Cyber Essentials von außen gesehen: was das Internet zeigt

Cyber Essentials ist der Basisstandard der britischen Regierung für IT-Sicherheit; er wird für bestimmte öffentliche Aufträge im Vereinigten Königreich verlangt und oft von Lieferanten gefordert. Er betrifft vor allem das Innere: Geräte, Konten, Updates. Mehrere Anforderungen haben aber eine sichtbare Seite. Eine offen erreichbare Firewall-Anmeldung, ein Server mit vom Hersteller aufgegebener Software, ein Fernzugriffsportal, das drei Versionen zurückliegt: All das lässt sich aus dem Internet ablesen, von einem Prüfer, von einem Kunden bei der Lieferantenprüfung und von einem Angreifer. Dieser Leitfaden geht die fünf Kontrollen durch und sagt zu jeder, was von außen sichtbar ist und wie Sie es selbst ansehen.

Er folgt den Requirements for IT Infrastructure des NCSC in Version 3.3, gültig seit dem 27. April 2026 mit dem Fragenkatalog Danzell. Er ersetzt das Dokument nicht, und nichts hier ist eine Zertifizierung.

Die fünf Kontrollen und was von jeder sichtbar ist

Kontrolle	Was die Anforderungen verlangen (kurz)	Was aus dem Internet sichtbar ist
Firewalls	Nicht authentifizierte eingehende Verbindungen standardmäßig blockieren; jede eingehende Regel dokumentieren; Verwaltungsoberflächen ohne dokumentierten Bedarf nicht ins Internet stellen	Offene Ports und Dienste; Anmeldeseiten von Router, Firewall und VPN
Sichere Konfiguration	Unnötige Software und Netzwerkdienste entfernen; Standardpasswörter ändern; vor jedem Datenzugriff authentifizieren	Vergessene Dienste und Testserver; Admin-Oberflächen; Standardseiten
Verwaltung von Sicherheitsupdates	Nur lizenzierte, unterstützte Software; kritische und hochriskante Korrekturen binnen 14 Tagen	Von Servern gemeldete Versionen; Produkte am Lebensende; bekannte Schwachstellen zu diesen Versionen
Zugriffskontrolle	MFA immer bei Cloud-Diensten; Schutz gegen Passwortraten	Für jeden erreichbare Anmeldeseiten (ob MFA dahinter liegt, ist nicht sichtbar)
Schutz vor Schadsoftware	Virenschutz oder Anwendungs-Zulassungsliste auf den Geräten	Nichts: Diese Kontrolle ist intern

1. Firewalls: was dem Internet antwortet

Die Anforderung ist einfach formuliert: Eingehende Verbindungen sind standardmäßig blockiert, jede Öffnung wird genehmigt und mit ihrem geschäftlichen Grund festgehalten, und nicht mehr benötigte Öffnungen werden geschlossen. Verwaltungsoberflächen von Firewalls und Routern dürfen ohne dokumentierten Bedarf nicht aus dem Internet erreichbar sein; ist eine erreichbar, muss sie durch MFA geschützt sein oder durch eine Liste erlaubter Adressen zusammen mit ordentlich verwalteten Passwörtern.

Von außen ist dies die am besten lesbare Kontrolle. Öffentliche Indizes wie Shodan und Censys halten fest, welche Ports auf jeder öffentlichen Adresse antworten, ohne dass jemand Sie gezielt scannt. Worauf zu achten ist, steht in Offene Ports: Datenbanken und Remote Desktop im Internet. Die üblichen Überraschungen: ein Remote Desktop, der „für den Steuerberater“ offen blieb, und die Verwaltungsseite des Büro-Routers.

Beginnen Sie mit der Liste dessen, was Ihnen gehört: Die DNS- und Oberflächenkarte listet die Hosts einer Domain und ihre Adressen. Ein Host, der in Ihrem eigenen Inventar fehlt, ist der erste Befund.

2. Sichere Konfiguration: was gar nicht da sein sollte

Die Anforderungen verlangen, nicht benötigte Software und Netzwerkdienste zu entfernen oder zu deaktivieren und sicherzustellen, dass Nutzer authentifiziert sind, bevor sie Daten der Organisation erreichen.

Von außen gesehen ist das der Testserver, den niemand abgeschaltet hat, das Datenbank-Verwaltungswerkzeug auf einer öffentlichen Adresse, die Staging-Kopie der Website. Zertifikatsprotokolle sind der schnellste Weg, sie zu finden: Jedes für einen Namen unter Ihrer Domain ausgestellte Zertifikat ist öffentlich. Siehe Certificate Transparency überwachen. Eine Subdomain, die noch auf einen gekündigten Dienst zeigt, ist ein eigenes Risiko, behandelt in Subdomain-Übernahme.

