Riegel – Härtungs-Check für Windows in OT und Labor

Härtungsnachweis für Windows-Rechner, die niemand zentral verwaltet

Anlagen-PCs, Bedienrechner (HMI), Labor- und Leitstandsrechner stehen oft außerhalb der zentralen IT – manche ohne Netz, manche mit Software, die eine unsichere Einstellung braucht. Wer dort die Systemhärtung prüfen will, kann nicht einfach ein Prüfwerkzeug aufspielen: Auf solchen Rechnern ist schon eine Installation eine Änderung.

Riegel bringt deshalb einen portablen Sammler mit, der nichts installiert, keine Konfiguration ändert und nur seinen Export schreibt; Windows selbst vermerkt, dass ein Programm lief. Ausgewertet wird auf einem Auswerte-PC: Ergebnis je Regel, begründete Ausnahmen, Vergleich mit dem freigegebenen Stand und ein Bericht zum Abzeichnen.

Funktionen des Windows-Härtungschecks

• 153 Regeln, ehrliche Ergebnisse

  Netzwerk, Anmeldedaten und NTLM, LSA, Defender und ASR, Anwendungssteuerung, Verschlüsselung, Firewall, Protokollierung und PowerShell, RDP, Wechselmedien und TLS. Erfüllt heißt positiv belegt; was nicht lesbar war, ist „nicht prüfbar“, nie stillschweigend erfüllt.

• Portabler Sammler

  Rund 130 KB, für Windows 7 SP1 bis 11 und Server 2008 R2 bis 2025; installiert nichts und ändert keine Konfiguration. Wo kein fremdes Programm laufen darf, gehen die Windows-Bordmittel; --minimal startet auf empfindlichen HMIs kein weiteres Programm.

• Begründete Ausnahmen mit Freigabe

  Was bewusst offen bleibt, bekommt Begründung, akzeptierten Wert, freigebende Rolle und einen Nachweis aus dem Änderungs- oder QMS-Verfahren – an den Inhalt gebunden, mit Ablaufdatum und Verlauf. Dazu Zuschnitt je Rolle und ein Maßnahmenplan.

• Vergleich mit dem freigegebenen Stand

  Was hat sich seit Inbetriebnahme oder Herstellerbesuch geändert? Riegel vergleicht mit dem letzten Lauf und mit dem freigegebenen Stand – Verschlechterungen zuerst, dann Abweichungen der Rohwerte.

• Dokumente zum Abzeichnen

  Anlagenbericht mit Abzeichnung, Management-Übersicht, Soll-Konfiguration, Freigabeblatt und Erhebungsprotokoll als PDF, dazu Excel, CSV und ein Nachweispaket, das Prüfer mit verify nachrechnen – auch unter Linux.

• Abhilfe nur als Dateien

  .reg-Dateien mit Rücknahme, GptTmpl.inf und audit.csv für den Anlagenbauer – Riegel wendet sie nie selbst an.

• Eigene Vorgaben

  GPO-Sicherungen importieren, auch aus heruntergeladenen Security Baselines, oder eigene Anforderungen als JSON oder CSV schreiben.

• Überwachung, die bei Änderungen meldet

  Exitcodes nach Nagios-Art und eine Icinga-Zeile für Verschlechterungen, neu offene hohe Befunde, ablaufende Ausnahmen und überfällige Maßnahmen.

Woher die Regeln kommen

Das Regelwerk 2026.10.1 hat 153 Regeln in 17 Berichtskategorien und eigene Texte von ICT Baden. Jeder Sollwert ist belegt durch das ACSC, die Windows-Server-Dokumentation von Microsoft, eine Seite auf Microsoft Learn oder einen DISA STIG; Microsoft Security Baselines dienen nur zur Bestätigung. Verweise nennen Gegenmaßnahmen aus MITRE ATT&CK und Kennungen aus Grundschutz++. Das Regelwerk enthält keine Inhalte von CIS und keine aus BSI SiSyPHuS.

Für Maschinenbauer gibt es eine Berichtsvorlage „Auslieferungszustand“ mit der Kennung der Maschine und den begründeten Abweichungen ihrer Software; Riegel.Cli.exe check läuft auch in der Werksabnahme (FAT).

Für Audits: NIS2, ISO 27001, IEC 62443, GMP

Riegel unterstützt Nachweise für NIS2 und die Dokumentationspflicht nach § 30 BSIG, ISO/IEC 27001:2022 A.8.9, IEC 62443, TISAX, Fragebögen von Versicherern und periodische Überprüfungen nach GMP. Es macht keine Compliance-Aussage, ist kein validiertes System und deckt das Konfigurationsmanagement ab – nicht MFA, Datensicherung, Vorfallbehandlung oder Netzsegmentierung.

