CIS Controls: Das Sicherheitsframework für MSPs

Laut dem „Kaseya State of the MSP Report 2026“ gaben 71 % der MSPs an, im Bereich Cybersicherheit ein Umsatzwachstum gegenüber dem Vorjahr verzeichnet zu haben, doch fast die Hälfte nennt die Komplexität von Sicherheitsprodukten als größtes Wachstumshemmnis.

Wenn Unternehmen fragen: „Wo fangen wir mit der Cybersicherheit an?“, ist die Antwort selten eindeutig. Es gibt Dutzende von Rahmenwerken, Hunderte von Leitfäden und eine überwältigende Vielfalt an Sicherheitsmaßnahmen, die es zu berücksichtigen gilt. Die CIS Controls durchbrechen diese Komplexität mit einer bewusst praxisorientierten Antwort: Hier sind die 18 wichtigsten Sicherheitsmaßnahmen in der Reihenfolge ihrer Priorität, zusammen mit konkreten Umsetzungshinweisen für Unternehmen unterschiedlicher Größe.

Genau diese Priorisierung macht die CIS-Kontrollen so einzigartig. Anstelle eines umfassenden Katalogs aller Maßnahmen, die eine Organisation letztendlich ergreifen sollte, konzentrieren sich die Kontrollen auf die grundlegenden Maßnahmen, die die häufigsten Angriffsvektoren abdecken und pro Aufwandseinheit die größte Risikominderung bewirken.

CIS-Kontrollen umsetzen und nachverfolgen mit Compliance Manager GRC

Compliance Manager GRC Enthält speziell entwickelte Vorlagen für alle drei CIS v8.1-Implementierungsgruppen, mit denen sich die Umsetzung von Schutzmaßnahmen nachverfolgen, Lücken identifizieren und automatisch auditfähige Nachweisdokumente erstellen lassen.

Entdecken Compliance Manager GRC

Was sind die CIS-Kontrollen?

Die CIS-Kontrollen sind eine nach Priorität geordnete Sammlung bewährter Verfahren zur Cybersicherheit, die vom Center for Internet Security, einer gemeinnützigen Organisation, entwickelt und gepflegt werden. Ursprünglich als „SANS Top 20“ veröffentlicht und später vom CIS übernommen und weiterentwickelt, stellen die Kontrollen einen Konsens über die wirksamsten Abwehrmaßnahmen gegen die häufigsten Angriffe dar.

Das Rahmenwerk wird von Aufsichtsbehörden und Compliance-Standards häufig herangezogen. NIST, HIPAA, PCI DSS und zahlreiche Cybersicherheitsvorschriften auf Bundesstaatenebene verweisen auf die CIS-Kontrollen oder orientieren sich an diesen. Für Organisationen, die mehreren Compliance-Anforderungen unterliegen, bietet die Umsetzung der CIS-Kontrollen oft eine umfassende Abdeckung mehrerer Rahmenwerke gleichzeitig.

Die Controls sind kostenlos nutzbar und öffentlich zugänglich. Dazu gehört eine begleitende Dokumentation mit Implementierungshinweisen, Zuordnungen zu anderen Frameworks sowie Benchmarks für bestimmte Technologien. Die CIS-Benchmarks bieten Leitlinien zur Absicherung von Betriebssystemen, Anwendungen und Cloud-Diensten.

CIS Controls v8.1: Der aktuelle Rahmen

CIS Controls v8.1 ist die aktuelle Version des Frameworks. v8 wurde 2021 als bedeutendste Weiterentwicklung seit Jahren veröffentlicht, und mit v8.1 wurden die Details zu den Schutzmaßnahmen verfeinert und aktualisiert. Wesentliche Änderungen gegenüber v7:

Fokus auf Cloud und Mobilgeräte. v8 wurde neu konzipiert, um der Tatsache Rechnung zu tragen, dass IT-Umgebungen mittlerweile nicht mehr nur auf den traditionellen Unternehmensperimeter beschränkt sind, sondern sich über lokale Infrastrukturen, Cloud-Dienste, Mobilgeräte und Remote-Arbeit erstrecken.

