Querschnitt aller Regelwerke

Technische IT-Sicherheit:
einmal richtig, überall erfüllt

Acht technische Bereiche entscheiden über fast jede Prüfung — von der Zwei-Faktor-Anmeldung bis zum getesteten Backup. Sie sind in NIS-2, ISO 27001, DSGVO, DORA, TISAX und PCI DSS praktisch deckungsgleich. Wer sie einmal sauber aufsetzt, erfüllt alle gleichzeitig — statt jedes Regelwerk einzeln abzuarbeiten.

Kostenloser Selbsttest

Wie gut ist Ihre Technik
wirklich abgesichert?

Sieben kurze Fragen, rund zwei Minuten — danach wissen Sie, wo Sie stehen und was zuerst dran ist.

Gilt das für uns?

„Wir haben eh eine Firewall“
reicht nicht mehr

Technische Sicherheit wird nicht mehr danach beurteilt, ob etwas installiert ist, sondern ob es nachweisbar wirkt. Genau daran scheitern die meisten Prüfungen.

Hier lohnt es sich sofort

  • Ihre Systeme sind von außen erreichbar — Fernwartung, Kundenportal, Webshop oder Cloud
  • Ein Kunde oder ein Regelwerk verlangt technische Nachweise von Ihnen
  • Ein IT-Ausfall wäre nach wenigen Stunden geschäftskritisch
  • Sie stehen vor einem Audit und wissen nicht, welche Belege verlangt werden

Hier reicht meist weniger

  • Alle Systeme liegen bei einem Anbieter, der die Nachweise selbst liefert — dann prüfen wir dessen Belege statt Ihrer Technik
  • Sehr kleine Umgebungen ohne Zugriff von außen und ohne besondere Datenarten
  • Kein Regelwerk und kein Kunde verlangt bisher einen Nachweis — die vier Grundlagen sollten trotzdem sitzen

Der Punkt, an dem es kippt: Fast alle Angriffe, die wir in der Praxis sehen, nutzen dieselben drei Türen — ein Zugang ohne zweiten Faktor, ein System mit bekannter, ungepatchter Schwachstelle und ein Backup, das noch nie zurückgespielt wurde. Wer diese drei schließt, ist gegen den Großteil realer Vorfälle geschützt und erfüllt gleichzeitig die Kernforderung jedes Regelwerks.

Die acht Bereiche

Was technisch verlangt wird —
und von welchem Regelwerk

Die Formulierungen unterscheiden sich, die Substanz kaum. Unter jedem Bereich steht, welche Regelwerke ihn fordern.

1
Zugriff und Identitäten

Wer darf was, und wie wird das geprüft? Zwei-Faktor für jeden Zugang von außen, getrennte Administratorkonten, regelmäßige Rechteüberprüfung und ein Austrittsprozess, der Zugänge tatsächlich schließt.

NIS-2 · ISO 27001 A.5.15–A.5.18 · DSGVO Art. 32 · PCI DSS 7–8

2
Verschlüsselung

Daten auf dem Transportweg und im Ruhezustand verschlüsseln — und die Schlüssel so verwalten, dass sie nicht neben dem Tresor liegen. Inklusive Verschlüsselung von Notebooks und mobilen Datenträgern.

NIS-2 · ISO 27001 A.8.24 · DSGVO Art. 32 · PCI DSS 3–4

3
Sicherung und Wiederherstellung

Backups nach der Drei-Zwei-Eins-Regel, mindestens eine Kopie außerhalb der Reichweite eines Angreifers — und mindestens ein dokumentierter Wiederherstellungstest pro Jahr.

NIS-2 · ISO 27001 A.8.13 · DORA · TISAX

4
Protokollierung und Erkennung

Protokolle zentral sammeln, ausreichend lange aufbewahren und definieren, was einen Alarm auslöst. Ohne Protokolle lässt sich nach einem Vorfall nicht sagen, was passiert ist.

NIS-2 · ISO 27001 A.8.15–A.8.16 · DORA · PCI DSS 10

5
Schwachstellen und Updates

Regelmäßig prüfen, welche Schwachstellen offen sind, und je Kritikalität eine Frist zur Behebung festlegen. Bei eigenen Produkten dazu die Software-Stückliste.

NIS-2 · ISO 27001 A.8.8 · CRA · PCI DSS 6, 11

6
Netz und Segmentierung

Kritische Systeme vom übrigen Netz trennen, Fernzugriffe absichern und die Trennung testen — nicht nur zeichnen. Jedes System weniger im Prüfumfang spart bei jeder Prüfung.

NIS-2 · ISO 27001 A.8.20–A.8.22 · PCI DSS 1

7
Endgeräte

Notebooks und Telefone gehärtet, verschlüsselt, mit Schutz vor Schadsoftware und der Möglichkeit, ein verlorenes Gerät aus der Ferne zu sperren.

NIS-2 · ISO 27001 A.8.1, A.8.7 · DSGVO Art. 32 · TISAX

8
Cloud und Dienstleister

Konfiguration der Cloud-Dienste prüfen, Zugriffe der Anbieter begrenzen und deren Nachweise einsammeln. Die meisten Datenabflüsse aus der Cloud entstehen durch Fehlkonfiguration, nicht durch Angriffe.

NIS-2 · ISO 27001 A.5.19–A.5.23 · DORA · DSGVO Art. 28

So gehen wir vor

Von der Bestandsaufnahme
zur belegten Umsetzung

Wir arbeiten nach Wirkung, nicht nach Reihenfolge im Normtext. Was das Risiko am stärksten senkt, kommt zuerst.

