VGT Security Architecture · Windows + Linux
Weniger Angriffsfläche. Mehr Kontrolle.
Hardening ist kein Skript, das blind Einstellungen umlegt. Es ist ein kontrollierter Architekturprozess aus Assessment, Baseline, Umsetzung, Verifikation und Rollback-Fähigkeit – für Windows- Endpoints, Windows-Server und Linux-Systeme.
Hardening ohne Blindflug
Messbar statt maximalistisch.
Die stärkste Konfiguration ist wertlos, wenn sie Geschäftsprozesse zerstört oder beim nächsten Update unbemerkt zurückgesetzt wird. Deshalb wird jede Baseline an Rolle, Schutzbedarf und Betriebsmodell angepasst.
Vorher messen
Inventar, Rollen, Ports, Dienste, Richtlinien, Accounts, Verschlüsselung und Abhängigkeiten werden vor jeder Änderung erfasst.
Rollback zuerst
Änderungen erhalten Wiederherstellungspunkte, Exporte oder Konfigurationssicherungen. Kritische Systeme werden phasenweise umgestellt.
Rollenbasierte Baseline
Ein Entwickler-PC, ein Domain Controller und ein Nginx-Server dürfen nicht dieselbe starre Policy erhalten.
Nachweisbare Verifikation
Sie erhalten dokumentierte Änderungen, Abweichungen, offene Risiken und einen Vorher-/Nachher-Abgleich statt eines unprüfbaren „fertig“.
Windows Hardening
Endpoint- und Server-Baselines mit kontrollierter Kompatibilität.
Windows wird nicht durch wahlloses Abschalten „sicher“. Wir kombinieren Microsoft Security Baselines, anwendbare CIS-Kontrollen und den realen Anwendungskontext. Defender, ASR und Firewall werden zuerst im Audit- oder Warnmodus validiert, bevor restriktive Regeln produktiv greifen.
System- und Rollenbereinigung
Nicht benötigte Features, Dienste, Protokolle und Autostarts werden rollenbasiert reduziert.
- SMBv1, LLMNR, WPAD und Legacy-Protokolle
- Print Spooler nur bei tatsächlichem Bedarf
- Remote-Zugänge und Verwaltungsflächen
Defender & ASR
Microsoft Defender wird von Standardbetrieb auf kontrollierte Prävention umgestellt.
- Attack Surface Reduction nach Kompatibilitätstest
- Cloud Protection, PUA und Netzwerkblockierung
- Exploit- und Ransomware-Schutz
Firewall & Netzwerk
Default-Deny wird dort eingesetzt, wo Anwendungen, Administration und Betriebswege vollständig bekannt sind.
- Inbound-Regeln nach tatsächlicher Notwendigkeit
- Profiltrennung Domain, Private und Public
- DNS-, RDP- und Remote-Management-Prüfung
Identity & Credentials
Lokale Administrationsrechte und Credential-Angriffsflächen werden reduziert.
- LSA Protection und Credential Guard
- Windows LAPS und lokale Admin-Hygiene
- Account Lockout und Audit Policies
Storage & Device Control
Datenträger- und Geräteschutz werden nach Hardware, Wiederherstellbarkeit und Compliance gewählt.
- BitLocker oder geeignete alternative FDE
- Recovery-Key- und TPM-Konzept
- USB- und Wechseldatenträger-Regeln
Telemetry & Audit
Unnötige Diagnosedaten werden reduziert, ohne Update-, Defender- oder Administrationsfunktionen blind zu beschädigen.
- Event-Log-Größen und relevante Kategorien
- PowerShell- und Prozess-Auditing
- Baseline-Export und Drift-Nachweis
Linux Hardening
Kernel, Dienste und Identitäten als reproduzierbare Server-Baseline.
Linux-Hardening wird an Distribution, Serverrolle, Control Panel, Container-Nutzung und Wiederherstellungsweg angepasst. Das Ziel ist keine künstliche Kennzahl, sondern ein belastbares System mit klarer Angriffsfläche, dokumentierten Ausnahmen und messbarer Drift.
Kernel & Sysctl
Netzwerk-, Memory- und Kernel-Parameter werden passend zur Rolle gesetzt und nach dem Neustart verifiziert.
- Pointer-, dmesg- und BPF-Beschränkungen
- Redirects, Source Routing und ICMP-Policies
- Module und nicht benötigte Protokollstacks
SSH & Privilege
Remote-Zugriff wird auf eindeutige Identitäten, starke Schlüssel und minimale Rechte reduziert.
- Key-only, Root-Login und Allow-Listen
- Sudo-Regeln und administrative Rollen
- MFA oder Bastion-Integration nach Umgebung
Firewall & Egress
Netzwerkregeln werden aus den tatsächlichen Diensten und Managementpfaden abgeleitet.
- nftables/UFW und Rate-Limits
- Fail2ban nur mit validierten Jails
- Outbound-Kontrolle bei erhöhtem Schutzbedarf
Filesystem & MAC
Dateisysteme, temporäre Bereiche und Dienstprozesse werden mit minimalen Rechten betrieben.
