Cyber Essentials-Konformität: Ein UK-Prüfleitfaden 2026

Die Erlangung der Cyber Essentials Compliance UK ist im Jahr 2026 ein entscheidender Schritt für Unternehmen, die ihre Servernetzwerke schützen möchten. Dieses staatlich geförderte Programm hilft Unternehmen, ihr Engagement für Datensicherheit gegenüber Kunden des öffentlichen Sektors und Unternehmenskunden zu demonstrieren. Die Einhaltung dieser Sicherheitsrichtlinien blockiert bis zu achtzig Prozent der standardmäßigen Cyberangriffe. Dieser Leitfaden beschreibt den Zertifizierungsprozess, die technischen Kontrollen und die erforderlichen Budgetrichtlinien zur Erlangung der Zertifizierung.

[!TIP] Empfehlung zur Definition des Prüfungsbereichs: Dokumentieren Sie bei der Vorbereitung Ihres Prüfungsbereichs (Scope) alle Geräte, die auf Unternehmensdatenbanken zugreifen (einschließlich der Laptops von Mitarbeitern im Homeoffice). Das Versäumnis, Remote-Geräte aufzulisten, ist die häufigste Ursache für ein Nichtbestehen des Audits bei Cyber Essentials-Bewertungen.

Wichtige Erkenntnisse:

• Die Cyber Essentials-Zertifizierung schützt vor Phishing, Malware und unbefugtem Remote-Zugriff.
• Die Grundgebühr für die Selbsteinschätzungszertifizierung liegt je nach Unternehmensgröße zwischen 320 und 600 £ (festgelegt durch IASME).
• Cyber Essentials Plus erfordert ein unabhängiges, praktisches Audit der Netzwerkkonfigurationen und Geräteeinstellungen.
• Die Implementierung strenger Passwortrichtlinien und der Multi-Faktor-Authentifizierung (MFA) ist eine zwingende Voraussetzung.

Die fünf technischen Kontrollen von Cyber Essentials

Um die Bewertungskriterien zu erfüllen, muss Ihr Unternehmen fünf zentrale Sicherheitskontrollen in allen Netzwerken und Benutzergeräten implementieren. Gemäß den Richtlinien von IASME müssen diese technischen Kontrollen kontinuierlich aktiv bleiben, um Sicherheitsverletzungen zu verhindern:

1. Firewalls und Internet-Gateways

Alle Internetverbindungen müssen über konfigurierte Hardware- oder Software-Firewalls laufen. Folglich müssen diese Gateways nicht genehmigte Ports blockieren und den eingehenden Datenverkehr protokollieren, um Netzwerk-Sniffing-Exploits zu verhindern.

2. Sichere Konfiguration

Standardeinstellungen auf Routern, Betriebssystemen und Servern sind oft unsicher. Daher müssen Sie Standard-Administrationspasswörter ändern, ungenutzte Softwarefunktionen deaktivieren und vorinstallierte Gastbenutzerkonten entfernen.

3. Benutzerzugriffskontrolle

Der Zugriff auf Kundendatenbanken und Administrationsserver muss dem Prinzip der minimalen Rechtevergabe (Least Privilege) folgen. Folglich müssen Sie drei strenge Zugriffsregeln durchsetzen:

• Rollenbeschränkung: Mitarbeiter sollten nur auf die Dateien zugreifen können, die für ihre täglichen Aufgaben erforderlich sind, wodurch der Zugriff auf Datenbanken minimiert wird.
• MFA-Durchsetzung: Die Multi-Faktor-Authentifizierung muss für alle Administrations- und Cloud-E-Mail-Portale aktiviert sein, um unbefugte Brute-Force-Versuche zu blockieren.
• Admin-Überwachung: Beschränken Sie administrative Konten auf spezialisierte Systeme und verhindern Sie, dass Mitarbeiter mit Administratorrechten im Internet surfen. Dies mindert Cross-Site-Scripting-Risiken.

4. Malware-Schutz

Auf allen Unternehmensgeräten muss eine aktualisierte Antivirensoftware ausgeführt werden, die die Ausführung nicht genehmigter Dateien blockiert. Darüber hinaus muss das Herunterladen von Software auf verifizierte App-Stores beschränkt werden. Diese Sicherheitsmaßnahme verhindert, dass Remote-Access-Trojaner Laptops infizieren.

5. Patch-Management

Nicht aktualisierte Software stellt ein primäres Einfallstor für Hacker dar. Folglich müssen Sie kritische Sicherheitsupdates für alle Betriebssysteme, Webbrowser und Plugins innerhalb von vierzehn Tagen nach ihrer Veröffentlichung installieren.

