- Die IT-Security-Branche liebt Akronyme - über 80 davon erklärt dieser Artikel pragmatisch und mit Humor.
- Am Ende geht es immer um die CIA-Triade: Vertraulichkeit, Integrität, Verfügbarkeit. Der Rest ist Marketing.
- Du brauchst nicht jedes Tool aus jeder Kategorie. Ein 100-MA-Unternehmen braucht MFA, EDR, Backup und ein ISMS - nicht zwingend ein CNAPP.
- Der ultimative Bullshit-Bingo-Satz für dein nächstes Meeting ist am Ende des Artikels.
Du sitzt im Meeting und verstehst nur Buchstaben
Kennst du das? Du sitzt in einem Security-Meeting, der externe Berater wirft mit EDR, XDR, SIEM und SOAR um sich, der Vertriebsmensch eines Security-Herstellers legt noch CSPM, CNAPP und ZTNA obendrauf, und du nickst höflich, während dein innerer Monolog nur noch "Was zur Hölle?" schreit. Willkommen im Club. Du bist nicht allein.
Die IT-Security-Branche hat ein Akronym-Problem. Eigentlich hat sie ein Marketing-Problem, das sich als Akronym-Problem tarnt. Jedes Jahr erfindet irgendeine Analystengruppe eine neue Kategorie, jeder Hersteller ordnet sich fröhlich ein, und auf Konferenzen fliegen Buchstabenkombinationen durch die Luft wie Konfetti auf einer Kölner Karnevalsparty. Was 2020 noch EDR hieß, ist 2023 XDR, und 2026 vermutlich schon wieder was anderes. Die Technik dahinter? Oft dieselbe. Aber der neue Name braucht halt eine neue Folie.
Dabei geht es am Ende immer um dasselbe: die CIA-Triade. Vertraulichkeit, Integrität, Verfügbarkeit. Drei Wörter, die seit Jahrzehnten das Fundament der Informationssicherheit bilden. Alles andere - jedes einzelne der über 80 Akronyme in diesem Artikel - ist letztlich ein Werkzeug, ein Prozess oder ein Framework, das einem dieser drei Ziele dient. Oder dem Marketing.
Dieser Artikel ist dein Spickzettel, dein Wörterbuch, dein Rettungsring für das nächste Meeting. Wir gehen über 80 Begriffe durch, erklären sie pragmatisch, ordnen sie ein und geben dir für jeden ein greifbares Praxisbeispiel. Ohne Bullshit. Na gut, mit ein bisschen Bullshit. Ist ja schließlich Bullshit-Bingo.
I. Die "Detection & Response" Familie
Vom Virenscanner zum Alphabet-Soup der Erkennung. Bald gibt es vermutlich ABCDR.
Erinnere dich an die einfachen Zeiten. Du hattest einen Virenscanner, der hat Dateien gescannt, und wenn er was gefunden hat, kam ein rotes Popup. Fertig. Dann wurden die Angreifer schlauer, die Angriffe raffinierter, und plötzlich reichte ein simpler Signatur-Scan nicht mehr. Die Branche brauchte neue Konzepte. Und neue Abkürzungen.
EDR - Endpoint Detection and Response
Der Nachfolger des klassischen Antivirus. EDR überwacht nicht nur Dateien, sondern das gesamte Verhalten auf einem Endgerät: Welche Prozesse starten, welche Netzwerkverbindungen werden aufgebaut, welche Registry-Einträge werden geändert. Erkennt es etwas Verdächtiges, kann es den Prozess automatisch isolieren.
Praxis: Dein Vertriebsmitarbeiter öffnet einen E-Mail-Anhang. Der startet ein PowerShell-Skript, das versucht, Daten nach außen zu senden. Ein klassischer Virenscanner kennt die Datei vielleicht nicht, aber das EDR sieht das ungewöhnliche Verhalten und stoppt den Prozess, bevor Schaden entsteht. Microsoft Defender for Endpoint ist das EDR, das die meisten mittelständischen Unternehmen bereits lizenziert haben, ohne es zu wissen.
XDR - Extended Detection and Response
EDR schaut auf den Endpunkt. XDR schaut auf alles: Endpunkte, E-Mails, Cloud-Dienste, Identitäten und Netzwerkverkehr. Die Idee: Wenn du die Telemetrie aus all diesen Quellen korrelierst, erkennst du Angriffe, die in einer einzelnen Quelle unauffällig wären.
Praxis: Ein Angreifer loggt sich nachts mit gestohlenen Zugangsdaten ein (Identität), leitet E-Mails um (E-Mail), installiert ein Tool auf einem Server (Endpunkt) und schleust Daten über eine Cloud-App raus (Cloud). Einzeln betrachtet sind das vier unauffällige Ereignisse. XDR verbindet die Punkte und sagt: "Moment mal, das ist ein koordinierter Angriff." Die Wahrheit? Viele "XDR"-Produkte sind aufgehübschte EDR-Lösungen mit ein paar zusätzlichen Datenquellen. Frag den Hersteller genau, welche Quellen tatsächlich korreliert werden.
MDR - Managed Detection and Response
Du hast ein EDR oder XDR, aber niemand schaut auf die Alarme? Dann ist MDR dein Freund. Ein externer Dienstleister überwacht deine Systeme rund um die Uhr, analysiert die Alarme und greift im Ernstfall ein.
Praxis: Dein 100-Mitarbeiter-Unternehmen hat keine Chance, ein 24/7-Security-Team zu bezahlen. MDR gibt dir genau das als Service: Profis, die nachts um drei Uhr den Alarm auswerten und im Notfall den kompromittierten Rechner isolieren. Kostet einen Bruchteil eines eigenen SOC-Teams und ist für die meisten Mittelständler die realistischste Option.
NDR - Network Detection and Response
Wie EDR, aber für den Netzwerkverkehr statt für Endpunkte. NDR analysiert den Datenfluss zwischen Systemen und erkennt Anomalien: ungewöhnliche Verbindungen, laterale Bewegungen im Netzwerk, Datenexfiltration.
Praxis: Ein kompromittierter Rechner in der Produktion kommuniziert plötzlich mit einem Server in Osteuropa. Der Rechner selbst hat kein EDR (ist eine alte Steuerungsanlage), aber das NDR sieht den verdächtigen Netzwerkverkehr und schlägt Alarm. Besonders relevant für Unternehmen mit OT-Umgebungen, wo du nicht auf jeden Rechner einen Agenten installieren kannst.
CDR - Content Disarm and Reconstruction
Nicht zu verwechseln mit den anderen xDRs. CDR nimmt eingehende Dateien (E-Mail-Anhänge, Downloads), zerlegt sie in ihre Bestandteile, entfernt alles Verdächtige (Makros, eingebettete Skripte, aktive Inhalte) und setzt die Datei sauber wieder zusammen.
Praxis: Deine Buchhaltung bekommt täglich 50 Rechnungen als PDF. CDR prüft jede einzelne, entfernt versteckte JavaScript-Elemente und liefert eine bereinigte Version. Der Empfänger merkt keinen Unterschied, aber ein eventuell eingebetteter Schadcode ist weg. Klingt einfach, ist aber überraschend effektiv gegen dokumentbasierte Angriffe.
ITDR - Identity Threat Detection and Response
Der Neuzugang in der Familie, seit 2023 auf dem Radar. ITDR erkennt und reagiert auf Angriffe, die sich gegen Identitäten richten: gestohlene Zugangsdaten, Privilege Escalation, Manipulation von Verzeichnisdiensten.
Praxis: Jemand erstellt nachts um zwei einen neuen Admin-Account im Active Directory, fügt ihn zur Domain-Admin-Gruppe hinzu und löscht die Audit-Logs. Ein klassisches EDR sieht davon nichts, weil es auf dem Endpunkt passiert und technisch "erlaubt" ist. ITDR erkennt das Muster und alarmiert sofort.
II. Der Microsoft-Maschinenraum
Das Zeug im Defender-Portal, das Admins den Schweiß auf die Stirn treibt.
