Sicherheit von ICT-Benutzerendgeräten gewährleisten

Endgeräte sind das häufigste Einfallstor für Angriffe: Ein Laptop bleibt im Zug liegen, jemand öffnet einen infizierten Anhang, ein Update wird seit Monaten verschoben. In diesem Modul baust du Schutz in mehreren Schichten auf: Verschlüsselung mit BitLocker, aktueller Virenschutz mit Defender, regelmässige Updates, Anmeldung mit MFA, keine lokalen Adminrechte für Benutzende und klare Regeln für mobile Geräte. Du setzt diese Massnahmen zentral mit Intune um, prüfst ihren Status und reagierst richtig, wenn trotzdem etwas passiert. Am Ende kannst du den Sicherheitsstand einer Geräteflotte beurteilen und konkrete Verbesserungen umsetzen.

Das sind die Fähigkeiten, die am Ende des Moduls sitzen sollten. Jedes Ziel mit einem Beispiel aus dem Lehrbetrieb.

1. 1

   Bedrohungen für Endgeräte erkennen und den Schutzbedarf einschätzen

   Kompetenz A

   Du überlegst, was auf einem Gerät gespeichert ist, wo es eingesetzt wird und was im schlimmsten Fall passieren kann. Daraus leitest du ab, welche Massnahmen Pflicht sind und welche optional.

   Situation

   Eine Spitex-Organisation im Emmental gibt 30 Pflegenden Tablets mit Zugriff auf Patientendossiers. Die Geräte sind ganztags unterwegs.

   Deine Aufgabe

   Beurteile die Risiken und lege den Schutzbedarf fest.

   Gutes Ergebnis

   Hohes Risiko durch Verlust und Diebstahl, besonders schützenswerte Gesundheitsdaten nach revDSG. Pflicht: Verschlüsselung, PIN mit 6 Stellen, automatische Sperre nach 2 Minuten, Fernlöschung, nur verwaltete Apps. Kamera erlaubt, aber Fotos nur in der Dokumentations-App.

   SchutzbedarfBedrohungSchwachstelleRisikobesonders schützenswerte Personendaten
2. 2

   Endgeräte mit Verschlüsselung, Firewall und eingeschränkten Rechten härten

   Kompetenz B

   Du schaltest Schutzfunktionen ein, die Windows und mobile Betriebssysteme bereits mitbringen: BitLocker, Windows-Firewall, Secure Boot. Und du sorgst dafür, dass Benutzende im Alltag ohne lokale Adminrechte arbeiten.

   Situation

   In einem Treuhandbüro haben alle 15 Mitarbeitenden lokale Adminrechte, damit sie selbst Software installieren können. Zwei Laptops sind nicht verschlüsselt.

   Deine Aufgabe

   Härte die Laptops, ohne dass die tägliche Arbeit blockiert wird.

   Gutes Ergebnis

   BitLocker per Intune-Richtlinie aktiviert, Wiederherstellungsschlüssel in Entra ID gesichert. Adminrechte entfernt, häufig gebrauchte Programme im Unternehmensportal bereitgestellt. Windows LAPS verwaltet das lokale Admin-Passwort pro Gerät.

   BitLocker / FileVaultTPMSecure BootLeast PrivilegeWindows LAPSHost-Firewall
3. 3

   Updates für Betriebssystem und Anwendungen planen und überwachen

   Kompetenz C

   Viele erfolgreiche Angriffe nutzen Lücken, für die längst ein Update existiert. Du richtest Update-Ringe ein, damit Updates zuerst auf wenigen Geräten getestet werden, und prüfst, welche Geräte hinterherhinken.

   Situation

   Ein Logistikunternehmen mit 80 Laptops hatte nach einem Windows-Update einen Druckerausfall bei allen gleichzeitig. Seitdem werden Updates manuell zurückgehalten.

   Deine Aufgabe

   Schlage eine Update-Strategie vor, die sicher und trotzdem schnell ist.

