Eine Sicherheitsbasis für Apple-Geräte

Verlangen Sie auf jedem Gerät einen Code. Wie stark er sein muss, hängt davon ab, wie sensibel die Daten darauf sind. Schalten Sie ausserdem FileVault auf jedem Mac ein. FileVault schützt einen verlorenen Mac. Vergisst aber jemand das Passwort und fehlt der Wiederherstellungsschlüssel, können Sie den Zugriff auf den Mac verlieren. Hinterlegen Sie deshalb jeden Wiederherstellungsschlüssel an einem sicheren Ort, zum Beispiel im MDM, und testen Sie eine Wiederherstellung mit einer dafür berechtigten Person. Nur wenige Personen sollten diese Schlüssel abrufen dürfen, denn wer den Schlüssel hat, kommt an die Daten auf dem Mac.

Schützen Sie Geschäftskonten mit starker Authentifizierung, damit niemand allein mit einem gestohlenen Passwort hineinkommt. Geben Sie den Mitarbeitenden die Rechte, die sie für ihre Arbeit brauchen. Trennen Sie Administratorkonten von den normalen Arbeitskonten und prüfen Sie die Rechte, wenn jemand eine neue Funktion übernimmt.

Legen Sie eine Mindestversion für macOS, iOS und iPadOS fest und eine Frist für jedes Update. Richten Sie beides nach dem Risiko und danach, was Ihre Apps unterstützen. Ein Update, das eine bereits ausgenutzte Lücke schliesst, kann nicht so lange warten wie ein Funktionsupdate. Ist die Frist abgelaufen, prüfen Sie die Version, die jedes Gerät meldet, und gehen Sie den Geräten nach, die das Update nicht installiert haben. Browser und Geschäfts-Apps bekommen ebenfalls Sicherheitsupdates. Verfolgen Sie diese Updates genauso.

Gatekeeper und XProtect sind in macOS eingebaut, und Apple aktualisiert sie auch zwischen den macOS-Versionen. Achten Sie darauf, dass Ihre Update-Einstellungen diese Hintergrund-Updates zulassen. Verlangt Ihre Risikobeurteilung zusätzlich ein Tool zur Bedrohungserkennung (EDR), testen Sie es auf Ihrer eigenen Hardware und Software, bevor Sie es ausrollen. Solche Tools brauchen Systemerweiterungen und Datenschutzberechtigungen, und ein Konflikt mit einem anderen Tool zeigt sich vielleicht erst auf Ihren Geräten.

Verteilen Sie Apps über einen vereinbarten Ablauf und aus Quellen, denen Sie vertrauen. Bevor Sie eine App freigeben, prüfen Sie die Systemerweiterungen und Datenschutzberechtigungen, die sie verlangt, und welchen Zugriff der Anbieter erhält. Auch eine freigegebene App kann Daten preisgeben, wenn sie schlecht eingerichtet ist. Schauen Sie sich deshalb auch ihre Einstellungen an.

Nutzen Sie verschlüsselte Verbindungen und regeln Sie den Netzwerkzugriff pro Dienst. Testen Sie die Zugriffsregeln, die prüfen, wer sich anmeldet und in welchem Zustand das Gerät ist. Eine pauschale VPN-Regel kann ein gestohlenes Konto oder eine App, die Daten abfliessen lässt, übersehen. Sie regelt nur, über welchen Weg die Verbindung läuft.

Führen Sie eine Liste der Geräte, die sich länger nicht gemeldet haben, nicht verschlüsselt sind oder eine Version nutzen, die Sie nicht mehr unterstützen. Entscheidet der Compliance-Status darüber, wer Zugriff erhält, prüfen Sie zuerst, wie aktuell der Bericht ist. Geben Sie jeder Ausnahme eine verantwortliche Person und ein Ablaufdatum.

Erkennt Ihr Sicherheitspaket auch Angriffe, klären Sie, welche Komponente diese Aufgabe übernimmt, und bestimmen Sie, wer ihre Warnmeldungen erhält.

Halten Sie schriftlich fest, wie Mitarbeitende ein verlorenes Gerät melden, wie Sie die offenen Sitzungen auf dem Gerät beenden und wie die betroffene Person weiterarbeiten kann. Testen Sie eine Wiederherstellung aus Ihren Backups, solange noch nichts davon abhängt. Legen Sie im Voraus fest, wann Sie ein Gerät als Beweismittel aufbewahren, wann Sie es vom Netzwerk trennen und wann Sie es löschen.

Ein Befehl zum Sperren oder Löschen aus der Ferne wirkt erst, wenn das Gerät ihn erhält. Dafür muss es online und noch verwaltet sein. Prüfen Sie, ob der Befehl ausgeführt wurde, und legen Sie fest, was mit einem Gerät geschieht, das nicht mehr online kommt. Geben Sie den Mitarbeitenden eine klare Anlaufstelle für Sicherheitsvorfälle.

Apple Platform Deployment · Software updates