Cybersicherheits-Hygiene nach NIS2: Was reicht für KMU?

Stand: 18.09.2026 · ComplyCheck-Redaktion · Keine Rechtsberatung iSd RDG § 2.

Was „Cybersicherheits-Hygiene" rechtlich bedeutet

Die NIS2-Richtlinie definiert den Begriff nicht. Erwägungsgrund 49 beschreibt Cyberhygiene-Konzepte als Grundlage für den Schutz von Netz- und Informationssystemen und nennt einen gemeinsamen Grundbestand an Praktiken. Erwägungsgrund 89 ergänzt weitere Beispiele wie Zero-Trust-Grundsätze, Gerätekonfiguration, Netzsegmentierung, Identitäts- und Zugriffsmanagement sowie Sensibilisierung der Beschäftigten.

Konkret nennt Erwägungsgrund 49:

• Software- und Hardware-Updates.
• Passwortänderungen.
• Verwaltung neuer Installationen.
• Beschränkung von Administrator-Konten und Backup von Daten.

Die folgenden fünf Felder fassen diese Praktiken redaktionell zusammen. In Deutschland maßgeblich sind die Mindestmaßnahmen nach § 30 Abs. 2 BSIG.

Hygiene-Feld 1: Patch-Management

Ziel: Bekannte Schwachstellen zeitnah schließen, bevor sie ausgenutzt werden.

Praxis-Mindeststand für KMU:

• Inventar aller Software und Geräte mit Versions-Stand. Excel reicht initial; ein einfaches Asset-Management-Tool wird ab 50+ Endpunkten unverzichtbar.
• Update-Zyklen: feste, dokumentierte Fristen je Schweregrad, kritische Sicherheits-Patches zuerst, größere Versionssprünge im definierten Wartungsfenster. Eine gesetzliche Frist gibt es nicht; die Länge ist risikobasiert festzulegen.
• Automatisierung wo möglich: Windows Server Update Services (WSUS) oder ein MDM, macOS-MDM, Linux unattended-upgrades, manuelles Patchen ist nicht skalierbar.
• Ausnahmen dokumentiert: Wenn ein System nicht gepatcht werden kann (Legacy-Anwendung, OT-Komponente), muss die Ausnahme dokumentiert sein, mit kompensierenden Maßnahmen.

Prüffrage: Wie alt ist der Patch-Stand auf einem Stichproben-Endpunkt? Sind kritische Patches länger offen als die selbst festgelegte Frist, ohne dokumentierte Ausnahme, ist das eine Abweichung.

Hygiene-Feld 2: Authentifizierung und MFA

Ziel: Zugriffe sicher absichern, Phishing-Resilienz erhöhen.

Praxis-Mindeststand:

• MFA durchsetzen für alle Cloud-Dienste (Microsoft 365, Google Workspace, Salesforce, Atlassian, …), alle administrativen Zugänge, VPN, Remote-Desktop. Faktoren: möglichst phishing-resistente Verfahren (FIDO2-Hardware-Token, Passkeys). Nach BSI-Bewertung schützen SMS-TAN und TOTP nicht vor Phishing in Echtzeit.
• Passwort-Manager flächendeckend ausgerollt; das Verbot wiederverwendeter Passwörter ergibt sich daraus implizit.
• Privilegierte Konten: separate Konten für administrative Tätigkeiten, nicht der reguläre Benutzer-Account. Privileged Access Management (PAM) ist Best Practice, aber für kleinere KMU oft over-engineered, zumindest sollten Admin-Konten dokumentiert und vom Benutzer-Pool getrennt sein.
• Joiner-Mover-Leaver: dokumentierter Prozess für Konto-Anlage, Rollen-Änderung und Konto-Sperrung. Audit-Schwerpunkt: ausgeschiedene Mitarbeiter mit aktiven Konten.

Hygiene-Feld 3: Backups

Ziel: Geschäfts-Kontinuität bei Daten-Verlust, Ransomware-Angriff oder Hardware-Ausfall.

Praxis-Mindeststand (3-2-1-Regel als Ausgangsbasis):

• 3 Kopien der Daten.
• 2 verschiedene Medien-Typen.
• 1 Kopie offline oder unveränderlich (Immutable Storage, WORM, Air-Gap).

Zusätzlich:

• Definierte RPO/RTO pro System, wieviele Daten dürfen verloren gehen, wie lange darf die Wiederherstellung dauern?
• Regelmäßige Wiederherstellungs-Tests: Nur ein durchgeführter Restore zeigt, ob ein Backup im Ernstfall nutzbar ist.
• Dokumentation der letzten erfolgreichen Tests.

