gesponsertNIS2-Compliance IAM und Zugangskontrolle vor dem Audit 2026 in den Griff bekommen

Gesponsert von

Passwork Europe SL

Die NIS-2-Richtlinie legt Organisationen konkrete Pflichten auf — in den Bereichen Lieferkettensicherheit, Meldung von Sicherheitsvorfällen und Verantwortung auf Leitungsebene. In Deutschland ist sie seit dem 6. Dezember 2025 durch das NIS2UmsuCG in Kraft, das das BSI-Gesetz (BSIG) grundlegend neu gestaltet. Der Durchsetzungszyklus 2026 läuft bereits.

Belgien hat begonnen, betroffene Einrichtungen für die behördliche Aufsicht zu registrieren; in Italien führt die nationale Cybersicherheitsbehörde (ACN) Compliance-Verfahren ein und bereitet Organisationen auf bevorstehende Überprüfungen und Audits vor.

Leitungsorgane haften persönlich für die Genehmigung von Cybersicherheitsmaßnahmen — und die Sanktionen treffen ebenfalls Personen: Bußgelder erreichen bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes für besonders wichtige Einrichtungen, und Behörden können Führungskräfte vorübergehend von ihren Aufgaben entbinden, bis Verstöße behoben sind.

Die meisten Organisationen wissen, dass sie compliant sein müssen. Die schwierigere Frage ist: Wo fängt man an, ohne das Team vor dem ersten Audit zu erschöpfen?

Alles auf einmal anzugehen ist keine realistische Strategie. Der praktische Weg besteht darin, Maßnahmen zu identifizieren, die schnell umzusetzen sind, sofort prüfbare Nachweise erzeugen und die relevantesten Angriffsvektoren schließen. Zugangsverwaltung und Credential-Hygiene erfüllen alle drei Kriterien. Sie decken nicht jede NIS2-Anforderung ab — aber sie bringen Sie schneller weiter als fast jede andere Einzelinvestition.

Warum Zugangsdaten nach wie vor der entscheidende Engpass sind

Der Verizon Data Breach Investigations Report 2026 (DBIR) stellt fest, dass die Ausnutzung von Schwachstellen gestohlene Zugangsdaten als häufigsten einzelnen initialen Angriffsvektor überholt hat und für 31 % der Sicherheitsverletzungen verantwortlich ist. Daraus zu schließen, Credential-Kontrollen zu deprioritisieren, wäre jedoch ein Fehler.

Die eigenen DBIR-Daten zeichnen ein anderes Bild, wenn man über den initialen Zugriffsvektor hinausblickt: Credential-Missbrauch taucht in der gesamten Angriffskette in 39 % aller Sicherheitsverletzungen auf. Verizon bezeichnet dies ausdrücklich als einen „legitimen Mitigations-Engpass" (legitimate mitigation target chokepoint). Zugangsdaten öffnen nicht nur die Eingangstür — sie sind das Werkzeug, mit dem Angreifer sich im System bewegen, sobald sie drin sind.

Ein Vergleich der Umsetzungszeiträume zweier Anforderungen aus § 30 BSIG (entspricht Art. 21 NIS2-Richtlinie) verdeutlicht die Priorität:

• Lieferketten-Risikomanagement (§ 30 Abs. 2 Nr. 4 BSIG) — 6–12 Monate

• Durchsetzung der Zugangskontrolle (§ 30 Abs. 2 Nr. 9 BSIG) — 2–4 Wochen

Eine granulare Passwortrichtlinie in Active Directory durchzusetzen, gemeinsam genutzte Zugangsdaten in einen verwalteten Vault zu migrieren und phishing-resistente MFA für privilegierte Konten zu aktivieren — das ist ein 2-bis-4-Wochen-Projekt für ein kompetentes Team. Das Verhältnis von Aufwand zu Compliance-Nutzen ist eindeutig.

Drei Zugangsverwaltungslücken, die Vor-Audits scheitern lassen

1. Nicht verwaltete Dienstkonten und API-Schlüssel

Die meisten NIS2-Diskussionen zur Zugangsverwaltung konzentrieren sich auf menschliche Nutzer. Auditoren tun das zunehmend nicht mehr. Dienstkonten, API-Schlüssel, Datenbankverbindungsstrings und Deployment-Token sind nicht-menschliche Identitäten (Non-Human Identities, NHI) — und sie werden routinemäßig auf eine Weise verwaltet, die bei menschlichen Konten inakzeptabel wäre.

Eine typische mittelgroße Organisation hat mehr Dienstkonten als Mitarbeiterkonten. Die meisten teilen Passwörter, wurden nie rotiert und haben keinen dokumentierten Verantwortlichen. Diese Zugangsdaten liegen in .env-Dateien, CI/CD-Pipeline-Konfigurationen und gemeinsamen Laufwerken — genau dort, wo Angreifer nach dem initialen Zugriff suchen.

§ 30 Abs. 2 Nr. 9 BSIG verlangt, dass Zugangskontrollrichtlinien alle Konten mit Zugriff auf Netz- und Informationssysteme abdecken. „Alle Konten" schließt Dienstkonten ein. Wer sie nicht vollständig erfassen kann, kann sie weder kontrollieren noch einem Auditor gegenüber nachweisen.