   Gutes Ergebnis

   Drei Ringe in Windows Update for Business: IT (5 Geräte, sofort), Pilot (10 Geräte aus allen Abteilungen, 3 Tage), Rest (7 Tage). Qualitätsupdates spätestens nach 10 Tagen erzwungen. Bericht in Intune zeigt jeden Montag die Geräte ohne aktuelles Update.

   Patch-ManagementUpdate-RingQualitäts- vs. FunktionsupdateZero-DayDrittanbieter-Updates
4. 4

   Anmeldung mit MFA und sicheren Verfahren absichern

   Kompetenz D

   Ein gestohlenes Passwort allein soll nicht reichen. Du richtest MFA mit der Authenticator-App oder Windows Hello for Business ein und erklärst Benutzenden, wie sie MFA-Müdigkeitsangriffe erkennen.

   Situation

   Ein Mitarbeiter einer Gemeindeverwaltung bekommt nachts zehn MFA-Anfragen und bestätigt schliesslich eine, damit es aufhört.

   Deine Aufgabe

   Reagiere auf den Vorfall und verhindere eine Wiederholung.

   Gutes Ergebnis

   Sofort: Sitzungen widerrufen, Passwort zurücksetzen, Anmeldeprotokolle prüfen. Danach: MFA mit dem Microsoft Authenticator eingerichtet, wo der Nummernabgleich (Number Matching) seit 2023 Standard ist, und zusätzlich App-Name und Standort in der Anfrage angezeigt. Kurze Info an alle: 'Unerwartete MFA-Anfrage immer ablehnen und der IT melden.'

   MFANumber MatchingWindows Hello for BusinessMFA-FatigueConditional Access
5. 5

   Virenschutz und Gerätekonformität zentral überwachen

   Kompetenz E

   Du prüfst in Defender und Intune, ob alle Geräte geschützt sind: Virenschutz aktiv, Signaturen aktuell, verschlüsselt, konform. Nicht konforme Geräte erhalten über Conditional Access keinen Zugriff auf Firmendaten.

   Situation

   Beim wöchentlichen Check im Intune-Portal fallen 6 von 120 Geräten als 'nicht konform' auf.

   Deine Aufgabe

   Finde die Gründe und bringe die Geräte in Ordnung.

   Gutes Ergebnis

   4 Geräte seit über 30 Tagen nicht mehr online (Ferien, Ersatzgeräte), 1 Gerät mit deaktiviertem Defender, 1 Gerät ohne BitLocker. Defender und BitLocker korrigiert, die Offline-Geräte mit den Teamleitungen geklärt und 2 davon ausgemustert.

   KonformitätsrichtlinieMicrosoft DefenderEchtzeitschutzGeräteberichtAusmusterung
6. 6

   Bei Verlust oder Infektion eines Geräts richtig reagieren

   Kompetenz F

   Wenn ein Gerät verloren geht oder Malware meldet, zählt jede Minute. Du kennst die Sofortmassnahmen, setzt sie um und dokumentierst den Vorfall so, dass die Firma prüfen kann, ob eine Meldung an den EDÖB nötig ist.

   Situation

   Eine Verkaufsberaterin meldet am Freitagabend, ihr Firmen-iPhone sei im Zug nach Bern liegen geblieben.

   Deine Aufgabe

   Leite die Sofortmassnahmen ein.

   Gutes Ergebnis

   Gerät in Intune gesperrt und mit Nachricht 'Bitte an SBB Fundbüro' versehen. Nach 24 Stunden ohne Fund: Fernlöschung. Sitzungen in Entra ID widerrufen. Vorfallprotokoll: Gerät verschlüsselt, PIN aktiv, deshalb kein Datenabfluss anzunehmen. Ersatzgerät per Automated Device Enrollment am Montag bereit.

   Sperren / FernlöschenSitzung widerrufenIsolation (Defender)VorfallprotokollMeldepflicht revDSG

Die Kompetenzmatrix zerlegt das Modul in Themenstränge und drei Stufen. Für den Kompetenznachweis solltest du überall mindestens Stufe 2 erreichen. Dein Stand bleibt in diesem Browser gespeichert und färbt Lernweg und Übungen ein.

