Essential Eight: acht Minderungsstrategien, vier Reifegrade und wie das ISM 2026 die Zuordnung je Kontrolle führt

Problem in der Praxis

In deutschen Unternehmen kommt Essential Eight meist über eine Kundenanforderung an, etwa eine Ausschreibung oder einen Rahmenvertrag, der „Maturity Level Two“ nennt. Drei Missverständnisse wiederholen sich.

Das erste ist die Gleichsetzung mit einem Zertifikat. Das Modell schreibt keine unabhängige Zertifizierung vor; ob eine unabhängige Bewertung nötig ist, ergibt sich aus einer staatlichen Vorgabe, einer Aufsichtsbehörde oder einem Vertrag, bei deutschen Unternehmen typischerweise aus dem Kundenvertrag. Die Frage an den Kunden lautet deshalb: welche Stufe, für welche Systeme, mit welchem Nachweis und durch wen bewertet?

Das zweite ist die Annahme, eine ISO/IEC-27001-Zertifizierung decke Essential Eight ab. Ein Managementsystem regelt, wie Risiken gesteuert werden; Essential Eight beschreibt konkrete technische Ausprägungen weniger Maßnahmen, teils bis auf Produkteinstellungen. Eine Gleichwertigkeit lässt sich aus keiner der vorliegenden Quellen ableiten.

Das dritte ist die Fassungsfrage. Das Modell wird laut eigener Angabe regelmäßig aktualisiert; wer gegen eine ältere Fassung arbeitet, baut unter Umständen gegen Formulierungen, die das ISM inzwischen geändert hat.

CISO-Einordnung

Herkunft und Zweck. ASD hat priorisierte Minderungsstrategien in der Veröffentlichung „Strategies to mitigate cybersecurity incidents“ entwickelt; die wirksamsten davon sind laut ASD die Essential Eight. Das Reifegradmodell unterstützt ihre Umsetzung und stützt sich nach eigener Darstellung auf die Erfahrung von ASD aus Bedrohungsaufklärung, Vorfallsbearbeitung, Penetrationstests und Umsetzungsunterstützung. Erstveröffentlicht wurde es im Juni 2017, die hier ausgewertete Fassung trägt den Stand November 2023. Die Veröffentlichung „Strategies to mitigate cybersecurity incidents“ selbst liegt dem Korpus nicht vor.

Die acht Strategien. Das Modell nennt sie in dieser Reihenfolge: patch applications (Anwendungen aktualisieren), patch operating systems (Betriebssysteme aktualisieren), multi-factor authentication (Mehrfaktor-Authentisierung), restrict administrative privileges (administrative Rechte beschränken), application control (Anwendungskontrolle, also nur freigegebene Programme ausführen), restrict Microsoft Office macros (Office-Makros beschränken), user application hardening (Härtung der Anwenderprogramme wie Browser, Office und PDF-Programme) und regular backups (regelmäßige Datensicherung). Die Strategien sind laut Modell so gestaltet, dass sie einander ergänzen und zusammen verschiedene Bedrohungen abdecken. Mehrere davon sind ausdrücklich auf Microsoft-Produkte zugeschnitten; wie eine Umgebung ohne diese Produkte zu bewerten ist, regelt das Modell nicht.

Die Reifegrade und ihre Logik. Das Modell definiert vier Stufen. Stufe null bedeutet, dass Schwächen bestehen, deren Ausnutzung Vertraulichkeit, Integrität oder Verfügbarkeit gefährden kann. Die Stufen eins bis drei sind nicht an Angreifergruppen ausgerichtet, sondern an deren Vorgehen (tradecraft, also Werkzeuge, Taktiken, Techniken und Verfahren) und am Grad der Zielauswahl. Auf Stufe eins geht es sinngemäß um Angreifer, die breit verfügbare Standardwerkzeuge gegen beliebige Opfer einsetzen. Stufe zwei adressiert Angreifer mit einem moderaten Fähigkeitssprung, die mehr Zeit in ein Ziel und in die Wirksamkeit ihrer Werkzeuge investieren, unter anderem um schwache Mehrfaktorverfahren zu umgehen. Stufe drei zielt auf anpassungsfähigere Angreifer, die weniger auf öffentliche Werkzeuge angewiesen sind, Schwächen wie veraltete Software oder mangelnde Protokollierung ausnutzen und sich gezielt auf Eigenheiten ihres Ziels einstellen. Das Modell empfiehlt ausdrücklich, die Zielstufe danach zu wählen, welches Niveau an Vorgehen und Zielauswahl abgewehrt werden soll, und nicht danach, welche Akteure man fürchtet, weil derselbe Akteur gegen verschiedene Ziele verschieden vorgehen kann. Für die Wahl nennt es zwei Einflussgrößen: wie begehrenswert die Organisation als Ziel ist und welche Folgen ein Vorfall angesichts ihrer Anforderungen an Vertraulichkeit, Verfügbarkeit und Integrität hätte.

