Windows ist kein Betriebssystem. Es ist ein Ökosystem.
Active Directory, zehn Jahre GPO-Wildwuchs, WSUS-Debt, Server 2012 bereits end-of-life, Server 2016 folgt 2027. Das Linux-Team hat Ansible, Golden Images und einen Compliance-Scanner. Das Windows-Team verwaltet noch Gruppenrichtlinien per Hand.
Secure Windows Platform Automation ist das Modul, das diese Lücke schließen wird. Es bringt Ansible-Automatisierung, CIS-Windows-Benchmark-Härtung und maschinelle Compliance-Prüfung in gewachsene Windows-Landschaften. Das Modul befindet sich in Entwicklung. Heute steht Ihnen Benjamin Strebel als Windows-Experte im EaaS-Modell zur Verfügung.
Was Ihr Linux-Team hat. Was Ihr Windows-Team hat.
In den meisten Unternehmen existieren zwei Welten nebeneinander: eine Linux-Infrastruktur, die seit Jahren automatisiert läuft, und eine Windows-Infrastruktur, die noch so verwaltet wird wie vor zehn Jahren. Beide tragen dieselben Compliance-Anforderungen. Nur eine davon hat die Werkzeuge dafür.
- Ansible-Playbooks für reproduzierbare Konfiguration
- Golden Images: gehärtet, versioniert, dokumentiert
- Compliance-Scanner mit automatisch generierten Berichten
- Infrastructure as Code: Sollzustand in Git sichtbar
- Härtungsbaseline nach CIS Benchmark, maschinell geprüft
- Drift-Erkennung bei Abweichung vom definierten Zustand
- GPO-Konsole: manuell bearbeitet, akkumuliert über zehn Jahre
- PowerShell-Skripte aus 2016, Autor unbekannt
- WSUS: manuelle Freigaben, unvollständige Update-Ketten
- Konfigurationszustand: nicht dokumentiert, kaum reproduzierbar
- Compliance-Nachweise: PDF-Export aus dem letzten Audit
- Drift: wird erst beim nächsten Audit sichtbar
Warum Windows-Härtung systemisch komplexer ist
Linux-Systeme sind in der Regel isolierter: ein Dienst, eine Konfiguration, ein definierter Zustand. Windows-Infrastrukturen sind miteinander verwoben. Jede Änderung an einer GPO wirkt auf alle verbundenen Systeme. Active Directory ist das unsichtbare Bindeglied, das alles zusammenhält und gleichzeitig alles abhängig macht.
Das ist keine Kritik an Windows. Es ist eine Beschreibung der Realität, die jeden Härtungsansatz grundlegend beeinflusst.
- Active Directory als Multiplikator Jede GPO-Änderung verbreitet sich systemweit. Ein Fehler trifft nicht einen Server, sondern alle.
- GPO-Wildwuchs Zehn Jahre Umgebung bedeuten oft hunderte GPOs ohne Übersicht. Welche gilt? Welche ist veraltet? Welche überschreibt welche? Niemand weiß es mehr.
- WSUS-Debt Manuelle Freigaben, unterbrochene Update-Ketten, Systeme die seit Monaten keinen Patch erhalten haben. Keine automatische Dokumentation des Patchzustands.
- Service-Account-Chaos Konten ohne Ablaufdatum, mit Domänen-Admin-Rechten, für Dienste die niemand mehr kennt oder die längst abgelöst wurden.
- EOL-Druck ohne Migrationsplan Windows Server 2012 ist seit Oktober 2023 end-of-life. Server 2016 verliert Extended Support im Januar 2027. Ein definierter Sollzustand für die Zielplattform fehlt.
"Das Linux-Team bekommt einen Merge-Request, wenn sich etwas an der Härtung ändert. Das Windows-Team bekommt einen Audit-Befund."
Das ist kein Versagen des Windows-Teams. Es ist das Ergebnis fehlender Werkzeuge. Genau das soll sich mit diesem Modul ändern.
