CompTIA SY0-701: Endpunkt-, Mobilgeräte- & Physische Sicherheit — Lernleitfaden

By Laurynas Brazys · 20 July 2026 · #comptia #sy0-701 #certification #exam-prep #study-guide

Teil des CompTIA Security+ SY0-701 — Lernleitfaden. Üben Sie mit verifizierten Antworten im CompTIA-Prüfungscenter, oder absolvieren Sie zeitlich begrenzte Übungstests auf ExamRoll.io.

Die Sicherheit von Informationssystemen hängt letztlich von der Sicherheit der physischen und Endgeräte ab, die Daten speichern und verarbeiten. Eine perfekt konfigurierte Firewall bietet wenig Schutz, wenn ein unverschlüsselter Laptop aus einer Flughafenlounge gestohlen wird, wenn ein Techniker aus Bequemlichkeit eine Rechenzentrumstür offen stehen lässt oder wenn ein Mitarbeiter eine kompromittierte APK per Sideloading auf ein Firmentelefon lädt.

Mobile Bereitstellungsmodelle und Gerätehärtung

Die Strategie für die Verwaltung mobiler Geräte beginnt mit Eigentums- und Kontrollmodellen. In einem Bring Your Own Device (BYOD)-Modell verwenden Mitarbeiter ihre private Hardware für die Arbeit. Die Organisation hat nur begrenzte Befugnisse, Konfigurationen durchzusetzen, daher konzentrieren sich die Kontrollen auf die Containerisierung – die Trennung von Unternehmensdaten in einen verschlüsselten, fernverwaltbaren Arbeitsbereich (wie Android Work Profile oder iOS User Enrollment), während persönliche Daten unberührt bleiben. Die Fernlöschung bei BYOD ist typischerweise auf den Unternehmens-Container beschränkt.

Corporate-Owned, Personally Enabled (COPE)-Geräte werden von der Organisation gekauft und gehören ihr, erlauben aber eine angemessene private Nutzung. Da das Unternehmen Eigentümer der Hardware ist, kann es vollständige Geräterichtlinien durchsetzen: vorgeschriebene PIN-Komplexität, deaktivierte Entwickleroptionen, erzwungene Betriebssystemversionen, Anwendungs-Allowlisting und die vollständige Fernlöschung des Geräts. COPE schafft eine Balance zwischen Benutzerzufriedenheit und Unternehmenskontrolle.

Corporate-Owned, Business Only (COBO) beschränkt Geräte auf die ausschließlich geschäftliche Nutzung. Private Apps, Kameras, USB-Übertragung und App-Stores sind deaktiviert. COBO eignet sich für Hochsicherheitsumgebungen wie das Gesundheitswesen, den Finanzsektor oder Behörden, wo das Risiko von Datenlecks die Bequemlichkeit der Mitarbeiter überwiegt.

Mobile Device Management (MDM)-Plattformen (Jamf, Microsoft Intune, VMware Workspace ONE) setzen Richtlinien durch, verteilen Konfigurationen, stellen Anwendungen bereit und ermöglichen die Fernlöschung. Mobile Application Management (MAM) konzentriert sich speziell auf Kontrollen auf Anwendungsebene, ohne eine vollständige Geräteregistrierung zu erfordern – nützlich in BYOD-Szenarien, in denen sich Mitarbeiter einer vollständigen MDM-Registrierung widersetzen.

Härtung von Endgeräten und Konfigurations-Baselines

Die Härtung von Endgeräten reduziert die Angriffsfläche von Workstations und Servern. Die CIS Benchmarks bieten präskriptive, konsensbasierte Konfigurationsanleitungen für Windows, Linux, macOS und wichtige Anwendungen. Wichtige Härtungsmaßnahmen umfassen das Deaktivieren unnötiger Dienste und Ports, das Aktivieren hostbasierter Firewalls, das Konfigurieren automatischer Updates, das Aktivieren der vollständigen Festplattenverschlüsselung, die Bereitstellung von EDR und die Durchsetzung von Anwendungs-Allowlisting.

