Team Data GmbH - IT-Systemhaus Osnabrück Logo
WhatsApp
0541 50798808
Fernwartung

Fernwartung nach BSI: Regeln für sichere Zugriffe

Kurz gesagt: Das BSI behandelt Fernwartung im IT-Grundschutz-Baustein OPS.1.2.5 Fernwartung und in der Empfehlung BSI-CS 108 „Fernwartung im industriellen Umfeld“. Für Unternehmen haben sich daraus diese Kernregeln bewährt: Zugriffe nur verschlüsselt und mit Zwei-Faktor-Authentisierung, eigene Konten je Person, Freigabe durch das Unternehmen bei Bedarf statt dauerhaft offener Zugänge, lückenlose Protokollierung und klare vertragliche Vorgaben für den Dienstleister. Mit unserer Checkliste prüfst du deine Fernzugänge.

Stand: 03.11.2026

Was sagt das BSI zur Fernwartung?

Fernwartung bedeutet, dass ein Administrator oder Dienstleister auf Systeme zugreift, ohne vor Ort zu sein. Das spart Zeit und Fahrtkosten, öffnet aber auch einen Weg ins Netzwerk. Im IT-Grundschutz-Kompendium gibt es dafür den Baustein OPS.1.2.5 Fernwartung (Edition 2023). Laut BSI geht es darin um den Schutz der Informationen, die bei der Fernwartung gespeichert, verarbeitet und übertragen werden, und um den Schutz der Fernwartungsschnittstellen der IT-Systeme, bei aktiver wie bei passiver Fernwartung.

Auf seiner Seite zu den Top 10 Ransomware-Maßnahmen weist das BSI darauf hin, dass Angreifer Ransomware häufig über kompromittierte Fernzugänge einschleusen. Externe Zugriffe sollen deshalb abgesichert sein, in der Regel über VPN mit Zwei-Faktor-Authentisierung. Ergänzend gibt es die Empfehlung BSI-CS 108 „Fernwartung im industriellen Umfeld“ (Version 2.0) der Allianz für Cyber-Sicherheit. Sie stammt aus dem Industrieumfeld, die Grundsätze lassen sich aber gut auf Server, Arbeitsplätze und Telefonanlagen in Unternehmen, Praxen und Kanzleien übertragen. Laut der Übersichtsseite des BSI entsprechen Bestandslösungen mit analogen oder ISDN-Modems und die direkte Internetanbindung von Steuerungen nicht mehr dem Stand der Technik.

Du kommst nicht weiter? Wir übernehmen das für dich, meist per Fernwartung. Ruf an: 0541 507 988 08, schreib uns oder buch ein Erstgespräch.

Checkliste: Architektur und Verbindung

Die folgenden Punkte stützen sich auf die Zusammenfassung der Anforderungen aus BSI-CS 108, die das Fachportal Sichere Industrie veröffentlicht hat. Wir haben sie für die Büro-IT übertragen und um eigene Empfehlungen ergänzt.

  • Eine einheitliche Lösung: Bewährt hat sich eine zentral verwaltete Fernwartungslösung statt mehrerer Tools, die niemand im Blick hat.
  • Verbindungsaufbau von innen nach außen: Die Verbindung geht vom Unternehmensnetz zum Dienstleister, nicht umgekehrt. Ein Mitarbeiter im Unternehmen gibt den Zugriff frei.
  • Keine dauerhaft offenen Ports: Firewall-Regeln werden nicht umgangen, sondern genutzt, um den Fernwartungsbereich einzugrenzen. Fernwartungsdienste, die direkt aus dem Internet erreichbar sind, lehnen wir ab.
  • Granulare Freigabe: Nur die benötigten Systeme werden freigegeben, nach IP-Adresse und Port, nicht ganze Netze oder Subnetze.
  • Dedizierte Komponenten: Fernwartungssysteme dienen ausschließlich der Fernwartung. Kritische Komponenten gehören in eine DMZ.

Checkliste: Verschlüsselung und Authentisierung

  • Sichere Protokolle: Nur etablierte Protokolle wie IPsec, SSH oder TLS, mit hinreichend starker Verschlüsselung.
  • Ein Konto je Person: Keine Gruppen- oder Sammelkonten. Jede Sitzung muss sich einer Person zuordnen lassen.
  • Zwei-Faktor-Authentisierung: Laut der Zusammenfassung des Fachportals eignen sich dafür etwa Smartcards, Einmalpasswort-Generatoren oder USB-Token. Ein Passwort allein reicht nicht.
  • Starke Passwörter: Sichere, komplexe Passwörter für alle Fernwartungskonten.
  • Angriffserkennung: Schutz vor wiederholtem Durchprobieren von Zugangsdaten, etwa durch Sperren nach Fehlversuchen.