Der erste Schritt ist die Inventarisierung: alle Dienstkonten aus Active Directory ziehen, alle API-Schlüssel aus dem Secrets-Store — oder aus den Konfigurationsdateien, in denen sie derzeit hardcodiert sind — und sie in ein verwaltetes System mit Rotationsplänen und dokumentierten Verantwortlichen überführen.

2. Inaktive Konten und fehlerhafte Offboarding-Prozesse

Ein inaktives Konto (dormant account) existiert, verfügt über gültige Zugangsdaten und gehört jemandem, der keinen Zugriff mehr benötigt: einem ehemaligen Mitarbeiter, einem Auftragnehmer nach Projektende, einem Dienstleister, dessen Auftrag vor sechs Monaten abgeschlossen wurde. Diese Konten sind ein direkter Audit-Versagenspunkt gemäß § 30 Abs. 2 Nr. 9 BSIG, der Lifecycle-Management als Bestandteil der Zugangskontrollrichtlinie vorschreibt.

Das Offboarding-Versagen ist fast nie böswillig — es ist ein Prozessfehler. HR schließt das Ticket, IT deaktiviert das Active-Directory-Konto, und niemand prüft, ob die Person auch direkten Datenbankzugriff, ein VPN-Zertifikat, einen AWS-IAM-Benutzer oder SSH-Schlüssel auf drei Produktionsservern hatte. Jedes davon ist ein separates Credential, das widerrufen werden muss. In den meisten Organisationen gibt es kein einziges System, das alle erfasst.

Zugriffsüberprüfungen müssen dokumentiert und exportierbar sein. Auditoren erwarten Berichte mit einer klar nachvollziehbaren Prüfungshistorie – keine E-Mail-Verläufe.

3. Fehlende phishing-resistente Multi-Faktor-Authentifizierung

§ 30 Abs. 2 Nr. 10 BSIG schreibt die Verwendung von Lösungen zur Multi-Faktor-Authentifizierung (MFA) oder kontinuierlichen Authentifizierung vor. Die Orientierungshilfen des BSI und die regulatorische Richtung machen deutlich, dass dies jeden privilegierten Zugriff und jeden Fernzugriff auf kritische Systeme umfasst. SMS-OTP ist für diese Kontexte nicht mehr ausreichend.

NIST SP 800-63B (Abschnitt 5.2.10) klassifiziert SMS-basiertes OTP ausdrücklich als eingeschränkten Authentifikator (restricted authenticator) und verweist auf SIM-Swapping- und SS7-Abfangrisiken. Phishing-resistente MFA — FIDO2/WebAuthn, Hardware-Sicherheitsschlüssel oder zertifikatsbasierte Authentifizierung — ist der Standard, der einer Prüfung standhält.

Die MFA-Abdeckung ist selten vollständig. Legacy-Systeme und gemeinsam genutzte oder technische Konten bleiben oft außen vor – und genau hier schauen Auditoren genauer hin.

Eine einzige Kontrollinstanz

Alle drei Lücken haben einen gemeinsamen Nenner: das Fehlen eines zentralen Systems, das Zugangsdaten erfasst, Zugriffsrichtlinien durchsetzt und exportierbare Nachweise erzeugt. Passwork adressiert dies direkt:

• Dienstkonto-Passwörter, API-Schlüssel und Zertifikate werden in einem selbst gehosteten Vault mit Verantwortlichkeitsdokumentation pro Secret und Rotationsplänen gespeichert.

• RBAC und AD/LDAP-Integration für Lifecycle-Management.

• WebAuthn- und Hardware-Sicherheitsschlüssel-Unterstützung für phishing-resistente MFA auf den Vault-Zugriff.

• Das Audit-Log erfasst jede Aktion mit Zeitstempel — die quartalsweise Zugriffsüberprüfung wird zum Berichtsexport, nicht zur manuellen Übung.

Passwork ist ein selbst gehosteter Passwort- und Secrets-Manager für Unternehmensumgebungen — mit AES-256-Verschlüsselung, RBAC, AD/LDAP-Integration und exportierbaren Audit-Logs.

Das Nachweisproblem

Eine Maßnahme zu haben und eine Maßnahme nachzuweisen sind zwei verschiedene Dinge. Hier scheitern die meisten Organisationen bei Vor-Audits — nicht weil die Maßnahmen fehlen, sondern weil die Nachweise fehlen.

§ 38 BSIG gibt den zuständigen Behörden das Recht, Dokumentationen der umgesetzten Sicherheitsmaßnahmen anzufordern. „Wir haben eine Passwortrichtlinie" ist keine Dokumentation. Dokumentation ist der Richtlinientext, die technische Maßnahme, die ihn durchsetzt, und ein Protokoll, das belegt, dass die Maßnahme aktiv war und Ereignisse erzeugt hat.

Für Credential- und Zugangsverwaltung erwarten Auditoren:

• Zugangskontrollrichtlinie — schriftlich, versioniert, von der Geschäftsführung genehmigt.