Die Anforderungen der Stufen stehen im Modell in drei Anhängen, ein vierter stellt die Stufen gegenüber. Die Stufen bauen aufeinander auf: Mit steigender Stufe wachsen der Kreis der erfassten Systeme und Programme, die Strenge der Anforderungen, etwa bei Fristen und bei der Art der Mehrfaktorverfahren, und der Anteil an Protokollierung und Auswertung. Ab Stufe zwei verlangt das Modell in mehreren Strategien zentrale Protokollierung bestimmter Ereignisse, deren Schutz und zeitnahe Auswertung, die Meldung von Vorfällen an den CISO oder eine von ihm beauftragte Person (delegate) und an ASD, jeweils so bald wie möglich nach Eintritt oder Entdeckung, sowie die Aktivierung des Incident-Response-Plans nach Erkennen eines Vorfalls. Diese Meldung ist eine Anforderung des Reifegradmodells, also eine Bedingung für das Erreichen der Stufe; ob und wann daneben eine gesetzliche Meldepflicht in Australien besteht, beantworten die vorliegenden Quellen nicht.

Bewertungsgrundsätze laut Modell. Die vorliegenden Dokumente enthalten fünf Grundsätze, die für jede Bewertung zählen. Erstens die gleichmäßige Stufe über alle acht Strategien als Planungsziel vor dem nächsten Schritt. Zweitens der risikobasierte Umgang mit Ausnahmen: möglichst wenige und möglichst eng gefasst, zum Beispiel durch kompensierende Maßnahmen, dokumentiert, über einen geeigneten Prozess genehmigt und regelmäßig überprüft; bei angemessener Nutzung schließen sie das Erreichen einer Stufe nicht aus. Drittens die Grenze des Modells: Essential Eight ist ein Mindestsatz vorbeugender Maßnahmen. Wo die eigene Umgebung es erfordert, sind nach dem Modell zusätzliche Maßnahmen über das Modell hinaus umzusetzen. Es mindert nicht alle Bedrohungen, und auch Stufe drei hält Angreifer nicht auf, die genug Zeit, Geld und Aufwand investieren wollen und können; deshalb sind daneben weitere Strategien und Kontrollen aus den „Strategies to mitigate cybersecurity incidents“ und aus dem ISM in Betracht zu ziehen. Viertens keine Zertifizierungspflicht, aber eine mögliche Bewertungspflicht durch eine unabhängige Stelle, wenn eine staatliche Vorgabe oder Richtlinie, eine Aufsichtsbehörde oder ein Vertrag sie verlangt. Fünftens verweist ASD für Bewertungen auf einen eigenen Bewertungsleitfaden (Essential Eight assessment process guide) und für Einzelfragen auf ein FAQ-Dokument. Beide liegen dem Korpus nicht vor. Wie eine Gesamtstufe aus den Einzelbefunden gebildet wird, welche Prüfmethoden gelten und wie Prüfer Stichproben ziehen, sagt dieser Artikel deshalb nicht.

Wie das ISM 2026 die Zuordnung führt. Das ISM, das Information Security Manual des ASD, ist der breitere Rahmen; es ist nach eigener Aussage rechtlich nicht verbindlich, es sei denn, ein Gesetz oder eine auf Gesetz oder sonstiger rechtmäßiger Befugnis beruhende Anordnung schreibt seine Einhaltung vor. Jede Kontrolle im ISM trägt neben Revision, Aktualisierungsdatum und Anwendbarkeitsmarkierung (NC für nicht eingestufte Systeme, staatliche wie nichtstaatliche, OS, P, S und TS für Systeme der Stufen OFFICIAL: Sensitive, PROTECTED, SECRET und TOP SECRET) eine Essential-Eight-Markierung. Am Snapshot gezählt:

