Cybersicherheits-Hygiene nach NIS2: Was reicht für KMU?

Stand: 2026-05-16 · ComplyCheck-Redaktion · Keine Rechtsberatung iSd RDG § 2.

Was „Cybersicherheits-Hygiene" rechtlich bedeutet

Die NIS2-Richtlinie definiert den Begriff nicht abschließend. In den Erwägungs-Gründen (insbesondere Erwägung 89) wird Cyber-Hygiene als „eine Reihe von Praktiken" beschrieben, „die einen wirksamen Schutz vor Cyber-Bedrohungen bieten, indem sie die Wahrscheinlichkeit von Cyber-Vorfällen verringern und ihre Auswirkungen begrenzen".

Konkret nennt der Erwägungs-Grund:

• Software- und Hardware-Updates.
• Passwort-Änderungen und sichere Authentifizierung.
• Verwaltung neuer Installationen.
• Beschränkung von Administrator-Konten und Backup von Daten.

In der praktischen Auslegung, gestützt auf ENISA-Empfehlungen, BSI-Basis-Hinweise und IT-Grundschutz-Bausteine, haben sich fünf Hygiene-Felder etabliert.

Hygiene-Feld 1: Patch-Management

Ziel: Bekannte Schwachstellen zeitnah schließen, bevor sie ausgenutzt werden.

Praxis-Mindeststand für KMU:

• Inventar aller Software und Geräte mit Versions-Stand. Excel reicht initial; ein einfaches Asset-Management-Tool wird ab 50+ Endpunkten unverzichtbar.
• Update-Zyklen: kritische Sicherheits-Patches binnen 14 Tagen, normale Updates binnen 30 Tagen, Major-Versions im definierten Wartungs-Fenster.
• Automatisierung wo möglich: Microsoft Update Services (WSUS), macOS-MDM, Linux unattended-upgrades, manuelles Patchen ist nicht skalierbar.
• Ausnahmen dokumentiert: Wenn ein System nicht gepatcht werden kann (Legacy-Anwendung, OT-Komponente), muss die Ausnahme dokumentiert sein, mit kompensierenden Maßnahmen.

Audit-Frage: Wie alt ist der Patch-Stand auf einem Stichproben-Endpunkt? Wenn die letzten kritischen Patches älter als 30 Tage sind, ist das ein Finding.

Hygiene-Feld 2: Authentifizierung und MFA

Ziel: Zugriffe sicher absichern, Phishing-Resilienz erhöhen.

Praxis-Mindeststand:

• MFA verpflichtend für alle Cloud-Dienste (Microsoft 365, Google Workspace, Salesforce, Atlassian, …), alle administrativen Zugänge, VPN, Remote-Desktop. Faktoren: möglichst Phishing-resistente (Hardware-Token, Passkeys), zumindest TOTP-App. Keine SMS mehr für sensible Bereiche.
• Passwort-Manager flächendeckend ausgerollt; das Verbot wiederverwendeter Passwörter ergibt sich daraus implizit.
• Privilegierte Konten: separate Konten für administrative Tätigkeiten, nicht der reguläre Benutzer-Account. Privileged Access Management (PAM) ist Best Practice, aber für kleinere KMU oft over-engineered, zumindest sollten Admin-Konten dokumentiert und vom Benutzer-Pool getrennt sein.
• Joiner-Mover-Leaver: dokumentierter Prozess für Konto-Anlage, Rollen-Änderung und Konto-Sperrung. Audit-Schwerpunkt: ausgeschiedene Mitarbeiter mit aktiven Konten.

Hygiene-Feld 3: Backups

Ziel: Geschäfts-Kontinuität bei Daten-Verlust, Ransomware-Angriff oder Hardware-Ausfall.

Praxis-Mindeststand (3-2-1-Regel als Ausgangsbasis):

• 3 Kopien der Daten.
• 2 verschiedene Medien-Typen.
• 1 Kopie offline oder unveränderlich (Immutable Storage, WORM, Air-Gap).

Zusätzlich:

• Definierte RPO/RTO pro System, wieviele Daten dürfen verloren gehen, wie lange darf die Wiederherstellung dauern?
• Regelmäßige Wiederherstellungs-Tests, Backups, die nie getestet wurden, sind statistisch zu 20-30 % nicht wiederherstellbar.
• Dokumentation der letzten erfolgreichen Tests.