Wenn du ein Microsoft-365-Haus bist, und das sind die meisten Mittelständler, dann lebst du praktisch im Microsoft Security Portal. Und dort gibt es genug Abkürzungen für ein eigenes Bingo.
ASR - Attack Surface Reduction
Regeln im Microsoft Defender, die bestimmte riskante Verhaltensweisen auf Endpunkten von vornherein blockieren. Statt Angriffe zu erkennen, verhindert ASR sie präventiv.
Praxis: ASR-Regel "Block Office applications from creating executable content" verhindert, dass ein Word-Makro eine .exe-Datei auf die Platte schreibt. Die häufigste Ransomware-Eintrittspforte zugenagelt, mit einem Klick. Wenn du nach dem Lesen dieses Artikels genau eine Sache tust: Aktiviere die ASR-Regeln in deinem Defender.
TVM - Threat and Vulnerability Management
Microsofts integriertes Schwachstellen-Management in Defender for Endpoint. Scannt deine Geräte kontinuierlich auf bekannte Schwachstellen und veraltete Software, priorisiert nach tatsächlichem Risiko.
Praxis: TVM zeigt dir am Montagmorgen: "Auf 43 Rechnern läuft Chrome 118, dafür gibt es seit Freitag einen Exploit in freier Wildbahn. Hier ist der Link zum Update." Deutlich nützlicher als ein Excel-Sheet, das du einmal im Quartal per Hand befüllst.
CVE - Common Vulnerabilities and Exposures
Die globale Datenbank bekannter Schwachstellen. Jede Schwachstelle bekommt eine eindeutige Nummer (z.B. CVE-2024-12345), damit alle vom selben Problem reden.
Praxis: Wenn Microsoft am Patch Tuesday sagt "Wir haben CVE-2026-1234 gefixt", kannst du in jeder Schwachstellen-Datenbank der Welt nachschlagen, was genau das Problem war. CVE-Nummern sind die Personalausweisnummern der Security-Welt.
CVSS - Common Vulnerability Scoring System
Eine Skala von 0 bis 10, die angibt, wie kritisch eine Schwachstelle ist. 0 ist harmlos, 10 ist "alles stehen und liegen lassen".
Praxis: Dein Scanner meldet 200 Schwachstellen. Statt Panik sieht du: 3 haben CVSS 9.8 (kritisch, sofort patchen), 15 haben CVSS 7.0 (hoch, diese Woche), 182 haben CVSS 4.0 oder weniger (planen, aber kein Notfall). Achtung: CVSS misst das technische Risiko, nicht dein spezifisches Geschäftsrisiko. Eine CVSS-9.8-Lücke in einem System, das nicht aus dem Internet erreichbar ist und keine kritischen Daten hält, ist in deinem Kontext vielleicht nur eine 6.
KBE - Knowledge Base Entry
Die KB-Nummern von Microsoft-Updates. Jeder Patch hat eine eindeutige KB-Nummer.
Praxis: Wenn nach dem Patchday etwas kaputt geht, googelst du "KB5035845 Probleme" und findest sofort die Erfahrungsberichte anderer Admins. KBE-Nummern sind außerdem wichtig für die Dokumentation: Du kannst nachweisen, welche Patches wann auf welchen Systemen installiert wurden. Dein Auditor liebt das.
NVD - National Vulnerability Database
Die von der US-Behörde NIST gepflegte Datenbank aller CVEs, angereichert mit CVSS-Scores und Referenzen. Quasi das Telefonbuch der Schwachstellen. Dein Scanner holt seine Daten von dort. Du musst die NVD nie direkt besuchen, aber gut zu wissen, woher die Infos kommen.
PUA - Potentially Unwanted Application
Software, die nicht direkt Malware ist, aber nichts auf Unternehmensrechnern verloren hat: Adware, Browser-Toolbars, Kryptominer. Ein Mitarbeiter installiert einen "kostenlosen PDF-Converter" und bekommt drei Toolbars und ein Kryptomining-Modul dazu. PUA-Erkennung im Defender hätte das blockiert.
III. Security Operations & Intelligence
Die Kommandozentrale. Wer liest die Logs, und was passiert dann?
SOC - Security Operations Center
Der Raum (physisch oder virtuell) mit den großen Bildschirmen, in dem Security-Analysten Alarme überwachen und auf Vorfälle reagieren. Wie eine Leitstelle der Feuerwehr, nur für Cyberangriffe.
Praxis: Ein eigenes SOC braucht mindestens 8-12 Analysten für 24/7-Betrieb, plus Toolkosten. Bei einem 100-MA-Unternehmen völlig unrealistisch. Deswegen gibt es MDR und MSSP (siehe unten). Aber den Begriff solltest du kennen, damit du weißt, wovon der Berater redet.
SIEM - Security Information and Event Management
Die Software, die Logs aus allen möglichen Quellen einsammelt (Firewall, Server, Endpunkte, Cloud, Anwendungen), normalisiert und nach verdächtigen Mustern durchsucht. Das Nervensystem des SOC.
Praxis: Dein Fileserver loggt einen fehlgeschlagenen Login. Deine Firewall loggt einen Verbindungsversuch aus dem Ausland. Dein VPN loggt einen erfolgreichen Login. Einzeln betrachtet: unauffällig. Das SIEM korreliert die drei Events und erkennt: Jemand hat von außen Zugangsdaten durchprobiert und ist beim dritten Versuch reingekommen. Microsoft Sentinel ist das SIEM, das sich für M365-Kunden am natürlichsten integriert, aber es gibt Dutzende Alternativen.
SOAR - Security Orchestration, Automation and Response
Die Automatisierungsschicht über dem SIEM. SOAR nimmt einen Alarm und führt automatisch vordefinierte Reaktionen aus, ohne dass ein Mensch eingreifen muss.
Praxis: Das SIEM meldet "Brute-Force-Angriff auf Konto von Max Müller". SOAR sperrt automatisch das Konto, setzt das Passwort zurück, benachrichtigt Max per Teams und erstellt ein Ticket für die IT. Alles in 30 Sekunden, ohne dass ein Mensch einen Finger gerührt hat. Klingt toll, aber die Einrichtung der Playbooks ist aufwändig. Für die meisten Mittelständler ist das Thema erst relevant, wenn das SIEM steht und rund läuft.
MSSP - Managed Security Service Provider
Ein externer Dienstleister, der Security-Dienste für dich betreibt. Breiter als MDR: Ein MSSP kann Firewall-Management, SIEM-Betrieb, Vulnerability Scanning und mehr übernehmen.
Praxis: Dein 100-MA-Unternehmen hat zwei IT-Mitarbeiter. Ein MSSP übernimmt das Firewall-Management, betreibt das SIEM und liefert dir monatlich einen Security-Bericht. Du behältst die Kontrolle, aber die operative Last liegt beim Dienstleister.
IOC - Indicator of Compromise
Technische Indikatoren, die auf eine Kompromittierung hindeuten: IP-Adressen von bekannten Angreifer-Servern, Hashwerte von Malware-Dateien, verdächtige Domainnamen.
Praxis: Nach einem Vorfall bei einem Branchenkollegen erhältst du eine Liste von IOCs: "Diese drei IP-Adressen und diese zwei Datei-Hashes sind mit dem Angreifer verbunden." Du fütterst die IOCs in dein SIEM oder deine Firewall und siehst sofort, ob du auch betroffen bist. IOCs sind die Fahndungsfotos der IT-Security.
IOA - Indicator of Attack
Während IOCs auf eine bereits erfolgte Kompromittierung hinweisen, zeigen IOAs verdächtiges Verhalten, das auf einen laufenden Angriff hindeutet. Der Unterschied: IOC ist die Patronenhülse am Tatort, IOA ist der Typ, der mit einer Strumpfmaske ums Haus schleicht.
