Linux-Härtung prüfbar umsetzen

Linux-Härtung: schematische Darstellung der beteiligten Systeme und Prüfbereiche

Eine Liste allgemeiner Linux-Einstellungen ist noch kein geeigneter Sollzustand für jeden Server. Distribution, Version, Systemrolle und Fachanwendung bestimmen, welche Konfiguration unterstützt wird und welche Änderungen sinnvoll geprüft werden können. Deshalb beginnt eine belastbare Härtung mit einem klaren Bestand.

Aha-Moment

Ein strengerer Einstellwert ist nicht automatisch eine besser begründete Betriebsentscheidung. Schutzwirkung, Anwendungsbedarf und Nachweis müssen zusammenpassen.

Herstellerbasis und Systemrolle festlegen

Canonical stellt für Ubuntu Sicherheitsdokumentation und Informationen zu Schutzfunktionen bereit. Sie ist eine geeignete Herstellergrundlage für entsprechende Ubuntu-Systeme, aber kein universeller Konfigurationsvertrag für jede Linux-Distribution. Ubuntu-Sicherheitsdokumentation.

Dokumentieren Sie Distribution, Release, Paketquellen und vorgesehene Betriebsdauer. Ergänzen Sie die Aufgabe des Systems: Ein Administrationshost, eine Datenbank und ein öffentlich erreichbarer Dienst haben unterschiedliche Anforderungen. Container und zugrunde liegender Host werden dabei als getrennte Prüfebenen betrachtet.

Zugänge vor Änderungen verstehen

Erheben Sie, welche lokalen und zentralen Identitäten sich anmelden dürfen und welche davon administrative Aktionen ausführen können. Zu prüfen sind auch technische Konten, automatisierte Abläufe und externe Wartung. Der Name eines Kontos verrät nicht zuverlässig, ob seine Rechte noch benötigt werden.

Vor Änderungen an Fernzugängen muss ein geeigneter Rückweg verfügbar sein. Prüfen Sie diesen kontrolliert, bevor Sie eine bisher genutzte Zugriffsmöglichkeit begrenzen. Ein unterbrochener Administrationsweg lässt sich nicht immer durch denselben Weg reparieren.

Wirksame Konfiguration nachweisen

Vergleichen Sie die gewählte Vorgabe mit dem beobachteten Systemzustand. Erfassen Sie nicht nur eine geänderte Konfigurationsdatei, sondern auch, ob der zuständige Dienst die Änderung übernommen hat. Benennen Sie ausstehende Neustarts beziehungsweise erneute Prüfungen, soweit sie für die Änderung relevant sind.

Bereich	Beispiel für eine begrenzte Prüfung
Zugänge	Berechtigte Identitäten und tatsächlich nutzbare Verwaltungswege
Dienste	Benötigte Funktionen und beobachtete Erreichbarkeit
Aktualisierung	Paketstand, verwendete Quellen und offene Maßnahmen
Schutzfunktionen	Konfiguration, Laufzeitbeobachtung und begründete Ausnahmen
Wiederherstellung	Passender Testfall mit dokumentiertem Ergebnis

Ausnahmen nicht vergessen

Eine Fachanwendung kann Anforderungen haben, die vom zunächst ausgewählten Profil abweichen. Halten Sie die Begründung, den Umfang und die verantwortliche Entscheidung fest. Eine Ausnahme sollte nicht unbemerkt auf andere Systeme übertragen werden.

Führen Sie Änderungen zuerst an einem geeigneten Pilot durch. Die fachliche Abnahme prüft die vorgesehenen Anwendungen; der technische Nachweis beschreibt die Sicherheitskontrollen. Beides wird zusammen dokumentiert, ohne aus einem erfolgreichen Test eine unbegrenzte Garantie abzuleiten.

Den Zustand später erneut bewerten

Änderungen an Paketen, Rollen oder Verwaltungswegen können frühere Annahmen ungültig machen. Legen Sie deshalb fest, wann der Soll-Ist-Vergleich wiederholt wird und wer Abweichungen bewertet. Der Nutzen entsteht aus einem nachvollziehbaren Betrieb, nicht allein aus der ersten Einrichtung.

Technische Sicherheitsprüfung vereinbaren. Quellenprüfung: 27. September 2026.