# Einen Pool für sensible Daten härten
Typ: Checkliste
Herkunft: rds-avd-operations / security-hardening / rds-avd-sec-hardening-sequence
Version: rds-avd-sec-hardening-sequence-2026-09-13
Geprüft: 2026-09-13

ACHTUNG: Dieses Dokument ist ein Lernartefakt aus einer Schulungssequenz. Es ist kein produktives Runbook. Vor jeder Anwendung in einer realen Umgebung müssen die Schritte gegen lokale Dokumentation, Runbooks und Freigabestatus geprüft werden.

## Szenario
Ein neuer Pool soll personenbezogene Daten verarbeiten. Die Nutzergruppe gehört einer Abteilung an, braucht keine Administratorrechte und tauscht Dateien mit anderen Fachbereichen aus. Die Härtung soll so geplant werden, dass unumkehrbare Entscheidungen zuerst fallen und keine Sperre ohne Ersatz bleibt.

## Schritte
1. Pooltyp und Mandantentrennung aus dem Vertrauensniveau ableiten — beides ist an die Erstellung gebunden.
2. Anwendungssteuerung auf Geräteebene einrichten, weil die Veröffentlichung als RemoteApp nichts begrenzt.
3. Administrative Pfade trennen: kein lokaler Administrator, kein offenes 3389, Zugriff nur just-in-time.
4. Wirksamen Zustand der Geräteumleitungen mit einem Testkonto messen statt aus Standardwerten ableiten.
5. Umleitungen einzeln schließen und für jeden geschlossenen Bedarf einen Ersatzweg benennen.
6. Endpunktschutz mit Containerausnahmen, Schwachstellenbewertung und Protokollsammlung einrichten.

## Begründung
Warum: Härtung wird nach Bindungswirkung geordnet, nicht nach Aufwand: Zuerst das, was sich später nur durch Neubau ändern lässt, dann das, was eine Grenze überhaupt erst herstellt, und erst danach die Feineinstellungen. Wer mit den Umleitungen beginnt, diskutiert Details, während die tragenden Entscheidungen noch offen sind.
Folgen: **+** Die teuren Entscheidungen fallen bewusst und zuerst, und jede Sperre bekommt ihren Ersatzweg. **−** Die Reihenfolge verzögert sichtbare Ergebnisse: Umleitungen zu schließen ist das, was ein Prüfbericht als Erstes sehen will, steht hier aber weit hinten. Das muss man gegenüber der Prüfung erklären können.

## Quellen
1. https://learn.microsoft.com/en-us/azure/virtual-desktop/security-guide
2. https://learn.microsoft.com/en-us/azure/virtual-desktop/customize-rdp-properties