Standardkennwörter
Werkseitige oder allgemein bekannte Zugangsdaten können unbefugte Änderungen an Gerät, Adressbuch und Netzwerkfunktionen ermöglichen.
Sichere Netzwerkanbindung für Drucker und Multifunktionsgeräte
Drucker sicher ins Firmennetzwerk einbinden
Moderne Drucker und Multifunktionsgeräte sind vernetzte IT-Systeme. Sie kommunizieren mit Arbeitsplätzen, Servern, E-Mail-Diensten, Verzeichnisdiensten und teilweise mit Cloud-Plattformen. Eine sichere Einbindung beginnt deshalb nicht mit dem Einstecken des Netzwerkkabels, sondern mit einer geplanten Konfiguration von Netzwerk, Zugängen, Protokollen, Firmware und Verantwortlichkeiten.
Eigener Netzwerkbereich
Sichere Protokolle und Zertifikate
Klare Benutzer- und Administratorrechte
Dokumentierte Konfiguration
✓
Herstellerübergreifende Beratung
✓
LAN, WLAN und Scan-Ziele
✓
Firmware und Zertifikate
✓
Vor-Ort-Unterstützung möglich
Welche Risiken bei einer unkontrollierten Einbindung entstehen können
Ungeänderte Standardzugänge, unnötige Netzwerkdienste und fehlende Trennung können die Angriffsfläche erhöhen und vertrauliche Druck- und Scandaten gefährden.
Zu breite Erreichbarkeit
Ist das Gerät aus unnötig vielen Netzen erreichbar, können Administration, Druckdienste oder Weboberflächen unnötig exponiert sein.
Unsichere Protokolle
Unverschlüsselte oder veraltete Dienste können Zugangsdaten, Druckaufträge oder Verwaltungsinformationen unzureichend schützen.
Fehlende Pflege
Veraltete Firmware, abgelaufene Zertifikate und nicht überprüfte Konten können über längere Zeit unbemerkt bestehen bleiben.
Ein Drucker sollte wie ein Netzwerkgerät behandelt werden
Die Einbindung sollte mit der IT abgestimmt, auf den erforderlichen Funktionsumfang begrenzt und nachvollziehbar dokumentiert werden. Nicht benötigte Dienste und Schnittstellen sollten deaktiviert werden, sofern dies mit dem Gerätemodell und dem Betriebskonzept vereinbar ist.
So wird ein Drucker kontrolliert ins Firmennetzwerk eingebunden
Der konkrete Aufbau richtet sich nach Standort, Schutzbedarf, Gerätemodell, Benutzerstruktur und vorhandener IT-Infrastruktur.
Bedarf erfassen
Drucken, Scannen, Fax, Cloud-Funktionen, Benutzergruppen und Schutzbedarf festlegen.
Netz planen
VLAN oder Netzwerksegment, IP-Adresse, DNS, Gateway und erlaubte Kommunikationswege bestimmen.
Zugänge absichern
Administratorkennwort ändern, Rollen begrenzen und unnötige lokale Konten entfernen.
Dienste härten
Nicht benötigte Protokolle deaktivieren und sichere Varianten für Verwaltung, Drucken und Monitoring nutzen.
Funktionen testen
Druck, Scan, Authentifizierung, E-Mail, Adressbuch und Fehlerfälle kontrolliert prüfen.
Dokumentieren
Konfiguration, Verantwortliche, Firmwarestand, Zertifikate und Wartungsprozess festhalten.
Netzwerk, Kommunikation und Betrieb gemeinsam absichern
Eine wirksame Konfiguration kombiniert technische Einstellungen mit klaren organisatorischen Zuständigkeiten.
Netzwerkstruktur
Segmentierung und Erreichbarkeit
Das Gerät erhält nur die Verbindungen, die für seinen Zweck tatsächlich benötigt werden.
- Eigenes VLAN prüfen: Drucksysteme können in einem getrennten Netzwerkbereich verwaltet werden.
- Firewall-Regeln: Kommunikation nur zwischen erforderlichen Clients, Servern und Diensten erlauben.
- Feste Zuordnung: IP-Adresse, DNS-Name und Standort eindeutig dokumentieren.
Sichere Kommunikation
TLS, Zertifikate und SNMPv3
Verwaltung und Datenübertragung sollten mit den sichersten vom Gerät unterstützten Verfahren erfolgen.
- HTTPS verwenden: Webadministration möglichst verschlüsselt aufrufen und unsichere Varianten deaktivieren.
- Zertifikate pflegen: Vertrauenswürdige Zertifikate einsetzen und Ablaufdaten überwachen.
- SNMPv3 bevorzugen: Monitoring mit Authentifizierung und Verschlüsselung konfigurieren, sofern unterstützt.
Dauerhafter Betrieb
Firmware, Konten und Protokolle
Eine sichere Ersteinrichtung bleibt nur wirksam, wenn sie regelmäßig geprüft wird.
