Cybersicherheits-Hygiene nach NIS2: Was reicht für KMU?

Stand: 2026-05-16 · ComplyCheck-Redaktion · Keine Rechtsberatung iSd RDG § 2.

Was „Cybersicherheits-Hygiene" rechtlich bedeutet

Die NIS2-Richtlinie definiert den Begriff nicht abschließend. In den Erwägungs-Gründen (insbesondere Erwägung 89) wird Cyber-Hygiene als „eine Reihe von Praktiken" beschrieben, „die einen wirksamen Schutz vor Cyber-Bedrohungen bieten, indem sie die Wahrscheinlichkeit von Cyber-Vorfällen verringern und ihre Auswirkungen begrenzen".

Konkret nennt der Erwägungs-Grund:

• Software- und Hardware-Updates.
• Passwort-Änderungen und sichere Authentifizierung.
• Verwaltung neuer Installationen.
• Beschränkung von Administrator-Konten und Backup von Daten.

In der praktischen Auslegung — gestützt auf ENISA-Empfehlungen, BSI-Basis-Hinweise und IT-Grundschutz-Bausteine — haben sich fünf Hygiene-Felder etabliert.

Hygiene-Feld 1 — Patch-Management

Ziel: Bekannte Schwachstellen zeitnah schließen, bevor sie ausgenutzt werden.

Praxis-Mindeststand für KMU:

• Inventar aller Software und Geräte mit Versions-Stand. Excel reicht initial; ein einfaches Asset-Management-Tool wird ab 50+ Endpunkten unverzichtbar.
• Update-Zyklen: kritische Sicherheits-Patches binnen 14 Tagen, normale Updates binnen 30 Tagen, Major-Versions im definierten Wartungs-Fenster.
• Automatisierung wo möglich: Microsoft Update Services (WSUS), macOS-MDM, Linux unattended-upgrades — manuelles Patchen ist nicht skalierbar.
• Ausnahmen dokumentiert: Wenn ein System nicht gepatcht werden kann (Legacy-Anwendung, OT-Komponente), muss die Ausnahme dokumentiert sein, mit kompensierenden Maßnahmen.

Audit-Frage: Wie alt ist der Patch-Stand auf einem Stichproben-Endpunkt? Wenn die letzten kritischen Patches älter als 30 Tage sind, ist das ein Finding.

Hygiene-Feld 2 — Authentifizierung und MFA

Ziel: Zugriffe sicher absichern, Phishing-Resilienz erhöhen.

Praxis-Mindeststand:

• MFA verpflichtend für alle Cloud-Dienste (Microsoft 365, Google Workspace, Salesforce, Atlassian, …), alle administrativen Zugänge, VPN, Remote-Desktop. Faktoren: möglichst Phishing-resistente (Hardware-Token, Passkeys), zumindest TOTP-App. Keine SMS mehr für sensible Bereiche.
• Passwort-Manager flächendeckend ausgerollt; das Verbot wiederverwendeter Passwörter ergibt sich daraus implizit.
• Privilegierte Konten: separate Konten für administrative Tätigkeiten, nicht der reguläre Benutzer-Account. Privileged Access Management (PAM) ist Best Practice, aber für kleinere KMU oft over-engineered — zumindest sollten Admin-Konten dokumentiert und vom Benutzer-Pool getrennt sein.
• Joiner-Mover-Leaver: dokumentierter Prozess für Konto-Anlage, Rollen-Änderung und Konto-Sperrung. Audit-Schwerpunkt: ausgeschiedene Mitarbeiter mit aktiven Konten.

Hygiene-Feld 3 — Backups

Ziel: Geschäfts-Kontinuität bei Daten-Verlust, Ransomware-Angriff oder Hardware-Ausfall.

Praxis-Mindeststand (3-2-1-Regel als Ausgangsbasis):

• 3 Kopien der Daten.
• 2 verschiedene Medien-Typen.
• 1 Kopie offline oder unveränderlich (Immutable Storage, WORM, Air-Gap).

Zusätzlich:

• Definierte RPO/RTO pro System — wieviele Daten dürfen verloren gehen, wie lange darf die Wiederherstellung dauern?
• Regelmäßige Wiederherstellungs-Tests — Backups, die nie getestet wurden, sind statistisch zu 20-30 % nicht wiederherstellbar.
• Dokumentation der letzten erfolgreichen Tests.

