gesponsertNIS2-Compliance 7 kostengünstige Schritte zur Absicherung von Zugangsdaten

Gesponsert von

Passwork Europe SL

Sicherheitsbudgets reichen selten für ein vollständiges NIS2-Programm in einem Zug. Zugangsdatenkontrollen sind der richtige Startpunkt für ein knapp besetztes Team, weil sie Zugriff sichtbar, widerrufbar und überprüfbar machen, ohne neue Infrastruktur zu benötigen. Nach § 30 Absatz 1 BSIG müssen Risikomanagementmaßnahmen zum tatsächlichen Risiko des Unternehmens passen — die Wahl konkreter Produkte und Richtlinien bleibt der eigenen Risikobewertung überlassen.

Zugangsdaten gehörten laut Verizons 2026 Data Breach Investigations Report zu den kompromittierten Daten in 28 Prozent der untersuchten Sicherheitsvorfälle. Diese Zahl macht Zugangsdatenmanagement zu einem naheliegenden ersten Ziel innerhalb jedes risikobasierten Programms.

Dieser Artikel ordnet sieben Zugangsdatenkontrollen nach Aufwand und zeigt, welchen Nachweis jede einzelne erzeugt – für die Sicherheitsverantwortlichen, für Auditoren oder für eine spätere Prüfung durch das BSI.

Muss Ihr Unternehmen NIS2 einhalten?

NIS2 gilt grundsätzlich für mittlere und große Einrichtungen in 18 kritischen Sektoren nach den Anhängen der EU-Richtlinie. Ob ein konkretes Unternehmen betroffen ist, hängt von Sektor, Größe und der Einstufung als „besonders wichtige“ oder „wichtige“ Einrichtung nach dem BSIG ab. Diese Einordnung gehört in die Hände der Rechtsabteilung und der offiziellen BSI-Leitlinien, nicht in diesen Artikel.

Das nationale Umsetzungsgesetz, das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), trat am 6. Dezember 2025 in Kraft und änderte das BSIG entsprechend. Nach einer Schätzung von secjur (2025) betrifft es rund 29.500 Unternehmen in Deutschland. Wer wissen will, ob das eigene Unternehmen darunterfällt, findet erste Orientierung im BSI-Infopaket zu den NIS-2-Risikomanagementmaßnahmen.

Sichtbarkeit und Kontrolle über Zugangsdaten liefern denselben praktischen Nutzen, unabhängig davon, ob diese Einstufung schon abgeschlossen ist oder noch läuft. Die sieben Maßnahmen unten gelten in beiden Fällen.

Welche Zugangsdaten-Sicherheitsmaßnahmen fordert NIS2?

§ 30 Absatz 2 BSIG listet zehn verpflichtende Risikomanagementmaßnahmen auf. Mehrere davon betreffen unmittelbar Zugangsdaten: grundlegende Schulungen und Sensibilisierungsmaßnahmen (Nr. 7), Konzepte für Personalsicherheit, Zugriffskontrolle und die Verwaltung von IKT-Systemen einschließlich Asset Management (Nr. 9) sowie Verfahren zur Bewertung der Wirksamkeit dieser Maßnahmen (Nr. 6).

Diese Vorgaben lassen Unternehmen bewusst Spielraum bei der Wahl eigener Werkzeuge und Richtlinien, passend zum eigenen Risiko. Ein Zugangsdaten-Sicherheitsprogramm beantwortet vier Fragen:

• Wer hat Zugriff?

• Warum hat diese Person Zugriff?

• Wie wird der Zugriff entzogen?

• Wie weist das Unternehmen nach, dass die Kontrolle funktioniert?

Privilegierte Konten haben im Kompromittierungsfall die größte Auswirkung, gemeinsam genutzte Zugangsdaten erschweren die Zuordnung im Schadensfall. Service-Konten, also die nicht-menschlichen Konten von Anwendungen und Automatisierungen, bleiben häufig unverwaltet, weil niemand sie als persönliche Verantwortung betrachtet.

Ein Inventar, ein benannter Verantwortlicher und ein Überprüfungszyklus decken diese Grundlagenarbeit ab. Eine umfassendere Identitätsarchitektur kann später folgen. Konkret: Zugangsdatenstärke passend zum Systemrisiko, Rotation nach einem Sicherheitsvorfall oder Rollenwechsel, entfernte Standard-Passwörter von Herstellern vor der Inbetriebnahme.

