Zusammenfassung

Anforderungen BSI

1. Microsofts Cloud-Dienst OneDrive deaktivieren
2. Nach einem funktionalen Update des Betriebssystems muss überprüft werden, ob alle Anforderungen aus dem IT-Grundschutz und den internen Vorgaben weiterhin erfüllt werden.
3. Datenschutzoptionen, Spracherkennung, Diagnosedaten, Aktivitätsverlauf und Positionserkennung sollten deaktiviert werden.
   
4. Sophos als Computer-Viren-Prüfprogramm installieren
5. Online-Konten zur Anmeldung von Microsoft-Konto oder Konten anderer Anbieter von Identitätsmanagementsystemen sind nicht erlaubt.
   
6. Alle nicht benötigten Anwendungen und Komponenten sollten deaktiviert werden.
   
7. Die Datenausführungsverhinderung für alle Programme und Dienste (Opt-Out Modus) aktivieren, um zu verhindern, dass Programmcodes auf eine nicht erlaubte Weise ausgeführt werden.
8. [Enterprise Version] Virtual Secure Mode (VSM) und Credential Guard aktivieren
9. Schreibrechte für den Benutzer auf bestimmten Bereich einschränken
10. kein Schreibrecht auf Betriebssystem Ordner für Benutzer
11. Die SmartScreen-Funktion deaktivieren
    
12. Den Sprachassistenten Cortana deaktivieren
13. Den Windows Store deaktivieren
14. Speicherung von Kennwörtern, Zertifikaten und anderen Anmeldeinformationen zur automatischen Anmeldung auf Webseiten und IT-Systemen ist nicht erlaubt.
    
15. Der aktuell angemeldete Benutzer sollte dem Aufbau einer Fernwartungssitzung immer explizit zu stimmen müssen.
    
16. Bei Verwendung des Fernzugriffes über Remote Desktop (RDP) muss die Ressourcenumleitung und die Druckerumleitung angepasst werden
17. Alle Administrator-Konten sollten dokumentiert und in regelmäßigen Abständen eingeschätzt werden.
18. Windows Powershell: Ausführen von Skripten sperren

Umsetzung

1. Systemsteuerung → System und Sicherheit → Verwaltung → Gruppenrichtlinienverwaltung → Computerkonfiguration → Administrative Vorlagen → Windows-Komponenten → OneDrive
2. In der Standardeinstellung erhält man Sicherheitsupdates und Funktionalupdates, die von Microsoft verteilt werden. 
   Man hat zusätzlich die Möglichkeit, Funktionalupdates zeitlich zu verschieben.
   Einstellungen → Updates und Sicherheit → Windows Update → Erweiterte Optionen → [Featureupdates] zurückstellen
3.  Windows 10 Einstellungen → Datenschutz
4. Als Virenschutz sollte Sophos verwendet werden. Das Installationspaket erhält man vom Anschlussverantwortlichen. Alternativ kann ein Standard-Installationspaket über die Webseite der Stabsstelle Sicherheit Informationstechnischer Systeme (ST-SIS) bezogen werden.
5. Systemsteuerung → Programme → Programme und Features
6. Systemsteuerung → System und Sicherheit → System → Erweiterte Systemeinstellungen → Erweitert → Leistung Einstellungen → Datenausführungsverhinderung → für alle Programme und Dienste Einschalten
7. Systemsteuerung → System und Sicherheit → Verwaltung → Gruppenrichtlinienverwaltung → Computerkonfiguration → Administrative Vorlagen → System → Device Guard → Virtualisierungsbasierte Sicherheit aktivieren
   
8. Rechtsklick → Eigenschaften → Sicherheit → Bearbeiten
9. Rechtsklick → Eigenschaften → Sicherheit → Bearbeiten
10. Systemsteuerung → System und Sicherheit → Verwaltung → Gruppenrichtlinienverwaltung → Computerkonfiguration → Administrative Vorlagen → Windows-Komponenten → Datei-Explorer → Windows Defender SmartScreen konfigurieren
    
11. Systemsteuerung → System und Sicherheit → Verwaltung → Gruppenrichtlinienverwaltung → Computerkonfiguration → Administrative Vorlagen → Windows-Komponenten → Suche → Cortana zulassen
    
12. Systemsteuerung → System und Sicherheit → Verwaltung → Gruppenrichtlinienverwaltung → Computerkonfiguration → Administrative Vorlagen → Windows-Komponenten → Store → Store-Anwendung deaktivieren
    
13. Chrome: anpassen und einstellen → Einstellungen → AutoFill → Passwörter / Zahlungsmethoden / AutoFill-Einstellungen
14. Systemsteuerung → System und Sicherheit → Verwaltung → Gruppenrichtlinienverwaltung → Computerkonfiguration → Administrative Vorlagen → Windows-Komponenten → Remotedesktopdienste → Remotedesktopsitzungs-Host → Geräte- und Ressourcenumleitung / Druckerumleitung
    

Checkliste