Zertifizierungsstufen: Standard vs. Plus

Unternehmen müssen zwischen der Selbsteinschätzung und der auditierten Stufe wählen:

Best Practices zur Vorbereitung auf Ihr Audit

Die Vorbereitung Ihrer Netzwerkkonfigurationen vor der Beantragung der Zertifizierung minimiert den Prüfungsaufwand und verhindert Fehler. Sie sollten diese vier Konfigurationsschritte durchführen:

1. Remote-Zugriffstools prüfen: Stellen Sie sicher, dass Remote-Zugriffsprotokolle (wie RDP) deaktiviert sind oder über sichere VPN-Verbindungen laufen.
2. Benutzerrechte überprüfen: Überprüfen Sie alle aktiven Benutzerkonten in Datenbanken und löschen Sie Profile von Mitarbeitern, die das Unternehmen verlassen haben.
3. Altsysteme aktualisieren: Nehmen Sie veraltete Betriebssysteme (wie Windows 7 oder ältere Linux-Kernel), die keine Sicherheitsupdates mehr erhalten, außer Betrieb.
4. MDM-Software bereitstellen: Verwenden Sie Mobile-Device-Management-Tools (MDM), um Verschlüsselung, Passwörter und Remote-Löschfunktionen auf Unternehmens-Laptops durchzusetzen.

Checkliste zur Vorbereitung auf die fünf Kontrollen

Bevor Sie für eine Bewertung bezahlen, prüfen Sie Ihre Infrastruktur anhand der folgenden Checkliste. Jedes Element entspricht einer der fünf Kontrollen. Wenn Sie alle Punkte erfüllen können, sollte der Fragebogen keine Überraschungen bereithalten.

Firewalls und Internet-Gateways

• Jedes mit dem Internet verbundene Gerät verfügt über eine aktivierte Firewall.
• Das Standard-Administrationspasswort der Firewall wurde durch ein sicheres, eindeutiges Passwort ersetzt.
• Es existieren keine eingehenden Regeln ohne dokumentierten geschäftlichen Nutzen, und ungenutzte Regeln wurden entfernt.
• Homeoffice- und Remote-Mitarbeiter stellen Verbindungen über eine Firewall oder eine Software-Firewall auf dem Gerät selbst her.

Sichere Konfiguration

• Standard- und Gastkonten wurden auf allen Servern und Endpunkten entfernt oder deaktiviert.
• Auto-Run und Auto-Play sind deaktiviert, sodass nicht genehmigter Code nicht von Wechselmedien ausgeführt werden kann.
• Ungenutzte Software, Dienste und Konten sind deinstalliert oder deaktiviert.
• Die Gerätesperrung (PIN, Biometrie oder Passwort) wird nach einer kurzen Inaktivitätszeit erzwungen.

Benutzerzugriffskontrolle

• Jeder Benutzer verfügt über ein eindeutiges, namentliches Konto ohne gemeinsam genutzte Logins.
• Administratorrechte werden nur auf Anfrage erteilt, regelmäßig überprüft und entzogen, wenn sie nicht mehr benötigt werden.
• Die Multi-Faktor-Authentifizierung (MFA) ist für alle Cloud-Dienste aktiviert, nicht nur für E-Mails.
• Ein dokumentierter Prozess für neue und ausscheidende Mitarbeiter deaktiviert Konten am Tag des Ausscheidens.

Malware-Schutz

• Auf jedem betroffenen Windows- und macOS-Gerät ist ein aktiver und aktualisierter Malware-Schutz installiert.
• Auf Mobilgeräten können Anwendungen nur aus einem genehmigten, verwalteten App-Store installiert werden.
• Wenn Sie sich auf das Whitelisting von Anwendungen statt auf Antivirenprogramme verlassen, wird die Liste der genehmigten Programme aktiv gepflegt.

Patch-Management

• Jedes Betriebssystem und jede Anwendung wird weiterhin vom Hersteller unterstützt (kein Windows 7, keine nicht unterstützten Linux-Kernel).
• Wichtige und kritische Sicherheitsupdates werden innerhalb von 14 Tagen nach Veröffentlichung installiert.
• Automatische Updates sind aktiviert, wann immer die Plattform dies zulässt.

Cyber Essentials vs. Cyber Essentials Plus im Detail

Die Entscheidung zwischen den beiden Stufen hängt meist von Kosten, Aufwand und Zeitrahmen ab. Der folgende Vergleich zeigt die Unterschiede anhand von Richtwerten. Alle Gebühren verstehen sich zuzüglich MwSt. und können je nach Zertifizierungsstelle variieren.

Wenn eine Ausschreibung Cyber Essentials Plus erfordert, planen Sie das Budget für beide Zertifizierungen ein. Sie müssen zuerst das Basiszertifikat besitzen, da die beiden Zertifizierungen aufeinander aufbauen.

Projekt- und Kostenbeispiel für eine Zertifizierung

Betrachten wir ein Softwareunternehmen mit 25 Mitarbeitern, das sich auf eine Ausschreibung im öffentlichen Sektor vorbereitet, die Cyber Essentials Plus erfordert. So läuft das Projekt typischerweise ab:

Woche 1–2: Scoping und Gap-Analyse. Das Unternehmen katalogisiert 25 Laptops, drei Cloud-Dienste (Microsoft 365, ein CRM und ein Code-Repository) und acht Remote-Arbeitsplätze. Die Gap-Analyse ergibt zwei Laptops mit einem nicht mehr unterstützten Betriebssystem, fehlendes MFA beim CRM und drei inaktive Konten von ehemaligen Mitarbeitern.

