Die fünf technischen Kontrollen von Cyber Essentials aus Managementsicht

Problem in der Praxis

Organisationen scheitern selten an Firewalls, häufig an Altbeständen und Ausnahmen: einem nicht mehr unterstützten Betriebssystem im Produktionsnetz, einer Anwendung, deren Hersteller keine Updates mehr liefert, einem Cloud-Konto ohne MFA oder Administratoren, die mit demselben Konto E-Mails lesen. Hinzu kommt, dass Passwortregeln in vielen Unternehmen noch auf erzwungene regelmäßige Wechsel und Komplexitätsvorgaben setzen, während v3.3 empfiehlt, weder regelmäßige Wechsel noch Komplexitätsregeln zu erzwingen.

CISO-Einordnung

Die fünf Themen auf Managementebene (vollständige Anforderungen in v3.3, Abschnitt E):

• Firewalls: Jedes Gerät im Scope ist durch eine korrekt konfigurierte Firewall oder ein Netzgerät mit Firewall-Funktion geschützt; Standard-Administrationspasswörter sind durch starke, eindeutige Passwörter ersetzt oder der administrative Fernzugriff ist ganz abgeschaltet; die Administrationsoberfläche ist aus dem Internet nur bei dokumentiertem Bedarf und mit MFA oder einer IP-Allow-List mit sauber verwalteter Passwortauthentifizierung erreichbar; nicht authentisierte eingehende Verbindungen werden standardmäßig blockiert, Regeln sind genehmigt und dokumentiert. Wo die Organisation das Netz nicht kontrolliert, braucht das Gerät eine Software-Firewall.
• Sichere Konfiguration: unnötige Konten und Software entfernen, Standard- und erratbare Passwörter ändern, Autorun ohne Zustimmung abschalten, Nutzer vor dem Zugriff authentisieren; Geräteentsperrung gegen Brute Force schützen (wo konfigurierbar Drosselung auf höchstens 10 Versuche in 5 Minuten oder Sperre nach höchstens 10 Fehlversuchen, sonst Herstellervorgabe).
• Security-Update-Management: Software lizenziert und unterstützt; automatische Updates wo möglich; Updates für kritische oder hohe Schwachstellen (Herstellereinstufung oder CVSS v3 ab 7) und für Updates ohne Schweregradangabe binnen 14 Tagen; enthält ein Sammelupdate auch nur eine kritische oder hohe Schwachstelle, gilt die Frist für das ganze Update. Alle übrigen Updates binnen 14 Tagen werden dringend empfohlen, sind aber nicht Pflicht.
• Benutzerzugriffskontrolle: Prozess zum Anlegen und Genehmigen von Konten, eindeutige Zugangsdaten, Konten bei Wegfall entfernen, MFA wo verfügbar und für Cloud-Dienste immer, getrennte Konten nur für Administration, Privilegien bei Rollenwechsel entziehen. Für passwortbasierte Authentifizierung sieht v3.3 Schutzmaßnahmen vor ("should put in place"): Schutz gegen Brute Force, technische Steuerung der Passwortqualität durch MFA (das Passwortelement eines MFA-Verfahrens muss mindestens 8 Zeichen ohne Höchstlänge haben) oder mindestens 12 Zeichen oder mindestens 8 Zeichen mit Sperrliste häufiger Passwörter, jeweils ohne Höchstlänge, und Unterstützung der Nutzer, wozu ausdrücklich gehört, keinen regelmäßigen Passwortablauf und keine Komplexitätsregeln zu erzwingen. Passwortlose Verfahren (Passkeys, FIDO2) sind ausdrücklich vorgesehen, FIDO2-Authentifikatoren gelten als MFA; SMS ist als MFA schwächer, aber besser als keine.
• Malwareschutz: auf jedem Gerät im Scope mindestens eine aktive Option, entweder Anti-Malware-Software (für Windows- und macOS-Geräte) mit bestimmten Schutzwirkungen oder eine Application Allow List mit Code-Signing.

Ergänzend hält v3.3 fest, dass die Kontrollen einer Zero-Trust-Architektur nach NCSC-Leitfaden nicht entgegenstehen.

Für den CISO sind die Kontrollen ein Gradmesser der technischen Hygiene. Wer sie erfüllt, hat eine solide Basis; wer an ihnen scheitert, hat meist ein Problem mit Altbeständen, Ausnahmen oder Cloud-Konten, das unabhängig von der Zertifizierung Aufmerksamkeit verdient.

Umsetzungsperspektive

• Altbestände inventarisieren: nicht unterstützte Betriebssysteme und Anwendungen identifizieren, ersetzen oder in ein vom Internet getrenntes Teilnetz verlegen.
• Patch-Prozess messen: Zeit von Veröffentlichung bis Installation für kritische und hohe Updates gegen 14 Tage.
• MFA durchsetzen: alle Cloud-Dienste ohne Ausnahme, Administrationszugänge und internetseitig erreichbare Konten.
• Adminkonten trennen: keine E-Mail, kein Surfen mit privilegierten Konten.
• Passwortrichtlinie modernisieren: Länge und Sperrlisten statt Ablauf und Komplexität.

Typische Fehler

1. Nicht mehr unterstützte Software bleibt im Scope.
2. Kritische Updates werden nach monatlichem Rhythmus statt binnen 14 Tagen eingespielt.
3. Ein Cloud-Dienst ist ohne MFA erreichbar.
4. Administratoren nutzen ihr privilegiertes Konto für E-Mail und Web.
5. Die Passwortrichtlinie erzwingt Ablauf und Komplexität, statt Länge und Sperrlisten zu nutzen.

Risiken und Trade-offs

Die 14-Tage-Frist erfordert schnelle Tests und Verteilung; in Umgebungen mit Validierungspflichten (etwa Produktionsanlagen) kann sie den Betrieb stark fordern; Validierungspflichten schaffen keine Ausnahme von der verbindlichen Frist für Updates, die die genannten Schweregradbedingungen erfüllen (Auslegung: Planungsfrage). Application Allow Listing ist wirksam, aber aufwendig zu pflegen; Anti-Malware ist einfacher, aber für Windows und macOS vorgesehen. Bei MFA steht Sicherheit gegen Nutzbarkeit; v3.3 empfiehlt, Faktoren so zu wählen, dass sie nutzbar und zugänglich sind.

Entscheidungspunkte

• Welche nicht unterstützte Software ist im Scope, und wie wird sie entfernt oder abgetrennt?
• Erreicht der Patch-Prozess die 14 Tage für kritische und hohe Updates?
• Ist MFA für alle Cloud-Dienste durchgesetzt?
• Sind Administrationskonten getrennt?
• Entspricht die Passwortrichtlinie den Vorgaben von v3.3?

Praktische Empfehlungen

1. Bereinigen Sie nicht unterstützte Software vor dem Antrag.
2. Messen und dokumentieren Sie die Patch-Durchlaufzeiten.
3. Setzen Sie MFA für alle Cloud-Dienste durch, bevorzugt phishingresistente Verfahren.
4. Trennen Sie Administration und Alltagsnutzung konsequent.
5. Stellen Sie die Passwortrichtlinie auf Länge und Sperrlisten um.

Relevante Normreferenzen

• NCSC, Cyber Essentials: Requirements for IT Infrastructure v3.3, Abschnitte C (Datensicherung), E (Anforderungen je Kontrollthema) und F (Zero Trust); Open Government Licence v3.0.