Gewalt

G 1.2Ausfall von IT-Systemen

Organisatorische Mängel

G 2.7Unerlaubte Ausübung von Rechten
G 2.9Mangelhafte Anpassung an Veränderungen beim IT-Einsatz
G 2.19Unzureichendes Schlüsselmanagement bei Verschlüsselung
G 2.62Ungeeigneter Umgang mit Sicherheitsvorfällen
G 2.202Lock-in-Effekt
G 2.203Integrierte Cloud-Funktionalität
G 2.204TPM-Nutzung

Menschliche Fehlhandlungen

G 3.2Fahrlässige Zerstörung von Gerät oder Daten
G 3.3Nichtbeachtung von Sicherheitsmaßnahmen
G 3.6Gefährdung durch Reinigungs- oder Fremdpersonal
G 3.8Fehlerhafte Nutzung von IT-Systemen
G 3.9Fehlerhafte Administration von IT-Systemen
G 3.22Fehlerhafte Änderung der Registrierung
G 3.48Fehlerhafte Konfiguration von Windows- /basierten IT-Systemen
G 3.97Vertraulichkeitsverletzung trotz BitLocker-Laufwerksverschlüsselung ab Windows Vista
G 3.98Verlust von BitLocker-verschlüsselten Daten
G 3.112Unautorisierte oder falsche Nutzung von Images bei der Nutzung von Windows DISM

Technisches Versagen

G 4.1Ausfall der Stromversorgung
G 4.7Defekte Datenträger
G 4.22Software-Schwachstellen oder -Fehler
G 4.23Automatische Erkennung von Wechseldatenträgern
G 4.54Verlust des Schutzes durch das verschlüsselnde Dateisystem EFS
G 4.55Datenverlust beim Zurücksetzen des Kennworts ab Windows Server 2003 und XP
G 4.73Beeinträchtigung von Software-Funktionen durch Kompatibilitätsprobleme von Windows-Versionen

Vorsätzliche Handlungen

G 5.2Manipulation an Informationen oder Software
G 5.4Diebstahl
G 5.9Unberechtigte IT-Nutzung
G 5.18Systematisches Ausprobieren von Passwörtern
G 5.23Schadprogramme
G 5.52Missbrauch von Administratorrechten bei Windows-Betriebssystemen
G 5.71Vertraulichkeitsverlust schützenswerter Informationen
G 5.79Unberechtigtes Erlangen von Administratorrechten unter Windows-Systemen
G 5.83Kompromittierung kryptographischer Schlüssel
G 5.85Integritätsverlust schützenswerter Informationen

Maßnahmenempfehlungen

Um den betrachteten Informationsverbund abzusichern, müssen zusätzlich zu diesem Baustein noch weitere Bausteine umgesetzt werden, gemäß den Ergebnissen der Modellierung nach IT -Grundschutz.

Windows 8 stellt bereits einige Sicherheitsmechanismen in der Grundkonfiguration bereit. Andere Sicherheitsmechanismen müssen durch die Verantwortlichen erst eingerichtet werden. Die zentrale Konfiguration und Durchsetzung von technischen Sicherheitsmaßnahmen kann durch ein Active Directory ( AD ) unterstützt werden.

Wo die zentrale Konfigurationsmöglichkeit mittels AD nicht gegeben ist, müssen technische Maßnahmen dezentral auf den einzelnen Clients über lokale Sicherheitsrichtlinien eingerichtet werden. Dazu können Konfigurationsdateien zentral erstellt und mittels geeigneter Mechanismen auf die Clients übertragen und dort installiert werden.

Für die sichere Konfiguration von Clients unter Windows 8 sind eine Reihe von Maßnahmen erforderlich, beginnend mit der Konzeption über die Umsetzung (Installation/Konfiguration) bis zum Betrieb. Die Schritte, die dabei zu durchlaufen sind, sowie die Maßnahmen, die in den jeweiligen Schritten beachtet werden sollten, sind im Folgenden aufgeführt.

Planung und Konzeption

Der sichere Einsatz von Windows-Clients setzt eine sorgfältige Planung voraus. Die dabei zu beachtenden Aspekte sind in der Maßnahme M 2.324 Einführung von Windows auf Clients ab Windows XP planen beschrieben. Ist ein mobiler Einsatz vorgesehen, sind weitere Aspekte zu beachten (M 2.442 Einsatz von Client-Betriebssytemen ab Windows Vista auf mobilen Systemen ).

