--- title: "AS400 Sicherheit prüfen: Checkliste für IBM i | Wilsch IT-Services" description: "Ist Ihre AS400 sicher eingestellt? 11 Prüfpunkte für IBM i – QSECURITY, Standardkennwörter, \\*PUBLIC, TLS – mit Befehlen und SQL zum Selbstprüfen." url: https://wits.gmbh/ratgeber/as400-sicherheit-pruefen/ --- [Ratgeber](https://wits.gmbh/ratgeber/) · 2\. November 2026 # AS400 Sicherheit prüfen: Checkliste für Ihre IBM i So prüfen Sie die Sicherheit Ihrer AS400 (IBM i): Sicherheitsstufe QSECURITY auf 40 oder 50, keine Standardkennwörter, wenige Profile mit \*ALLOBJ, kein \*PUBLIC \*CHANGE auf Datenbibliotheken, Exit-Points für ODBC und FTP, TLS, ein aktives Audit-Journal und ein unterstütztes Release. Die 11 Punkte unten zeigen Ihnen Befehle und SQL-Abfragen dazu. Ob sich eine Lücke wirklich ausnutzen lässt, zeigt erst ein Penetrationstest. ## Das Wichtigste in Kürze - Die AS400 (auch AS/400, iSeries, System i) heißt heute IBM i. Sie lässt sich sehr gut absichern – wenn die Einstellungen stimmen. - Laut Kisco Systems steuern fast 50 Einstellungen die Kernsicherheit von IBM i. Viele Systeme laufen mit veralteten Werten. - Die häufigsten Lücken: Sicherheitsstufe 30, Standardkennwörter, zu viele Sonderberechtigungen, offene Netzwerkdienste und unverschlüsselte Verbindungen. - Die Grundeinstellungen prüfen Sie mit den 11 Punkten unten selbst. Ob sich eine Lücke ausnutzen lässt, zeigt erst ein [IBM i Penetrationstest](https://wits.gmbh/ibm-i-security/). - Prüfen Sie Ihre IBM i einmal im Jahr. Das hilft Ihnen auch bei den Anforderungen von NIS2. ## Warum Sie die Sicherheit Ihrer AS400 jetzt prüfen sollten Lange galt die AS400 als sicher, weil sie kaum jemand kannte. Das reicht heute nicht mehr. Im April 2025 sagte der IBM-i-Chefarchitekt von IBM in einem [Webinar mit Kisco Systems](https://www.kisco.com/ibm-i-security-a-dual-responsibility.html): Das System wurde in den letzten fünf Jahren häufiger angegriffen als in seiner ganzen Geschichte davor. Das Problem ist selten IBM i selbst. Es sind die Einstellungen. Viele stammen aus der Zeit der Menüsicherheit: Benutzer sehen nur ihr Menü und kommen nicht an die Befehlszeile. Über ODBC, FTP oder eine Netzwerkfreigabe greift diese Sperre aber nicht. Wer dort ein gültiges Profil hat, kommt oft an mehr Daten, als er sollte. Dazu kommt: Viele Einstellungen hat jemand gesetzt, der längst nicht mehr im Unternehmen ist. Niemand weiß mehr genau, warum sie so sind. ## Checkliste: 11 Punkte für Ihre IBM i | Prüfpunkt | Soll-Zustand | So prüfen Sie | | --- | --- | --- | | Sicherheitsstufe | Systemwert QSECURITY steht auf 40 oder 50 | WRKSYSVAL QSECURITY oder SQL-Abfrage unten | | Kennwörter | Kennwortstufe QPWDLVL 2 oder 3, ausreichende Mindest- und Maximallänge | WRKSYSVAL QPWDLVL, QPWDMINLEN, QPWDMAXLEN | | Standardkennwörter | Kein Kennwort entspricht dem Profilnamen | ANZDFTPWD | | Sonderberechtigungen | Nur wenige Profile mit \*ALLOBJ, \*SECADM, \*IOSYSCFG | QSYS2.USER\_INFO | | Öffentliche Berechtigung | \*PUBLIC hat auf Datenbibliotheken nicht \*CHANGE oder \*ALL | DSPOBJAUT, Systemwert QCRTAUT | | Jobbeschreibungen | Keine Jobbeschreibung mit mächtigem Profil, die jeder nutzen darf | WRKJOBD, Sicherheitsstufe | | Netzwerkdienste | ODBC, FTP, DDM und Remote-Befehle sind über Exit-Points geregelt | WRKREGINF | | NetServer-Freigaben | Keine Freigabe von / (Root) mit Schreibrechten | IBM