CGM KIM + BSI-Empfehlungen = Kann Problem sein

[Forti]

Dies ist eine Lösungshilfe für einen Eintrag in cm.fehler.log im Sinne von "missing font" bei Aufruf der Verschlüsselungskonfiguration des CGM KIM Clientmoduls (in TurboMed oder Standalone).

PROBLEM:
CGM KIM in der aktuellen Version, hier: Config-Dialog des Clientmoduls. Dieser Dialog startet auf Systemen mit der unmodifizierten BSI-Vorlage nicht. Mehr zu den BSI-Vorlagen siehe unten.

Der Anlass dafür ist, dass dieser Dialog versucht, aus dem font-Unterordner diverse TTF-Dateien (Schriftarten) zu laden - und wenn das nicht klappt, dann schmiert es ab. Ist im Log entsprechend vermerkt.
Der Grund dafür ist, dass die BSI-Settings eine Einstellung enthalten, die den Zugriff auf Schriftarten außerhalb des c:\windows\fonts unterbinden. Hierfür hat Microsoft einst aus gutem Grund eine Sicherung ermöglicht:

https://admx.help/?Category=Windows_10_ ... uage=de-de
https://docs.microsoft.com/de-de/window ... enterprise

Nun, die von CGM mitgelieferten Google-Fonts sind an sich nicht zu beanstanden, identisch mit den Dateien von Google, laufen lokal ohne Datenschutzrisiken, und die Lizenztexte sind auch dabei.
Und es ist m.E. auch vorteilhaft, dass der Installer des KIM-Clients nicht versucht, diese Fonts in den Windows-Schriftartenordner zu werfen.

Dennoch ZWINGT es bei Interesse an der Konfiguration des Clientmoduls dazu, eine Ausnahme für das Modul zu erfassen bzw. die strenge Regelung auszusetzen.

----
BSI-Vorlagen:

Das BSI stellt Gruppenrichtlinien für Windows-PC bereit. Das sind sozusagen Pakete mit "Group Policy Objects", die Windows-PC hinsichtlich Datenschutz und Sicherheit mit Bordmitteln optimieren.
Diese GPOs regeln zum Beispiel Kennwortanforderungen, das Erfordernis eines Admin-Accounts für bestimmte Dinge und nehmen umfangreiche Einstellungen zur Microsoft-Telemetrie vor.

Diese BSI-Vorlagen gibt es in abgestuften Paketen, also je nach Sicherheitsanforderung kann man ein Paket per Knopfdruck aktivieren und einem PC bzw. in einer Domäne auch PC-Gruppen zuweisen.

In einer Arztpraxis können also Pakete für Einzelrechner zur Anwendung kommen, aber auch Sets für die gesamte Domäne.
Wer mehr wissen will: Hier gibt es sie -> https://www.bsi.bund.de/DE/Service-Navi ... _node.html

Aus Sicht eines Datenschützers würde ich sagen: Das ist Mindeststandard, ohne die Nutzbarkeit der Systeme einzuschränken.
Für Aufsichtsbehörden dürfte das auch ein relevanter Baustein bei den "Technisch-Organisatorischen Maßnahmen" sein, der sicher gern gesehen wird.

So far...