• Technischer Durchsetzungsnachweis — AD-Fein-Passwortrichtlinien-Einstellungen, MFA-Enrollment-Berichte.

• Zugriffsüberprüfungsaufzeichnungen — wer hat überprüft, wann, was wurde widerrufen.

• Inventar privilegierter Konten — mit Verantwortlichkeitsdokumentation.

• Credential-Rotationsprotokolle — für Dienstkonten und API-Schlüssel.

• Offboarding-Aufzeichnungen — mit Abschlusszeitstempeln.

Was nicht protokolliert und exportierbar ist, existiert aus Sicht eines Auditors nicht. Manuelle Prozesse liefern selten prüfungssichere Nachweise. Ziel ist ein System, das diese automatisch erzeugt.

Fünf Schritte zur Credential-Compliance

Dies ist die 5-stufige Credential-Compliance-Roadmap für NIS2/BSIG §30, die ein kompetentes Team in unter 30 Tagen umsetzen kann.

Schritt 1. Alles inventarisieren.

Erfassen Sie, was existiert: gemeinsam genutzte Konten, Dienstkonten, API-Schlüssel und alle Zugangsdaten, die außerhalb eines verwalteten Systems gespeichert sind — in Tabellen, E-Mails, .env-Dateien. Dieses Inventar ist Ihre Ausgangsbasis und Ihr erstes Nachweis-Artefakt.

Schritt 2. Einen zentralen Credential-Vault einführen.

Wählen Sie eine Lösung mit AES-256-Verschlüsselung, RBAC und AD/LDAP-Integration. Für Unternehmen mit Datensouveränitätsanforderungen ist ein selbst gehostetes Deployment oft die bevorzugte Option. Passwork unterstützt dieses Modell nativ.

Schritt 3. MFA und Least-Privilege-Zugriff durchsetze

Aktivieren Sie MFA auf allen Vault-Zugriffen von Tag eins an. Weisen Sie Berechtigungen auf Rollenebene zu. Wenden Sie das Prinzip der minimalen Rechtevergabe (Least Privilege) an: Jeder Nutzer und jedes Dienstkonto erhält nur Zugriff auf das, was seine Funktion erfordert. Dokumentieren Sie die Rollenmatrix — das ist Ihr Nachweis gemäß § 30 Abs. 2 Nr. 9 BSIG.

Schritt 4. Nicht verwaltete Secrets in den Vault migrieren.

Überführen Sie API-Schlüssel, Datenbankzugangsdaten, Zertifikate und Dienstkonto-Passwörter in den Vault. Löschen Sie die .env-Dateien und gemeinsamen Tabellen. Legen Sie Rotationsrichtlinien fest, wo dies möglich ist.

Schritt 5. Audit-Logging konfigurieren und regelmäßige Überprüfungen planen.

Aktivieren Sie vollständiges Audit-Logging und exportieren Sie unmittelbar nach der Einführung einen Compliance-Bericht. Planen Sie quartalsweise Zugriffsüberprüfungen: inaktive Konten, überprivilegierte Rollen, Zugangsdaten, auf die seit mehr als 90 Tagen nicht zugegriffen wurde. Jeder Überprüfungszyklus erzeugt ein datiertes Nachweis-Artefakt, das die laufende Compliance belegt — genau das, was § 38 BSIG bei der Durchsetzung verlangt.

Wo anfangen

Organisationen, die bei NIS2-Audits scheitern werden, sind nicht diejenigen mit unvollkommener Sicherheit. Es sind diejenigen ohne Nachweise. IBMs Cost of a Data Breach Report 2025 beziffert die durchschnittlichen globalen Kosten einer Datenschutzverletzung auf 4,44 Millionen US-Dollar — und die Organisationen, die Vorfälle schneller eindämmen, sind durchgängig diejenigen, die wissen, wo ihre Zugangsdaten tatsächlich liegen.

Die anspruchsvolleren NIS2-Workstreams — Lieferkettensicherheit, Incident Response, Governance auf Leitungsebene — müssen parallel laufen. Aber Credential-Management ist der Bereich, in dem Sie Ihren ersten nachweisbaren Fortschritt erzielen.

Beginnen Sie mit der Inventarisierung:

• 1. Dienstkonten unter Verwaltung bringen.

• 2. Den Rückstand inaktiver Konten abbauen.

• 3. Phishing-resistente MFA für privilegierten und Remote-Zugriff durchsetzen.

• 4. Die Logging-Infrastruktur aufbauen, die diese Maßnahmen in exportierbare Nachweise verwandelt.

Diese Arbeit kann in unter 30 Tagen operativ sein — und schließt den Credential-Engpass, der in 39 % aller Sicherheitsverletzungen über die gesamte Angriffskette hinweg auftritt.

Passwork ist ein selbst gehosteter Passwort- und Secrets-Manager für Unternehmensumgebungen — AES-256-Verschlüsselung, RBAC, AD/LDAP-Integration und exportierbare Audit-Logs inklusive.

(ID:50870252)