Navigator for i | | Verschlüsselung | 5250, FTP, ODBC und Navigator laufen über TLS, keine alten Protokolle | DCM, Systemwerte QSSLPCL und QSSLCSL | | Audit-Journal | QAUDJRN ist aktiv und wird ausgewertet | Systemwerte QAUDCTL und QAUDLVL | | Release und PTFs | Unterstütztes Release, aktuelle Gruppen-PTFs | WRKPTFGRP, IBM-Lifecycle-Seite | ### 1\. Sicherheitsstufe QSECURITY: 30 oder 40? Der Systemwert QSECURITY legt fest, wie streng IBM i Berechtigungen durchsetzt. IBM und die CIS Benchmarks empfehlen mindestens Stufe 40. Bei Stufe 30 und darunter genügt zum Beispiel das Nutzungsrecht auf eine Jobbeschreibung, um unter dem mächtigen Benutzerprofil darin zu arbeiten. Ab Stufe 40 braucht man zusätzlich das Nutzungsrecht auf dieses Profil. Steht Ihr System noch auf 30, testen Sie den Wechsel auf 40 vorher gründlich. ### 2\. Kennwörter: QPWDLVL, QPWDMINLEN und QPWDMAXLEN Bei Kennwortstufe 0 oder 1 sind Kennwörter höchstens 10 Zeichen lang, und IBM i unterscheidet nicht zwischen Groß- und Kleinschreibung. Viele Systeme begrenzen Kennwörter über QPWDMAXLEN sogar auf 8 Zeichen. Ab Stufe 2 erlaubt IBM i Kennwörter mit bis zu 128 Zeichen. Prüfen Sie auch die Mindestlänge und die Regeln für Ziffern und Sonderzeichen. Ab IBM i 7.6 gibt es außerdem eine eingebaute Mehrfaktor-Anmeldung. ### 3\. Standardkennwörter finden mit ANZDFTPWD Ein Standardkennwort ist ein Kennwort, das dem Profilnamen entspricht. Der Befehl `ANZDFTPWD` listet alle Profile mit Standardkennwort auf. Mit `ACTION(*DISABLE)` sperren Sie diese Profile gleich. Jedes gefundene Profil ist ein offenes Tor – besonders, wenn es Sonderberechtigungen hat. ### 4\. Sonderberechtigungen Sonderberechtigungen wie `*ALLOBJ` (Zugriff auf alles), `*SECADM` (Profile verwalten) oder `*IOSYSCFG` (Kommunikation und Freigaben einrichten) gehören nur zu wenigen Profilen. Mit dieser Abfrage sehen Sie, wer `*ALLOBJ` hat: ``` SELECT AUTHORIZATION_NAME, STATUS, SPECIAL_AUTHORITIES FROM QSYS2.USER_INFO WHERE SPECIAL_AUTHORITIES LIKE '%*ALLOBJ%'; ``` Die Abfrage zeigt nur Rechte, die direkt am Profil hängen. Prüfen Sie auch, ob Profile über ihr Gruppenprofil an Sonderberechtigungen kommen. ### 5\. Öffentliche Berechtigung (\*PUBLIC) `*PUBLIC` steht für alle Benutzer ohne eigene Berechtigung. Hat `*PUBLIC` auf Ihren Datenbibliotheken `*CHANGE` oder `*ALL`, darf jeder Benutzer die Daten ändern – auch per ODBC oder FTP. Welche Berechtigung neue Objekte bekommen, legt die Bibliotheks-Einstellung `CRTAUT` fest. Steht sie auf `*SYSVAL`, gilt der Systemwert `QCRTAUT`. ### 6\. Jobbeschreibungen und übernommene Berechtigung Jobbeschreibungen mit einem mächtigen Benutzerprofil im Parameter USER sind ein bekannter Angriffsweg. Dasselbe gilt für Programme, die die Berechtigung ihres Eigentümers übernehmen (`USRPRF(*OWNER)`, „Adopt Authority“). Prüfen Sie, welche es gibt und wer sie aufrufen darf. ### 7\. Netzwerkdienste und Exit-Points ODBC und SQL, FTP, DDM und Remote-Befehle umgehen die Menüsicherheit. Auch `LMTCPB(*YES)` hilft nur begrenzt: Es sperrt Befehle, nicht den Zugriff auf Daten. Per ODBC oder FTP liest und ändert ein eingeschränkter Benutzer alles, worauf er Objektberechtigung hat. Exit-Programme regeln, wer diese Dienste nutzen darf und was protokolliert wird. Mit `WRKREGINF` sehen Sie, welche Exit-Points belegt sind. Dienste, die Sie nicht brauchen, schalten Sie ab. ### 