- Firmwarepflege: Sicherheitsupdates regelmäßig bewerten und kontrolliert einspielen.
- Kontenprüfung: Administratoren, Servicezugänge und Verzeichnisanbindungen aktuell halten.
- Protokollierung: Relevante Ereignisse und Konfigurationsänderungen nachvollziehbar erfassen.
Was vor und nach der Netzwerkanbindung geprüft werden sollte
Die Checkliste unterstützt bei einer strukturierten Übergabe an IT, Benutzer und Service.
Technische Konfiguration
- ✓ Administratorkennwort geändert und sicher dokumentiert
- ✓ IP-Adresse, DNS-Name, Gateway und Zeitserver geprüft
- ✓ Nicht benötigte Dienste, Ports und Schnittstellen deaktiviert
- ✓ HTTPS, TLS und Zertifikate passend eingerichtet
- ✓ SNMP und Monitoring auf erforderliche Systeme begrenzt
- ✓ Firmwarestand und verfügbare Sicherheitsupdates geprüft
Funktionen und Organisation
- ✓ Druckfreigaben, Treiber und Benutzergruppen getestet
- ✓ Scan-to-Mail, Scan-to-Folder und Adressbuch kontrolliert
- ✓ SMTP-, SMB- oder Verzeichniszugänge mit minimalen Rechten eingerichtet
- ✓ Verantwortliche für Firmware, Zertifikate und Konten benannt
- ✓ Service- und Fernzugriffe geregelt und dokumentiert
- ✓ Konfigurations- und Übergabeprotokoll abgelegt
Hinweis: Welche Einstellungen verfügbar und sinnvoll sind, hängt vom konkreten Gerät, der Firmware, dem Schutzbedarf und der bestehenden Netzwerkarchitektur ab. Änderungen sollten mit der zuständigen IT abgestimmt und vor dem produktiven Einsatz getestet werden.
Drucker und Multifunktionsgeräte sicher in Ihre IT integrieren
TAS unterstützt bei Bestandsaufnahme, Netzplanung, Gerätekonfiguration, Scan- und Druckfunktionen, Firmwarepflege sowie bei der dokumentierten Übergabe an Ihre IT und Benutzer.
Drucker sicher im Firmennetzwerk betreiben
Sollte ein Drucker ein eigenes VLAN erhalten?
Eine Trennung kann sinnvoll sein, besonders bei mehreren Geräten oder erhöhtem Schutzbedarf. Entscheidend sind kontrollierte Firewall-Regeln und nur die Kommunikationswege, die für Drucken, Scannen, Verwaltung und Monitoring tatsächlich erforderlich sind.
Ist eine feste IP-Adresse notwendig?
Eine feste oder zentral reservierte Adresse erleichtert Verwaltung, Druckwarteschlangen, Monitoring und Dokumentation. Die konkrete Vergabe sollte zur IP- und DHCP-Strategie des Unternehmens passen.
Welche Protokolle sollten deaktiviert werden?
Nicht benötigte Dienste sollten deaktiviert werden. Welche dies sind, hängt vom Gerät und den genutzten Funktionen ab. Unsichere oder veraltete Varianten sollten möglichst durch aktuelle, verschlüsselte Verfahren ersetzt werden.
Warum ist SNMPv3 besser als ältere SNMP-Versionen?
SNMPv3 kann Authentifizierung und Verschlüsselung unterstützen. Ältere Varianten arbeiten häufig mit einfachen Community-Namen und bieten weniger Schutz. Voraussetzung ist, dass Gerät und Monitoring-System SNMPv3 unterstützen.
Wie wird Scan-to-Mail sicher eingerichtet?
SMTP-Verbindung, Verschlüsselung, Authentifizierung, Absenderkonzept, Zertifikate und Empfängerrechte sollten abgestimmt werden. Das verwendete Konto sollte nur die benötigten Berechtigungen besitzen.
Kann TAS die Netzwerkintegration übernehmen?
TAS unterstützt bei Geräteaufnahme, IP- und Netzplanung, Konfiguration von Druck- und Scan-Funktionen, Firmwareprüfung, Tests und Dokumentation. Firewall-, Server- und Verzeichnisänderungen erfolgen in Abstimmung mit der zuständigen IT.
Fachliche Orientierung: BSI-Grundschutz für Drucker, Kopierer und Multifunktionsgeräte sowie allgemeine Empfehlungen zu sicheren Netzwerkdiensten, starken Zugangsdaten, verschlüsselter Kommunikation und regelmäßiger Firmwarepflege. Der konkrete Funktionsumfang ist am eingesetzten Gerät zu prüfen. Diese Seite stellt keine Rechtsberatung dar.
Offizielle Grundlagen: BSI SYS.4.1 · CISA Hardening Guidance
Offizielle Grundlagen: BSI SYS.4.1 · CISA Hardening Guidance