Schritt 1
Bestandsaufnahme

Wir sehen uns an, was tatsächlich läuft: Zugänge, Systeme, Cloud-Dienste, Backups. Erfahrungsgemäß taucht dabei mindestens ein System auf, das niemand mehr auf dem Schirm hatte.

Schritt 2
Abgleich gegen die Regelwerke

Jeder der acht Bereiche wird gegen die Regelwerke geprüft, die Sie tatsächlich betreffen. Ergebnis ist eine Liste mit Lücke, Aufwand und Wirkung.

Schritt 3
Die drei Türen zuerst

Zwei-Faktor, Patchstand und getestetes Backup werden zuerst geschlossen. Das senkt das Risiko am schnellsten und ist in jedem Audit der erste Blick.

Schritt 4
Die übrigen Bereiche

Protokollierung, Segmentierung, Endgeräte und Cloud folgen nach Priorität — mit Ihren bestehenden Werkzeugen, wo es geht.

Schritt 5
Nachweise und Betrieb

Zu jeder Maßnahme entsteht der Beleg, den ein Prüfer sehen will. Danach läuft die Wiederholung im festen Rhythmus, auf Wunsch bei uns.

Das bekommen Sie

Das liegt am Ende
auf Ihrem Tisch

Technische Maßnahmen allein reichen nicht — geprüft wird der Beleg. Diese Unterlagen entstehen im Projekt.

Technische BestandsaufnahmeAlle Systeme, Zugänge und Dienste erfasst — inklusive der vergessenen
Gap-Report je BereichIst-Zustand gegen die acht Bereiche, priorisiert nach Risiko und Aufwand
ZugriffskonzeptRollen, Rechte, Zwei-Faktor und der Austrittsprozess, schriftlich geregelt
Backup- und WiederanlaufkonzeptMit dokumentiertem Wiederherstellungstest samt Datum und Dauer
ProtokollierungskonzeptWas wird geloggt, wie lange aufbewahrt, was löst einen Alarm aus
SchwachstellenprozessPrüfrhythmus, Fristen je Kritikalität und Nachweis der Behebung
Netz- und SegmentierungsplanDatenflüsse dokumentiert, Trennung getestet, Prüfumfang begrenzt
Nachweismappe für AuditsZu jeder Maßnahme der Beleg, den ein Prüfer tatsächlich sehen will
  • Zwei-Faktor-Anmeldung auf allen Zugängen von außen ausgerollt, inklusive Fernwartung
  • Backups nach der Drei-Zwei-Eins-Regel aufgesetzt und die Wiederherstellung protokolliert getestet
  • Protokolle zentral zusammengeführt und Alarmschwellen definiert, die niemanden zuspammen
  • Netze segmentiert und die Trennung nachweislich geprüft — statt nur gezeichnet
  • Schwachstellenprozesse mit Fristen je Kritikalität etabliert und in den Betrieb übergeben
Häufige Fragen

Häufige Fragen zur technischen Sicherheit

Brauchen wir das, wenn uns kein Regelwerk betrifft?
Die vier Grundlagen — Zwei-Faktor für Zugänge von außen, aktueller Patchstand, getestetes Backup und zentrale Protokollierung — verhindern den Großteil realer Angriffe. Die lohnen sich unabhängig von jeder Pflicht. Alles Weitere richtet sich danach, was Kunden oder Regelwerke von Ihnen verlangen.
Müssen wir dafür neue Software kaufen?
In den meisten Fällen nicht. Zwei-Faktor, Verschlüsselung, Protokollierung und Gerätehärtung stecken bereits in dem, was Sie einsetzen — sie sind nur nicht aktiviert oder nicht dokumentiert. Wir schauen zuerst, was vorhanden ist, und empfehlen erst dann etwas Neues.
Was ist der Unterschied zwischen Maßnahme und Nachweis?
Die Maßnahme ist der aktivierte zweite Faktor. Der Nachweis ist die Aufstellung, aus der hervorgeht, für welche Zugänge er gilt, wer die Ausnahmen genehmigt hat und wann das zuletzt geprüft wurde. In Prüfungen scheitert selten die Maßnahme, fast immer der Nachweis.
Wie oft muss das wiederholt werden?
Rechteüberprüfung und Wiederherstellungstest mindestens jährlich, Schwachstellenprüfungen deutlich häufiger — bei PCI DSS vierteljährlich mit bestandenem Scan. Wir legen den Rhythmus einmal fest und erinnern daran, auf Wunsch übernehmen wir die Durchführung.
Wir haben eine externe IT. Reicht das nicht?
Ihre IT-Betreuung setzt um, was beauftragt ist. Ob das den Anforderungen entspricht und ob es belegt ist, gehört zu Ihrer Verantwortung. Wir arbeiten mit Ihrem Dienstleister zusammen, statt gegen ihn — und sorgen dafür, dass am Ende Nachweise vorliegen.
Deckt das wirklich mehrere Regelwerke gleichzeitig ab?
Bei den technischen Anforderungen weitgehend ja. NIS-2 Artikel 21, ISO 27001 Anhang A, DSGVO Artikel 32, DORA, TISAX und PCI DSS verlangen im Kern dieselben acht Bereiche, nur mit unterschiedlicher Tiefe. Unterschiedlich bleiben die organisatorischen Teile — Leitungsverantwortung, Meldewege, Verträge.
Kostenlos starten

Prüfen wir, wo Ihre
technische Lücke wirklich sitzt

In 30 Minuten gehen wir die acht Bereiche durch und sagen Ihnen, was zuerst dran ist — und was Sie sich sparen können.