Die Anzahl der Kontrollmaßnahmen wurde von 20 auf 18 reduziert. Mehrere sich überschneidende Kontrollmaßnahmen wurden zusammengefasst, und das Rahmenwerk wurde neu strukturiert und in drei Umsetzungsgruppen (IG1, IG2 und IG3) gegliedert, die es Organisationen ermöglichen, das Rahmenwerk entsprechend ihrer Größe und ihrem Risikoprofil anzupassen.

Safeguards-Modell. Mit Version 8 wurden „Safeguards“ als detaillierte Maßnahmen innerhalb jeder Kontrollmaßnahme eingeführt, wodurch die bisherige Bezeichnung „Sub-Controls“ ersetzt wurde. CIS Controls v8.1 umfasst 153 Safeguards, die sich auf die 18 Kontrollmaßnahmen verteilen.

Implementierungsgruppen: Anpassung der Kontrollmechanismen an Ihre Organisation

Eine der praktischsten Funktionen von CIS Controls ist das Modell der Implementierungsgruppen, mit dem Unternehmen das Rahmenwerk an ihre Größe, ihre Ressourcen und ihr Risikoprofil anpassen können, anstatt die insgesamt 153 Sicherheitsmaßnahmen als undifferenzierte Liste zu betrachten.

IG1, Grundlegende Cyberhygiene (56 Schutzmaßnahmen): Konzipiert für kleine Organisationen mit begrenztem IT- und Cybersicherheitspersonal. IG1 stellt die Grundvoraussetzung dar, die jede Organisation unabhängig von ihrer Größe erfüllen sollte, und umfasst Kontrollmaßnahmen, die den häufigsten, relativ einfachen Angriffen entgegenwirken, von denen die überwiegende Mehrheit der Organisationen betroffen ist. Selbst wenn eine Organisation keine weiteren Maßnahmen ergreift, verbessert die Umsetzung von IG1 ihre Sicherheitslage erheblich.

IG2 (130 Sicherheitsmaßnahmen, einschließlich aller Maßnahmen aus IG1): Geeignet für Organisationen, die sensible Daten verwalten und über einige fest zugewiesene IT- und Sicherheitsmitarbeiter verfügen. IG2 umfasst 74 zusätzliche Sicherheitsmaßnahmen für ausgefeiltere Bedrohungen, Compliance-Anforderungen und komplexere Umgebungen. Einige Sicherheitsmaßnahmen dieser Stufe erfordern Technologie auf Unternehmensniveau und spezialisiertes Fachwissen.

IG3 (alle 153 Sicherheitsmaßnahmen, einschließlich IG1 und IG2): Geeignet für große Organisationen oder solche mit erfahrenen Sicherheitsteams, die hochwertige Ressourcen oder kritische Infrastruktur verwalten. IG3 umfasst 23 zusätzliche Sicherheitsmaßnahmen zur Abwehr komplexer Bedrohungen und erfordert für die vollständige Umsetzung spezielles Sicherheitsfachwissen.

Für die meisten KMU und die Kunden von MSPs sind IG1 und IG2 die relevanten Zielstufen. Die vollständige Einhaltung von IG1 deckt die überwiegende Mehrheit der realen Angriffsvektoren ab, denen KMU ausgesetzt sind.

Compliance Manager GRC Enthält separate Vorlagen für jede Implementierungsgruppe, wobei die für die ausgewählte Stufe erforderlichen spezifischen Sicherheitsvorkehrungen automatisch geladen werden.

Die 18 CIS-Kontrollmaßnahmen

Kontrollmaßnahme 1: Bestandsaufnahme und Kontrolle der Unternehmensressourcen. Sie müssen jedes Gerät in der Umgebung kennen. Was Sie nicht kennen, können Sie auch nicht schützen.