Backups sind ein Hygiene-Feld, bei dem die Wirksamkeit drastisch hinter der Existenz zurück-liegen kann. Audit-Stichprobe: zufälliges System auswählen und Recovery innerhalb der definierten RTO durchspielen.

Hygiene-Feld 4: Awareness-Schulungen

Ziel: Mitarbeitende als „menschliche Firewall" gegen Phishing, Social Engineering, sicheres Verhalten.

Praxis-Mindeststand:

• Onboarding-Schulung für neue Mitarbeitende mit IT-Sicherheits-Modul.
• Jährliche Auffrischung für alle Mitarbeitenden, dokumentiert.
• Phishing-Simulationen mindestens halbjährlich, mit messbarer Klick-Quote.
• Spezial-Schulungen für besonders gefährdete Rollen (Geschäfts-Leitung, Finanz-Buchhaltung, Personal).
• Aktuelle Bedrohungs-Information als Quartals-Newsletter oder regelmäßige Awareness-Mails.

Das Spannungsfeld ist Frequenz vs. Akzeptanz: zu seltene Schulungen verpuffen, zu häufige werden ignoriert. Empfehlung: ein-zwei kurze Module pro Jahr plus event-getriggerte Hinweise (z.B. wenn eine neue Phishing-Welle aktiv ist).

Hygiene-Feld 5: Sichere Standard-Konfigurationen

Ziel: Systeme sind „secure by default" konfiguriert, nicht erst nach umfangreichen Härtungs-Arbeiten.

Praxis-Mindeststand:

• Härtungs-Standards pro System-Klasse (Windows-Workstation, macOS, Server, Mobile, Cloud-Dienst). Orientierung: CIS Benchmarks, BSI-Grundschutz-Bausteine, ENISA-Sektor-Guides.
• Default-Passwörter überall geändert. Klassisches Audit-Finding: Werks-Passwörter auf Routern, Druckern, IoT-Geräten.
• Unnötige Dienste deaktiviert. Server liefert nicht mehr aus, als er muss.
• Sichere Cloud-Konfigurationen: öffentlich zugängliche Speicher-Buckets sind ein typisches Risiko. Regelmäßige Scans der eigenen Cloud-Konfiguration machen Fehlkonfigurationen sichtbar.

Was „verhältnismäßig" für KMU heißt

Art. 21 Abs. 1 NIS2 verlangt „geeignete und verhältnismäßige" Maßnahmen. In Deutschland sind bei der Bewertung der Verhältnismäßigkeit nach § 30 Abs. 1 Satz 2 BSIG das Ausmaß der Risikoexposition, die Größe der Einrichtung, die Umsetzungskosten sowie Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen samt ihren gesellschaftlichen und wirtschaftlichen Auswirkungen zu berücksichtigen. Für einen Maschinenbauer mit 100 Beschäftigten ergibt das ein anderes Maßnahmenniveau als für einen Konzern mit 50.000.

Praktische Skalierung:

• Patch-Management: WSUS + manuelles Quartal-Review reicht bei 50 Endpunkten. Bei 500 Endpunkten braucht es einen Patch-Management-Dienst mit Reporting.
• MFA: zentrale Authentifizierungs-Plattform mit MFA-Enforcement (Microsoft Entra ID, Okta) ist Mittelstand-tauglich. Eigenes PAM-Setup wird erst ab 200+ Endpunkten oder hoher Kritikalität wirtschaftlich.
• Awareness: SaaS-Awareness-Plattformen (KnowBe4, Hoxhunt, SoSafe) werden pro Nutzer lizenziert; die Kosten richten sich nach dem jeweiligen Angebot.
• Backup: Cloud-Backup mit Immutable-Option (Veeam, M365-Backup-SaaS, Azure-Backup) ist KMU-tauglich.

Hygiene-Metriken: was im Audit messbar wird

Wirksamkeit lässt sich nur dann nachweisen, wenn sie gemessen wird. Empfohlene Metriken-Sets pro Hygiene-Feld:

• Patch-Management: Anteil der Endpunkte mit kritischen Patches jenseits der internen Frist, mittlere Patch-Latenz pro Schweregrad, Patch-Erfolgs-Quote.
• MFA: Anteil der Konten mit aktivierter MFA pro Anwendung, Anteil phishing-resistenter Faktoren, Anzahl ausstehender MFA-Reset-Tickets.
• Backup: Erfolgs-Quote der letzten Recovery-Tests, Recovery-Time-Objective-Einhaltung pro System-Klasse, Anteil immutable Storage am Gesamt-Backup-Volumen.
• Awareness: Click-Quote bei Phishing-Simulationen über die Zeit, Anteil aktuell geschulter Mitarbeitender, Anzahl gemeldeter Verdachts-Mails (positiv-Indikator für gute Awareness).
• Konfiguration: Anzahl offener CIS-Benchmark-Findings pro Endpunkt-Klasse, Anteil sicher konfigurierter Cloud-Buckets, Werks-Passwort-Audit-Quote.