3. Sicherheitsupdates: Auch Versionen sind öffentlich

Alle Software im Geltungsbereich muss lizenziert und unterstützt sein, und Updates, die als kritisch oder hochriskant eingestufte Schwachstellen beheben (oder solche mit einem CVSS-v3-Basiswert von 7 oder mehr oder ohne Schweregradangabe des Herstellers), müssen binnen 14 Tagen nach Veröffentlichung eingespielt werden. Nicht mehr unterstützte Software muss entfernt oder vom Internet isoliert werden.

Aus dem Internet erreichbare Server melden oft Produkt und Version. Die öffentlichen Indizes gleichen diese Versionen mit bekannten Schwachstellen ab, und Angreifer durchsuchen sie genauso. Ein VPN-Gateway oder Mailserver mit jahrealter Version ist für alle sichtbar, lange bevor ein Prüfer fragt.

Das zählt vor allem für Cyber Essentials Plus, bei dem die Zertifizierungsstelle einen externen Schwachstellenscan Ihrer aus dem Internet erreichbaren Adressen durchführt. Ein Produkt am Lebensende in der Woche vor dem Audit zu entdecken ist teuer; es drei Monate vorher zu entdecken ist Routinearbeit.

Eine Einschränkung: Eine von außen gesehene Version ist ein Hinweis, kein Beweis. Manche Hersteller beheben Lücken, ohne die angezeigte Versionsnummer zu ändern, und eine Adresse hinter einem CDN zeigt das CDN, nicht Ihren Server.

4. Zugriffskontrolle: die Türen, nicht die Schlösser

MFA muss bei Cloud-Diensten immer verwendet werden, und Konten müssen gegen Passwortraten geschützt sein. Nichts davon lässt sich von außen prüfen: Eine Anmeldeseite sieht mit oder ohne MFA dahinter gleich aus.

Sichtbar ist die Zahl der Türen: Webmail, VPN-Portale, Fernzugriffs-Gateways, Verwaltungsanmeldungen der Website. An jeder werden den ganzen Tag Passwörter probiert. Die Außensicht liefert die Liste, die Sie Punkt für Punkt mit Ihrer MFA-Regelung abgleichen.

5. Schutz vor Schadsoftware

Von dieser Kontrolle ist aus dem Internet nichts sichtbar. Sie wird auf den Geräten geprüft.

Was Cyber Essentials nicht verlangt

Das Schema ist ein Grundschutz und bewusst kurz. Das Anforderungsdokument enthält keine Regel zu mehreren Dingen, die ein Außenstehender zuerst sieht:

• E-Mail-Authentifizierung. SPF, DKIM und DMARC entscheiden, ob jeder in Ihrem Namen E-Mails senden kann. Sie liegen außerhalb der fünf Kontrollen. Siehe SPF, DKIM und DMARC erklärt und testen Sie eine Domain mit dem kostenlosen Check.
• Zertifikate und HTTPS-Einstellungen, geprüft vom Zertifikats- und Header-Check.
• DNS-Härtung wie DNSSEC und CAA.
• Doppelgänger-Domains, die registriert wurden, um Ihre nachzuahmen.
• Backups: Version 3.3 betont ihre Bedeutung, ohne sie zur Anforderung zu machen.

Ein Zertifikat an der Wand und eine Domain, die jeder fälschen kann, können nebeneinander bestehen. Kunden, die Lieferanten von außen prüfen, sehen das Zweite.

Eine Prüfung vor der Bewertung

1. Listen Sie jeden Host unter Ihren Domains und jede öffentliche Adresse, die Sie nutzen, Cloud eingeschlossen: Cloud-Dienste können nicht aus dem Geltungsbereich ausgenommen werden.
2. Notieren Sie für jede Adresse, was antwortet. Jeder offene Dienst braucht einen Verantwortlichen und einen Grund; schließen Sie den Rest.
3. Suchen Sie Verwaltungsoberflächen. Nehmen Sie sie aus dem Internet oder setzen Sie MFA davor.
4. Notieren Sie jedes angezeigte Produkt und jede Version. Was nicht mehr unterstützt wird, kommt weg oder wird isoliert.
5. Listen Sie jede Anmeldeseite und bestätigen Sie MFA auf jeder.
6. Wiederholen Sie das nach jeder Änderung und nicht nur einmal im Jahr: Das Zertifikat gilt zwölf Monate, ein offener Port wird binnen Tagen gefunden.

Perimetry Cloud erstellt diese Außensicht fortlaufend für die Domains, die Sie hinzufügen, aus öffentlichen Quellen und ohne Ihre Systeme zu scannen, und meldet, wenn sich etwas ändert. Es zertifiziert nichts: Die Zertifizierung erfolgt durch eine von IASME lizenzierte Zertifizierungsstelle.