Architektur-Standards
Das Standard-Design für Concat-Kundenprojekte — gruppiert nach Bereichen. Diese Entscheidungen bilden die Baseline für jedes High-Level Design (HLD). Abweichungen sind erlaubt, müssen aber im Decision Log dokumentiert werden.
Identität & Access
Identität & Access
| Entscheidung | Concat Standard | Ausnahme erlaubt? | Details |
|---|---|---|---|
| Join-Typ | Entra ID Join (Cloud-native) | Ja — bei Legacy-Apps, die AD-Computerobjekte benötigen | Entra ID Setup |
| Authentifizierung | Passwordless (WHfB + FIDO2) | Ja — Kennwort + MFA in Übergangsphase | Ziel: 100% Passwordless innerhalb 12 Monaten |
| MFA-Methode | Microsoft Authenticator (Push + Number Matching) | Ja — TOTP als Fallback, SMS nur für Break-Glass | Security Baselines |
| Conditional Access | 7 Baseline-Policies (CA-001 bis CA-007) | Anpassung erlaubt, Deaktivierung nicht | Entra ID Setup |
| Break-Glass | 2x Cloud-only Global Admin, FIDO2 + 30-Zeichen-PW | Nein — unverrückbarer Standard | Im Safe aufbewahren, quartalsweise testen |
| Lizenzierung | Gruppenbasierte Zuweisung (Entra ID) | Nein — keine manuelle Lizenzzuweisung | Dynamische Gruppen bevorzugen |
UnverrĂĽckbare Mindeststandards
Diese Einstellungen gelten ausnahmslos bei jedem Kunden — auch auf expliziten Kundenwunsch dürfen sie nicht deaktiviert werden:
| # | Standard | BegrĂĽndung |
|---|---|---|
| 1 | BitLocker Verschlüsselung | Datenschutzpflicht (DSGVO), Schutz bei Geräteverlust |
| 2 | Tamper Protection (Defender) | Verhindert Malware-gesteuerte Deaktivierung des Virenschutzes |
| 3 | Legacy Authentication Block (CA-003) | Schließt das größte Sicherheitsrisiko bei Cloud-Identitäten |
| 4 | Break-Glass Accounts (2x) | Verhindert komplett-Aussperrung aus dem Tenant |
| 5 | Kein lokaler Admin für Endbenutzer | Massiv reduzierte Angriffsfläche, Schatten-IT-Vermeidung |
| 6 | Windows Firewall aktiviert | Basis-Netzwerkschutz auf jedem Gerät |
| 7 | MFA erzwungen (CA-001) | SchĂĽtzt gegen 99,9% der Identity-Angriffe |
Caution
Risikoübernahme durch den Kunden: Sollte ein Kunde auf der Deaktivierung eines Mindeststandards bestehen, muss die Risikoübernahme schriftlich dokumentiert und vom Kunden unterschrieben werden. Dies wird zusätzlich im Decision Log festgehalten.
Last updated on