Checkliste: Organisation und Vertrag

  • Risikoanalyse: Vor der Einführung prüfen, welche Systeme erreichbar sind und was ein Missbrauch bedeuten würde.
  • Minimalprinzip: Zugänge nur bei Bedarf erteilen und auf die nötigen Zielsysteme beschränken.
  • Prozesse: Feste Abläufe für das Anlegen, Freigeben und Sperren von Zugängen, etwa beim Wechsel eines Technikers.
  • Inventar: Alle Fernzugriffsmöglichkeiten sind erfasst. Vergessene Zugänge sind ein klassisches Einfallstor.
  • Zeitfenster: Verbindungen nur bei Bedarf oder zu definierten Zeiten.
  • Vorgaben für Fernwartende: Technische Vorgaben für den Dienstleister werden definiert und vertraglich festgehalten. Werden dabei personenbezogene Daten verarbeitet, empfehlen wir zusätzlich einen Vertrag zur Auftragsverarbeitung.
  • Patch-Prozess: Die Fernwartungskomponenten selbst werden regelmäßig aktualisiert, besonders wenn sie Zugang zu Systemen haben, die sich nicht mehr patchen lassen.
  • Protokollierung und Alarmierung: Jeder Zugriff wird mit Zeitstempel protokolliert. Fehlgeschlagene Anmeldungen werden gemeldet.
  • Funktionsprüfung: Regelmäßig prüfen, ob die Lösung funktioniert und ob Logs und Alarme ankommen.

Wie sieht das in der Praxis aus?

Für ein mittelständisches Unternehmen heißt das konkret: Es gibt ein Fernwartungstool, das der IT-Dienstleister zentral betreibt. Der Mitarbeiter am Arbeitsplatz startet die Sitzung oder gibt sie frei und sieht, was der Techniker macht. Server erreicht der Dienstleister über einen VPN-Zugang mit Zwei-Faktor-Authentisierung und einem persönlichen Konto. Alle Sitzungen werden protokolliert, das Unternehmen kann die Protokolle einsehen. Wer das Unternehmen oder den Dienstleister verlässt, verliert den Zugang noch am selben Tag. Offene RDP-Ports im Internet, geteilte Admin-Passwörter in einer Excel-Liste und ein seit Jahren installiertes Fernwartungstool, das niemand mehr pflegt, sind dagegen genau die Punkte, die wir bei Prüfungen immer wieder finden und abstellen.

So unterstützen wir dich

Unsere Fernwartung arbeitet nach diesen Grundsätzen: Freigabe durch dich, persönliche Konten mit zweitem Faktor, verschlüsselte Verbindungen und Protokollierung jeder Sitzung. Wir prüfen auch bestehende Fernzugänge in deinem Netzwerk und räumen auf, was nicht mehr gebraucht wird. Vor Ort in Osnabrück und Umgebung, entfernter eben per Fernwartung. Mehr auf unserer Seite zur Fernwartung.

Häufige Fragen

Ist Fernwartung nach BSI für kleine Unternehmen Pflicht?

Der IT-Grundschutz ist ein Standard des BSI, an dem du dich orientieren kannst. Wer seine Fernwartung danach ausrichtet, kann gegenüber Kunden und Versicherern nachvollziehbar zeigen, wie die Zugänge abgesichert sind.

Darf der Dienstleister jederzeit auf meine Systeme zugreifen?

Wir empfehlen Zugänge nur bei Bedarf oder in definierten Zeitfenstern, mit Freigabe durch das Unternehmen. Dauerhaft offene Zugänge sollten die Ausnahme sein und vertraglich geregelt werden.

Reicht ein Passwort für den Fernzugang?

Nein. Das BSI rät für externe Zugriffe in der Regel zu VPN mit Zwei-Faktor-Authentisierung. Ein Passwort allein ist zu leicht zu erraten oder abzugreifen.

Was muss im Vertrag mit dem Dienstleister stehen?

Die technischen Vorgaben für die Fernwartung, also Verschlüsselung, Authentisierung, Freigabe und Protokollierung, und bei personenbezogenen Daten zusätzlich ein Vertrag zur Auftragsverarbeitung.

Quellen