- Mount-Flags und sensible Verzeichnisse
- AppArmor oder SELinux nach Distribution
- SUID/SGID-Prüfung und Service-Isolation
Audit & Integrität
Auditd, Journald und Integritätsprüfungen liefern verwertbare Signale statt unkontrollierter Log-Mengen.
- AIDE oder vergleichbare Content-Baseline
- Audit-Regeln für privilegierte Änderungen
- Log-Rotation, Zeitbasis und Remote-Ziel
TLS & Services
Webserver, Mail, Datenbanken und Control Panels erhalten eigene, kompatible Sicherheitsprofile.
- TLS-Protokolle und Cipher-Konfiguration
- Webserver-, PHP- und Datenbank-Grenzen
- Optionale PQC-Kompatibilitätsprüfung
Gemeinsame Architektur · unterschiedliche Mechanik
Windows und Linux werden nicht gleich behandelt.
Beide Plattformen brauchen Baselines, Änderungsnachweise und Drift-Kontrolle. Die technische Umsetzung, Rollback-Mechanik und typische Ausfallursache unterscheiden sich jedoch deutlich.
Controlled deployment
Fünf Phasen. Kein „Skript ausführen und hoffen“.
Scope
Rolle, Schutzbedarf, Benutzer, Remote-Zugänge, Software und betriebliche Grenzen werden festgelegt.
Assessment
Ist-Zustand, Angriffsfläche, Abhängigkeiten und kritische Abweichungen werden dokumentiert.
Baseline
Kontrollen werden priorisiert, Ausnahmen begründet und Rollback-Wege vorbereitet.
Deployment
Änderungen werden in kontrollierten Batches umgesetzt und direkt funktional getestet.
Verification
Vorher-/Nachher-Abgleich, Reboot-Test, offene Risiken und Wartungsplan schließen das Deployment ab.
Klare Scopes · realistische Preise
Hardening-Pakete ohne Dumping-Kalkulation.
Die Preise bilden nicht nur das Umlegen von Einstellungen ab, sondern Assessment, sichere Umsetzung, Funktionstest, Rollback-Vorbereitung und Dokumentation. Das Angebot richtet sich an Unternehmen und Selbstständige.
Windows Hardening
Windows 11 · Windows Server · Stand-alone · Domain · Entra IDShadow Audit
Ein Windows-Endpoint oder ein klar abgegrenztes Windows-Server-System.
- Baseline- und Rollenaufnahme
- Defender-, Firewall- und ASR-Status
- Legacy-Protokolle und offene Dienste
- Credential-, Update- und Verschlüsselungsprüfung
- Priorisierter technischer Maßnahmenreport
- 30 Minuten Ergebnisbesprechung
Fortress One
Vollständiges Hardening einer Windows-11-Workstation inklusive Vorher-/Nachher-Verifikation.
- Shadow Audit und Kompatibilitätsprüfung
- Microsoft Baseline, Defender und ASR
- Firewall-, Netzwerk- und Remote-Zugriff
- Credential-, LAPS- und Admin-Hygiene
- Verschlüsselungs- und Recovery-Konzept
- Rollback, Reboot-Test und Dokumentation
Enterprise Matrix
Einheitliche, dokumentierte Baseline für bis zu fünf vergleichbare Windows-Endpoints.
- Referenzgerät und Pilot-Baseline
- Rollout auf bis zu fünf Geräte
- Ausnahmen für Fachanwendungen
- USB-, Browser- und Remote-Policies
- Managementfähige Baseline-Dokumentation
- Zusätzlicher Endpoint: 690 €
Linux Hardening
Debian · Ubuntu · RHEL-kompatibel · Web · Mail · DatenbankArchitecture Audit
Ein Linux-System mit klarer Serverrolle und regulärem Remote-Zugang.
- Distribution, Pakete, Rollen und Ports
- Lynis- und kontextbasierter Baseline-Abgleich
- SSH-, Firewall- und Account-Review
- Filesystem-, Audit- und Logging-Prüfung
- TLS-, Webserver- und Control-Panel-Risiken
- Priorisierter Architekturreport
Shield Protocol
Vollständige Härtung eines regulären Linux-Web-, App- oder Datenbankservers.
- Architecture Audit und Rollback-Plan
- Kernel-, Sysctl- und Service-Hardening
- SSH, Sudo, Firewall und Brute-Force-Schutz
- AppArmor/SELinux und Filesystem-Kontrollen
- Auditd, Logging und Integritätsbaseline
- Reboot-Test und technische Dokumentation
Omega Protocol
Tiefes Architektur-Hardening für exponierte oder besonders schutzbedürftige Systeme.