Praxis: Ein Benutzer führt plötzlich Reconnaissance-Befehle aus (net user, net group, whoami /priv), die er noch nie benutzt hat. Kein Malware-Hash, keine verdächtige IP, aber ein klares Angriffsmuster. IOA-basierte Erkennung fängt genau das ab.
TTPs - Tactics, Techniques and Procedures
Die Vorgehensweisen der Angreifer, von der strategischen Ebene (Taktik: "Ich will Zugangsdaten stehlen") über die technische Methode (Technik: "Ich nutze Kerberoasting") bis zur konkreten Umsetzung (Prozedur: "Ich benutze Rubeus mit diesen Parametern").
Praxis: Wenn du weißt, dass die Ransomware-Gruppe, die gerade deine Branche angreift, immer über Phishing reinkommt (Taktik), dann RDP-Verbindungen für laterale Bewegung nutzt (Technik), kannst du genau diese Wege verstärken. TTPs sind langlebiger als IOCs: IP-Adressen ändern sich täglich, aber Vorgehensweisen bleiben über Monate oder Jahre gleich.
MITRE ATT&CK
Ein frei verfügbares Wissensmodell, das TTPs von realen Angreifergruppen systematisch katalogisiert. Organisiert in einer Matrix mit 14 Taktiken (Spalten) und Hunderten von Techniken (Zeilen).
Praxis: Du willst prüfen, wie gut du gegen Ransomware geschützt bist. Du schaust in MITRE ATT&CK nach den TTPs bekannter Ransomware-Gruppen und prüfst für jede Technik: "Können wir das erkennen? Können wir das verhindern?" Das Ergebnis ist eine ehrliche Bestandsaufnahme statt eines Bauchgefühls. Die ATT&CK-Matrix ist kostenlos und gehört in die Lesezeichen jedes IT-Sicherheitsverantwortlichen.
IV. Identität & Zugriff
Passwörter sind out. Akronyme sind in.
Identität ist das neue Netzwerk, heißt es. Früher war die Firewall die Burgmauer, heute ist es die Frage: "Wer bist du, und was darfst du?" Entsprechend lang ist die Liste der Abkürzungen in diesem Bereich.
MFA - Multi-Faktor-Authentifizierung
Authentifizierung mit mindestens zwei unterschiedlichen Faktoren: etwas, das du weißt (Passwort), etwas, das du hast (Smartphone, Hardware-Token), oder etwas, das du bist (Fingerabdruck). Wenn du nur eine einzige Maßnahme aus diesem Artikel umsetzt, dann MFA.
Praxis: Angreifer stehlen das Passwort deines Geschäftsführers per Phishing. Ohne MFA sind sie drin. Mit MFA brauchen sie zusätzlich sein Smartphone und scheitern. Microsoft sagt: MFA verhindert 99,9% der automatisierten Angriffe auf Konten. Diskussion beendet.
IAM - Identity and Access Management
Der Oberbegriff für alles, was mit digitalen Identitäten und deren Zugriffsrechten zu tun hat. Benutzerverwaltung, Rechtevergabe, Authentifizierung, Provisionierung, Deprovisionierung.
Praxis: IAM beantwortet drei Fragen: Wer hat Zugriff auf was? Warum hat diese Person diesen Zugriff? Und wer hat das genehmigt? Wenn du diese drei Fragen für jedes System in deinem Unternehmen beantworten kannst, ist dein IAM in gutem Zustand. Spoiler: Die wenigsten können das.
PAM - Privileged Access Management
Die Kontrolle und Überwachung von Zugängen mit erhöhten Rechten. Admin-Accounts, Service-Accounts, Root-Zugriffe, alles, was besonders kritisch ist, weil ein Missbrauch besonders viel Schaden anrichtet. Unser Artikel zu Privileged Access Management geht tiefer ins Thema.
Praxis: Dein Domain-Admin-Account hat das Passwort "Sommer2024!" und wird von drei Leuten geteilt? PAM beendet diesen Wahnsinn. Individuelle Admin-Accounts, Passwort-Rotation, Session-Recording und zeitlich begrenzte Rechte. Klingt aufwändig, ist aber einer der effektivsten Schutzmaßnahmen überhaupt.
PIM - Privileged Identity Management
Microsofts Umsetzung von zeitlich begrenzten Admin-Rechten in Entra ID (ehemals Azure AD). Statt permanenter Admin-Rechte bekommst du sie nur auf Anfrage und nur für eine definierte Zeit.
Praxis: Deine IT-Administratorin braucht Global-Admin-Rechte, um eine neue Domain zu konfigurieren. Statt permanent Global Admin zu sein, aktiviert sie die Rolle über PIM für 4 Stunden, gibt einen Grund an, und nach Ablauf der Zeit werden die Rechte automatisch entzogen. Wer braucht schon 24/7 den Generalschlüssel, wenn man ihn nur zweimal im Monat für eine Stunde braucht?
JIT - Just-in-Time Access
Das Prinzip hinter PIM, aber herstellerunabhängig: Zugriff wird erst zum Zeitpunkt des Bedarfs gewährt und danach automatisch wieder entzogen. Kein Standing Access, keine permanenten Privilegien.
Praxis: Ein Datenbankadministrator braucht Root-Zugriff auf den Produktionsserver. Er beantragt JIT-Zugang, sein Vorgesetzter genehmigt, er hat 2 Stunden Root-Rechte. Danach: weg. Falls in diesen 2 Stunden etwas schiefgeht, weiß man genau, wer es war. Steht gut im Audit-Log.
JEA - Just Enough Administration
Neben JIT das zweite "Just"-Prinzip: Gib dem Admin nur genau die Rechte, die er für seine spezifische Aufgabe braucht. Nicht mehr, nicht weniger. In PowerShell als JEA-Endpoints umgesetzt.
Praxis: Der Helpdesk-Mitarbeiter soll Passwörter zurücksetzen können, aber nicht Benutzer löschen oder Gruppen ändern. JEA erstellt einen eingeschränkten PowerShell-Endpoint, der genau diese eine Aktion erlaubt. Der Helpdesk bekommt keinen vollwertigen Admin-Zugang, obwohl Passwort-Reset technisch Admin-Rechte erfordert.
SSO - Single Sign-On
Einmal anmelden, überall Zugriff. Der Benutzer authentifiziert sich einmal (z.B. bei der Windows-Anmeldung) und kann dann auf alle verbundenen Anwendungen zugreifen, ohne sich erneut anzumelden. Mehr dazu in unserem SSO-Einführungsguide.
Praxis: Ohne SSO hat dein Mitarbeiter 15 verschiedene Logins und nutzt überall dasselbe Passwort (oder Varianten davon). Mit SSO hat er einen Login, geschützt mit MFA, und kann darüber auf alle Anwendungen zugreifen. Weniger Passwörter = weniger Phishing-Angriffsfläche = weniger Helpdesk-Tickets "Ich hab mein Passwort vergessen."
RBAC - Role-Based Access Control
Berechtigungen werden nicht an einzelne Benutzer, sondern an Rollen vergeben. Ein Benutzer bekommt eine Rolle, und damit alle Berechtigungen, die zu dieser Rolle gehören. Das Fundament jedes Berechtigungskonzepts.
Praxis: Statt Max Müller einzeln Zugriff auf 12 Systeme zu geben, bekommt er die Rolle "Vertrieb Innendienst". Diese Rolle hat genau die Berechtigungen, die ein Vertriebsinnendienstler braucht. Wenn Max in die Buchhaltung wechselt, tauschst du die Rolle, und alle Rechte passen sich automatisch an.
ABAC - Attribute-Based Access Control
Die Weiterentwicklung von RBAC: Zugriff über beliebige Attribute gesteuert. "Zugriff auf Finanzdaten nur von verwalteten Geräten, während der Arbeitszeit, aus dem Firmennetzwerk." Das ist ABAC. In der Praxis setzt du das über Conditional Access Policies um, auch wenn Microsoft es nicht so nennt.
V. Governance, Risk & Compliance
Damit der Auditor glücklich ist. Und die Geschäftsführung ruhig schlafen kann.
