Offener Sicherheitsstandard für Windows
Windows lässt jedes Programm ins Netz. EDEP legt fest, wer darf.
EDEP beschreibt, was ein Windows-Rechner technisch erzwingen muss: ausgehender Verkehr nur für zugelassene Programme, Telemetrie auf das Minimum der Edition, jede Blockade lokal protokolliert. Jede Aussage ist belegt, jede bekannte Grenze steht dabei.
Das Problem, in Microsofts eigenen Worten
Die Windows-Firewall blockiert eingehende Verbindungen, ausgehende aber standardmäßig nicht. Microsoft empfiehlt das ausdrücklich so:
„It's recommended to allow outbound by default for most deployments for the sake of simplification with app deployments, unless the organization prefers tight security controls over ease-of-use.“
Microsoft Learn, Windows Firewall Rules, Abschnitt „Outbound rules considerations“
Die Folge
Was einmal auf dem Rechner läuft, darf senden: Schadcode, eine kompromittierte Erweiterung, ein Skript aus einem Makro. Virenschutz erkennt vieles, aber nicht alles. Was unerkannt bleibt, darf ungehindert Daten hinausschicken.
Die Alternative
Microsoft selbst nennt ausgehendes Blockieren eine Option „for certain highly secure environments“. EDEP macht daraus einen prüfbaren Standard, statt es jedem Administrator selbst zu überlassen.
Der Preis
Jedes Programm braucht eine Freigabe. Das ist Aufwand, und EDEP verschweigt ihn nicht. Das Audit zeigt zuerst, wo ein Rechner heute steht.
Kostenloses Audit: Wie offen ist dein Windows?
Eine Minute, keine Installation, keine Änderung am System. Ergebnis: eine Punktzahl von 0 bis 100 und zu jedem offenen Punkt eine Begründung mit konkreter Empfehlung.
# In PowerShell (für das vollständige Ergebnis als Administrator)
git clone https://github.com/AndreZ1971/EDEP
cd EDEP\baseline\L1
.\Invoke-EdepAudit.ps1 -Open
Ohne Git:
ZIP laden, entpacken und vorher
Set-ExecutionPolicy -Scope Process Bypass
ausführen. Die Skripte sind noch nicht signiert; das steht auf
der
Roadmap. Den Code kann jeder vorher lesen, er ist kurz.
- Ändert nichts. Nur lesende Abfragen. Nachprüfbar per Vorher-Nachher-Vergleich der Firewall-Konfiguration.
- Läuft ohne Adminrechte. Was dann nicht prüfbar ist, wird so benannt und nicht bewertet.
- 24 Prüfpunkte in sechs Kategorien: ausgehender und eingehender Verkehr, Programmkontrolle, Telemetrie, Protokollierung, Angriffsfläche.
- Deutsch und Englisch, nach Windows-Anzeigesprache.
- Sendet nichts. Der Bericht ist eine lokale HTML-Datei.
Nicht glauben, prüfen
Ein Sicherheitsstandard ist nur so gut wie seine Belege. Diese Zahlen werden bei jeder Veröffentlichung dieser Seite automatisch mit dem Repository abgeglichen; weicht eine ab, wird die Seite nicht veröffentlicht.
Offen heißt: noch nicht gemessen, nicht reproduziert oder (Rust-Agent) noch nicht gebaut. Das Nachweisregister nennt für jeden offenen Punkt den Prüfweg. Wer ihn durchläuft, hilft dem Projekt: Selbst prüfen.
Drei Stufen
Jede Stufe ist erreicht, wenn alle ihre Pflichtanforderungen ihre Tests bestehen. Teilerfüllung ist keine Konformität.
L1 Baseline verfügbar
Nur Windows-Bordmittel: Firewall mit ausgehendem Standard-Block, App Control, Telemetrie-Richtlinien, Protokollierung. Anwenden, prüfen (15 automatische Prüfungen) und vollständig zurücknehmen per Skript.
L2 Enforced in Entwicklung
Netzwerkrechte an die kryptografische Identität eines Programms gebunden (Signatur oder Hash), persistente und Boot-Time-Filter, Manipulationserkennung. Ohne eigenen Kernel-Treiber.
L3 Isolated geplant
Deterministische Notfall-Isolation bei Köderdatei-Zugriff, Volumenschwelle oder Manipulation. Ein lokales Modell darf nur beraten, nie blockieren.
Was EDEP nicht kann
Diese Grenzen sind Teil des Standards. Eine Implementierung darf nicht behaupten, sie zu überwinden, solange kein Test das belegt.
Außerhalb des Geltungsbereichs
Angreifer mit Administrator- oder Kernel-Rechten · Inhalte verschlüsselter Verbindungen (TLS wird bewusst nicht aufgebrochen) · kompromittierte signierte Software · physischer Zugriff.
Bekannte Umgehungen, zum Beispiel
BITS-Jobs: Jeder Benutzer kann über den Windows-Dienst BITS Dateien laden und senden (MITRE ATT&CK T1197). EDEP L1 kann das nur protokollieren, nicht verhindern.
DNS-Tunnel und Missbrauch erlaubter Programme sind ebenfalls dokumentiert, jeweils mit Test.
Bewusste Abweichungen von Microsoft
| Thema | Microsoft empfiehlt | EDEP verlangt | Preis |
|---|---|---|---|
| Ausgehender Verkehr | erlauben (für die meisten Umgebungen) | blockieren, Freigabe je Programm | Jede Anwendung braucht eine Freigabe |
| Diagnosedaten | mindestens „Required“ bei Nutzung von Windows Update | niedrigste Stufe der Edition | Keine Update-Fehlerdaten an Microsoft (Enterprise/Education/Server) |
Telemetrie-Endpunkt settings-win |
nicht sperren | Telemetriedienst vollständig sperren | Einstellungen nicht mehr fernsteuerbar |
Begründungen: Designentscheidungen, DD-12.
Mitmachen
Durchlauf wiederholen
Vollständige L1-Durchläufe liegen für Windows 11 Enterprise, Pro und Home (je in einer VM) vor und haben Mängel gefunden, die offen dokumentiert sind. Gesucht: die Wiederholung durch Dritte, auch auf echter Hardware. Die Anleitung nennt jeden Befehl und jedes erwartete Ergebnis; so meldest du eine Wiederholung.
Lücke gefunden?
Bitte vertraulich melden: Schwachstelle melden. Bestätigte Funde werden mit Nennung in den Errata verzeichnet.
Quelle falsch zitiert?
Jede Quelle ist verlinkt. Stimmt eine Zuschreibung nicht, ist das ein Fehler in EDEP: Issue eröffnen.