8\. NetServer-Freigaben Eine Freigabe des Root-Verzeichnisses `/` mit Schreibrechten ist eines der größten Risiken auf IBM i. Über sie lässt sich das ganze Dateisystem lesen und ändern – und Schadsoftware auf einem Windows-PC kann Dateien auf der IBM i verschlüsseln. Geben Sie nur Verzeichnisse frei, die wirklich gebraucht werden. ### 9\. Verschlüsselung (TLS) 5250-Sitzungen, FTP, ODBC und der Navigator sollten verschlüsselt laufen. Unverschlüsselt lassen sich Benutzernamen und Kennwörter im Netz mitlesen. Prüfen Sie auch, welche TLS-Versionen und Verschlüsselungsverfahren erlaubt sind. Das steuern Sie mit den Systemwerten `QSSLPCL` und `QSSLCSL`. IBM stuft TLS 1.0 und 1.1 sowie SSL als schwach ein. Welche Protokolle die Voreinstellung erlaubt, hängt vom Release ab – auf älteren Releases sind TLS 1.0 und 1.1 oft noch aktiv. ### 10\. Audit-Journal (QAUDJRN) Das Audit-Journal zeichnet sicherheitsrelevante Ereignisse auf. Es hilft aber nur, wenn es aktiv ist, die richtigen Ereignisse protokolliert und jemand die Einträge auswertet. Prüfen Sie die Systemwerte `QAUDCTL`, `QAUDLVL` und `QAUDLVL2` und wie lange die Journaleinträge aufbewahrt werden. ### 11\. Release und PTFs Sicherheitsfixes gibt es nur für Releases im Support. Laut IBM sind seit dem 1. Oktober 2026 nur noch IBM i 7.5 und 7.6 im regulären Support. Für 7.4 gibt es bis 30. September 2029 eine kostenpflichtige Service Extension, für 7.3 eine Extended Service Extension bis 30. September 2028. Für 7.2 endete auch der verlängerte Service am 30. April 2026. Mehr dazu: [IBM i 7.4 Supportende: Was jetzt zu tun ist](https://wits.gmbh/ratgeber/ibm-i-7-4-supportende/). Spielen Sie die Gruppen-PTFs regelmäßig ein, vor allem die mit Sicherheitsfixes. Mit dieser Abfrage sehen Sie mehrere wichtige Systemwerte auf einen Blick: ``` SELECT SYSTEM_VALUE_NAME, CURRENT_NUMERIC_VALUE, CURRENT_CHARACTER_VALUE FROM QSYS2.SYSTEM_VALUE_INFO WHERE SYSTEM_VALUE_NAME IN ('QSECURITY', 'QPWDLVL', 'QPWDMINLEN', 'QPWDMAXLEN', 'QCRTAUT', 'QSSLPCL', 'QAUDCTL', 'QAUDLVL', 'QAUDLVL2'); ``` ## Selbst prüfen oder prüfen lassen? Mit der Checkliste finden Sie die bekanntesten Schwachstellen in der Konfiguration. Zwei Dinge sehen Sie damit aber nicht: - **Ob sich eine Lücke ausnutzen lässt.** Das zeigt ein Penetrationstest. Er prüft mit echten Testprofilen, ob jemand über SQL, FTP, SSH, Netzlaufwerke oder 5250 an Ihre Daten kommen könnte. - **Das vollständige Bild.** Ein Security Assessment prüft die gesamte Sicherheitskonfiguration nach den [CIS Benchmarks für IBM i](https://www.cisecurity.org/benchmark/ibm), auf allen LPARs. Beides bieten wir gemeinsam mit unserem Partner Kisco Systems an, einem US-Spezialisten für IBM i Security. Kisco prüft komplett remote, ab IBM i 7.1, und greift dabei nie auf Ihre Daten zu. Den Bericht erstellt Kisco auf Englisch, wir besprechen ihn mit Ihnen auf Deutsch. Mehr dazu: [IBM i Pentest und Security Assessment](https://wits.gmbh/ibm-i-security/). ## Nach der Prüfung: sicher bleiben Eine Prüfung zeigt den Stand von heute. Damit Ihre IBM i sicher bleibt, brauchen Sie aktuelle PTFs, ein ausgewertetes Audit-Journal und einen Blick auf ungewöhnliche Ereignisse. Dabei helfen [IBM i Monitoring](https://wits.gmbh/ibm-i-monitoring/) und [IBM i Managed Services](https://wits.gmbh/ibm-i-managed-services/). ## Quellen - [Center for Internet Security: CIS Benchmarks für IBM