CIS Benchmarks & System-Härtung - Deine Systeme nachweisbar absichern

Die CIS Controls v8 sind eine priorisierte Liste von 18 Maßnahmen-Bereichen - sie sagen, was zu tun ist. Die CIS Benchmarks sind plattformspezifische Konfigurations-Vorgaben - sie sagen, wie ein Windows, Linux oder M365-Tenant konkret eingestellt sein soll. Wir nutzen die Controls zur Priorisierung und die Benchmarks zur Umsetzung.

Das ist das berechtigte Hauptbedenken. Deshalb härten wir nie blind: Wir wählen das passende Level (1 oder 2), testen kritische Einstellungen vor dem Rollout und dokumentieren begründete Ausnahmen, wo eine Anwendung eine Vorgabe nicht verträgt. Ein sauber dokumentierter Soll-Zustand mit Ausnahmen ist mehr wert als 100 % Konformität, die den Betrieb stört.

Nein. Konfigurationen verwässern durch Updates und manuelle Eingriffe - das nennt sich Configuration Drift. Ohne Drift-Erkennung und Re-Audit ist die Härtung nach einigen Monaten wieder löchrig. Deshalb gehört der Überwachungs-Zyklus für uns zwingend dazu.

Beide Standards fordern sichere Konfiguration und Stand der Technik, schreiben aber CIS nicht namentlich vor. CIS ist der etablierte, prüfbare Weg, diese Anforderung konkret und nachweisbar zu erfüllen. Wer ISO 27001 oder NIS2 umsetzt, sollte Härtung als Maßnahme darin verankern.

Windows Client und Server, gängige Linux-Distributionen, Microsoft 365 und Azure sowie Netzwerkgeräte wie Firewalls, Switches und Router. Im Erstgespräch klären wir, welche Systeme bei Dir priorisiert sind.

Das hängt von Anzahl und Art der Systeme und dem Ziel-Level ab. Wir starten mit einem Assessment, das Dir Score und Aufwand transparent macht - danach bekommst Du eine belastbare Schätzung statt einer Hausnummer. Auf den Beratungsanteil kann BAFA-Förderung greifen.

Level 1 lässt sich auf nahezu jedem System ohne spürbare Betriebs-Einschränkung umsetzen und ist für die meisten Clients und Standard-Server der richtige Zielwert. Level 2 verschärft deutlich und lohnt sich dort, wo der Schutzbedarf hoch ist oder ein System exponiert steht, etwa Domain Controller, Jump-Hosts oder Systeme mit besonders sensiblen Daten. In der Praxis mischt man beide Stufen je Systemklasse.

Die IG-Einteilung staffelt die CIS Controls nach Schutzbedarf und Reifegrad. IG1 ist die grundlegende Cyber-Hygiene und für die meisten Mittelständler der richtige Einstieg; IG2 und IG3 kommen bei höherem Schutzbedarf, regulatorischem Druck oder großer Angriffsfläche dazu. Wir bringen fast immer erst IG1 vollständig zum Laufen, bevor wir in die Tiefe gehen.

Automatisiert: Die Ist-Einstellungen werden gegen die Soll-Werte des jeweiligen Benchmarks geprüft, Ergebnis ist je System ein Erfüllungsgrad plus die Liste der Abweichungen mit Soll-Wert und Begründung. Weil die Prüfung wiederholbar ist, siehst Du nach jeder Runde den Verlauf statt einer Momentaufnahme. Genau dieser Verlauf ist im Audit der belastbare Teil.

Nein, und das ist auch nicht das Ziel. Ein Prüfer erwartet einen bewusst festgelegten Soll-Zustand, dokumentierte Ausnahmen mit Begründung und den Nachweis, dass der Soll gehalten wird. Die letzten Prozentpunkte kosten oft mehr Betriebsrisiko, als sie an Sicherheit bringen, deshalb legen wir den Zielwert vorab gemeinsam fest.

Das Assessment ist meist eine Sache von Tagen, der Rollout läuft in Wellen. Viele Einstellungen greifen ohne Neustart; eingriffsintensive Server-Änderungen planen wir ins Wartungsfenster, mit Rollback-Möglichkeit. Wir rollen nie alles auf einmal aus, sondern erst auf eine Testgruppe und dann in Stufen.

Beide beschreiben eine sichere Konfiguration für Windows und Microsoft 365, sind aber nicht deckungsgleich. Die Microsoft-Baselines sind herstellerseitig gepflegt und eng in GPO und Intune integriert; die CIS Benchmarks sind herstellerunabhängig und liefern zu jeder Empfehlung Begründung, Auswirkung und Prüfanleitung, was sie als Nachweis stärker macht. Wir kombinieren beides und dokumentieren, wo wir bewusst abweichen.

Versicherer fragen in ihren Fragebögen zunehmend nach MFA, Backup, Patchstand und gehärteten Systemen. Ein Assessment-Report mit Score-Verlauf und dokumentierten Ausnahmen ist dafür ein belastbarer Beleg. Ob und wie stark ein Versicherer das in Prämie oder Deckung einpreist, entscheidet er allein - versprechen können wir das nicht.

Nein, das sind verschiedene Aufgaben. Härtung verkleinert die Angriffsfläche, sodass viele Angriffe technisch gar nicht erst funktionieren; EDR erkennt und stoppt, was trotzdem durchkommt. Wenn das Budget knapp ist, bringt Härtung meist den größeren Effekt pro investiertem Euro, weil sie ohne zusätzliche Lizenzkosten auskommt.

Für Legacy-Anwendungen, die etwa alte Protokolle oder lokale Adminrechte brauchen, ist die dokumentierte Ausnahme plus kompensierende Maßnahme der richtige Weg: eigenes Netzsegment, eingeschränkter Zugriff, engeres Logging und ein Ablaufdatum für die Ausnahme. Ignorieren ist keine Option - ein System so lange zu härten, bis die Fachanwendung nicht mehr läuft, aber auch nicht.