- Shield Protocol vollständig enthalten
- Service-spezifische Isolation und Egress-Regeln
- Web-, Mail- oder Datenbank-Sicherheitsprofil
- Erweiterte Integrität und zentrale Logs
- PQC-Kompatibilitätsprüfung bei geeignetem Stack
- Handover, Re-Audit und 30 Tage Nachkontrolle
Windows Server
ab 1.990 €Rollenbasiertes Server-Hardening
Member Server, Web-/App-Server oder File Server. Domain Controller und PKI-Systeme nur nach Assessment.
Managed Verification
ab 690 € / MonatBaseline Care
Monatlicher Drift- und Patch-Review, Re-Audit, Maßnahmenreport und bis zu zwei Stunden Remote-Intervention. Kein 24/7-SOC.
Template Reuse
ab 1.490 €Weiterer Linux-Server gleicher Rolle
Gilt bei identischer Distribution, Version, Serverrolle und vergleichbarem Softwarestack nach validiertem Referenzsystem.
Scope-Grenzen
Was enthalten ist – und was ein separates Projekt bleibt.
Im Hardening enthalten
Konfigurationssicherheit eines definierten Systems oder einer homogenen Gerätegruppe.
- Baseline-Assessment und Abweichungsanalyse
- Kontrollierte Konfigurationsänderungen
- Funktions-, Reboot- und Zugriffstest
- Rollback-Artefakte und technische Dokumentation
- Ein definierter Nachbesserungszeitraum
Separater Scope
Diese Bereiche benötigen eigene Analyse, Haftungsgrenzen und Projektplanung.
- Incident Response oder bereits kompromittierte Systeme
- Active Directory Redesign, PKI und komplexe Domain Controller
- Cluster, Hochverfügbarkeit und große Containerplattformen
- 24/7-SOC, Rufbereitschaft und garantierte Reaktionszeiten
- Penetrationstest, Zertifizierung oder formale Compliance-Prüfung
Referenzrahmen
Baselines mit nachvollziehbarer Herkunft.
Die konkrete Auswahl richtet sich nach Plattform, Version, Lizenz, Schutzbedarf und Betriebsmodell. Ein Referenzrahmen wird nicht blind kopiert, sondern technisch und betrieblich angepasst.
Security Baselines
Herstellerempfehlungen und Security Compliance Toolkit für unterstützte Windows-Versionen.
CIS Benchmarks
Plattformspezifische, versionierte Konfigurationsempfehlungen für Windows und Linux.
IT-Grundschutz
Deutscher Referenzrahmen für Anforderungen, Schutzbedarf und dokumentierte Sicherheitskonzepte.
SP 800-70
Methodik für Security Configuration Checklists, Verifikation und Änderungserkennung.
Technische Fragen
Vor dem Deployment geklärt.
Hardening verändert Systemverhalten. Deshalb werden Scope, Ausnahmen und Wiederherstellung vor der Umsetzung definiert.
Kann Hardening Anwendungen oder Updates stören?
Ja, besonders restriktive ASR-, Firewall-, TLS-, MAC- oder Mount-Regeln können inkompatibel sein. Deshalb werden kritische Kontrollen zuerst gegen den konkreten Softwarestack geprüft und in Stufen ausgerollt.
Wird auf einen bestimmten Score optimiert?
Nein. Lynis-, CIS- oder Baseline-Werte sind Messinstrumente, keine Sicherheitsgarantie. Ein produktiver Server mit begründeten Ausnahmen kann sicherer sein als ein System mit hoher Kennzahl und zerstörtem Betriebsmodell.
Ist VeraCrypt grundsätzlich besser als BitLocker?
Nein. Die Auswahl hängt von TPM, Recovery-Prozess, zentraler Verwaltung, Compliance und Benutzerbetrieb ab. Entscheidend ist ein belastbares Schlüssel- und Wiederherstellungskonzept, nicht die pauschale Ablehnung eines Produkts.
Ist Post-Quantum-TLS im Omega Protocol automatisch enthalten?
Enthalten ist die Kompatibilitäts- und Architekturprüfung. Eine produktive Implementierung erfolgt nur, wenn Serverstack, Clients, Zertifikatsweg, Updatefähigkeit und Fallback-Verhalten technisch geeignet sind.
Kann ein bereits kompromittiertes System einfach gehärtet werden?
Nein. Bei Kompromittierungsverdacht ist zuerst Incident Response, forensische Sicherung und häufig ein vertrauenswürdiger Neuaufbau erforderlich. Hardening auf unbekanntem Systemzustand erzeugt keine belastbare Vertrauensbasis.
Warum kostet ein vollständiges Hardening mehr als ein Skript?
Der Aufwand liegt in Analyse, Kompatibilität, Rollback, Test, Dokumentation und Verantwortung. Ein Skript kann Einstellungen setzen; es kann ohne Kontext weder Geschäftsfolgen bewerten noch einen sicheren Wiederanlauf garantieren.
VGT System Hardening
Erst verstehen. Dann reduzieren. Danach verifizieren.
Senden Sie Systemtyp, Version, Rolle und Anzahl der Geräte. Sie erhalten einen klaren Scope statt eines pauschalen Sicherheitsversprechens.