Maßnahme 2: Bestandsaufnahme und Kontrolle der Software-Ressourcen. Erfassen Sie die gesamte Software und lassen Sie ausschließlich autorisierte Software zu. Nicht autorisierte Software ist ein Hauptzugangspunkt für Malware.

Kontrollmaßnahme 3: Datenschutz. Entwicklung von Prozessen und technischen Kontrollmaßnahmen zur Identifizierung, Klassifizierung, Sicherung, Aufbewahrung und Entsorgung von Daten. Dazu gehören Verschlüsselung und Maßnahmen zur Verhinderung von Datenverlusten.

Maßnahme 4: Sichere Konfiguration von Unternehmensressourcen und Software. Richten Sie sichere Konfigurationen für die gesamte Hardware und Software ein und pflegen Sie diese. Standardkonfigurationen sind häufig unsicher.

Kontrollmaßnahme 5: Kontoverwaltung. Setzen Sie Prozesse und Tools ein, um Anmeldedaten für alle Konten – einschließlich Administrator-, Dienst- und Anwendungskonten – unter Beachtung des Prinzips der geringstmöglichen Berechtigungen zuzuweisen und zu verwalten.

Kontrollmaßnahme 6: Verwaltung der Zugriffskontrolle. Erstellung und Verwaltung von Zugangsdaten nach den Grundsätzen „Need-to-know“ und „Need-to-use“. Umfasst die Durchsetzung der Multi-Faktor-Authentifizierung (MFA), die Verwaltung von Zugriffsrechten sowie Zugriffsprüfungen.

Kontrollmaßnahme 7: Kontinuierliches Schwachstellenmanagement. Neue Informationen zu Bedrohungen und Schwachstellen kontinuierlich erfassen, bewerten und entsprechend reagieren, um diese zu identifizieren, zu beheben und das Zeitfenster für Angreifer zu minimieren.

Kontrollmaßnahme 8: Verwaltung von Prüfprotokollen. Erfassung, Benachrichtigung, Überprüfung und Aufbewahrung von Prüfprotokollen zur Unterstützung der Erkennung von Vorfällen und der forensischen Analyse nach einem Vorfall.

Maßnahme 9: Schutzmaßnahmen für E-Mail und Webbrowser. Verbessern Sie den Schutz vor Bedrohungen, die über E-Mail und Webbrowser übertragen werden – die beiden häufigsten Einfallstore für Angreifer.

Maßnahme 10: Schutz vor Malware. Setzen Sie automatisierte Tools ein, um die Installation und Ausführung von Schadcode auf Endgeräten zu verhindern oder zu kontrollieren.

Kontrollmaßnahme 11: Datenwiederherstellung. Einführung und Aufrechterhaltung von Verfahren zur Datenwiederherstellung, die ausreichen, um die betroffenen Daten innerhalb der festgelegten RTO- und RPO-Ziele in den Zustand vor dem Vorfall zurückzusetzen.

Maßnahme 12: Verwaltung der Netzwerkinfrastruktur. Einrichtung, Implementierung und Verwaltung der Netzwerkinfrastruktur, um zu verhindern, dass Angreifer Schwachstellen in Netzwerkdiensten und -konfigurationen ausnutzen.

Maßnahme 13: Netzwerküberwachung und -schutz. Überwachen Sie das Netzwerk auf ungewöhnliche oder böswillige Aktivitäten und setzen Sie Mechanismen ein, um diese Aktivitäten zu erkennen und darauf zu reagieren.

Maßnahme 14: Schulungen zur Sensibilisierung für Sicherheitsfragen und zum Erwerb von Sicherheitskompetenzen. Einrichtung und Aufrechterhaltung eines Programms zur Sensibilisierung für Sicherheitsfragen, das durch Schulungen und simulierte Phishing-Angriffe den menschlichen Risikofaktor berücksichtigt.