Zunächst ist die richtige Windows-Version für das Einsatzumfeld auszuwählen (M 2.440 Geeignete Auswahl einer Windows-Version für Clients ab Windows Vista ). Im betrieblichen Umfeld werden üblicherweise Volumenlizenzverträge für die Beschaffung von Windows-Lizenzen genutzt. Für die damit verbundene Aktivierung müssen die richtigen Voraussetzungen geschaffen werden, um die Verfügbarkeit der Systeme sicherzustellen (M 4.336 Aktivierung von Windows-Systemen ab Vista bzw. Server 2008 aus einem Volumenlizenzvertrag ).

In der Planungsphase müssen auch die Sicherheitsvorgaben für den Einsatz von Windows 8 erarbeitet und in Form von Sicherheitsrichtlinien dokumentiert werden (M 2.325 Planung der Sicherheitsrichtlinien für Windows-Clients ab Windows XP Planung der Sicherheitsrichtlinien für Windows-Clients ab Windows XP). Die Windows-eigenen Schutzfunktionen sollten genutzt werden, insbesondere die Benutzerkontensteuerung (M 4.340 Einsatz der Windows-Benutzerkontensteuerung UAC ab Windows Vista ) und der Integritätsschutz (M 4.341 Integritätsschutz ab Windows Vista ). Vorhandene Funktionen zur lokalen Speicherung von Passwörtern sollten nach Möglichkeit im betrieblichen Umfeld nicht genutzt werden (M 4.425 Verwendung der Tresor- und Cardspace-Funktion auf Clients ab Windows ).

In einer Windows-Domäne sollten die Sicherheitsvorgaben soweit wie möglich zentral über Gruppenrichtlinien konfiguriert und an die Clients ausgerollt werden (M 2.326 Planung der Gruppenrichtlinien für Clients ab Windows XP und M 4.245 Basiseinstellungen für Windows Group Policy Objects ).

Werden Clients von einer früheren Windows-Version migriert, so ist vorab die Kompatibilität der eingesetzten Anwendungen zu prüfen (M 2.441 Kompatibilitätsprüfung von Software gegenüber Windows für Clients ab Windows Vista ). Besonderheiten von Windows beim Umgang mit Legacy-Software sind dabei zu beachten (M 4.338 Einsatz von File und Registry Virtualization bei Clients ab Windows Vista ).

Bei erhöhtem Schutzbedarf empfiehlt sich der Einsatz von Verschlüsselungsmechanismen auf dem Client. Windows 8 bringt hierfür EFS (M 4.147 Sichere Nutzung von EFS unter Windows ) und BitLocker (M 4.337 Einsatz von BitLocker Drive Encryption ) mit. Bestehen besondere Anforderungen an die Nachvollziehbarkeit der Informationsverarbeitung auf dem Client-System, sollte der Einsatz von Zeitstempeln für den Dateizugriff aktiviert werden (M 4.342 Aktivierung des Last Access Zeitstempels ab Windows Vista ).

Beschaffung

Im Zuge der Beschaffung von Windows-8-Systemen sind einige Fragen zu klären, unter anderem zu den eingesetzten Editionen und der Auswahl einer 32- oder 64-Bit-Variante. Hilfestellung hierzu gibt M 2.559 Beschaffung von Windows 8 .

Umsetzung

Wenn Windows-Clients aufgesetzt werden, müssen verschiedene Schutz-Aspekte berücksichtigt werden (M 4.248 Sichere Installation von Windows Client-Betriebssystemen ). Die Manipulation von Client-Systemen sollte erschwert werden, indem der Boot-Vorgang geeignet abgesichert wird (M 4.49 Absicherung des Boot-Vorgangs für ein Windows-System ), alle eingerichteten Benutzerkonten durch Passwörter geeigneter Stärke geschützt werden (M 4.48 Passwortschutz unter Windows-Systemen ) und gegebenenfalls die Benutzerumgebung geeignet eingeschränkt wird (M 2.32 Einrichtung einer eingeschränkten Benutzerumgebung ).