ISMS - Informationssicherheits-Managementsystem
Das Herzstück der ganzen Veranstaltung. Ein ISMS ist kein Tool, sondern ein systematischer Ansatz, um Informationssicherheit in einer Organisation zu steuern. Es umfasst Richtlinien, Prozesse, Verantwortlichkeiten, Risikobewertungen und Maßnahmen. Wer ein ISMS aufbauen will, braucht keine Software für 50.000 Euro pro Jahr. ISMS Lite macht das ab 500 Euro pro Jahr oder als Einmalkauf für 2.500 Euro. Ohne Beratersprech, ohne Enterprise-Overhead.
Praxis: Dein ISMS dokumentiert: "Wir haben 200 identifizierte Risiken, davon 15 mit hohem Handlungsbedarf. Für jedes Risiko gibt es einen Verantwortlichen und einen Maßnahmenplan. Wir prüfen quartalsweise, ob die Maßnahmen wirken." Das ist der Kern. Alles andere ist Dekoration.
ISO 27001
Die internationale Norm für Informationssicherheits-Managementsysteme. Definiert Anforderungen, die ein ISMS erfüllen muss, um zertifiziert werden zu können. Die aktuelle Version ist ISO 27001:2022.
Praxis: ISO 27001 ist die Sprache, die Kunden, Partner und Auditoren verstehen. Wenn du zertifiziert bist, sagst du im Kern: "Ein unabhängiger Dritter hat geprüft, dass wir Informationssicherheit systematisch betreiben." Das öffnet Türen, besonders bei Ausschreibungen und im B2B-Geschäft.
NIS2 - Network and Information Security Directive 2
Die EU-Richtlinie für Cybersicherheit, die seit 2024/2025 in nationales Recht umgesetzt wird. Betrifft wesentlich mehr Unternehmen als die Vorgängerrichtlinie NIS1, darunter viele Mittelständler ab 50 Mitarbeitern in bestimmten Sektoren. Alles Wichtige zur NIS2 für den Mittelstand haben wir separat aufgeschrieben.
Praxis: Bist du ein Maschinenbauer mit 80 Mitarbeitern, der Teile für die Lebensmittelindustrie fertigt? Überraschung: Du bist vermutlich NIS2-relevant. Meldepflichten, Risikomanagement, Geschäftsführer-Haftung. Die Bußgelder können bis zu 10 Millionen Euro oder 2% des weltweiten Jahresumsatzes betragen. Das konzentriert den Verstand ungemein.
SoA - Statement of Applicability
Die Erklärung zur Anwendbarkeit. Ein Dokument, in dem du für jedes der 93 Controls aus dem Annex A der ISO 27001 festlegst: anwendbar oder nicht anwendbar, und jeweils warum.
Praxis: Control A.7.4 "Physical security monitoring": Wenn du ein reiner Cloud-Dienstleister ohne eigenes Rechenzentrum bist, ist das nicht anwendbar, und du begründest das in deiner SoA. Das ist kein Schummeln, sondern genau so vorgesehen. Die SoA ist eines der wichtigsten Dokumente für die Zertifizierung.
TOM - Technische und Organisatorische Maßnahmen
Die konkreten Schutzmaßnahmen, die du umsetzt. "Technisch" meint z.B. Verschlüsselung, Firewalls, Zugriffskontrollen. "Organisatorisch" meint z.B. Richtlinien, Schulungen, Prozesse.
Praxis: Dein Datenschutzbeauftragter fragt: "Welche TOMs haben wir für die Verarbeitung von Kundendaten?" Du antwortest: "Verschlüsselung in Transit und at Rest (technisch), Berechtigungskonzept mit jährlicher Rezertifizierung (organisatorisch), Vertraulichkeitsvereinbarung für alle Mitarbeiter (organisatorisch)." Wer seine TOMs sauber dokumentiert hat, schläft besser.
BIA - Business Impact Analyse
Die systematische Bewertung, was passiert, wenn ein Geschäftsprozess ausfällt. Welche finanziellen, operativen und rechtlichen Schäden entstehen nach einer Stunde, nach einem Tag, nach einer Woche? Vertiefung in unserem BIA-Leitfaden.
Praxis: Dein ERP-System fällt aus. Nach einer Stunde können keine Aufträge mehr bearbeitet werden (operativer Schaden). Nach einem Tag stehen Liefertermine auf dem Spiel (Vertragsstrafen). Nach einer Woche springen Kunden ab (Reputationsschaden). Die BIA quantifiziert das und bestimmt die Priorität bei der Wiederherstellung.
BCM - Business Continuity Management
Der Überbau über BIA und Notfallplanung. Stellt sicher, dass dein Unternehmen auch bei schwerwiegenden Störungen handlungsfähig bleibt. Nicht nur IT, auch Produktion, Lieferketten, Personal. Wer ist der Krisenstab? Wo treffen wir uns, wenn das Büro nicht erreichbar ist? Wie kommunizieren wir ohne E-Mail?
PDCA - Plan-Do-Check-Act
Der Deming-Zyklus hinter ISO 27001: Planen, umsetzen, Wirksamkeit prüfen, verbessern. Und von vorne. MFA einführen (Plan), ausrollen (Do), nach drei Monaten prüfen (Check), nachschärfen (Act). Klingt simpel, ist aber das mächtigste Werkzeug für kontinuierliche Verbesserung.
GRC - Governance, Risk and Compliance
Der Oberbegriff für die Disziplinen Unternehmensführung (Governance), Risikomanagement (Risk) und Regelkonformität (Compliance). GRC-Tools bündeln diese Themen in einer Plattform.
Praxis: Enterprise-GRC-Plattformen kosten gerne sechsstellig pro Jahr und brauchen drei Berater für die Einführung. Für ein 100-MA-Unternehmen völlig überdimensioniert. Du brauchst kein GRC-Tool, du brauchst ein schlankes ISMS-Tool wie ISMS Lite, das Risiken, Maßnahmen und Audit-Nachweise zusammenbringt. 500 Euro pro Jahr statt 50.000 Euro.
VI. Cloud-Native & Infrastruktur
Alles, was früher eine Firewall war und heute irgendwo in der Cloud schwebt.
CSPM - Cloud Security Posture Management
Überwacht deine Cloud-Konfiguration (Azure, AWS, GCP) und findet Fehlkonfigurationen: offene Storage Buckets, zu weitreichende Berechtigungen, fehlende Verschlüsselung.
Praxis: Jemand erstellt einen Azure Storage Account und vergisst, den öffentlichen Zugriff zu deaktivieren. CSPM findet das nach Minuten und alarmiert. Klingt trivial, aber Fehlkonfigurationen in der Cloud sind die Ursache Nummer eins für Datenlecks. Wenn du in der Cloud bist, brauchst du CSPM. Die gute Nachricht: Microsoft Defender for Cloud bringt CSPM-Funktionen mit.
CWPP - Cloud Workload Protection Platform
Schutz für laufende Cloud-Workloads: VMs, Container, Serverless Functions. Während CSPM die Konfiguration prüft, schützt CWPP die Anwendungen zur Laufzeit. CSPM sagt "falsch konfiguriert", CWPP sagt "wird gerade angegriffen."
CNAPP - Cloud-Native Application Protection Platform
Die Kombination aus CSPM und CWPP plus Absicherung der gesamten CI/CD-Pipeline. Die Idee: Ein Tool für alles, was mit Cloud-Sicherheit zu tun hat.
Praxis: CNAPP ist das, was Gartner-Analysten sich wünschen: eine einzige Plattform, die Fehlkonfigurationen findet (CSPM), Workloads schützt (CWPP), Container-Images scannt und die Build-Pipeline absichert. Für ein 100-MA-Unternehmen mit drei Azure-Subscriptions und keinem Kubernetes-Cluster ist das wie ein Ferrari für den Weg zum Bäcker. Schön, aber überdimensioniert.