Backups sind ein Hygiene-Feld, bei dem die Wirksamkeit drastisch hinter der Existenz zurück-liegen kann. Audit-Stichprobe: zufälliges System auswählen und Recovery innerhalb der definierten RTO durchspielen.

Hygiene-Feld 4: Awareness-Schulungen

Ziel: Mitarbeitende als „menschliche Firewall" gegen Phishing, Social Engineering, sicheres Verhalten.

Praxis-Mindeststand:

• Onboarding-Schulung für neue Mitarbeitende mit IT-Sicherheits-Modul.
• Jährliche Auffrischung für alle Mitarbeitenden, dokumentiert.
• Phishing-Simulationen mindestens halbjährlich, mit messbarer Klick-Quote.
• Spezial-Schulungen für besonders gefährdete Rollen (Geschäfts-Leitung, Finanz-Buchhaltung, Personal).
• Aktuelle Bedrohungs-Information als Quartals-Newsletter oder regelmäßige Awareness-Mails.

Das Spannungsfeld ist Frequenz vs. Akzeptanz: zu seltene Schulungen verpuffen, zu häufige werden ignoriert. Empfehlung: ein-zwei kurze Module pro Jahr plus event-getriggerte Hinweise (z.B. wenn eine neue Phishing-Welle aktiv ist).

Hygiene-Feld 5: Sichere Standard-Konfigurationen

Ziel: Systeme sind „secure by default" konfiguriert, nicht erst nach umfangreichen Härtungs-Arbeiten.

Praxis-Mindeststand:

• Härtungs-Standards pro System-Klasse (Windows-Workstation, macOS, Server, Mobile, Cloud-Dienst). Orientierung: CIS Benchmarks, BSI-Grundschutz-Bausteine, ENISA-Sektor-Guides.
• Default-Passwörter überall geändert. Klassisches Audit-Finding: Werks-Passwörter auf Routern, Druckern, IoT-Geräten.
• Unnötige Dienste deaktiviert. Server liefert nicht mehr aus, als er muss.
• Sichere Cloud-Konfigurationen: Public-Buckets sind oft das größte Risiko. Standard-Scans der eigenen Cloud-Konfiguration sind Pflicht.

Was „verhältnismäßig" für KMU heißt

Art. 21 Abs. 1 NIS2 verlangt, dass Maßnahmen „verhältnismäßig zum Risiko" sind. Für ein 100-Mitarbeiter-Maschinenbauer bedeutet das anders als für ein 50.000-MA-Konzern.

Praktische Skalierung:

• Patch-Management: WSUS + manuelles Quartal-Review reicht bei 50 Endpunkten. Bei 500 Endpunkten braucht es einen Patch-Management-Dienst mit Reporting.
• MFA: zentrale Authentifizierungs-Plattform mit MFA-Enforcement (Microsoft Entra ID, Okta) ist Mittelstand-tauglich. Eigenes PAM-Setup wird erst ab 200+ Endpunkten oder hoher Kritikalität wirtschaftlich.
• Awareness: SaaS-Awareness-Plattformen (KnowBe4, Hoxhunt, SoSafe) kosten 3-15 Euro pro Mitarbeiter und Jahr, über alle Größen-Klassen vertretbar.
• Backup: Cloud-Backup mit Immutable-Option (Veeam, M365-Backup-SaaS, Azure-Backup) ist KMU-tauglich.

Hygiene-Metriken: was im Audit messbar wird

Wirksamkeit lässt sich nur dann nachweisen, wenn sie gemessen wird. Empfohlene Metriken-Sets pro Hygiene-Feld:

• Patch-Management: Anteil der Endpunkte mit kritischen Patches älter als 14 Tage, mittlere Patch-Latenz pro Schweregrad, Patch-Erfolgs-Quote.
• MFA: Anteil der Konten mit aktivierter MFA pro Anwendung, Anteil phishing-resistenter Faktoren, Anzahl ausstehender MFA-Reset-Tickets.
• Backup: Erfolgs-Quote der letzten Recovery-Tests, Recovery-Time-Objective-Einhaltung pro System-Klasse, Anteil immutable Storage am Gesamt-Backup-Volumen.
• Awareness: Click-Quote bei Phishing-Simulationen über die Zeit, Anteil aktuell geschulter Mitarbeitender, Anzahl gemeldeter Verdachts-Mails (positiv-Indikator für gute Awareness).
• Konfiguration: Anzahl offener CIS-Benchmark-Findings pro Endpunkt-Klasse, Anteil sicher konfigurierter Cloud-Buckets, Werks-Passwort-Audit-Quote.