Weitere wichtige Schutzmaßnahmen bestehen darin, die Registry abzusichern (M 4.75 Schutz der Registry unter Windows-Systemen ) und die PowerShell einzuschränken (M 4.421 Absicherung der Windows PowerShell ) sowie die Kommunikation mit der Domäne zu schützen (M 5.89 Konfiguration des sicheren Kanals unter Windows ). Soweit ältere Software eingesetzt wird, sind gegebenenfalls ergänzende Schutzmaßnahmen erforderlich (M 4.424 Sicherer Einsatz älterer Software ab Windows 7 ).

Um die verarbeiteten Daten vor unbefugtem Zugriff zu schützen, müssen die Datei- und Freigabeberechtigungen restriktiv vergeben werden (M 4.149 Datei- und Freigabeberechtigungen unter Windows ). Der Einsatz von Heimnetzgruppen sollte dabei unterbunden oder zumindest geregelt werden (M 4.423 Verwendung der Heimnetzgruppen-Funktion ab Windows 7 ).

Insbesondere die in Windows 8 integrierten Cloud-Funktionen bergen die Gefahr eines ungewollten Abflusses von Daten über die Systembenutzung. Entsprechende Gegenmaßnahmen finden sich in M 4.472 Datensparsamkeit bei Windows 8 .

Bei erhöhtem Schutzbedarf kann die Kommunikation mit IPSec abgesichert werden (M 5.90 Einsatz von IPSec unter Windows ). Mit AppLocker kann die Ausführung von Anwendungen kontrolliert und so ein guter Schutz gegen Schadsoftware und Manipulationen erzielt werden (M 4.419 Anwendungssteuerung ab Windows 7 mit AppLocker ).

Die Benutzer der Client-Systeme müssen zu sicherheitsrelevanten Aspekten des Betriebssystems geeignet geschult werden (M 3.28 Schulung zu Sicherheitsmechanismen für Benutzer bei Windows Client-Betriebssystemen Schulung zu Sicherheitsmechanismen für Benutzer bei Windows-Client-Betriebssystemen).

Betrieb

Maßnahmen für den sicheren Betrieb von Windows-8-Clients sind in der Maßnahme M 4.146 Sicherer Betrieb von Windows Client-Betriebssystemen zusammengestellt. Angesichts immer wieder neuer veröffentlichter Sicherheitslücken ist es besonders wichtig, das Systems fortlaufend zu aktualisieren (M 4.249 Windows Client-Systeme aktuell halten ).

Weitere betriebliche Aufgaben umfassen insbesondere, die Clients zu überwachen (M 4.344 Überwachung von Windows-Systemen ab Windows Vista und Windows Server 2008 ) und ihre Sicherheit regelmäßig zu überprüfen (M 2.330 Regelmäßige Prüfung der Sicherheitsrichtlinien und ihrer Umsetzung bei Windows-Clients ab Windows XP ).

Daten können auch dadurch ungewollt in die Hände Dritter gelangen, dass sie nicht vollständig gelöscht werden, wenn entsprechende Gegenmaßnahmen fehlen (M 4.56 Sicheres Löschen unter Windows-Betriebssystemen ). Um Daten mit Hilfe von Wechselmedien sicher auszutauschen, kann zusätzlich die Verschlüsselungslösung BitLocker To Go eingesetzt werden (M 4.422 Nutzung von BitLocker To Go ab Windows 7 ).

Notfallvorsorge

Ein Ausfall in Client-Systemen ist in vielen Fällen unkritisch, da in der Institution ausreichend Ersatzgeräte vorhanden sind. Wenn jedoch besondere Hardware oder Software benötigt wird oder die Clients mobil eingesetzt werden, kann sich die Notfallvorsorge aufwändiger gestalten. Daher sollten auch Client-Systeme in einer Notfallplanung geeignet berücksichtigt werden (M 6.76 Erstellen eines Notfallplans für den Ausfall von Windows-Systemen ). Eine zentrale Maßnahme ist dabei vor allem, die clientseitigen Programme und Daten regelmäßig zu sichern (M 6.78 Datensicherung unter Windows Clients ).