Relevante Frameworks für diese Umgebungen
- CIS Windows Server Benchmark
- NIS2: technische Schutzmaßnahmen und Risikomanagement
- BSI IT-Grundschutz: typisch in Behörden und Finanzsektor
- ISO 27001: Nachweis technischer Kontrollen
Drei Situationen, die wir regelmäßig antreffen
EOL-Druck ohne Migrationsplan
Windows Server 2012 ist bereits end-of-life. Server 2016 verliert Extended Support im Januar 2027. Es gibt keine Migration auf 2022, weil kein klarer Sollzustand für die Zielplattform definiert ist und keine reproduzierbare Basis, auf der die Migration aufbauen kann.
GPO-Wildwuchs ohne Übersicht
Die Umgebung hat 150 bis 300 aktive Gruppenrichtlinien. Keine Übersicht, welche gilt, welche veraltet ist, welche sich gegenseitig überschreibt. Eine CIS-Baseline existiert nicht als definierter Systemzustand, sondern allenfalls als Word-Dokument aus einem alten Projekt.
Compliance-Audit deckt Lücken auf
ISO 27001, NIS2 oder BSI-IT-Grundschutz fordern technische Nachweise für Härtungsmaßnahmen. Das Windows-Team kann keine maschinenlesbaren Berichte liefern. Der Audit-Befund beschreibt den Istzustand als unzureichend dokumentiert.
Was das Modul leisten wird
Das Modul befindet sich in Entwicklung. Die folgenden Fähigkeiten beschreiben den geplanten Funktionsumfang. Es handelt sich um kein heutiges Lieferversprechen, sondern um die beschriebene Richtung des Moduls.
Ansible for Windows
Konfiguration und Härtung über Ansible for Windows (WinRM). Playbooks für reproduzierbare Systemzustände, integrierbar in bestehende CI/CD-Pipelines. Was das Linux-Team seit Jahren hat, kommt auf Windows.
CIS Windows Baseline
Härtungsstandard auf Basis des CIS Windows Server Benchmark als versionierter, dokumentierter Sollzustand. GPO-Migration zur Baseline, nicht zur nächsten Ad-hoc-Konfiguration.
Automatisierte Compliance-Prüfung
PowerShell- oder Python-basierte Prüfung der Systeme gegen die definierte Baseline. Maschinenlesbare Berichte für interne Audits und Frameworks wie NIS2, ISO 27001 und BSI IT-Grundschutz.
Drift-Erkennung
Kontinuierliche Erkennung von Abweichungen vom definierten Systemzustand. Enforcement über PowerShell DSC oder Ansible-Remediierung, risikobasiert und nachvollziehbar dokumentiert.
Windows und IIS: eine Plattform, zwei Schichten
IIS läuft auf Windows. IIS wird durch Windows-Mechanismen konfiguriert: Registry, GPO, Zertifikatsverwaltung. Eine ungehärtete Windows-Basis untergräbt jede IIS-spezifische Absicherung. Die beiden Module sind aufeinander abgestimmt und decken gemeinsam die vollständige Plattformschicht ab.
Secure IIS Platform Automation
TLS, Security-Header, App-Pool-Isolierung und CIS-IIS-Benchmark-Härtung auf der gehärteten Windows-Basis.
Was heute verfügbar ist
Das Modul ist beschrieben, die Umsetzung ist offen. Heute steht Ihnen Benjamin Strebel, DevOps Engineer mit Schwerpunkt Windows-Automation, im EaaS-Modell vollzeit zur Verfügung.
- EaaS-Einsatz: Benjamin Strebel als Windows-Spezialist, vollzeit verfügbar
- Windows-Härtungsberatung auf Basis CIS Windows Benchmark
- GPO-Analyse und Migrationsplanung zur CIS-Baseline
- PowerShell DSC und Ansible for Windows in konkreten Projekten
- Active-Directory-Integration und Service-Account-Audit
- EOL-Migrationsplanung: Server 2012/2016 auf 2022
- Ansible-Playbook-Bibliothek für Windows-Härtung
- Automatisierter Compliance-Scanner mit maschinenlesbaren Berichten
- Drift-Erkennung und automatische Remediierung
- Golden Images für Windows Server 2022
- Produktisiertes Modul als eigenständiges Angebot
Jetzt mit unserem Windows-Experten sprechen
Benjamin Strebel, DevOps Engineer mit Schwerpunkt Windows-Automation, PowerShell DSC und Ansible for Windows, steht im EaaS-Modell vollzeit zur Verfügung.
Unverbindlich · Keine Verkaufspräsentation · Vertraulich