SASE - Secure Access Service Edge
Die Zusammenführung von Netzwerk und Security in einem Cloud-Service. Statt VPN + Firewall + Proxy + CASB als separate Boxen bekommst du alles aus einer Plattform. Dein Homeoffice-Mitarbeiter verbindet sich direkt über den SASE-Provider, der Identität, Gerätezustand und Standort prüft. Zscaler und Netskope sind die bekannten Namen. Für Mittelständler interessant, wenn viel Remote gearbeitet wird.
ZTNA - Zero Trust Network Access
Der Nachfolger des klassischen VPN. Statt "einmal verbunden, alles erreichbar" gewährt ZTNA Zugriff auf einzelne Anwendungen, basierend auf Identität, Gerätezustand und Kontext.
Praxis: Mit VPN verbindet sich der Homeoffice-Mitarbeiter mit dem gesamten Firmennetzwerk. Wird sein Laptop kompromittiert, hat der Angreifer Zugriff auf alles. Mit ZTNA verbindet er sich nur mit dem ERP-System und dem Fileserver, nicht mit dem Drucker, dem SCADA-System in der Produktion und dem Netzwerkspeicher der Geschäftsführung.
CASB - Cloud Access Security Broker
Sicherheitsschicht zwischen Benutzern und Cloud-Diensten. Kontrolliert, welche Cloud-Apps genutzt werden und welche Daten dort hochgeladen werden. Ein Mitarbeiter nutzt private Dropbox für Kundendaten? CASB erkennt das, blockiert den Upload und zeigt dir: "15 Leute nutzen unautorisierte Cloud-Speicher."
DLP - Data Loss Prevention
Verhindert, dass sensible Daten unkontrolliert das Unternehmen verlassen. Scannt E-Mails, Cloud-Uploads und USB-Kopiervorgänge nach Datenmustern.
Praxis: Ein Mitarbeiter will eine Excel-Tabelle mit 500 Kreditkartennummern an seine private Adresse schicken. DLP erkennt das Muster, blockiert die E-Mail und benachrichtigt den Vorgesetzten. Nicht jeder Datenabfluss ist böswillig, manchmal ist es Bequemlichkeit, aber DLP verhindert beides.
WAF - Web Application Firewall
Analysiert HTTP/HTTPS-Verkehr zu Webanwendungen und blockiert Angriffe wie SQL Injection und Cross-Site Scripting. Dein Webshop wird angegriffen? Die WAF blockt, bevor die Anfrage die Anwendung erreicht. Kein Ersatz für sicheren Code, aber eine wichtige zusätzliche Schutzschicht.
CDN - Content Delivery Network
Weltweit verteiltes Servernetz, das Inhalte näher am Benutzer ausliefert. Security-relevant wegen DDoS-Schutz: Dein Webshop wird geflutet, aber Cloudflare oder Akamai absorbieren den Angriff an ihren verteilten Knoten. Dein Server merkt nichts.
DMZ - Demilitarisierte Zone
Ein Netzwerksegment, das zwischen dem internen Netzwerk und dem Internet liegt. Systeme, die aus dem Internet erreichbar sein müssen (Webserver, Mailserver), stehen in der DMZ und haben eingeschränkten Zugriff auf das interne Netz.
Praxis: Dein Mailserver steht in der DMZ und nimmt E-Mails aus dem Internet entgegen. Wird er kompromittiert, hat der Angreifer Zugriff auf den Mailserver, aber nicht auf das interne Netzwerk mit ERP, Fileserver und Active Directory. Das ist das Prinzip: Opfere die Vorhut, schütze die Festung.
VII. Netzwerk & Kryptografie
Die Basics, die seit 20 Jahren gleich heißen. Zum Glück.
TLS - Transport Layer Security
Das Protokoll, das den gesamten verschlüsselten Webverkehr absichert. Das grüne Schloss im Browser. Aktuell Version 1.3. Unser Artikel zur Verschlüsselung im Unternehmen erklärt die Grundlagen.
Praxis: Jede HTTPS-Verbindung nutzt TLS. Wenn dein internes Webportal noch HTTP benutzt (ohne S), dann fliegen Passwörter und Daten im Klartext durch dein Netzwerk. Es gibt keinen Grund mehr, im Jahr 2026 kein TLS zu nutzen. Keinen einzigen.
mTLS - mutual TLS
Normales TLS: Der Server beweist dem Client seine Identität. mTLS: Beide Seiten beweisen sich gegenseitig ihre Identität. Besonders relevant für Maschine-zu-Maschine-Kommunikation.
Praxis: Dein ERP-System kommuniziert mit dem System eines Lieferanten über eine API. Mit mTLS stellt nicht nur der Lieferant sicher, dass er wirklich mit deinem System spricht, sondern du stellst auch sicher, dass die Gegenseite wirklich der Lieferant ist. Gegenseitiges Misstrauen, professionell umgesetzt.
PKI - Public Key Infrastructure
Die Gesamtheit der Systeme und Prozesse für den Betrieb von Zertifikaten: ausstellen, verteilen, prüfen, widerrufen. Wenn du eine interne CA betreibst, betreibst du eine PKI.
Praxis: Deine interne CA stellt Zertifikate für WLAN-Authentifizierung und interne Server aus. Eine schlecht gepflegte PKI (abgelaufene Zertifikate, keine Sperrung kompromittierter Zertifikate) ist ein ernstes Sicherheitsrisiko. Automatisierung ist hier dein Freund.
CA - Certificate Authority
Die Stelle, die digitale Zertifikate ausstellt. Let's Encrypt für deine Website, deine interne AD CS für Mitarbeiter-Zertifikate. Wird die CA kompromittiert, ist das Vertrauen in alle ihre Zertifikate dahin.
HSM - Hardware Security Module
Spezialisierte Hardware, die kryptografische Schlüssel sicher speichert. Der Schlüssel verlässt nie das HSM, selbst wenn der Server kompromittiert wird. Für die meisten Mittelständler als Cloud-Service relevant (Azure Key Vault, AWS CloudHSM).
IPsec - Internet Protocol Security
Protokoll-Suite zur Verschlüsselung von IP-Netzwerkverkehr, typischerweise für Site-to-Site-VPN zwischen Standorten. Dein Hauptstandort und die Niederlassung tauschen Daten verschlüsselt über das öffentliche Internet aus. Die klassische, bewährte Lösung.
WPA3 - Wi-Fi Protected Access 3
Der aktuelle Standard für WLAN-Verschlüsselung. Stärker als WPA2 durch individualisierte Verschlüsselung und Schutz gegen Offline-Brute-Force-Angriffe.
Praxis: Mit WPA2 konnte ein Angreifer den verschlüsselten WLAN-Handshake mitschneiden und offline in Ruhe Passwörter durchprobieren. WPA3 verhindert das durch SAE (Simultaneous Authentication of Equals). Wenn deine Access Points WPA3 unterstützen, aktiviere es.
802.1X
Ein Authentifizierungsstandard für den Netzwerkzugang. Bevor ein Gerät ins Netzwerk darf, muss es sich authentifizieren, typischerweise über Zertifikate oder Benutzername/Passwort gegen einen RADIUS-Server.
Praxis: Ein Besucher steckt sein Notebook in eine Netzwerkdose in deinem Besprechungsraum. Ohne 802.1X ist er sofort im Firmennetzwerk. Mit 802.1X wird sein Gerät nicht erkannt, bekommt keine IP-Adresse und landet bestenfalls in einem isolierten Gast-VLAN. Der Unterschied zwischen "komm rein" und "wer bist du?"
DNSSEC - DNS Security Extensions
Kryptografische Absicherung des DNS gegen Manipulation. Ohne DNSSEC könnte ein Angreifer DNS-Antworten fälschen und deine Mitarbeiter auf eine gefälschte Banking-Seite umleiten, obwohl sie die richtige URL eingegeben haben. DNSSEC stellt sicher, dass die Antwort authentisch ist.