Kontrollmaßnahme 15: Verwaltung von Dienstleistern. Entwickeln Sie einen Prozess zur Bewertung und Verwaltung von Dienstleistern (einschließlich MSPs) auf der Grundlage des Risikos, das diese für die Daten und Systeme der Organisation darstellen.

Maßnahme 16: Sicherheit von Anwendungssoftware. Verwalten Sie den Sicherheitslebenszyklus von intern entwickelter, gehosteter oder erworbener Software, um Sicherheitslücken zu verhindern, aufzudecken und zu beheben.

Kontrollmaßnahme 17: Management der Reaktion auf Vorfälle. Einrichtung eines Programms zur Entwicklung und Aufrechterhaltung der Reaktionsfähigkeit bei Vorfällen, einschließlich festgelegter Leitfäden und erprobter Verfahren.

Maßnahme 18: Penetrationstests. Überprüfen Sie die Wirksamkeit der Abwehrmaßnahmen durch kontrollierte, simulierte Angriffe, um ausnutzbare Schwachstellen zu identifizieren, bevor Angreifer dies tun.

CIS-Kontrollen und andere Rahmenwerke

Die CIS-Kontrollen stehen nicht für sich allein. Sie lassen sich direkt mit anderen Rahmenwerken in Verbindung bringen, deren Vorgaben Organisationen einhalten müssen. Dies ist einer der Hauptgründe, warum sich die Umsetzung der CIS-Kontrollen auch für Organisationen lohnt, die nicht ausdrücklich zur Einhaltung der CIS-Vorgaben verpflichtet sind.

NIST CSF: Die CIS-Kontrollen lassen sich weitgehend den Funktionen des NIST CSF zuordnen (Identifizieren, Schützen, Erkennen, Reagieren, Wiederherstellen). Organisationen, die das NIST CSF nutzen, stellen fest, dass die CIS-Kontrollen die auf der Umsetzungsebene erforderlichen Details liefern, die die eher abstrakten Funktionen des CSF erfordern.

PCI DSS: Die Kontrollmaßnahmen 1 bis 7 und 10 bis 12 stimmen weitgehend mit den PCI-DSS-Anforderungen überein. Die Umsetzung der CIS-Kontrollmaßnahmen reduziert den Aufwand für die Vorbereitung auf PCI-DSS-Audits erheblich.

HIPAA: Die CIS-Kontrollen decken viele der Anforderungen der HIPAA-Sicherheitsvorschrift in Bezug auf administrative, physische und technische Sicherheitsmaßnahmen ab.

ISO 27001: Es besteht eine erhebliche Übereinstimmung zwischen den CIS-Kontrollen und den Kontrollen in Anhang A der ISO 27001. Organisationen, die eine Zertifizierung nach ISO 27001 anstreben, profitieren von der bereits erfolgten Umsetzung der CIS-Kontrollen als Nachweis für den Reifegrad ihres Kontrollsystems.

Aufgrund dieser rahmenübergreifenden Abdeckung sind die CIS-Kontrollen für die meisten Organisationen ein praktischer Ausgangspunkt: Durch die Umsetzung der Kontrollen lassen sich gleichzeitig Nachweise für die Einhaltung mehrerer Rahmenwerke erbringen, wodurch sich der Aufwand für die separate Verwaltung der einzelnen Rahmenwerke verringert.

Implementierung der CIS-Kontrollen mit Kaseya

Die Kaseya-Plattform bietet direkten technischen Support bei der Umsetzung der meisten CIS-Kontrollen in verwalteten Umgebungen:

Kontrollen 1 und 2 (Anlageninventar): Die automatisierte Geräteerkennung und Software-Bestandserfassung von VSA erstellt und pflegt die Anlagenverzeichnisse, die für die Kontrollen 1 und 2 erforderlich sind. „ IT Glue “ bildet die Dokumentationsebene für die Anlagenverfolgung und Konfigurationsaufzeichnungen.