i](https://www.cisecurity.org/benchmark/ibm) - [IBM: IBM i Release Life Cycle](https://www.ibm.com/support/pages/release-life-cycle) - [IBM: Determining which user profiles have default passwords](https://www.ibm.com/support/pages/determining-which-user-profiles-have-default-passwords) - [IBM: TLS-Protokolle und Cipher Suites auf IBM i konfigurieren](https://www.ibm.com/support/pages/configuring-your-ibm-i-system-secure-sockets-layer-ssltransport-layer-security-tls-protocols-and-cipher-suites) - [IBM-Dokumentation: Limit capabilities (LMTCPB)](https://www.ibm.com/docs/en/i/7.5?topic=fields-limit-capabilities) - [Kisco Systems: Webinar „IBM i Security: A Dual Responsibility“ (23.04.2025, englisch)](https://www.kisco.com/ibm-i-security-a-dual-responsibility.html) **Herausgeber:** Die Wilsch IT-Services GmbH betreut IBM i und AS400 seit 1994. Sie erhalten Wartung, Monitoring, Betrieb und Sicherheitsprüfung aus einer Hand, in Deutschland, Österreich und der Schweiz. [Mehr über Wilsch IT-Services](https://wits.gmbh/ueber-uns/) ## Häufige Fragen ### Ist die AS400 nicht von Haus aus sicher? IBM i lässt sich sehr gut absichern. Sicher ist es aber nur, wenn die Einstellungen stimmen. Viele Systeme laufen mit Einstellungen, die Jahre oder Jahrzehnte alt sind. Genau dort setzen Angreifer an. ### Welche Sicherheitsstufe sollte meine IBM i haben? Mindestens 40, das empfehlen IBM und die CIS Benchmarks. Bei Sicherheitsstufe 30 und darunter lassen sich Berechtigungen leichter umgehen, zum Beispiel über Jobbeschreibungen mit mächtigem Benutzerprofil. Ältere Systeme stehen oft noch auf 30. ### Wie finde ich Standardkennwörter auf der AS400? Mit dem Befehl ANZDFTPWD. Er listet alle Profile, deren Kennwort dem Profilnamen entspricht. Mit ACTION(\*DISABLE) sperren Sie diese Profile gleich. ### Kann ich die AS400-Sicherheit selbst prüfen? Die Grundeinstellungen ja – mit den Befehlen und SQL-Abfragen aus dieser Checkliste. Ob sich eine Lücke wirklich ausnutzen lässt, zeigt aber erst ein Penetrationstest. Den sollten Spezialisten für IBM i durchführen. ### Reicht ein Pentest unseres Netzwerk-Dienstleisters? Meist nicht. Ein Netzwerk-Pentest findet offene Ports und unsichere Dienste. Ob ein Benutzer über ODBC, FTP oder eine Netzwerkfreigabe an die Daten Ihrer IBM i kommt, prüft er in der Regel nicht. ### Was ist der Unterschied zwischen Pentest und Security Assessment? Der Pentest zeigt, ob sich eine Lücke tatsächlich ausnutzen lässt – zum Beispiel ob jemand über SQL, FTP oder ein Netzlaufwerk an Ihre Daten kommen könnte. Das Security Assessment prüft die gesamte Sicherheitskonfiguration nach den CIS Benchmarks für IBM i, auf allen LPARs. ### Hilft eine Sicherheitsprüfung bei NIS2? Ja. NIS2 verlangt, dass Sie die Risiken Ihrer IT kennen und steuern. Eine jährliche Prüfung Ihrer IBM i mit dokumentiertem Bericht unterstützt Sie dabei. ### Wie oft sollte ich die Sicherheit meiner IBM i prüfen? Wir empfehlen eine Prüfung einmal im Jahr. Neue Benutzer, Freigaben, Anwendungen und Releases ändern die Lage laufend. ## Sicherheit Ihrer IBM i prüfen lassen Unser Partner Kisco Systems prüft Ihre IBM i ab Release 7.1 komplett remote, mit Pentest und Security Assessment. Wir sind Ihr Ansprechpartner und besprechen die Ergebnisse mit Ihnen auf Deutsch. [Sicherheitsprüfung anfragen](https://wits.gmbh/kontakt/) [Support-Hotline +49 721 35 460 66](tel:+497213546066)