Die NIS2-Richtlinie stellt viele Unternehmen vor erhebliche Herausforderungen, insbesondere wenn es um die Umsetzung konkreter Sicherheitsma\u00dfnahmen geht. W\u00e4hrend vollst\u00e4ndige Compliance-Programme oft an begrenzten Budgets und knappen Personalressourcen scheitern, bietet das Management von Zugangsdaten einen \u00fcberraschend effektiven und kosteng\u00fcnstigen Einstieg. Anstatt auf eine umfassende, teure Sicherheitsinfrastruktur zu warten, k\u00f6nnen Unternehmen mit sieben gezielten Kontrollen ihre Compliance-Risiken senken und gleichzeitig die Grundlage f\u00fcr eine tiefere Absicherung legen.<\/p>\n
Die EU-Richtlinie NIS2, die in Deutschland durch das NIS2-Umsetzungs- und Cybersicherheitsst\u00e4rkungsgesetz (NIS2UmsuCG) seit dem 6. Dezember 2025 in Kraft ist, verlangt von betroffenen Einrichtungen ein risikobasiertes Risikomanagement. Laut \u00a7 30 Absatz 1 BSIG m\u00fcssen diese Ma\u00dfnahmen zum tats\u00e4chlichen Risiko des Unternehmens passen. Genau hier setzen Zugangsdatenkontrollen an: Der Verizon Data Breach Investigations Report 2026 zeigt, dass Zugangsdaten in 28 Prozent aller untersuchten Sicherheitsvorf\u00e4lle kompromittiert wurden. Dies macht sie zu einem der gr\u00f6\u00dften, aber auch greifbarsten Risikofaktoren.<\/p>\n
Die folgenden sieben Ma\u00dfnahmen sind so konzipiert, dass sie ohne neue, komplexe Infrastruktur auskommen. Sie schaffen Transparenz, Nachvollziehbarkeit und Pr\u00fcfbarkeit \u2013 drei Eigenschaften, die f\u00fcr jedes NIS2-Audit unerl\u00e4sslich sind. Jede Kontrolle erzeugt einen spezifischen Nachweis, der sp\u00e4ter dem BSI oder internen Pr\u00fcfern vorgelegt werden kann.<\/p>\n
Die Ma\u00dfnahmen sind nach Aufwand und Kosten priorisiert. Der Einstieg ist in vielen F\u00e4llen kostenlos und erfordert nur eine systematische Bestandsaufnahme und Prozessanpassung.<\/p>\n
Der erste und wichtigste Schritt ist die Auflistung aller administrativen, Cloud- und Anwendungs-Konten sowie wirkungsstarker Service-Konten. F\u00fcr jedes Konto m\u00fcssen ein benannter Verantwortlicher und der genaue Zweck festgehalten werden. Der aufzubewahrende Nachweis: ein versioniertes Inventar mit aktuellem \u00dcberpr\u00fcfungsdatum. Ohne dieses Inventar ist jede weitere Kontrolle blind.<\/p>\n
Konten, die nicht mehr genutzt werden, sind ein Einfallstor f\u00fcr Angreifer. Definieren Sie klare Kriterien f\u00fcr Inaktivit\u00e4t (z. B. 90 Tage kein Login), deaktivieren Sie diese Konten und dokumentieren Sie Ausnahmen. Die \u00dcberpr\u00fcfungsprotokolle und die Abschlusstickets dieser Aktion dienen als Beleg.<\/p>\n
Multi-Faktor-Authentifizierung (MFA) wird in \u00a7 30 Absatz 2 Nummer 10 BSIG explizit genannt, jedoch nicht pauschal f\u00fcr alle Konten. Die Verh\u00e4ltnism\u00e4\u00dfigkeitsklausel erlaubt eine Staffelung nach Risiko. Priorisieren Sie daher den Fernzugriff, extern erreichbare Anwendungen und die privilegierte Administration. Bewahren Sie die MFA-Richtlinie, einen Konfigurationsexport sowie die Abdeckungskennzahl und die Ausnahmeliste als Nachweis auf.<\/p>\n
Geteilte Passw\u00f6rter in Chats, Tabellen oder privaten Browsern sind ein Governance-Problem. Entfernen Sie diese Secrets aus ungesicherten Quellen und binden Sie den Zugriff an namentliche Nutzer. Nach einem Offboarding oder einer Kompromittierung muss eine sofortige Rotation erfolgen. Der Berechtigungsverlauf und die Audit-Ereignisse dokumentieren diesen Prozess.<\/p>\n
Definieren Sie den Mindestzugriff (\u201eLeast Privilege\u201c) f\u00fcr jede Rolle. Jede Abweichung hiervon muss durch einen Vorgesetzten genehmigt werden. Die Zugriffsmatrix sowie Nachweise aus dem Joiner-Mover-Leaver-Prozess (Eintritt, Wechsel, Austritt von Mitarbeitern) bilden die Dokumentationsgrundlage.<\/p>\n
Selbst die beste Technik versagt, wenn die Mitarbeiter nicht geschult sind. Vermitteln Sie sicheres Teilen von Passw\u00f6rtern, Meldeverfahren bei Verdacht auf Kompromittierung, die korrekte Nutzung von MFA und erlaubte Speicherpraktiken. Ein Schulungsplan mit Teilnahmenachweisen ist der geforderte Nachweis.<\/p>\n
Nicht-menschliche Konten (CI\/CD-Tokens, Pipeline-Secrets) werden oft \u00fcbersehen. Weisen Sie auch hier Verantwortliche zu, begrenzen Sie die Berechtigungen und isolieren Sie die Secrets von pers\u00f6nlichen Zug\u00e4ngen. Ein separates Register f\u00fcr Service-Konten, erg\u00e4nzt um Berechtigungs- und Rotationsnachweise, schafft hier Abhilfe.<\/p>\n