Ein KMU-taugliches Dashboard mit diesen Kennzahlen ist mit einer Stunden-Aufwand pro Quartal pflegbar und liefert im Audit den entscheidenden Wirksamkeits-Nachweis. Ohne Metriken bleibt Cybersicherheits-Hygiene eine Behauptung.

Was nicht reicht

Drei Anti-Muster sind in NIS2-Audits regelmäßig Findings:

• Schatten-IT: Mitarbeitende nutzen private Cloud-Konten für berufliche Zwecke. Hygiene-Maßnahmen greifen dort nicht.
• Tools ohne Konfiguration: Awareness-Plattform gekauft, aber nicht ausgerollt. Backup-Tool installiert, aber nie wiederhergestellt. EDR-Lizenzen, aber niemand schaut auf die Alerts.
• Schulung als Pflicht-Veranstaltung: ein PowerPoint zum Durchklicken, dem niemand zuhört. Wirksamkeit gegen Null.

FAQ

Ist Cybersicherheits-Hygiene wirklich für jedes betroffene KMU Pflicht: oder nur für „große"?

Pflicht für alle erfassten Einrichtungen, unabhängig von Größe, sobald die NIS2-Anwendung gegeben ist. Der Umfang skaliert nach Risiko und Größe. Ein 60-MA-Unternehmen muss die fünf Felder adressieren, darf aber andere Skalierungs-Entscheidungen treffen als ein 6.000-MA-Konzern.

Welche MFA-Verfahren erkennt das BSI als ausreichend an?

TOTP-Apps (Google Authenticator, Microsoft Authenticator, Authy) sind Standard. Hardware-Token (YubiKey, FIDO2-Keys) und Passkeys gelten als phishing-resistent und sind Best Practice. SMS-basierte MFA ist nicht mehr empfohlen, BSI rät seit Jahren von SMS als zweitem Faktor ab. Push-Notifications mit Number-Matching sind akzeptabel.

Wie oft muss man Backups testen, um „wirksam" zu sein?

Mindestens halbjährlich, dokumentiert. Bei kritischen Systemen quartalsweise. Der Test muss tatsächlich Daten wiederherstellen, nicht nur die Existenz des Backup-Files prüfen. Bei einem Vor-Ort-Audit ist die Frage „Wann haben Sie zuletzt ein Backup-Recovery durchgeführt, Datum, System, Ergebnis?" eine Standard-Stichprobe.

Reicht KnowBe4 oder SoSafe als Awareness-Programm aus?

Als technisches Tool reichen sie. Wichtig ist die organisatorische Integration: Mitarbeitende müssen die Schulungen tatsächlich absolvieren, Phishing-Simulationen müssen ausgewertet und nachgehalten werden, Click-Rates sollten sich über die Zeit verbessern. Ein nicht-aktiv betreutes Tool ist im Audit weniger wert als ein selbstgebauter Quartals-Workshop, der wirksam ist.

Gilt MFA-Pflicht auch für E-Mail-Postfächer normaler Mitarbeitender?

Ja, in der Praxis ja. E-Mail-Postfächer sind das primäre Phishing-Ziel und der Einstiegspunkt für Business-Email-Compromise. NIS2 sagt nicht „MFA für alle Postfächer" wörtlich, aber Art. 21 Abs. 2 lit. j („sichere Authentifizierungs-Verfahren") in Verbindung mit dem Risiko-Bezug von Art. 21 Abs. 1 führt in der Aufsichts-Auslegung dazu, dass MFA für alle Konten mit Zugriff auf Unternehmens-Daten erwartet wird.