macOS im Unternehmen absichern: Warum auch Mac-Rechner gehärtet werden müssen

Apple hat kürzlich für mehrere macOS-Versionen einen dringenden Patch veröffentlicht: Eine Schwachstelle im Bildschirmfreigabe-Dienst erlaubte unautorisierten Zugriff auf Mac-Rechner im internen Netzwerk – ganz ohne Anmeldedaten. Für viele Unternehmen ist das ein Weckruf, denn macOS-Sicherheit wird in der Praxis oft stiefmütterlich behandelt. Wer glaubt, ein Mac sei allein durch sein Betriebssystem geschützt, unterschätzt das Risiko in der eigenen Firma.

Warum macOS im Unternehmen oft ein blinder Fleck ist

In vielen KMU konzentriert sich die IT-Sicherheit fast ausschließlich auf Windows-Server, Gruppenrichtlinien und Domänen-Verwaltung. Mac-Rechner tauchen oft nur vereinzelt auf – bei der Geschäftsführung, im Design-Team oder bei Entwicklern – und laufen an der zentralen IT-Steuerung vorbei. Das Vorurteil “Mac ist sicherer als Windows” hält sich hartnäckig, ist aber gefährlich: macOS hat weniger Angriffe zu verzeichnen, weil es seltener im Unternehmenseinsatz ist – nicht, weil es grundsätzlich unangreifbar wäre. Sobald ein Mac ohne zentrales Management, ohne Update-Kontrolle und ohne Härtung im Firmennetz hängt, ist er ein ebenso attraktives Ziel wie jeder Windows-Client.

Der aktuelle Fall: Die Bildschirmfreigabe-Lücke

Der jüngste macOS-Patch schließt eine Lücke im Dienst für die Bildschirmfreigabe. Betroffen war die Möglichkeit, sich ohne gültige Zugangsdaten auf einen Mac im selben Netzwerksegment aufzuschalten – etwa um Dateien einzusehen oder Aktionen fernzusteuern. Kritisch wird das vor allem dann, wenn Firmennetze nicht sauber segmentiert sind: Sitzt ein Gäste-WLAN im gleichen Netz wie die Arbeitsplatzrechner, oder wurde ein anderes Gerät im Netzwerk bereits kompromittiert, kann ein Angreifer solche Lücken direkt ausnutzen, um sich lateral zu weiteren Systemen vorzuarbeiten.

Für ostdeutsche KMU, die häufig mit gewachsenen, wenig segmentierten Netzwerken arbeiten, ist das ein reales Risiko – unabhängig davon, ob im Unternehmen zehn oder hundert Mac-Rechner im Einsatz sind.

macOS-Härtung für Unternehmen – die wichtigsten Maßnahmen

1. Updates konsequent und zeitnah einspielen

Apple veröffentlicht Sicherheitsupdates in der Regel zügig, sobald eine Lücke bekannt wird. Das nützt aber nichts, wenn Updates in der Firma nicht kontrolliert ausgerollt werden. Ohne zentrale Steuerung bleibt es dem einzelnen Mitarbeiter überlassen, ob und wann ein Update installiert wird – ein klassisches Einfallstor.

2. Nicht benötigte Freigabedienste deaktivieren

Bildschirmfreigabe, Dateifreigabe, Fernanmeldung (SSH) und Remote-Verwaltung sind unter macOS standardmäßig oft aktivierbar, aber selten wirklich notwendig. Jeder aktive Freigabedienst vergrößert die Angriffsfläche. Als Grundregel gilt: Nur aktivieren, was aktiv gebraucht wird – und auch das nur mit sauberer Authentifizierung.

3. FileVault-Festplattenverschlüsselung aktivieren

Geht ein Notebook verloren oder wird gestohlen, entscheidet die Festplattenverschlüsselung darüber, ob Firmendaten in fremde Hände geraten. FileVault ist in macOS integriert, aber nicht immer standardmäßig aktiv – gerade bei privat beschafften oder älteren Geräten lohnt sich eine Prüfung.

4. Firewall aktivieren und Netzwerke sauber trennen

Die integrierte macOS-Firewall sollte grundsätzlich aktiv sein. Mindestens ebenso wichtig ist die Netzwerksegmentierung: Mac-Arbeitsplätze gehören nicht in dasselbe Segment wie Gäste-WLAN oder IoT-Geräte. So bleibt der Schaden begrenzt, selbst wenn eine Lücke wie die aktuelle Bildschirmfreigabe-Schwachstelle ausgenutzt wird.