DMARC, SPF, DKIM
Das Dreigespann der E-Mail-Authentifizierung. SPF legt fest, welche Server E-Mails für deine Domain senden dürfen. DKIM signiert E-Mails kryptografisch. DMARC verbindet beides und definiert, was mit E-Mails passiert, die die Prüfung nicht bestehen. Alles dazu in unserem Artikel zur E-Mail-Sicherheit.
Praxis: Ohne DMARC, SPF und DKIM kann jeder E-Mails senden, die aussehen, als kämen sie von deiner Domain. Kunden bekommen Phishing-Mails von "rechnung@deinefirma.de" und du bekommst wütende Anrufe. Mit DMARC auf "reject" werden gefälschte E-Mails von den Empfänger-Servern abgelehnt, bevor sie zugestellt werden.
VIII. Audit & Compliance
Wenn der Auditor im grauen Anzug vor dir sitzt und "Zeigen Sie mir die Evidenz" sagt.
Hier wird es weniger technisch und mehr prozessual. Aber nicht weniger wichtig, denn ohne saubere Audit-Dokumentation ist die beste Technik wertlos.
Evidenz
Der Nachweis, dass eine Sicherheitsmaßnahme tatsächlich existiert und funktioniert. Keine Behauptung, sondern ein Beweis. Screenshots, Konfigurationsexporte, Logfiles, Protokolle, Beschlüsse.
Praxis: Du sagst dem Auditor: "Wir haben MFA für alle Benutzer." Der Auditor sagt: "Zeigen Sie mir die Evidenz." Du zeigst: Export aus Entra ID, der zeigt, dass 100% der Benutzer MFA registriert haben, plus die Conditional-Access-Policy, die MFA erzwingt. Das ist Evidenz.
Control
Eine Sicherheitsmaßnahme oder ein Sicherheitsmechanismus, der ein bestimmtes Risiko adressiert. ISO 27001 Annex A enthält 93 Controls. Ein Control kann technisch (Firewall-Regel), organisatorisch (Richtlinie) oder prozessual (Review-Prozess) sein.
Praxis: Control A.8.5 "Secure authentication": Deine Umsetzung ist MFA für alle Cloud-Dienste, Passwortrichtlinie mit Mindestlänge 12 Zeichen, Account-Lockout nach 5 Fehlversuchen. Das ist ein Control mit drei konkreten Maßnahmen.
Wirksamkeitsprüfung
Nicht "haben wir es eingerichtet?", sondern "funktioniert es?". Du hast eine Passwortrichtlinie (Mindestlänge 12 Zeichen). Wirksamkeitsprüfung zeigt: technisch durchgesetzt, aber 40% der Benutzer nutzen Wörterbuch-Passwörter. Maßnahme: Blacklist einführen. Der Unterschied zwischen "existiert" und "wirkt".
Non-Conformity (Major/Minor)
Ein Audit-Feststellung, dass eine Anforderung der Norm nicht erfüllt wird. Major Non-Conformity: Eine Kernanforderung wird systematisch nicht erfüllt, gefährdet die Zertifizierung. Minor Non-Conformity: Eine Teilanforderung wird nicht vollständig erfüllt, muss korrigiert werden, gefährdet aber nicht sofort die Zertifizierung.
Praxis: Major: Du hast keine Risikobewertung durchgeführt (Kernprozess fehlt komplett). Minor: Du hast eine Risikobewertung, aber die letzte Aktualisierung ist 14 Monate her statt der geforderten 12 Monate. Beide müssen behoben werden, aber eine Major NC muss vor der Zertifizierung erledigt sein.
OFI - Opportunity for Improvement
Eine Beobachtung des Auditors, die kein Fehler ist, aber Verbesserungspotenzial aufzeigt. Keine Pflicht zur Umsetzung, aber eine Einladung, besser zu werden.
Praxis: Der Auditor sagt: "Ihre Awareness-Schulungen finden einmal jährlich statt. Das erfüllt die Norm. Aber quartalsweise Kurz-Schulungen wären wirksamer." Kein Mangel, aber ein guter Hinweis. OFIs sind die Goldnuggets eines guten Audits.
Management Review
Die regelmäßige Bewertung des ISMS durch die Geschäftsführung. ISO 27001 schreibt vor, dass das Top-Management das ISMS mindestens jährlich bewertet: Ergebnisse, Kennzahlen, Vorfälle, Verbesserungsbedarf. Unser Management-Review-Guide zeigt, wie du das effizient umsetzt.
Praxis: Einmal im Jahr (besser quartalsweise) setzt sich die Geschäftsführung mit dem ISB zusammen und bespricht: Was lief gut, was lief schlecht, welche Risiken sind neu, was muss sich ändern? Das Protokoll dieses Meetings ist ein wichtiges Audit-Dokument.
Internal Audit
Die interne Überprüfung des ISMS durch eigene oder beauftragte Prüfer. Werden die Richtlinien gelebt? Sind die Risikobewertungen aktuell? Das interne Audit ist deine Generalprobe vor dem Zertifizierungsaudit. Finde die Probleme selbst, bevor der externe Auditor sie findet.
SoD - Segregation of Duties
Die Trennung von Aufgaben, damit keine einzelne Person einen kritischen Prozess allein kontrollieren kann. Wer die Überweisung anlegt, darf sie nicht freigeben. Wer die Firewall konfiguriert, darf nicht die Logs auswerten. Vier-Augen-Prinzip, systematisch angewandt.
Audit Trail
Die lückenlose, chronologische Aufzeichnung aller relevanten Aktivitäten. Wer hat wann was gemacht oder geändert? Nachvollziehbar, unveränderbar, revisionssicher. Mehr zum Thema im Logging & Monitoring Artikel.
Praxis: Dein Auditor fragt: "Wer hat am 15. Januar die Firewall-Regel geändert, die den Zugriff auf den Produktionsserver erlaubt?" Dein Audit Trail zeigt: "Max Müller, 15.01.2026, 14:32 Uhr, Freigabe durch Lisa Schmidt, Ticket-Nr. CHG-2026-42." Das ist Nachvollziehbarkeit.
Rezertifizierung
Die regelmäßige Bestätigung, dass bestehende Berechtigungen noch benötigt werden. Einmal im Jahr prüfen die Führungskräfte: "Braucht Max wirklich noch Zugriff auf das HR-System? Er ist seit sechs Monaten im Vertrieb." Rechte, die nicht bestätigt werden, werden entzogen. Verhindert die schleichende Rechteanhäufung.
IX. Risikomanagement
Die Kunst, Gefahren zu bewerten, ohne dabei wahnsinnig zu werden.
Asset
Alles in deiner Organisation, dessen Verlust oder Kompromittierung Schaden verursacht. ERP-System, Fileserver, Kundendatenbank, E-Mail-System, VPN-Gateway. Aber auch: der Know-how-Träger, der seit 20 Jahren die Produktionsplanung macht und alles im Kopf hat. Auch das ist ein Asset.
Eintrittswahrscheinlichkeit
Wie wahrscheinlich ist es, dass ein Risiko eintritt? Typischerweise auf einer Skala von 1 (unwahrscheinlich) bis 5 (fast sicher) bewertet. Die ehrliche Bewertung fällt vielen schwer.
Praxis: "Wie wahrscheinlich ist ein Ransomware-Angriff?" Die ehrliche Antwort für ein 100-MA-Unternehmen ohne nennenswerte Security-Maßnahmen: 4-5 (hoch bis fast sicher). Mit EDR, MFA, Segmentierung und Awareness-Training: 2-3 (gering bis möglich). Die Risikobewertung wird erst ehrlich, wenn du aufhörst, dir selbst etwas vorzumachen.
Schadensausmaß
Wie hoch ist der Schaden, wenn das Risiko eintritt? Ransomware-Angriff: Schadensausmaß 5 (katastrophal). Betriebsstillstand eine Woche, 200.000+ Euro für Forensik und Wiederherstellung, Reputationsschaden, mögliche DSGVO-Bußgelder. Das Produkt aus Eintrittswahrscheinlichkeit und Schadensausmaß ergibt das Risikolevel.