Backups sind ein Hygiene-Feld, bei dem die Wirksamkeit drastisch hinter der Existenz zurück-liegen kann. Audit-Stichprobe: zufälliges System auswählen und Recovery innerhalb der definierten RTO durchspielen.

Hygiene-Feld 4 — Awareness-Schulungen

Ziel: Mitarbeitende als „menschliche Firewall" gegen Phishing, Social Engineering, sicheres Verhalten.

Praxis-Mindeststand:

• Onboarding-Schulung für neue Mitarbeitende mit IT-Sicherheits-Modul.
• Jährliche Auffrischung für alle Mitarbeitenden, dokumentiert.
• Phishing-Simulationen mindestens halbjährlich, mit messbarer Klick-Quote.
• Spezial-Schulungen für besonders gefährdete Rollen (Geschäfts-Leitung, Finanz-Buchhaltung, Personal).
• Aktuelle Bedrohungs-Information als Quartals-Newsletter oder regelmäßige Awareness-Mails.

Das Spannungsfeld ist Frequenz vs. Akzeptanz: zu seltene Schulungen verpuffen, zu häufige werden ignoriert. Empfehlung: ein-zwei kurze Module pro Jahr plus event-getriggerte Hinweise (z.B. wenn eine neue Phishing-Welle aktiv ist).

Hygiene-Feld 5 — Sichere Standard-Konfigurationen

Ziel: Systeme sind „secure by default" konfiguriert — nicht erst nach umfangreichen Härtungs-Arbeiten.

Praxis-Mindeststand:

• Härtungs-Standards pro System-Klasse (Windows-Workstation, macOS, Server, Mobile, Cloud-Dienst). Orientierung: CIS Benchmarks, BSI-Grundschutz-Bausteine, ENISA-Sektor-Guides.
• Default-Passwörter überall geändert. Klassisches Audit-Finding: Werks-Passwörter auf Routern, Druckern, IoT-Geräten.
• Unnötige Dienste deaktiviert. Server liefert nicht mehr aus, als er muss.
• Sichere Cloud-Konfigurationen: Public-Buckets sind oft das größte Risiko. Standard-Scans der eigenen Cloud-Konfiguration sind Pflicht.

Was „verhältnismäßig" für KMU heißt

Art. 21 Abs. 1 NIS2 verlangt, dass Maßnahmen „verhältnismäßig zum Risiko" sind. Für ein 100-Mitarbeiter-Maschinenbauer bedeutet das anders als für ein 50.000-MA-Konzern.

Praktische Skalierung:

• Patch-Management: WSUS + manuelles Quartal-Review reicht bei 50 Endpunkten. Bei 500 Endpunkten braucht es einen Patch-Management-Dienst mit Reporting.
• MFA: zentrale Authentifizierungs-Plattform mit MFA-Enforcement (Microsoft Entra ID, Okta) ist Mittelstand-tauglich. Eigenes PAM-Setup wird erst ab 200+ Endpunkten oder hoher Kritikalität wirtschaftlich.
• Awareness: SaaS-Awareness-Plattformen (KnowBe4, Hoxhunt, SoSafe) kosten 3-15 Euro pro Mitarbeiter und Jahr — über alle Größen-Klassen vertretbar.
• Backup: Cloud-Backup mit Immutable-Option (Veeam, M365-Backup-SaaS, Azure-Backup) ist KMU-tauglich.

Hygiene-Metriken — was im Audit messbar wird

Wirksamkeit lässt sich nur dann nachweisen, wenn sie gemessen wird. Empfohlene Metriken-Sets pro Hygiene-Feld:

• Patch-Management: Anteil der Endpunkte mit kritischen Patches älter als 14 Tage, mittlere Patch-Latenz pro Schweregrad, Patch-Erfolgs-Quote.
• MFA: Anteil der Konten mit aktivierter MFA pro Anwendung, Anteil phishing-resistenter Faktoren, Anzahl ausstehender MFA-Reset-Tickets.
• Backup: Erfolgs-Quote der letzten Recovery-Tests, Recovery-Time-Objective-Einhaltung pro System-Klasse, Anteil immutable Storage am Gesamt-Backup-Volumen.
• Awareness: Click-Quote bei Phishing-Simulationen über die Zeit, Anteil aktuell geschulter Mitarbeitender, Anzahl gemeldeter Verdachts-Mails (positiv-Indikator für gute Awareness).
• Konfiguration: Anzahl offener CIS-Benchmark-Findings pro Endpunkt-Klasse, Anteil sicher konfigurierter Cloud-Buckets, Werks-Passwort-Audit-Quote.