5. Zentrales Geräte-Management (MDM) auch für Mac einführen

Für Windows-Umgebungen ist eine zentrale Verwaltung über Active Directory oder Intune für viele KMU selbstverständlich. Für Mac-Flotten gibt es vergleichbare Lösungen wie Jamf oder Kandji, mit denen sich Updates, Sicherheitsrichtlinien und Verschlüsselung zentral durchsetzen lassen – statt auf die Eigeninitiative einzelner Mitarbeiter zu vertrauen.

6. Admin-Rechte konsequent einschränken

Mitarbeiter sollten im Alltag mit einem Standardkonto ohne Administratorrechte arbeiten. Getrennte Admin-Accounts für IT-Aufgaben reduzieren das Risiko, dass Schadsoftware mit vollen Systemrechten ausgeführt wird.

7. Gatekeeper und XProtect aktiv lassen

Die integrierten Schutzmechanismen von macOS gegen nicht signierte oder bekannte Schadsoftware sollten niemals aus Bequemlichkeit deaktiviert werden – auch nicht, um eine einzelne unsignierte Anwendung zu installieren.

Praxis: So gehen Unternehmen vor

1. Inventarisieren: Erfassen Sie alle Mac-Geräte im Unternehmen – auch solche, die nicht offiziell von der IT beschafft wurden.
2. Update-Richtlinie festlegen: Definieren Sie, in welchem Zeitfenster Sicherheitsupdates verpflichtend einzuspielen sind.
3. Freigabedienste prüfen: Gehen Sie jeden Mac durch und deaktivieren Sie nicht benötigte Dienste in den Systemeinstellungen.
4. Verschlüsselung und Firewall aktivieren: FileVault und die macOS-Firewall auf allen Geräten einschalten.
5. MDM einführen: Auch bei wenigen Mac-Geräten lohnt sich eine zentrale Verwaltung, sobald sensible Firmendaten im Spiel sind.
6. Netzwerksegmentierung umsetzen: Trennen Sie Arbeitsplatzrechner konsequent von Gäste- und IoT-Netzen.

Rexoma unterstützt KMU in Dresden bei gemischten IT-Umgebungen

Sie setzen in Ihrem Unternehmen in Dresden oder Sachsen Mac-Rechner ein und sind unsicher, ob diese ausreichend abgesichert sind? Rexoma betreut IT-Infrastrukturen von KMU in ganz Ostdeutschland – unabhängig davon, ob Windows, Linux oder macOS im Einsatz sind. Wir übernehmen die Härtung Ihrer Endgeräte, richten zentrales Geräte-Management ein und sorgen für eine saubere Netzwerksegmentierung, damit einzelne Sicherheitslücken nicht zum Einfallstor für Ihr gesamtes Netzwerk werden.

FAQ

Sind Mac-Rechner grundsätzlich sicherer als Windows-Geräte? Nein. macOS hat historisch weniger Angriffe erlebt, weil es im Unternehmensumfeld seltener eingesetzt wird – nicht, weil es unangreifbar wäre. Ohne Härtung und zentrale Verwaltung ist ein Mac im Firmennetz genauso gefährdet wie ein Windows-Client.

Lohnt sich ein MDM für nur wenige Mac-Geräte? Ja, sobald Firmendaten auf den Geräten liegen. Schon bei fünf bis zehn Macs lässt sich der Aufwand für manuelle Konfiguration und Update-Kontrolle kaum noch zuverlässig ohne zentrale Verwaltung leisten.

Was bringt FileVault konkret? FileVault verschlüsselt die gesamte Festplatte. Geht ein Gerät verloren oder wird gestohlen, sind die Daten ohne den Verschlüsselungscode nicht auslesbar – ein wichtiger Baustein gegen Datenlecks.

Wie oft sollten macOS-Sicherheitsupdates eingespielt werden? Kritische Sicherheitsupdates sollten innerhalb weniger Tage nach Veröffentlichung ausgerollt werden, idealerweise automatisiert über ein zentrales Management statt manuell durch die Mitarbeiter.

Betreut Rexoma auch gemischte Windows- und Mac-Umgebungen? Ja. Viele KMU in Dresden und Sachsen setzen heute auf eine Mischung aus Windows-, Linux- und Mac-Geräten. Rexoma entwickelt für solche heterogenen Umgebungen eine einheitliche Sicherheitsstrategie.