Inhalt (4 Abschnitte)
Es gibt ein kostenloses Sicherheitsreferenzwerk, auf Französisch, konkret und trotzdem zu wenig genutzt: den IT-Hygieneleitfaden der ANSSI (französische Cybersicherheitsbehörde) mit seinen 42 Maßnahmen. Kein theoretisches Rahmenwerk von 400 Seiten, sondern eine Liste von Maßnahmen, die sich einzeln prüfen lassen: kartieren, segmentieren, sichern, protokollieren, privilegierte Konten verwalten… Wir haben die vollständige Übung an unserer eigenen Infrastruktur durchgeführt und uns so bewertet, wie wir einen Kunden bewerten würden. Hier sind die Methode und das, was uns die Übung wirklich gelehrt hat.
Zuerst klären, was die Übung ist (und was nicht) #
Eine Klarstellung, die viele kommerzielle Missverständnisse vermeidet: Weder die ANSSI noch die CNIL, die französische Datenschutzbehörde, „zertifizieren“ die IT-Hygiene eines Unternehmens. Wer Ihnen eine solche „ANSSI-Zertifizierung“ verkauft, verkauft heiße Luft. Der Leitfaden ist ein Referenzwerk zur Selbsteinschätzung und zur schrittweisen Verbesserung; Angebote wie MonAideCyber oder das Label ExpertCyber (getragen von der AFNOR, der französischen Normungsorganisation) gibt es, um mit einem Blick von außen weiterzugehen. Das Selbstaudit hat dagegen einen eigenen Vorzug: Es ist sofort machbar, kostenlos und ehrlich, vorausgesetzt, man spielt mit offenen Karten.
Die Methode: ein Raster, Nachweise, keine Nachsicht #
- Die 42 Maßnahmen in eine Tabelle übertragen: eine Zeile pro Maßnahme, vier mögliche Status (konform, teilweise, nicht konform, nicht anwendbar) und eine Spalte Nachweis. Ohne greifbaren Nachweis (eine Konfiguration, ein Screenshot, ein Dokument) ist ein „konform“ keines.
- Nach dem Ist-Zustand bewerten, nicht nach der Absicht: „Wir sollten ein Verfahren haben“ = nicht konform. „Das steckt im Kopf von jemandem“ = nicht konform. Die goldene Regel der Übung: Ziel ist es, Lücken zu finden, nicht sich zu beruhigen: Ein Audit, das beim ersten Mal mit 42/42 endet, ist ein misslungenes Audit.
- Ein halber Tag bis zwei Tage je nach Größe: Der Leitfaden ist auf Machbarkeit ausgelegt. Den Termin blocken, in einem Zug durcharbeiten, das Ergebnis datieren.
- In drei Pakete priorisieren: was sich in einer Stunde beheben lässt (oft überraschend viel), was ein eigenes Projekt erfordert, was eine organisatorische Entscheidung braucht.
- Jährlich wiederholen: Der Wert liegt im Verlauf: Der Unterschied zwischen zwei Audits sagt mehr als jede einzelne Momentaufnahme.
Was unser eigenes Audit gezeigt hat #
Das lehrreichste Ergebnis ist keine Punktzahl, sondern wo die Lücken lagen. Bei den technischen Maßnahmen (Netzsegmentierung, Backups, Verschlüsselung, Härtung der Zugänge, Updates) hielt die Infrastruktur dem Raster gut stand: Das ist unser Handwerk, und die Artikel dieses Blogs dokumentieren die einzelnen Bausteine. Die offenen Punkte lagen fast alle im Bereich Formalisierung und Governance: was in der Praxis existiert, aber nicht aufgeschrieben ist, Verfahren, die nur in Köpfen leben, Rollen, die ausgeübt, aber nie benannt werden. Und das ist erfahrungsgemäß das typische Muster kleiner technischer Organisationen, das genaue Gegenteil großer Organisationen, wo das Papier tadellos ist und die Technik hinterherhinkt.
Eine Sicherheitsmaßnahme, die nicht aufgeschrieben ist, übersteht weder einen Weggang noch eine Nacht im Störungseinsatz noch einen Kundenfragebogen. Sie aufzuschreiben ist keine Bürokratie: Es macht sie übertragbar.
Was es konkret bringt #
- Eine begründbare Priorisierung: dort investieren, wo das Raster eine Lücke zeigt, nicht dort, wo der letzte Presseartikel Angst gemacht hat.
- Fertige Antworten: Sicherheitsfragebögen von Großkunden, Anforderungen von Cyberversicherern, Ausschreibungen: Es kommen immer dieselben Fragen, und das Audit beantwortet sie mit Nachweisen.
- Eine gemeinsame Sprache mit Kunden: Wenn wir eine Infrastruktur auditieren, ist das Raster dasselbe, das wir an uns selbst anlegen, und wir können unsere eigene Übung vorzeigen.
Sicherheit nach Referenzwerk statt nach Bauchgefühl folgt derselben Logik wie unsere CVE-Überwachung oder unsere 3-2-1-Backups: prüfbare Listen, Nachweise, ein fester Rhythmus. Wenn Sie die 42 Maßnahmen an Ihrem Informationssystem durchgehen möchten (mit Raster, Nachweisen und einem Blick von außen), ist das eine Übung, für die wir das Werkzeug mitbringen.