Die meisten Teams versäumen es, diese Kontrollen nachzuweisen: Eine Richtlinie ohne Protokoll, ohne Überprüfungsdatum und ohne Ausnahmeliste überzeugt keinen Auditor. Wer diese Nachweiskette aufbaut, während jede Maßnahme live geht, statt sie kurz vor einem Audit zu rekonstruieren, hält den Aufwand proportional zur Teamgröße.

Fordert NIS2 MFA und stärkere Zugriffskontrollen?

§ 30 Absatz 2 Nummer 10 BSIG nennt die Verwendung von Multi-Faktor-Authentifizierung (MFA) oder kontinuierlicher Authentifizierung als eine der zehn Mindestmaßnahmen. Wie für alle zehn Maßnahmen gilt dabei die Verhältnismäßigkeitsklausel aus § 30 Absatz 1 BSIG: Das Gesetz schreibt MFA nicht pauschal für jedes Konto vor, sondern skaliert die Anforderung auf konkrete Systeme, je nach Risiko.

Extern erreichbare Anwendungen, Fernzugriff auf das Netzwerk und privilegierte Administration tragen das höchste Risiko einer zugangsdatenbasierten Kompromittierung und erhalten MFA zuerst. § 30 Absatz 1 Satz 2 BSIG verpflichtet Einrichtungen außerdem, die Umsetzungskosten bei der Verhältnismäßigkeitsprüfung zu berücksichtigen – das gibt kleineren Teams einen belastbaren Grund, den Rollout zu staffeln.

In Verizons 2026er-Analyse von 7.513 Cloud-MFA-Befunden bei Drittanbietern war die Hälfte innerhalb eines Monats behoben; Befunde zu schwachen Passwörtern und fehlkonfigurierten Berechtigungen brauchten fast acht Monate bis zum gleichen Wert. Das spricht dafür, nicht bei MFA stehen zu bleiben.

Passwork verknüpft den Vault-Zugriff mit Verzeichnisdiensten und SSO-Prozessen, sodass MFA-Abdeckung und Zugriffsüberprüfungen an einem Ort zusammenlaufen.

7 kostengünstige Schritte zur Absicherung von Zugangsdaten, nach Priorität geordnet

Der Ausgangspunkt: privilegierten und gemeinsam genutzten Zugriff sichtbar, zugeordnet, widerrufbar und überprüfbar machen. Der Credential Security Starter Stack unten ordnet sieben Zugangsdatenkontrollen nach Aufwand und Kosten und nennt für jede die erste Maßnahme sowie den aufzubewahrenden Nachweis. Er bietet einen priorisierten Einstiegspunkt; eine vollständige Risikobewertung und rechtliche Prüfung bleiben die Grundlage jeder Compliance-Entscheidung.

Zeile 4 verdient einen genaueren Blick. Gemeinsam genutzte Zugangsdaten sind zuerst ein Governance-Problem, erst danach ein technisches. Ein Passwort, das in einem Chat-Verlauf oder einer Tabelle landet, hat keinen klaren Verantwortlichen, keinen selektiven Entzugsweg und keine Aufzeichnung darüber, wer es wann genutzt hat.

Ein Beispiel: Ein Vertragsverhältnis mit einem externen Dienstleister endet. Das Entfernen seines persönlichen Kontos ändert nichts an einem gemeinsam genutzten Admin-Passwort, das er kannte – es bleibt außerhalb des Unternehmens gültig, bis jemand es rotiert.

Zeile 7 taucht genauso häufig auf, nur in anderer Form. Ein CI/CD-Pipeline-Token, das in einer .env-Datei oder einer Pipeline-Variable liegt, ist für jeden lesbar, der diese Konfiguration bearbeiten kann, und überlebt meist die Person, die es erzeugt hat.