Risiko-Appetit
Das Risikoniveau, das die Geschäftsführung bewusst akzeptiert. "Score unter 6: akzeptieren. 6-15: behandeln. Über 15: sofort adressieren." Muss dokumentiert und von der Geschäftsführung freigegeben sein. Ohne definierten Risiko-Appetit ist jede Risikobewertung eine Übung ohne Ergebnis.
Risk Treatment
Die vier Optionen, mit einem identifizierten Risiko umzugehen. Mehr dazu in unserem Artikel zu Risikobehandlungsoptionen.
Mitigate (Reduzieren): Maßnahmen ergreifen, um Eintrittswahrscheinlichkeit oder Schadensausmaß zu senken. MFA einführen, Backups verbessern, Mitarbeiter schulen.
Transfer (Übertragen): Das Risiko an einen Dritten übertragen, typischerweise durch eine Cyberversicherung oder Outsourcing.
Avoid (Vermeiden): Die risikobehaftete Aktivität einstellen. Wenn die alte, unsichere Webanwendung ein zu hohes Risiko darstellt, nimmst du sie offline.
Accept (Akzeptieren): Das Risiko bewusst in Kauf nehmen, weil die Kosten der Behandlung den möglichen Schaden übersteigen oder das Risiko unterhalb des Risiko-Appetits liegt. Muss dokumentiert und von der Geschäftsführung genehmigt werden.
Restrisiko
Das Risiko, das nach allen Behandlungsmaßnahmen verbleibt. Es gibt kein Nullrisiko. Du hast MFA eingeführt, aber MFA-Fatigue-Angriffe und Real-Time-Proxy-Phishing bleiben möglich. Das ist dein Restrisiko. Es muss dokumentiert und akzeptiert werden. Wer behauptet, sein Restrisiko sei null, hat Risikomanagement nicht verstanden.
X. Regulatorik & Frameworks
Das Gesetzbuch. Oder eher: die Gesetzbücher. Im Plural. Leider.
IT-Grundschutz
Das Rahmenwerk des BSI (Bundesamt für Sicherheit in der Informationstechnik) für Informationssicherheit. Umfangreicher und detaillierter als ISO 27001, mit konkreten Umsetzungsempfehlungen für spezifische Systeme. Unser Artikel zum BSI IT-Grundschutz vergleicht die Ansätze.
Praxis: Während ISO 27001 sagt "Stellen Sie sicher, dass der Netzwerkverkehr geschützt ist", sagt IT-Grundschutz: "Konfigurieren Sie die Firewall folgendermaßen, segmentieren Sie das Netzwerk in diese Zonen, und testen Sie quartalsweise." Detaillierter, aber auch deutlich aufwändiger. Für öffentliche Verwaltung und KRITIS-Betreiber in Deutschland oft Pflicht.
TISAX - Trusted Information Security Assessment Exchange
Der Informationssicherheitsstandard der Automobilindustrie, basierend auf einem Fragenkatalog (VDA ISA), der auf ISO 27001 aufbaut und branchenspezifische Anforderungen ergänzt. Detailliert im TISAX-Zertifizierungsartikel.
Praxis: Du bist Zulieferer für BMW? Dann wirst du vermutlich TISAX brauchen, bevor du Konstruktionsdaten erhältst. TISAX-Ergebnisse werden über eine zentrale Plattform (ENX) geteilt, sodass du dein Assessment nicht für jeden OEM einzeln machen musst. Der Aufwand ist ähnlich wie bei ISO 27001, aber die Anforderungen an Prototypenschutz und Datenschutz gehen teilweise weiter.
SOC 2 - Service Organization Control 2
US-amerikanischer Prüfstandard für Dienstleister. Deckt Sicherheit, Verfügbarkeit, Integrität, Vertraulichkeit und Datenschutz ab. Wenn dein US-SaaS-Anbieter dir einen SOC-2-Bericht vorlegt, hat ein unabhängiger Prüfer seine Kontrollen bestätigt. Bietest du selbst SaaS für US-Kunden an, wirst du danach gefragt.
CRA - Cyber Resilience Act
Die EU-Verordnung, die Cybersicherheitsanforderungen für Produkte mit digitalen Elementen festlegt. Betrifft Hersteller von Hardware und Software, die in der EU verkauft wird. Unser CRA-Artikel erklärt die Anforderungen.
Praxis: Du entwickelst eine IoT-Steuerung für Industrieanlagen? Ab 2027 musst du nachweisen, dass das Produkt secure by design ist, dass du Schwachstellen-Management betreibst und dass du Security-Updates bereitstellst. Der CRA ist für Produkthersteller, was NIS2 für Betreiber ist.
DORA - Digital Operational Resilience Act
Die EU-Verordnung für die Finanzbranche, die seit Januar 2025 gilt. Definiert Anforderungen an IT-Risikomanagement, Incident Reporting, Resilience Testing und das Management von ICT-Drittanbieterrisiken. Alle Details im DORA-Artikel.
Praxis: Bist du IT-Dienstleister für Banken oder Versicherungen? DORA betrifft auch dich als "kritischer IKT-Drittanbieter". Deine Kunden aus dem Finanzsektor werden DORA-Anforderungen an dich weiterreichen. Verträge, Audits, Exit-Strategien, alles wird formaler.
AI Act
EU-Verordnung zur Regulierung von Künstlicher Intelligenz. Stuft KI-Systeme nach Risiko ein. Nutzt du KI für Bewerbungs-Screening oder Kreditentscheidungen? Hochrisiko, volle Anforderungen: Risikomanagement, Dokumentation der Trainingsdaten, menschliche Aufsicht. Für Standard-Chatbots gelten weniger strenge Regeln.
DIN SPEC 27076
IT-Sicherheitscheck für KMU. 27 Anforderungen, sechs Themenbereiche, halber Tag Aufwand. Du bekommst einen Score und Handlungsempfehlungen. Für 30-Mitarbeiter-Betriebe, denen ISO 27001 (noch) zu aufwändig ist. Bonus: Es gibt Förderprogramme, die den Check bezuschussen.
KRITIS - Kritische Infrastrukturen
Organisationen mit besonderer Bedeutung für das Gemeinwesen: Energie, Wasser, Ernährung, Gesundheit, Transport, Finanzwesen, IT und Telekommunikation. Wenn du dazugehörst: verschärfte Anforderungen, BSI-Audits, Meldepflichten. IT-Security ist hier nicht optional, sondern gesetzlich vorgeschrieben.
XI. Die "Worst Case" Akronyme
Wenn es bereits gekracht hat. Diese Begriffe brauchst du hoffentlich nie in der Praxis, aber du solltest sie kennen.
IRP - Incident Response Plan
Der dokumentierte Plan, der festlegt, wer bei einem Sicherheitsvorfall was tut. Rollen, Eskalationsstufen, Kommunikationswege, technische Sofortmaßnahmen. Unser IRP-Leitfaden zeigt, wie du einen praxistauglichen Plan erstellst.
Praxis: Freitagabend, 18 Uhr, Ransomware. Wer wird zuerst angerufen? Welches Telefon, wenn die IP-Telefonanlage verschlüsselt ist? Wer informiert die Geschäftsführung? Wer den Datenschutzbeauftragten? Wer die Polizei? Der IRP beantwortet all das, bevor die Panik einsetzt.
RTO - Recovery Time Objective
Die maximal tolerierbare Ausfallzeit eines Systems. Wie lange darf das System ausfallen, bevor der Schaden inakzeptabel wird? Zusammen mit RPO definiert RTO die Anforderungen an dein Backup- und Recovery-Konzept. Vertiefung im RTO/RPO-Artikel.
Praxis: RTO für das ERP-System: 4 Stunden. Das bedeutet: Innerhalb von 4 Stunden nach einem Ausfall muss das ERP wieder laufen. Daraus folgt: Du brauchst ein Recovery-Verfahren, das in 4 Stunden machbar ist. Tägliches Tape-Backup im Tresor reicht dafür nicht.
