Komplette Erneuerung der IT mit Security by Design
Umfassende IT-Modernisierung mit Fokus auf Ransomware-Resilienz, Zero Trust und Modern Workplace.
Gespräch vereinbaren
- Unternehmensgröße
- KMU
- Region
- Deutschland
- Branche
- Fertigungsindustrie
- Projektdauer
- seit Januar 2025 fortlaufend
100 %
phishing-resistente Anmeldung mit FIDO2/YubiKeys
Zwei Level
Level 1 flächendeckend für Server & Clients, Level 2 für kritische Systeme
Ausgangslage
Unser Kunde stand vor einer umfassenden Erneuerung der IT – mit dem klaren Ziel, Resilienz gegen Ransomware zu erhöhen, Sicherheitsstandards konsequent umzusetzen und gleichzeitig eine moderne, zentral verwaltete Endgeräte- und Identitätsstrategie zu etablieren. Für ein produzierendes Unternehmen ist Ransomware das zentrale Betriebsrisiko: Angreifer zielen zunehmend auf die Backups selbst, bewegen sich lateral durchs Netzwerk und übernehmen Konten über kompromittierte Passwörter. Die neue IT musste diese Angriffswege von Grund auf adressieren — von der Backup-Architektur über die Netzwerksegmentierung bis zur Authentifizierung. Gleichzeitig sollte die Endgeräteverwaltung modernisiert werden: standardisierte, automatisiert bereitgestellte Geräte statt manueller Einzelinstallationen, ein einheitlicher und auditierbarer Härtungsstandard für Server und Clients sowie eine durchgehende Erkennungs- und Reaktionsfähigkeit über die gesamte Umgebung.
Die Umsetzung
Immutable Veeam Backup als zusätzliche Schutzschicht gegen Backup-Manipulation und Ransomware-Angriffe. Netztrennung kritischer Systeme mittels Mikrosegmentierung inkl. Definition der notwendigen Ports/Kommunikationspfade („Least Privilege" auf Netzwerkebene). Modern Workplace mit Microsoft Intune: MDM-Rollout und Gerätestandardisierung, Autopilot für automatisierte Bereitstellung neuer Geräte, Unternehmensportal für Softwarebereitstellung und Self-Service. CIS Benchmark Härtung: Level 1 für Server & Clients als flächendeckende Baseline, Level 2 für kritische Systeme mit erhöhtem Schutzbedarf. Einführung passwortloser Authentifizierung (FIDO2) mit YubiKeys zur deutlichen Reduktion passwortbasierter Risiken. Einführung CrowdStrike Complete für Managed EDR, Microsoft Defender for Identity (MDI) zur Erkennung von AD-Angriffen und Wazuh als SIEM-Lösung.
Durch die umgesetzten Maßnahmen wurde die Widerstandsfähigkeit gegen Ransomware deutlich erhöht – insbesondere durch Immutable Backups und konsequente Segmentierung. Ein einheitlicher, auditierbarer Security-Standard entstand durch die flächendeckende Anwendung der CIS Benchmarks. Die Endgeräteverwaltung wurde modernisiert und ermöglicht eine automatisierte Provisionierung. Die passwortlose Anmeldung via FIDO2/YubiKeys steigert die Identitätssicherheit erheblich. Mit der zentralen Sicherheitsdatenbasis (SIEM) sowie EDR und MDI steht eine durchgehende Erkennungs- und Reaktionsfähigkeit zur Verfügung.
„Ransomware-Resilienz entsteht nicht durch ein Produkt — sondern durch Schichten: unveränderliche Backups, segmentierte Netze, phishing-resistente Identitäten.“
Ergebnisse im Überblick
- Passwortlose Authentifizierung
- 100 %
- phishing-resistente Anmeldung mit FIDO2/YubiKeys
- CIS-Benchmark-Härtung
- Zwei Level
- Level 1 flächendeckend für Server & Clients, Level 2 für kritische Systeme
- Detection-Ebenen
- Drei Systeme
- CrowdStrike EDR, Defender for Identity und Wazuh SIEM
Security by Design
Learnings
- Immutable Backups sind die letzte Verteidigungslinie — sie gehören an den Anfang jeder Ransomware-Strategie, nicht ans Ende.
- Mikrosegmentierung heißt Least Privilege auf Netzwerkebene: Kritische Systeme kommunizieren nur über definierte Ports und Kommunikationspfade.
- Passwortlose Authentifizierung mit FIDO2/YubiKeys ist im Mittelstand praktikabel — und reduziert passwortbasierte Risiken wirksamer als jede Passwort-Policy.
- CIS Benchmarks machen Sicherheit auditierbar: Level 1 als flächendeckende Baseline, Level 2 gezielt für kritische Systeme.
Ausblick
Das Projekt läuft seit Januar 2025 fortlaufend. Mit EDR, Microsoft Defender for Identity und Wazuh SIEM steht eine durchgehende Erkennungs- und Reaktionsfähigkeit bereit, die nun im laufenden Betrieb geschärft wird — von der Auswertung der zentralen Sicherheitsdatenbasis bis zur kontinuierlichen Pflege der CIS-Baselines. Neue Geräte kommen vollautomatisch über Autopilot in die verwaltete Umgebung. Der etablierte Security-Standard skaliert damit mit dem Unternehmen, ohne zusätzlichen manuellen Aufwand zu erzeugen.
Service: Implementierung & Migration
Bereit für Ihre Customer Story?
Lassen Sie uns gemeinsam Ihr nächstes Projekt zum Erfolg führen. Kontaktieren Sie uns für ein unverbindliches Erstgespräch.