CIS Controls

Die CIS Critical Security Controls sind ein priorisierter Katalog von 18 Sicherheitsmaßnahmen mit 153 konkreten Einzelschritten, den sogenannten Safeguards – entwickelt aus der Analyse realer Angriffe und frei verfügbar. Drei aufeinander aufbauende Ausbaustufen – die Implementation Groups – machen daraus einen abarbeitbaren Fahrplan: vom Basisschutz für kleine IT-Teams bis zur Verteidigung gegen gezielte Angriffe.

Die CIS Critical Security Controls sind ein priorisierter Katalog von 18 Sicherheitsmaßnahmen mit 153 konkreten Einzelschritten, den sogenannten Safeguards – entwickelt aus der Analyse realer Angriffe und frei verfügbar. Drei aufeinander aufbauende Ausbaustufen – die Implementation Groups – machen daraus einen abarbeitbaren Fahrplan: vom Basisschutz für kleine IT-Teams bis zur Verteidigung gegen gezielte Angriffe.

Herausgeber ist das Center for Internet Security (CIS), eine gemeinnützige Organisation, die die Controls gemeinsam mit einer weltweiten Community aus Praktikern, Behörden und Unternehmen pflegt. Entstanden sind sie 2008 als Reaktion auf reale Datenverluste – lange unter dem Namen „SANS Top 20" bekannt. Die aktuelle Version 8.1 (2024) umfasst 18 Controls mit 153 Safeguards und ist an die Govern-Funktion des NIST Cybersecurity Framework 2.0 angeglichen. Die Nutzung ist kostenlos.

Der entscheidende Unterschied zu Normenkatalogen: Die CIS Controls sind präskriptiv. Jeder Safeguard beschreibt eine konkrete, überprüfbare Maßnahme – nicht „Zugriffe sind angemessen zu beschränken", sondern zum Beispiel: Multi-Faktor-Authentisierung für alle extern erreichbaren Anwendungen. Das macht sie zu einer abarbeitbaren Liste mit sichtbarem Fortschritt statt zu einem Interpretationsspielraum.

Kaum eine Organisation kann 153 Maßnahmen auf einmal umsetzen – und kaum eine muss es. Die Controls bringen ihre Priorisierung deshalb gleich mit: Drei aufeinander aufbauende Implementation Groups (IGs) ordnen jeden Safeguard einer Ausbaustufe zu. Die Auswahl der passenden Gruppe richtet sich nach Größe, Risikoprofil und den Daten, die eine Organisation verarbeitet.

Der Einstieg ist immer IG1 – vom CIS bewusst „Essential Cyber Hygiene" genannt: das Minimum, das jede Organisation gegen die häufigsten Angriffe braucht. Wer IG1 beherrscht, erweitert bei Bedarf auf IG2 und IG3. So entsteht ein Fahrplan mit klaren Etappen statt einer erdrückenden Gesamtliste.

Die meisten Sicherheitskataloge behaupten Wirksamkeit – die CIS Controls messen sie. Das Community Defense Model (CDM) des CIS zerlegt die fünf häufigsten Angriffsarten aus Branchen-Bedrohungsdaten – Malware, Ransomware, Angriffe auf Webanwendungen, Insider-Missbrauch und gezielte Angriffe – in die dahinterliegenden Angriffstechniken nach MITRE ATT&CK. Dann wird jeder Safeguard dagegen abgeglichen: Welche Techniken verhindert oder erschwert er?

Das Ergebnis ist bemerkenswert: Bereits IG1 – die 56 Safeguards des Basisschutzes – verteidigt gegen 77 Prozent der ATT&CK-Techniken, die in den fünf häufigsten Angriffsarten vorkommen. Mit allen Safeguards steigt der Wert auf 91 Prozent. Für Ransomware liegt die Abdeckung bei 78 beziehungsweise 92 Prozent. Als wirksamster Einzel-Safeguard über alle fünf Angriffsarten erwies sich die sichere Konfiguration (Safeguard 4.1) – der Auslieferungszustand von Systemen ist der beste Freund des Angreifers.

Damit sprechen die CIS Controls dieselbe Sprache wie unser Kernansatz: Threat-Informed Defense fragt, welche Angriffstechniken für eine Organisation relevant sind – die CIS Controls liefern den Maßnahmenkatalog, dessen Wirkung gegen genau diese Techniken gemessen ist. Das Threat-Profil bestimmt, welche Safeguards zuerst zählen; die Controls machen daraus eine abarbeitbare Liste.

Die 18 Controls decken den gesamten Lebenszyklus der Verteidigung ab – vom Wissen, was man überhaupt schützt (Controls 1 und 2), über Härtung und Zugriffskontrolle bis zu Erkennung, Wiederherstellung und dem Test der eigenen Abwehr:

Die häufigste Frage in der Beratung – und sie beruht auf einem Missverständnis: Die beiden konkurrieren nicht, sie beantworten verschiedene Fragen. ISO 27001 ist ein Managementsystem: Sie regelt, wie eine Organisation Informationssicherheit steuert – mit Risikoanalyse, Richtlinien, Verantwortlichkeiten und einem zertifizierbaren Nachweis. Die CIS Controls sind ein Maßnahmenkatalog: Sie sagen konkret, was technisch zu tun ist, in welcher Reihenfolge, und wie man den Fortschritt misst.

Unsere Haltung: Nicht jedes Unternehmen braucht ein zertifiziertes ISMS. Wer keine Zertifizierungspflicht hat, erreicht mit den CIS Controls oft schneller echte Sicherheit – messbar und ohne Papierberge. Und wer später doch ISO 27001 braucht, verliert nichts: Das CIS stellt ein offizielles Mapping der Safeguards auf die Annex-A-Controls bereit, die umgesetzten Maßnahmen zahlen direkt auf die Zertifizierung ein. Verlangt ein Kunde oder Regulierer das Zertifikat, führt umgekehrt kein Weg an ISO 27001 vorbei – dann werden die CIS Controls zum technischen Rückgrat des ISMS.

Wir beginnen mit einer Standortbestimmung: Welche Safeguards sind bereits umgesetzt, welche fehlen – und welche Implementation Group passt zu Größe, Risiko und Daten Ihrer Organisation? Auf Wunsch schärfen wir die Priorisierung mit Ihrem Threat-Profil: Die Techniken Ihrer realen Angreifer bestimmen dann, welche Lücken zuerst geschlossen werden – Threat-Informed Defense in der Praxis.

Danach arbeiten wir die Maßnahmen priorisiert ab – von Asset- und Zugriffsmanagement über Konfigurationshärtung bis zum Logging. Sie erhalten einen messbaren Umsetzungsstand statt eines Ordners voller Konzepte, und auf Wunsch den Nachweis für Kunden, Versicherer oder als Vorstufe zur ISO-27001-Zertifizierung.