Wie Passwork diesen Stack ohne Enterprise-Preise abdeckt

Sichtbarkeit und Zugriff: Zeilen 1–3

Passwork läuft als on-premises betriebener Passwort- und Secrets-Manager und hält Vault-Daten innerhalb der eigenen Infrastruktur des Unternehmens statt bei einem externen Cloud-Anbieter. Vaults mit zugewiesenen Verantwortlichen bilden das Inventar aus Zeile 1, und Zeitstempel des letzten Zugriffs im Audit-Log markieren Kandidaten für die Überprüfung inaktiver Konten in Zeile 2. Das Login von Passwork unterstützt MFA und deckt damit Zeile 3 für jedes im System gespeicherte Zugangsdatum ab.

Gemeinsame und Service-Zugangsdaten: Zeilen 4–7

Zeile 4 läuft über den Vault selbst: Geteilte Secrets liegen an einem Ort, Berechtigungen sind an namentliche Nutzer statt an einen gemeinsamen Login gebunden, und die Rotation nach einem Offboarding ist eine bewusste Aktion, die durch einen Berechtigungsverlauf belegt wird.

Rollenbasierte Vault-Berechtigungen bilden die Zugriffsmatrix aus Zeile 5 ab, und separate Vaults oder Ordner für Service-Zugangsdaten, einschließlich CI/CD-Tokens und anderer Pipeline-Secrets, geben Zeile 7 einen Ort, um diese Secrets von persönlichen Konten zu trennen.

Zeile 6, die Schulung zur Zugangsdaten-Hygiene, bleibt ein Personalprozess, den die Plattform unterstützt, aber nicht ersetzt.

Kosten und Umfang

Die Kosten hängen vom Umfang ab. Der Standard-Plan von Passwork beginnt bei 3 € pro Nutzer und Monat, jährlich abgerechnet. Der Advanced-Plan, der SSO, LDAP-Gruppenzuordnung, Service-Konten, unbegrenzte Rollen und Vault-Richtlinien sowie Clustering und Failover ergänzt, kostet 4,50 € pro Nutzer und Monat, ebenfalls jährlich abgerechnet.

Größere Implementierungen wechseln zu individueller Preisgestaltung. Diese Transparenz erlaubt es der Sicherheitsverantwortung, für die Zeilen 1, 3, 4, 5 und 7 eine konkrete Zahl zu nennen, bevor ein größeres NIS2-Budget beantragt wird.

Nichteinhaltung kostet ungleich mehr: Das NIS2UmsuCG sieht Bußgelder bis zu 10 Mio. Euro (2 % des Jahresumsatzes) für besonders wichtige und 7 Mio. Euro (1,4 %) für wichtige Einrichtungen vor – plus persönliche Haftung der Geschäftsleitung, ein Risiko, das D&O-Versicherungen oft nicht abdecken. Der Aufwand für einen strukturierten Zugangsdaten-Workflow fällt dagegen kaum ins Gewicht.

Diese Funktionen unterstützen Zugangsdaten-Governance innerhalb eines breiteren NIS2-Programms. Die vollständige Compliance hängt vom übergeordneten Risikomanagement-Rahmenwerk und den darauf aufbauenden Richtlinien ab.

Von Zugangsdaten-Hygiene zu audit-tauglichen Nachweisen

Zugangsdaten sind für die meisten Teams der schnellste Weg zu sichtbarem Fortschritt – nicht, weil sie das einzige Risiko sind, sondern weil sie sich ohne neue Infrastruktur angehen lassen.

Beginnen Sie mit dem Inventar, deaktivieren Sie, was inaktiv ist, erzwingen Sie MFA dort, wo die Exponierung am höchsten ist, und holen Sie gemeinsam genutzte Secrets aus Chats und Tabellen. Diese Reihenfolge, der Starter Stack, ist ein solider Standardweg. Ob sie für die eigene Umgebung passt, entscheidet die umfassendere Risikobewertung.

Der nächste Schritt ist konkret: Zeile 1 auswählen und diese Woche das Inventar der privilegierten Konten aufbauen, denn jede spätere Kontrolle setzt voraus, zu wissen, was geschützt werden muss.

Wenn Ihr Team gemeinsam genutzte Zugangsdaten aus Tabellen und Chats entfernen muss, prüfen Sie Passworks Vault-Berechtigungen, verzeichnisgesteuerten Zugriff und Audit-Logs gegen Ihre Nachweisanforderungen nach § 30 BSIG.

(ID:50935642)