Planung und Konzeption

M 2.324(A)Einführung von Windows auf Clients ab Windows XP planen
M 2.325(A)Planung der Sicherheitsrichtlinien für Windows-Clients ab Windows XP
M 2.326(A)Planung der Gruppenrichtlinien für Clients ab Windows XP
M 2.327(B)Sicherheit beim Fernzugriff auf Clients ab Windows XP
M 2.440(A)Geeignete Auswahl einer Windows-Version für Clients ab Windows Vista
M 2.441(A)Kompatibilitätsprüfung von Software gegenüber Windows für Clients ab Windows Vista
M 2.442(B)Einsatz von Client-Betriebssytemen ab Windows Vista auf mobilen Systemen
M 4.147(Z)Sichere Nutzung von EFS unter Windows
M 4.243(Z)Verwaltungswerkzeuge unter Windows Client-Betriebssystemen
M 4.244(A)Sichere Systemkonfiguration von Windows Client-Betriebssystemen
M 4.245(A)Basiseinstellungen für Windows Group Policy Objects
M 4.246(A)Konfiguration der Systemdienste auf Clients ab Windows XP
M 4.247(A)Restriktive Berechtigungsvergabe bei Client-Betriebssystemen ab Windows Vista
M 4.336(A)Aktivierung von Windows-Systemen ab Vista bzw. Server 2008 aus einem Volumenlizenzvertrag
M 4.337(Z)Einsatz von BitLocker Drive Encryption
M 4.338(A)Einsatz von File und Registry Virtualization bei Clients ab Windows Vista
M 4.339(B)Verhindern unautorisierter Nutzung von Wechselmedien unter Windows-Clients ab Windows Vista
M 4.340(A)Einsatz der Windows-Benutzerkontensteuerung UAC ab Windows Vista
M 4.341(A)Integritätsschutz ab Windows Vista
M 4.342(Z)Aktivierung des Last Access Zeitstempels ab Windows Vista
M 4.425(B)Verwendung der Tresor- und Cardspace-Funktion auf Clients ab Windows
M 4.470(W)Grundlagenwissen zu Windows 8
M 4.471(W)Übersicht über neue, sicherheitsrelevante Funktionen in Windows 8
M 5.123(B)Absicherung der Netzkommunikation unter Windows

Beschaffung

M 2.559(A)Beschaffung von Windows 8

Umsetzung

M 2.32(Z)Einrichtung einer eingeschränkten Benutzerumgebung
M 3.28(A)Schulung zu Sicherheitsmechanismen für Benutzer bei Windows Client-Betriebssystemen
M 4.48(A)Passwortschutz unter Windows-Systemen
M 4.49(A)Absicherung des Boot-Vorgangs für ein Windows-System
M 4.75(A)Schutz der Registry unter Windows-Systemen
M 4.149(A)Datei- und Freigabeberechtigungen unter Windows
M 4.248(A)Sichere Installation von Windows Client-Betriebssystemen
M 4.419(Z)Anwendungssteuerung ab Windows 7 mit AppLocker
M 4.421(C)Absicherung der Windows PowerShell
M 4.423(B)Verwendung der Heimnetzgruppen-Funktion ab Windows 7
M 4.424(Z)Sicherer Einsatz älterer Software ab Windows 7
M 4.472(Z)Datensparsamkeit bei Windows 8
M 5.89(A)Konfiguration des sicheren Kanals unter Windows
M 5.90(Z)Einsatz von IPSec unter Windows

Betrieb

M 2.330(B)Regelmäßige Prüfung der Sicherheitsrichtlinien und ihrer Umsetzung bei Windows-Clients ab Windows XP
M 4.56(C)Sicheres Löschen unter Windows-Betriebssystemen
M 4.146(A)Sicherer Betrieb von Windows Client-Betriebssystemen
M 4.249(A)Windows Client-Systeme aktuell halten
M 4.343(Z)Reaktivierung von Windows-Systemen ab Vista bzw. Server 2008 aus einem Volumenlizenzvertrag
M 4.344(B)Überwachung von Windows-Systemen ab Windows Vista und Windows Server 2008
M 4.420(A)Sicherer Einsatz des Wartungscenters unter Windows 7
M 4.422(Z)Nutzung von BitLocker To Go ab Windows 7

Notfallvorsorge

M 6.76(C)Erstellen eines Notfallplans für den Ausfall von Windows-Systemen
M 6.78(A)Datensicherung unter Windows Clients

Stand: 15. EL Stand 2016