• 126 von 1.143 Kontrollen sind mindestens einer Stufe zugeordnet, 1.017 tragen „N/A“.
• Stufe eins umfasst 46, Stufe zwei 87, Stufe drei 123 Kontrollen.
• Die Markierung ist überwiegend kumulativ, aber nicht ausnahmslos: drei Kontrollen gelten nur bis Stufe zwei, weil Stufe drei an ihrer Stelle eine strengere Fassung verlangt.
• Alle 126 markierten Kontrollen tragen sämtliche fünf Anwendbarkeitsmarkierungen von NC bis TS; die Essential-Eight-Kontrollen sind also nicht auf eingestufte Systeme beschränkt.
• Sie stehen in fünf Guidelines des ISM: „Guidelines for cyber security incidents“, „Guidelines for system hardening“, „Guidelines for system access“, „Guidelines for system management“ und „Guidelines for security assurance“.
• Die OSCAL-Kataloge für die Stufen eins bis drei (maschinenlesbare Kontrollkataloge, Release v2026.09.4 vom 3. September 2026) enthalten jeweils genau die Kontrollen, die im ISM die entsprechende Markierung tragen, ohne Abweichung in die eine oder andere Richtung.

Zwei Dinge leistet die Markierung nicht. Sie sagt nicht, zu welcher der acht Strategien eine Kontrolle gehört; die Gliederung des ISM folgt seinen Guidelines, nicht den Strategien, und Anforderungen, die das Modell bei mehreren Strategien wiederholt, etwa zu Protokollierung und Vorfallsmeldung, stehen im ISM nur einmal. Und das ISM erklärt die Markierung im ausgewerteten Text nicht; die Wörter „Essential Eight“ und „maturity“ kommen im Fließtext des Snapshots nicht vor.

Was sich gegenüber dem Modell 2023 erkennbar geändert hat. Gemessen wurde am Vergleich der Anforderungen in den Anhängen des Modells mit den markierten ISM-Kontrollen, nach Bereinigung von Zeilenumbrüchen und der Schreibweise „cyber security“ gegenüber „cybersecurity“. Das Ergebnis: Die Zahl der unterschiedlichen Anforderungen je Stufe ist im Modell 2023 und im ISM 2026 gleich (46, 87, 123), jede Anforderung des Modells hat ein Gegenstück auf derselben Stufe, und es ist keine Anforderung hinzugekommen oder entfallen. 85 der 126 Kontrollen stimmen im Wortlaut überein. Die übrigen sind umformuliert, und zwar in wiederkehrenden Mustern: Bei Mehrfaktor-Authentisierung, bei Makro-, Browser-, Office- und PDF-Einstellungen und bei privilegierten Konten spricht das ISM von „human users“ statt von „users“; „PDF software“ heißt „PDF applications“; jährliche Überprüfungen heißen „at least annually“ statt „on an annual or more frequent basis“; bei privilegiertem Zugang ist von Systemen „and their resources“ statt von Systemen, Anwendungen und Datenablagen die Rede; an zwei Stellen zur Beschränkung privilegierter Zugänge fällt „and services“ weg. Ob diese Umformulierungen den Gegenstand verändern, etwa ob Dienstkonten dadurch anders behandelt werden, erläutern die Quellen nicht. 90 der 126 markierten Kontrollen tragen im ISM ein Aktualisierungsdatum nach November 2023, 41 davon mit dem Vermerk Dezember 2023. Für die aktuelle Zuordnung legt der Korpus die Markierungen des ISM September 2026 und die OSCAL-Kataloge zugrunde, weil sie der jüngere Stand sind; ausdrücklich geregelt ist der Vorrang in den Quellen nicht. Das ISM sagt lediglich, dass betriebssystem-, anwendungs- und gerätespezifische Hinweise in anderen ASD-Veröffentlichungen Vorrang vor dem ISM haben können.

Umsetzungsperspektive

Was ein deutsches Unternehmen typischerweise zuerst angeht, ergibt sich weniger aus dem Modell als aus der Art, wie die Anforderung ankommt. Die folgende Reihenfolge ist eine Praxisempfehlung, keine Vorgabe der Quellen.