Umstieg von Benchmark-Scannern und Richtlinien-Vergleichswerkzeugen: Riegel als Alternative

Wer die Härtung von Windows-Rechnern bisher mit einem Benchmark-Scanner oder einem Richtlinien-Vergleichswerkzeug prüft, kann mit Riegel dieselbe Aufgabe erledigen: die Sicherheitskonfiguration eines Rechners mit Sollwerten vergleichen. Riegel setzt dabei eigene Schwerpunkte:

• Offline und nur lesend

  Ein portabler Sammler (rund 130 KB) installiert nichts, ändert keine Konfiguration und öffnet keine Netzwerkverbindung; ausgewertet wird auf einem anderen PC.

• Begründete Ausnahmen

  Was bewusst offen bleibt, wird mit Begründung, freigebender Rolle, Nachweis und Ablaufdatum festgehalten.

• Bericht zum Abzeichnen

  Anlagenbericht als PDF mit Abzeichnung und ein Nachweispaket, das Prüfer mit verify nachrechnen.

• Für Anlagen-PCs

  Ausgelegt für Windows 7 SP1 bis 11 und Server 2008 R2 bis 2025, --minimal für empfindliche HMIs, Windows-Bordmittel, Berichtsvorlage „Auslieferungszustand“ für Maschinenbauer.

Wichtig, wenn Sie eine Alternative zu einem Benchmark-Scanner suchen: Riegel enthält keine Inhalte fremder Benchmark-Kataloge und keine aus BSI SiSyPHuS. Das eigene Regelwerk mit 153 Regeln stützt sich auf ACSC, Microsoft-Dokumentation und DISA STIGs; ein Ergebnis von Riegel ist deshalb keine Aussage über die Erfüllung eines bestimmten Benchmarks. Eigene Vorgaben lassen sich als GPO-Sicherung importieren, auch aus selbst heruntergeladenen Security Baselines. Regeldateien und Prüflisten anderer Härtungswerkzeuge liest Riegel 0.1 noch nicht ein (geplant für 0.2). Riegel ist kostenlos unter der MIT-Lizenz, ohne Lizenzserver, und setzt Einstellungen nie selbst.

Systemvoraussetzungen

Geprüfte Rechner

Windows 7 SP1 bis 11 und Windows Server 2008 R2 bis 2025 über den portablen Sammler (.NET Framework 3.5.1 oder 4.x)

Ohne fremdes Programm

Windows-Bordmittel (secedit, auditpol, reg) über collect-builtin.cmd

Auswerte-PC

Windows 10 ab Version 1809 oder Windows Server 2019 und neuer – MSI oder Riegel.exe ohne Installation

Linux

Befehlszeile für x64 und arm64 zum Auswerten und Nachrechnen von Nachweispaketen

Netzwerk

keines – Riegel öffnet keine Netzwerkverbindung

Sprache

Deutsch, Englisch, Spanisch, Französisch, Chinesisch (die letzten drei maschinell vorübersetzt)

Grenzen, ehrlich gesagt

• Vorabversion 0.1 (zuletzt 0.1.2, Sammler 0.1.0), nicht signiert: SmartScreen kann warnen, der Sammler lässt sich nur per Hash freigeben. Kein Kundenpilot auf OT- oder validierten Rechnern, bevor der Sammler signiert ist.
• Nur Windows-Ziele: Linux-Rechner werden nicht geprüft. Nur Maschineneinstellungen, keine Benutzerrichtlinien; Domänencontroller bekommen keine Bewertung.
• Getestet mit Testdaten und auf CI-Rechnern (Windows Server 2022 und 2025, Windows 11 Arm64), dazu gegen einen Referenz-Schnappschuss eines Windows-11-Arbeitsplatzes; noch nicht auf echten Rechnern mit Windows 7, 8.1, 2008 R2 oder 2012 R2, nicht in einer echten Domäne, nicht mit Virenschutz oder EDR anderer Hersteller und nicht mit tatsächlich erzwungenem AppLocker. Die Zuordnung zu Domänen-GPOs ist experimentell.
• Ohne Administratorrechte, mit --minimal oder über die Bordmittel bleiben viele Regeln unentscheidbar; der Bericht sagt dann „Unvollständige Prüfung“.
• Kein PDF/A, keine elektronischen Signaturen; das Nachweispaket ist nicht signiert.
• Spanisch, Französisch und Chinesisch sind maschinell vorübersetzt und in jedem Dokument so gekennzeichnet; die Regeltexte sind dort englisch.