Larissa ist im 3. Lehrjahr als ICT-Fachfrau in der internen IT der Rüegg Haustechnik AG in Uster, 90 Mitarbeitende. Die Firma hat 35 Laptops, 60 Firmen-iPhones für die Monteurinnen und Monteure und 12 Tablets. Nachdem ein unverschlüsselter Laptop aus einem Lieferwagen gestohlen wurde, soll Larissa den Schutz aller Endgeräte verbessern.

1. Kapitel 1

   Ein Laptop im Lieferwagen

   Auf dem gestohlenen Laptop eines Projektleiters lagen Pläne von Kundenhäusern und gespeicherte Zugangsdaten, BitLocker war aus. Larissa teilt die Geräte in drei Gruppen: Laptops im Büro und auf Baustellen, Firmen-iPhones und Tablets in der Werkstatt. Für jede Gruppe überlegt sie, welche Daten darauf liegen und was ein Verlust bedeuten würde. Daraus leitet sie Pflichtmassnahmen ab, allen voran Verschlüsselung und eine Bildschirmsperre nach 5 Minuten.

   Ziel 1

2. Kapitel 2

   Verschlüsseln, ohne die Monteure zu bremsen

   Per Intune-Richtlinie schaltet Larissa BitLocker auf allen Laptops still ein, die Wiederherstellungsschlüssel landen in Entra ID. Sie entdeckt, dass 11 der 35 Personen lokale Adminrechte haben, und entzieht sie. Ein Planer meldet, dass sich seine Berechnungssoftware nun nicht mehr aktualisieren lässt. Larissa stellt die Updates dieser Software über das Unternehmensportal bereit, statt ihm die Adminrechte zurückzugeben, und verwaltet das lokale Admin-Konto mit Windows LAPS.

   Ziel 2

3. Kapitel 3

   Updates in drei Wellen

   Larissa richtet drei Update-Ringe ein: die IT mit 3 Geräten sofort, eine Pilotgruppe mit 8 Geräten nach 3 Tagen und alle übrigen nach 7 Tagen. Im Bericht fallen 6 iPhones auf, die zwei Hauptversionen hinter dem aktuellen iOS liegen. Für Chrome und den PDF-Reader ergänzt sie automatische Updates über Intune. Eine Mindestversion für iOS legt sie in der Konformitätsrichtlinie fest.

   Ziel 3

4. Kapitel 4

   Ohne konformes Gerät keine Mails

   Larissa führt MFA mit der Authenticator-App und Nummernabgleich ein und verknüpft den Zugriff auf Mails und Teams über Conditional Access mit einem konformen Gerät. Am Montag kommen 9 Monteure nicht mehr an ihre Mails, weil ihre iPhones wegen der alten iOS-Version sofort als nicht konform galten. Sie hatte keine Übergangsfrist gesetzt. Larissa gibt 3 Tage Frist, informiert alle per SMS und prüft ab da jeden Montag im Defender- und Intune-Bericht, welche Geräte auffallen.

   Ziel 4Ziel 5

5. Kapitel 5

   Die MFA-Anfrage um 23 Uhr

   Defender meldet eine Anmeldung aus dem Ausland für das Konto eines Monteurs, der um 23.10 Uhr eine MFA-Anfrage bestätigt hatte, ohne darüber nachzudenken. Larissa widerruft alle Sitzungen, setzt das Passwort zurück und findet eine neue Weiterleitungsregel im Postfach, die sie löscht. Aus den Protokollen rekonstruiert sie, dass 14 Mails mit Kundenadressen weitergeleitet wurden. Mit der Geschäftsleitung klärt sie, ob eine Meldung an den EDÖB nötig ist, und dokumentiert den Vorfall mit Zeitachse.

   Ziel 6Ziel 5

1. 1

   Bedrohungen verstehen

   ca. 3 Std.

   Du lernst die häufigsten Angriffe auf Endgeräte kennen und schätzt für typische Gerätegruppen den Schutzbedarf ein.