Steuerelemente 4 und 5 (Sichere Konfiguration, Benutzerverwaltung): Das richtlinienbasierte Konfigurationsmanagement von VSA sorgt für die Einhaltung sicherer Konfigurationsstandards auf allen verwalteten Endgeräten. „ Kaseya 365 User“ unterstützt die Durchsetzung der Multi-Faktor-Authentifizierung (MFA) sowie die Verwaltung privilegierter Zugriffe.

Kontrollpunkt 7 (Schwachstellenmanagement): Die Schwachstellenprüfung und das automatisierte Patch-Management von Kaseya erfüllen direkt die Anforderungen an ein kontinuierliches Schwachstellenmanagement.

Kontrollmaßnahmen 9 und 10 (E-Mail- und Browserschutz, Malware-Abwehr): Inky (E-Mail-Sicherheit) und Datto EDR decken die Kontrollmaßnahmen für E-Mail, Browser und Malware-Abwehr ab.

Control 11 (Datenwiederherstellung): Datto BCDR bietet die von Control 11 benötigten Backup- und Wiederherstellungsfunktionen mit automatisierter Überprüfung und unveränderlichem Cloud-Speicher.

Maßnahme 14 (Sicherheitsbewusstsein): BullPhish ID bietet Schulungen zur Sicherheitssensibilisierung und Phishing-Simulationen an.

Kontrollmaßnahme 17 (Incident Response): Der MDR- Dienst von Kaseya bietet eine Überwachung und Reaktionsfähigkeit rund um die Uhr, die ein verwaltetes Programm zur Reaktion auf Vorfälle unterstützt.

Compliance Manager GRC Hier läuft alles zusammen, was die Einhaltung der Vorschriften betrifft. Die Plattform umfasst speziell entwickelte CIS Controls v8.1-Vorlagen für alle drei Implementierungsgruppen (IGs), wobei die für die ausgewählte IG-Stufe erforderlichen Sicherheitsmaßnahmen automatisch geladen werden. Die Plattform verfolgt den Umsetzungsfortschritt bei allen 153 Sicherheitsmaßnahmen, identifiziert Lücken und generiert automatisch die Compliance-Handbücher, Nachweisdokumente und Audit-Unterlagen, mit denen Kunden, Auditoren und Cyber-Versicherern die Einhaltung der CIS Controls nachgewiesen wird.

Für MSPs verwandeln sich die CIS-Kontrollen dadurch von einem zu überprüfenden Rahmenwerk in einen zu erbringenden Compliance-Service. Erfahren Sie mehr unter Compliance Manager GRC.

Die wichtigsten Erkenntnisse

CIS Controls v8.1 bietet 18 nach Priorität geordnete Sicherheitsmaßnahmen, die in Implementierungsgruppen (IGs) zusammengefasst sind, die sich an die Größe der Organisation anpassen lassen. IG1 (56 Sicherheitsmaßnahmen) bildet die unverzichtbare Grundausstattung, die jede Organisation erreichen sollte.
Das „Implementation Group“-Modell macht die CIS-Kontrollen für Unternehmen jeder Größe praktikabel: KMU zielen auf IG1 und IG2 ab, Großunternehmen auf IG3.
Die CIS-Kontrollen lassen sich den Rahmenwerken NIST CSF, PCI DSS, HIPAA und ISO 27001 zuordnen, sodass ihre Umsetzung gleichzeitig als Nachweis für die Einhaltung mehrerer Rahmenwerke dient.
Die Kaseya-Plattform setzt den Großteil der CIS-Kontrollen direkt über VSA, Datto EDR, IT Glue, Inky, BullPhish ID und Datto BCDR um.
Compliance Manager GRC bietet speziell entwickelte CIS v8.1-Vorlagen für alle drei Implementierungsgruppen, verfolgt die Umsetzung der Schutzmaßnahmen und erstellt automatisch auditfähige Nachweisdokumente.