WPP, Security und Compliance: Was sich für die enterprise‑IT ändert
Fünf Jahre mit Schwachstellen im Print Spooler sind der Hauptgrund, sich von der veralteten Windows-Druckarchitektur zu verabschieden. Seit Beginn der PrintNightmare‑Vorfallserie im Juni 2021 hat Microsoft etwa 53 CVE‑Einträge für den Print Spooler veröffentlicht. Vier davon listet der CISA‑Katalog Known Exploited Vulnerabilities als nachweislich in der Praxis ausgenutzt. Der Cost of a Data Breach Report 2025 von IBM beziffert die durchschnittlichen Kosten einer Datenschutzverletzung in den USA auf 10,22 Millionen US‑Dollar – weltweit der höchste Wert; im Gesundheitswesen liegen sie bei 7,42 Millionen US‑Dollar, im Finanzsektor bei 5,56 Millionen US‑Dollar. Die Angriffsfläche beim Drucken ist zwar nicht der Haupttreiber dieser Zahlen, gehört aber zu denjenigen, die sich am einfachsten eliminieren lassen.
WPP lässt sich direkt auf die Zero Trust‑Architektur nach NIST SP 800‑207 abbilden. Der traditionelle Windows‑Druckpfad verstößt gegen mehrere Zero Trust‑Prinzipien gleichzeitig: Geteilte Druckserver fungieren als Hubs mit implizitem Vertrauen, Treiber von Drittanbietern laufen mit erhöhten Rechten, und der Print Spooler akzeptiert eingehende RPC‑Verbindungen. WPP beseitigt alle drei Probleme. IPP über HTTPS nutzt verschlüsselte ausgehende Verbindungen, der IPP Class Driver nimmt die Annahme weg, dass gemeinsam genutzte Treiber vertrauenswürdig sind, und das Wegfallen des lokalen Druckservers reduziert die Angriffsfläche, die Zero Trust‑Frameworks ausdrücklich benennen.
Diese architektonische Änderung taucht zunehmend als harte Anforderung in RFPs auf. Für US‑Bundeskunden, CMMC‑verpflichtete Rüstungsunternehmen und jedes Team, das NIST CSF oder 800‑53 als Grundlage nutzt, entwickelt sich die Unterstützung von Zero Trust vom „Nice‑to‑have“ zu einem verbindlichen Beschaffungskriterium. In Umgebungen mit HIPAA, PCI‑DSS, SOX oder FedRAMP verändert WPP, welche Kontrollen gelten und wie die Härtung von Endpunkten nachgewiesen wird. Keine dieser Zuordnungen geschieht automatisch — jede fließt in eine Compliance‑Bewertung ein, ersetzt sie aber nicht.
.webp?width=1920&height=1536&name=ezeep-chart%20(1).webp)