   • Drei aktuelle Meldungen des Bundesamts für Cybersicherheit (BACS) lesen und den Angriffsweg skizzieren
   • Für Büro-Laptop, Aussendienst-Smartphone und Empfangs-PC je die grössten Risiken notieren
   • Eine Liste der Personendaten auf deinem eigenen Arbeitsgerät erstellen

   Trainiert Kompetenz A1A2

   Lernziel1

2. 2

   Gerät härten

   ca. 4 Std.

   Du schaltest auf einem Test-Laptop die wichtigsten Schutzfunktionen ein und erlebst, was sich für Benutzende ändert.

   • BitLocker aktivieren und den Wiederherstellungsschlüssel sicher ablegen
   • Einen Standardbenutzer ohne Adminrechte testen: Was geht, was nicht?
   • Windows LAPS einrichten und das Passwort im Portal abrufen

   Trainiert Kompetenz B1B2

   Lernziel2

3. 3

   Updates im Griff

   ca. 3 Std.

   Du baust eine Update-Strategie mit Ringen auf und lernst, Berichte zu lesen.

   • Drei Update-Ringe in Intune anlegen und Testgruppen zuweisen
   • Prüfen, welche Drittanbieter-Software (Browser, PDF-Reader, Zoom) wie aktualisiert wird
   • Im Update-Bericht Geräte mit Rückstand finden und Gründe recherchieren

   Trainiert Kompetenz C1C2

   Lernziel3

4. 4

   Identität und Zugriff absichern

   ca. 3 Std.

   Du richtest MFA ein und verknüpfst den Gerätestatus mit dem Zugriff auf Firmendaten.

   • MFA mit Authenticator für ein Testkonto einrichten und prüfen, dass der Nummernabgleich (Standard) und der zusätzliche Kontext erscheinen
   • Eine Conditional-Access-Regel im Berichtsmodus testen: nur konforme Geräte
   • Eine kurze Anleitung 'Was tun bei unerwarteter MFA-Anfrage?' schreiben

   Trainiert Kompetenz D1D2E2

   Lernziel45

5. 5

   Überwachen und reagieren

   ca. 4 Std.

   Du übst den wöchentlichen Sicherheitscheck und spielst Vorfälle durch.

   • Mit der EICAR-Testdatei eine Defender-Warnung auslösen und im Portal nachverfolgen
   • Ein Testgerät sperren, Nachricht anzeigen und fernlöschen
   • Ein Vorfallprotokoll für ein verlorenes Gerät ausfüllen

   Trainiert Kompetenz E1E3F1F2

   Lernziel56

6. 6

   Sicherheitsaudit einer Flotte

   ca. 3 Std.

   Zum Abschluss beurteilst du den Sicherheitsstand einer kleinen Geräteflotte und schlägst priorisierte Massnahmen vor.

   • Für 10 Testgeräte den Status zu Verschlüsselung, Updates, Defender und Rechten erheben
   • Die Lücken nach Risiko priorisieren und umsetzen
   • Das Ergebnis der Berufsbildnerin in 10 Minuten präsentieren

   Trainiert Kompetenz A3B3C3E2

   Lernziel1235

BitLocker

Verschlüsselung der Festplatte in Windows. Ohne Schlüssel sind die Daten auf einem gestohlenen Gerät unlesbar.

TPM

Sicherheitschip im Gerät, der Schlüssel geschützt speichert und den Systemstart prüft.

MFA

Mehrfaktor-Authentifizierung: Anmeldung mit mindestens zwei unabhängigen Nachweisen, z.B. Passwort und App.

Least Privilege

Jede Person und jedes Programm bekommt nur die Rechte, die es wirklich braucht.

Windows LAPS

Verwaltet ein eindeutiges, wechselndes Passwort für das lokale Admin-Konto jedes Geräts.

Update-Ring

Gruppe von Geräten, die Updates zu einem bestimmten Zeitpunkt erhält, z.B. Pilot vor Produktion.

Conditional Access

Regeln, die Zugriff nur unter Bedingungen wie MFA oder konformem Gerät erlauben.

EDÖB

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter, Meldestelle für Datenschutzverletzungen mit hohem Risiko.

Passende Module