1. Die Anforderung präzisieren. Mit dem Kunden schriftlich klären: welche Stufe, für welche Systeme und Standorte, gegen welche Fassung bewertet (Modellfassung oder ISM-Markierungen mit Ausgabestand), mit welchem Nachweis und durch wen. Ohne diese vier Angaben ist eine Zusage nicht prüfbar.
2. Den Geltungsbereich realistisch schneiden. Das Modell ist für internetverbundene IT-Netze entworfen. Werden OT-Anlagen oder mobile Endgeräte in den Umfang gezogen, ist das eine bewusste Entscheidung, für die das Modell selbst andere Strategien für möglicherweise geeigneter hält.
3. Eine Standortbestimmung je Strategie. Für alle acht Strategien den Ist-Zustand gegen Stufe eins erheben, mit dem Original nebeneinander. Das Modell empfiehlt, die Umsetzung so zu planen, dass alle acht Strategien dieselbe Stufe erreichen, bevor eine höhere angestrebt wird; eine sehr weit entwickelte Mehrfaktorlösung neben fehlender Anwendungskontrolle ist nach dieser Planungslogik kein Fortschritt zur nächsten Stufe. Wie eine Bewertung ungleichmäßige Stände ausweist, regelt der nicht vorliegende Bewertungsleitfaden.
4. Den Ausnahmeprozess vor der ersten Ausnahme einrichten. Das Modell empfiehlt, Ausnahmen und ihren Umfang gering zu halten, etwa durch kompensierende Maßnahmen und möglichst wenige betroffene Systeme oder Nutzer, sie zu dokumentieren, über einen geeigneten Prozess zu genehmigen und ihren Bedarf regelmäßig zu überprüfen. Wer die Dokumentation erst im Bewertungsgespräch nachholt, steht praktisch schwach da.
5. Die Sprünge zu Stufe zwei früh einplanen. Phishingresistente Mehrfaktorverfahren, zentrale Protokollierung mit zeitnaher Auswertung und die Meldewege an den CISO oder seine Beauftragten und an ASD, jeweils so bald wie möglich nach Eintritt oder Entdeckung, sind Organisations- und Investitionsfragen, keine Konfigurationsdetails. Gerade die Meldung an ASD verlangt eine Entscheidung im Konzern, wer für die australische Einheit meldet.
6. Die Fassung festhalten. Jede Selbstbewertung mit dem ISM-Ausgabestand und dem Stand der OSCAL-Kataloge datieren und bei jeder neuen ISM-Ausgabe auf geänderte Markierungen prüfen.

Typische Fehler

1. Essential Eight wird als Zertifizierung behandelt, obwohl das Modell keine Zertifizierung verlangt; die Bewertungsform ergibt sich aus Vorgabe, Aufsicht oder Vertrag.
2. Eine ISO/IEC-27001-Zertifizierung oder ein anderes Rahmenwerk wird als Nachweis einer Essential-Eight-Stufe angeboten, ohne dass eine der Quellen eine solche Gleichwertigkeit trägt.
3. Einzelne Strategien werden auf eine hohe Stufe gebracht, andere bleiben zurück; das widerspricht der Empfehlung des Modells, alle acht gleichmäßig anzuheben.
4. Ausnahmen werden mündlich oder pauschal gewährt, statt sie möglichst eng zu fassen, etwa mit kompensierenden Maßnahmen, sie zu dokumentieren, über einen geeigneten Prozess zu genehmigen und regelmäßig zu überprüfen.
5. Gearbeitet wird gegen eine ältere Fassung von Modell oder Prüffragen, ohne den Stand gegen die aktuellen ISM-Markierungen abzugleichen.
6. Die ISM-Kontrollen werden nach den acht Strategien sortiert erwartet; die Zuordnung zur Strategie steht nicht in der Markierung, sondern muss am Modell nachvollzogen werden.
7. Stufe drei wird als Schutz gegen jeden Angreifer verstanden, obwohl das Modell ausdrücklich sagt, dass sie entschlossene Angreifer mit genügend Ressourcen nicht aufhält.

Risiken und Trade-offs

Der Grundkonflikt liegt zwischen Zusage und Messbarkeit. Eine Vertragszusage „Maturity Level Two“ ohne festgelegte Fassung, ohne Systemumfang und ohne Bewertungsweg ist billig zu unterschreiben und teuer zu verteidigen, weil der Kunde sie nachträglich gegen den jeweils aktuellen Stand lesen kann. Eine präzise Zusage kostet Verhandlungszeit, schafft aber einen prüfbaren Gegenstand.