Ein schlankes Dashboard mit diesen Kennzahlen dient als Nachweis der Wirksamkeit; § 30 Abs. 2 Nr. 6 BSIG verlangt ausdrücklich Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen. Ohne Metriken bleibt Cybersicherheits-Hygiene eine Behauptung.

Was nicht reicht

Drei typische Schwachstellen, bei denen Maßnahmen zwar existieren, aber nicht wirken:

• Schatten-IT: Mitarbeitende nutzen private Cloud-Konten für berufliche Zwecke. Hygiene-Maßnahmen greifen dort nicht.
• Tools ohne Konfiguration: Awareness-Plattform gekauft, aber nicht ausgerollt. Backup-Tool installiert, aber nie wiederhergestellt. EDR-Lizenzen, aber niemand schaut auf die Alerts.
• Schulung als Pflicht-Veranstaltung: ein PowerPoint zum Durchklicken, dem niemand zuhört. Wirksamkeit gegen Null.

FAQ

Ist Cybersicherheits-Hygiene wirklich für jedes betroffene KMU Pflicht: oder nur für „große"?

Pflicht für alle besonders wichtigen und wichtigen Einrichtungen, unabhängig davon, wie groß sie oberhalb der Schwellen des § 28 BSIG sind. Rechtlich geschuldet sind die Maßnahmen nach § 30 Abs. 2 BSIG, darunter Backup-Management (Nr. 3), Schulungen und Sensibilisierung (Nr. 7) und MFA-Lösungen (Nr. 10); die fünf Felder dieses Artikels sind eine redaktionelle Gliederung. Der Umfang richtet sich nach der Verhältnismäßigkeit nach § 30 Abs. 1 Satz 2 BSIG, ein 60-MA-Unternehmen darf also andere Skalierungs-Entscheidungen treffen als ein 6.000-MA-Konzern.

Welche MFA-Verfahren bewertet das BSI als phishing-resistent?

Eine verbindliche Liste zulässiger MFA-Verfahren enthält § 30 Abs. 2 Nr. 10 BSIG nicht. In seiner Bewertung von 2FA-Verfahren stuft das BSI beide Passkey-Verfahren (synchronisierte und gerätegebundene Passkeys, FIDO2) als resistent gegen übliche Phishing-Angriffe ein. SMS-TAN, E-Mail-TAN und TOTP-Apps schützen danach nicht vor Phishing in Echtzeit. Grundsätzlich empfiehlt das BSI, Zwei-Faktor-Authentisierung überall dort zu nutzen, wo sie möglich ist.

Wie oft muss man Backups testen, um „wirksam" zu sein?

Eine gesetzliche Frequenz gibt es nicht; § 30 Abs. 2 Nr. 3 BSIG verlangt Backup-Management und Wiederherstellung nach einem Notfall, § 30 Abs. 2 Nr. 6 BSIG Verfahren zur Bewertung der Wirksamkeit. Die Testfrequenz legt jede Einrichtung risikobasiert fest und dokumentiert sie, für kritische Systeme entsprechend enger. Der Test sollte tatsächlich Daten wiederherstellen, nicht nur die Existenz des Backup-Files prüfen. Bei einem Vor-Ort-Audit ist die Frage „Wann haben Sie zuletzt ein Backup-Recovery durchgeführt, Datum, System, Ergebnis?" eine Standard-Stichprobe.

Reicht KnowBe4 oder SoSafe als Awareness-Programm aus?

Als technisches Tool reichen sie. Wichtig ist die organisatorische Integration: Mitarbeitende müssen die Schulungen tatsächlich absolvieren, Phishing-Simulationen müssen ausgewertet und nachgehalten werden, Click-Rates sollten sich über die Zeit verbessern. Ein nicht-aktiv betreutes Tool ist im Audit weniger wert als ein selbstgebauter Quartals-Workshop, der wirksam ist.

Gilt MFA-Pflicht auch für E-Mail-Postfächer normaler Mitarbeitender?

Das Gesetz nennt Postfächer nicht ausdrücklich. § 30 Abs. 2 Nr. 10 BSIG (Art. 21 Abs. 2 Buchst. j NIS2) verlangt die „Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung", ohne Kontoarten zu unterscheiden. Welche Konten erfasst werden, folgt aus der Risikobewertung nach § 30 Abs. 1 BSIG. Da E-Mail-Postfächer ein häufiges Phishing-Ziel und Einstiegspunkt für Business-Email-Compromise sind, spricht die Risikobetrachtung in der Regel für MFA auch dort.