RPO - Recovery Point Objective
Wie viel Datenverlust ist akzeptabel? Wenn das RPO 1 Stunde beträgt, darf maximal die Arbeit der letzten Stunde verloren gehen. Daraus folgt: Du brauchst mindestens stündliche Backups oder Replikation.
Praxis: RPO für die Kundendatenbank: 15 Minuten. Das bedeutet: Du brauchst Echtzeit-Replikation oder mindestens alle 15 Minuten ein inkrementelles Backup. Ein nächtliches Vollbackup hätte ein RPO von 24 Stunden, für kritische Systeme meist zu viel.
CSIRT/CERT - Computer Security Incident Response Team / Computer Emergency Response Team
Spezialisiertes Team für Sicherheitsvorfälle. CSIRT und CERT sind quasi synonym. Dein 100-MA-Unternehmen hat keines? Kein Problem, aber du musst wissen, wen du anrufst: MSSP, BSI (bei KRITIS), Landesdatenschutzbehörde. Telefonnummern gehören in den IRP, ausgedruckt.
IR - Incident Response
Der gesamte Prozess der Reaktion auf einen Sicherheitsvorfall in sechs Phasen: Preparation, Identification, Containment, Eradication, Recovery, Lessons Learned. Phase 6 wird am häufigsten übersprungen und ist die wichtigste.
DR - Disaster Recovery
Wiederherstellung von IT-Systemen nach einem schwerwiegenden Ausfall. Breiter als Backup-Restore: Wo laufen die Systeme weiter, wenn das Rechenzentrum brennt? Unser Disaster-Recovery-Guide geht ins Detail. Cloud-basierte DR (Azure Site Recovery) macht das auch für Mittelständler bezahlbar.
BCP - Business Continuity Plan
Der konkrete Plan, wie das Unternehmen bei einer Störung weiterarbeitet. Breiter als DR, weil er auch nicht-IT-Aspekte berücksichtigt. Das ERP ist down? BCP sagt: "Aufträge manuell auf Papierformularen erfassen, Formular liegt in Ordner X." Klingt altmodisch, funktioniert.
MTPD - Maximum Tolerable Period of Disruption
Maximal tolerierbare Unterbrechungsdauer für einen Geschäftsprozess, bevor es existenzbedrohend wird. Länger als RTO, weil MTPD den Gesamtprozess betrachtet. Das ERP hat RTO 4 Stunden, aber die Auftragsabwicklung hat MTPD von 2 Tagen, weil sie notfalls manuell läuft.
MTO - Minimum Business Continuity Objective
Das Mindestniveau, auf dem ein Geschäftsprozess nach einer Störung laufen muss. Normalerweise 200 Aufträge pro Tag? MTO sagt: Mindestens 50 müssen möglich sein, um Vertragsstrafen zu vermeiden. Von dort wird hochskaliert.
XII. Bonus: Die neuesten Buzzwords 2025/2026
Die Marketing-Abteilungen der Security-Hersteller schlafen nie. Hier die frischesten Akronyme, die vermutlich auf der nächsten Konferenz durch die Luft fliegen.
CTEM - Continuous Threat Exposure Management
Ein von Gartner geprägter Ansatz: Statt monatlicher Scans ein kontinuierlicher Zyklus aus Scoping, Discovery, Prioritization, Validation, Mobilization. Die Kernidee: Nur weil eine Schwachstelle CVSS 9.8 hat, heißt das nicht, dass sie in deiner Umgebung ausnutzbar ist. CTEM priorisiert nach tatsächlichem Risiko statt nach Papierlage.
ASM - Attack Surface Management
Die kontinuierliche Erkennung, Analyse und Überwachung aller Angriffspunkte einer Organisation. Extern und intern, bekannt und unbekannt.
Praxis: Dein Unternehmen hat 3 bekannte öffentliche IP-Adressen. ASM findet heraus: Eigentlich sind es 7, weil ein Entwickler drei Testserver in der Cloud vergessen hat und ein alter Marketing-Subdomäne noch auf einen abgeschalteten Server zeigt. Schatteninfrastruktur ist real und gefährlich.
EASM - External Attack Surface Management
ASM spezialisiert auf die externe Angriffsfläche: alles, was aus dem Internet sichtbar ist. EASM-Scan zeigt: Deine alte Staging-Umgebung ist öffentlich erreichbar, eine Subdomain zeigt auf einen verlassenen AWS-Bucket, und ein TLS-Zertifikat läuft in 3 Tagen ab. Drei Probleme, die du ohne EASM nicht gesehen hättest.
BAS - Breach and Attack Simulation
Automatisierte Simulation echter Angriffe in deiner Umgebung, ohne Schaden. Testet, ob SIEM den Alarm erzeugt, ob EDR den Payload erkennt, ob die Firewall C2-Kommunikation blockiert. Wie ein automatisierter Pentest, der ständig läuft. Beantwortet die wichtigste Frage: "Würden wir einen echten Angriff erkennen?"
DSPM - Data Security Posture Management
Erkennt und klassifiziert sensible Daten in deiner Umgebung und zeigt, ob sie angemessen geschützt sind. DSPM scannt SharePoint und findet: 2.000 Dokumente mit personenbezogenen Daten, davon 300 in Ordnern mit "Jeder"-Zugriff. Ohne DSPM weißt du das nicht. Mit DSPM kannst du gezielt aufräumen.
Der ultimative Bullshit-Bingo-Satz
Du hast durchgehalten. 80+ Akronyme, und dein Kopf raucht vermutlich. Zur Belohnung gibt es den ultimativen Satz, den du im nächsten Security-Meeting droppen kannst. Er ist grammatikalisch korrekt, fachlich akkurat und maximal einschüchternd:
"Um die Non-Conformities im nächsten ISO 27001 Audit zu vermeiden, haben wir unser IAM durch PIM und JIT gehärtet. Wir nutzen TVM zur Identifizierung von CVEs mit hohem CVSS, korrelieren die Telemetrie in unserem XDR und dokumentieren die Evidenz für unsere TOMs direkt in ISMS Lite, um das Restrisiko unter den Risiko-Appetit der Geschäftsführung zu drücken."
Wenn danach Stille im Raum herrscht: Glückwunsch. Du hast gewonnen.
(Und falls jemand nachfragt: Du kannst jetzt jeden einzelnen Begriff in diesem Satz erklären.)
Fazit: Am Ende geht es immer um CIA
80+ Akronyme, 12 Kapitel, und was bleibt? Drei Buchstaben: CIA. Vertraulichkeit, Integrität, Verfügbarkeit. Jedes Tool, jedes Framework, jede Norm dreht sich am Ende darum. EDR schützt die Integrität deiner Endpunkte. MFA schützt die Vertraulichkeit deiner Zugänge. DR schützt die Verfügbarkeit deiner Systeme. Der Rest ist Implementierungsdetail.
Du brauchst nicht jedes Akronym aus diesem Artikel umzusetzen. Ein 100-Mitarbeiter-Unternehmen braucht kein CNAPP, kein SOAR und kein eigenes SOC. Was du brauchst: MFA überall, ein vernünftiges EDR, getestete Backups, geschulte Mitarbeiter und ein ISMS, das den Laden zusammenhält. Basics, konsequent umgesetzt, schlagen jede Akronym-Sammlung.
Wenn der nächste Berater mit einer neuen Drei-Buchstaben-Kombination kommt, stell ihm zwei Fragen: "Welches CIA-Ziel adressiert das?" und "Was ist das konkrete Risiko, das ich damit reduziere?" Wenn er keine klare Antwort hat, ist es Marketing.
Bleib pragmatisch, bleib neugierig, und nimm die Akronym-Branche nicht zu ernst. Die Bedrohungen sind ernst genug. Unser ISMS-Glossar ist das Nachschlagewerk, wenn du einzelne Begriffe nachschlagen möchtest.