Gruppenrichtlinien in Active-Directory-Umgebungen setzen Konfigurationen in großem Maßstab durch. Eine GPO könnte erzwingen:

Computer Configuration > Windows Settings > Security Settings:
  - Minimum password length: 14 characters
  - Account lockout threshold: 5 invalid attempts
  - Audit logon events: Success and Failure
  - Disable: Guest account, AutoRun/AutoPlay
  - Enable: Windows Firewall (all profiles)

Patch-Management ist die Sicherheitsmaßnahme mit dem höchsten Nutzen für Endgeräte. Die Mehrheit der erfolgreichen Exploits zielt auf bekannte Schwachstellen, für die Patches seit Monaten oder Jahren verfügbar sind. Ein Patch-Management-Programm definiert SLAs nach Schweregrad (kritische Patches innerhalb von 72 Stunden, hohe innerhalb von 14 Tagen, mittlere innerhalb von 30 Tagen), verfolgt die Einhaltung und eskaliert Ausnahmen.

Physische Sicherheitskontrollen

Physische Sicherheit ist die erste Verteidigungslinie. Vereinzelungsanlagen (auch als Schleusen oder Zutrittskontrollvestibüle bezeichnet) schaffen einen Zwei-Türen-Eingang, bei dem die erste Tür schließen muss, bevor sich die zweite öffnet, um Tailgating (unbefugtes Mitschleichen) zu verhindern. Ausweisleser, biometrische Scanner und PIN-Tastaturen kontrollieren den Zugang zu sensiblen Bereichen. Videoüberwachung (CCTV) sorgt für Abschreckung und liefert forensische Beweismittel. Wachpersonal bietet ein menschliches Urteilsvermögen, das automatisierte Systeme nicht nachbilden können.

Umgebungskontrollen schützen vor nicht-gegnerischen Bedrohungen. Rechenzentren erfordern ein präzises Temperatur- und Feuchtigkeitsmanagement (ASHRAE A1-Klasse: 15–32 °C, 20–80 % rF), redundante Kühlung, Brandbekämpfung (Löschgassysteme wie FM-200 oder Novec 1230, die Geräte nicht beschädigen) und Doppelböden für Kabelmanagement und Luftzirkulation.

Faradaysche Käfige blockieren elektromagnetische Signale und verhindern so die drahtlose Kommunikation in einen oder aus einem abgeschirmten Raum. Sie werden in Hochsicherheitsanlagen eingesetzt, um HF-basierte Datenexfiltration zu verhindern, und bei forensischen Untersuchungen, um die Fernlöschung von beschlagnahmten Geräten zu unterbinden.

Praktisches Szenario: Physisches Tailgating führt zu Datendiebstahl

Der Handelsraum eines Finanzdienstleisters hatte einen ausweisgesteuerten Zugang, aber keine Vereinzelungsanlage. Ein Angreifer, der sich als HLK-Techniker ausgab (mit Uniform und Werkzeug), wartete in der Nähe des Eingangs und folgte einem berechtigten Mitarbeiter durch die Tür, als dieser seinen Ausweis vorhielt – ein klassischer Tailgating-Angriff. Im Inneren fand der Angreifer eine unbeaufsichtigte Workstation, die angemeldet war, steckte ein USB-Laufwerk mit einem Keylogger und einer Reverse-Shell-Payload an und verließ den Ort innerhalb von vier Minuten. Der Keylogger zeichnete in der folgenden Woche die Anmeldeinformationen der Händler auf, die verwendet wurden, um von einer externen IP-Adresse aus auf die Handelsplattform zuzugreifen. Das Versagen der physischen Kontrolle – keine Vereinzelungsanlage, keine Richtlinie zur Begleitung von Besuchern, keine Richtlinie für unbeaufsichtigte Workstations – ermöglichte die gesamte Angriffskette. Eine Vereinzelungsanlage hätte vom Angreifer verlangt, sich selbstständig auszuweisen, und eine Bildschirmsperrrichtlinie (Leerlauf-Timeout von 5 Minuten) hätte den Zugriff auf die ungesperrte Workstation verhindert.

← Geschäftskontinuität · Alle Domänen · Schwachstellenmanagement →

Diese Fragen üben → · Zeitlich begrenzte Übung auf ExamRoll.io →