Die zweite Abwägung betrifft den Umfang. Ein enger Zuschnitt auf die Systeme des australischen Geschäfts erreicht eine Stufe schneller, verlangt aber eine nachvollziehbare Trennung; ein konzernweiter Zuschnitt vermeidet sie, macht die Stufe aber zum Gruppenprojekt.

Die dritte Abwägung ist die Ausnahme selbst. Das Modell sieht sie ausdrücklich vor, und in gewachsenen Umgebungen ist sie oft unvermeidlich; nach dem Modell soll sie aber eng gefasst, dokumentiert, genehmigt und regelmäßig überprüft werden, und kompensierende Maßnahmen sind der dort genannte Weg, ihren Umfang klein zu halten.

Entscheidungspunkte

• Welche Stufe sagen wir zu, für welche Systeme, gegen welchen Fassungsstand und mit welchem Nachweis?
• Ziehen wir OT oder mobile Endgeräte in den Umfang, obwohl das Modell dafür nicht entworfen ist?
• Wer genehmigt Ausnahmen, wer überprüft sie, und in welchem Rhythmus?
• Wer meldet für die australische Einheit Vorfälle an ASD, wenn Stufe zwei angestrebt wird, und wie fügt sich das in die Konzernmeldewege ein?
• Wer verfolgt neue ISM-Ausgaben auf geänderte Essential-Eight-Markierungen, und was löst eine Neubewertung aus?

Praktische Empfehlungen

• Vertragsklauseln zu Essential Eight immer mit Stufe, Umfang, Fassungsstand und Bewertungsweg formulieren.
• Für die Arbeitsgrundlage die aktuellen OSCAL-Kataloge des ASD je Stufe nutzen; sie decken sich am geprüften Stand vollständig mit den ISM-Markierungen und sind maschinenlesbar.
• Die Zuordnung zu den acht Strategien am Modell nachvollziehen, die Formulierung der einzelnen Kontrolle am ISM.
• Ein Ausnahmeregister mit Begründung, Umfang, gegebenenfalls kompensierender Maßnahme, Genehmigung und Wiedervorlage führen.
• Keine Gleichwertigkeit mit ISO/IEC 27001, IT-Grundschutz oder CIS Controls behaupten; vorhandene Nachweise können Belege liefern, ersetzen aber keine Bewertung gegen das Modell.
• Bewertungsmethodik und Prüftiefe dem Bewertungsleitfaden des ASD entnehmen oder mit dem Bewerter vereinbaren; dieser Korpus enthält sie nicht.

Relevante Normreferenzen

• ASD, Essential Eight maturity model (Stand November 2023): Abschnitte „Implementation“ (Zielstufe, gleichmäßige Stufe über alle acht, Ausnahmen, Mindestsatz, keine Zertifizierungspflicht) und „Maturity levels“ (Stufen null bis drei); Anhänge A bis D (Anforderungen je Stufe und Gegenüberstellung, im Korpus nicht wiedergegeben).
• ASD, Essential Eight explained (Stand November 2023): Einordnung, Liste der acht Strategien, Verweis auf den Bewertungsleitfaden und das FAQ-Dokument.
• ASD, Information Security Manual (ISM), Ausgabe September 2026: „Using the cyber security framework“ (Zweck, Rechtsnatur, Anwendbarkeitsmarkierungen) sowie die Essential-Eight-Markierung je Kontrolle in den Guidelines for cyber security incidents, system hardening, system access, system management und security assurance.
• ASD, ISM OSCAL, aufgelöste Kataloge „Essential Eight Maturity Level One / Two / Three Baseline“, Release v2026.09.4.
• Nicht beschafft und deshalb gesperrt: Essential Eight assessment process guide, Essential Eight maturity model FAQ, Strategies to mitigate cybersecurity incidents, PSPF, SOCI Act, IRAP-Unterlagen.
• Abgrenzung: Das Risikomanagement des ISM lehnt sich an NIST SP 800-37 Rev. 2 an, NIST selbst erklärt der nist-Track; ISO/IEC 27001 als Managementsystem steht im core-iso27001-Track und der deutsche IT-Grundschutz im it-grundschutz-Track, ohne Zuordnungstabellen zu Essential Eight; die CIS Controls und ihre Implementation Groups erklärt der cis-Track. Hier steht ausschließlich Essential Eight in der Fassung von Modell 2023 und ISM 2026.