Ein KMU-taugliches Dashboard mit diesen Kennzahlen ist mit einer Stunden-Aufwand pro Quartal pflegbar und liefert im Audit den entscheidenden Wirksamkeits-Nachweis. Ohne Metriken bleibt Cybersicherheits-Hygiene eine Behauptung.

Was nicht reicht

Drei Anti-Muster sind in NIS2-Audits regelmäßig Findings:

• Schatten-IT: Mitarbeitende nutzen private Cloud-Konten für berufliche Zwecke. Hygiene-Maßnahmen greifen dort nicht.
• Tools ohne Konfiguration: Awareness-Plattform gekauft, aber nicht ausgerollt. Backup-Tool installiert, aber nie wiederhergestellt. EDR-Lizenzen, aber niemand schaut auf die Alerts.
• Schulung als Pflicht-Veranstaltung: ein PowerPoint zum Durchklicken, dem niemand zuhört. Wirksamkeit gegen Null.

FAQ

Ist Cybersicherheits-Hygiene wirklich für jedes betroffene KMU Pflicht — oder nur für „große"?

Pflicht für alle erfassten Einrichtungen, unabhängig von Größe — sobald die NIS2-Anwendung gegeben ist. Der Umfang skaliert nach Risiko und Größe. Ein 60-MA-Unternehmen muss die fünf Felder adressieren, darf aber andere Skalierungs-Entscheidungen treffen als ein 6.000-MA-Konzern.

Welche MFA-Verfahren erkennt das BSI als ausreichend an?

TOTP-Apps (Google Authenticator, Microsoft Authenticator, Authy) sind Standard. Hardware-Token (YubiKey, FIDO2-Keys) und Passkeys gelten als phishing-resistent und sind Best Practice. SMS-basierte MFA ist nicht mehr empfohlen — BSI rät seit Jahren von SMS als zweitem Faktor ab. Push-Notifications mit Number-Matching sind akzeptabel.

Wie oft muss man Backups testen, um „wirksam" zu sein?

Mindestens halbjährlich, dokumentiert. Bei kritischen Systemen quartalsweise. Der Test muss tatsächlich Daten wiederherstellen — nicht nur die Existenz des Backup-Files prüfen. Bei einem Vor-Ort-Audit ist die Frage „Wann haben Sie zuletzt ein Backup-Recovery durchgeführt — Datum, System, Ergebnis?" eine Standard-Stichprobe.

Reicht KnowBe4 oder SoSafe als Awareness-Programm aus?

Als technisches Tool reichen sie. Wichtig ist die organisatorische Integration: Mitarbeitende müssen die Schulungen tatsächlich absolvieren, Phishing-Simulationen müssen ausgewertet und nachgehalten werden, Click-Rates sollten sich über die Zeit verbessern. Ein nicht-aktiv betreutes Tool ist im Audit weniger wert als ein selbstgebauter Quartals-Workshop, der wirksam ist.

Gilt MFA-Pflicht auch für E-Mail-Postfächer normaler Mitarbeitender?

Ja, in der Praxis ja. E-Mail-Postfächer sind das primäre Phishing-Ziel und der Einstiegspunkt für Business-Email-Compromise. NIS2 sagt nicht „MFA für alle Postfächer" wörtlich, aber Art. 21 Abs. 2 lit. j („sichere Authentifizierungs-Verfahren") in Verbindung mit dem Risiko-Bezug von Art. 21 Abs. 1 führt in der Aufsichts-Auslegung dazu, dass MFA für alle Konten mit Zugriff auf Unternehmens-Daten erwartet wird.