Woche 3–4: Behebung der Mängel (Remediation). Die beiden Laptops werden mit einer unterstützten Version neu aufgesetzt, MFA wird für alle drei Cloud-Dienste aktiviert, die inaktiven Konten werden gelöscht und Richtlinien für automatische Updates werden über das MDM verteilt.

Woche 5: Selbsteinschätzung. Das Unternehmen füllt den Fragebogen aus und reicht ihn ein. Die Basiszertifizierung kostet 400 £ (Gebühr für die Mitarbeiterkategorie 10–49). Die Freigabe erfolgt innerhalb weniger Werktage.

Woche 6–7: Plus-Audit. Innerhalb des Drei-Monats-Fensters prüft ein Auditor stichprobenartig etwa ein Drittel der Geräte, führt authentifizierte Schwachstellenscans durch und testet den Malware-Schutz sowie MFA live. Ein kritischer Patch wird bemängelt und beim Nachtest behoben. Das Plus-Audit kostet 1.750 £.

Die Gesamtkosten für die Zertifizierungsgebühren betragen 400 £ + 1.750 £ = 2.150 £, zuzüglich des internen Zeitaufwands (ca. 40–60 Stunden) sowie eventueller Kosten für Hardware oder Lizenzen.

Häufige Fehlerquellen bei der Zertifizierung

Die meisten Fehler beim ersten Versuch lassen sich auf wenige Versäumnisse zurückführen. Achten Sie auf diese Punkte vor der Einreichung:

• Nicht unterstützte Software im Scope. Ein einziges nicht mehr unterstütztes Betriebssystem oder ein veralteter Browser führt zum Nichtbestehen.
• Fehlendes MFA bei Cloud-Diensten. Die Aktivierung bei E-Mails, aber nicht beim CRM oder der Admin-Konsole ist ein häufiger Fehler.
• Unvollständiger Scope. Das Vergessen von Laptops im Homeoffice oder Cloud-Diensten gefährdet die Zertifizierung.
• Langsame Patch-Zyklen. Fehlende Nachweise, dass kritische Updates innerhalb von 14 Tagen installiert werden.
• Gemeinsam genutzte Konten. Generische Admin-Logins ohne namentliche Zuordnung zu einer Person.

Nutzen Sie vor dem Start das kostenlose Cyber Essentials Readiness Tool auf der IASME-Website. Es führt Sie durch die aktuellen Fragen und erstellt einen Aktionsplan, um Lücken frühzeitig zu erkennen.

Partnerschaft mit einer qualifizierten Sicherheitsberatung

Das Erreichen der Zertifizierung schützt Ihr Unternehmen und sichert Ihnen den Zugang zu öffentlichen Ausschreibungen. Mecanik bietet professionelle Dienstleistungen für Serversicherheitsaudits und die Härtung Ihrer Infrastruktur über unsere Seite für Penetrationstests . Wir sind auf Netzwerkaudits, Gerätekonformität und Cloud-Firewall-Konfigurationen spezialisiert. Kontaktieren Sie uns noch heute, um Ihr Compliance-Projekt zu besprechen.

Häufig gestellte Fragen (FAQ)

Was ist Cyber Essentials Compliance UK? Cyber Essentials Compliance UK ist ein staatlich unterstütztes Zertifizierungsprogramm für Cybersicherheit, das Unternehmen vor den häufigsten Online-Bedrohungen schützen soll. Die Zertifizierung zeigt Kunden und Partnern, dass Ihr Unternehmen grundlegende Sicherheitskontrollen zum Schutz sensibler Daten implementiert hat.

Wie viel kostet die Cyber Essentials-Zertifizierung? Die Gebühr für die Selbsteinschätzung ist nach Unternehmensgröße gestaffelt und reicht von 320 £ für Kleinstunternehmen bis zu 600 £ für Großunternehmen. Die Kosten für Cyber Essentials Plus sind höher, da sie ein technisches Audit durch einen Prüfer erfordern.

Was ist der Unterschied zwischen Cyber Essentials und Cyber Essentials Plus? Cyber Essentials ist eine verifizierte Selbsteinschätzung über einen Online-Fragebogen. Cyber Essentials Plus erfordert zusätzlich ein unabhängiges, technisches Audit vor Ort oder per Remote-Verbindung, bei dem die Kontrollen durch Scans und manuelle Prüfungen verifiziert werden.

Haben Remote-Mitarbeiter Einfluss auf den Prüfungsbereich von Cyber Essentials? Ja. Alle Laptops, Tablets oder Smartphones, die von Mitarbeitern im Homeoffice für den Zugriff auf Unternehmensdaten genutzt werden, fallen in den Prüfungsbereich. Diese Geräte müssen dieselben Sicherheitsanforderungen erfüllen wie Geräte im Büro.

Wie lange ist die Cyber Essentials-Zertifizierung gültig? Die Zertifizierung ist für 12 Monate gültig. Folglich muss Ihr Unternehmen die Bewertung jährlich wiederholen, um die Zertifizierung zu erneuern und sicherzustellen, dass die Sicherheitsvorkehrungen an neue Bedrohungen angepasst sind.