Da Unternehmen zunehmend auf digitale Systeme angewiesen sind, ist ein wirksamer Schutz unverzichtbar. Cyberangriffe werden häufiger und raffinierter. Daher gehört ein klarer und umfassender Ansatz für das Management von Cybersicherheitsrisiken inzwischen zu den obersten Prioritäten der meisten Unternehmen. Doch wie sieht ein solcher Ansatz aus?
Inhalt:
Hier kommt das National Institute of Standards and Technology (NIST) ins Spiel – mit seinem NIST Cybersecurity Framework. Im Folgenden erfahren Sie, was das NIST Cybersecurity Framework ist, warum es wichtig ist und mit welchen Schritten sich Cybersicherheitsrisiken in Ihrem Unternehmen reduzieren lassen.
Was ist das NIST Cybersecurity Framework?
Das NIST Cybersecurity Framework (CSF) umfasst Richtlinien, Standards und bewährte Verfahren, die das National Institute of Standards and Technology (NIST) entwickelt hat. Sie sollen Unternehmen dabei unterstützen, Cybersicherheitsrisiken zu verstehen, zu steuern und zu reduzieren. Sie können es sich als eine Art Landkarte und Kompass für Ihr Sicherheitsprogramm vorstellen, das Ihrem Team einen strukturierten Ansatz zum Schutz kritischer Ressourcen bietet.
Mit der Veröffentlichung von CSF 2.0 im Februar 2024 erhielt das Framework sein umfangreichstes Update seit Version 1.1: präzisere Richtlinien und einen deutlich erweiterten Anwendungsbereich.
Die wohl wichtigste Änderung in CSF 2.0 ist dieser wesentlich breitere Anwendungsbereich. Version 1.1 richtete sich vor allem an Betreiber kritischer Infrastrukturen. Version 2.0 ist für alle konzipiert: kleine und mittlere Unternehmen, Großunternehmen, gemeinnützige Organisationen und Behörden – unabhängig vom jeweiligen Reifegrad ihrer Cybersicherheit. Das Update beruht auf jahrelangem Feedback aus der Fachwelt und öffentlichen Stellungnahmen. Damit zählt es heute zu den am stärksten gemeinschaftlich entwickelten Ressourcen im Bereich der Cybersicherheit.
Warum ist das Cybersecurity Framework wichtig?
Das NIST Cybersecurity Framework ist aus mehreren Gründen von Bedeutung:
Zunächst einmal wird ein gemeinsames Verständnis dafür geschaffen, was Cybersicherheit ist und wie sie verwaltet werden kann. Dies ist besonders wichtig für Unternehmen, die ihre eigene Cybersicherheit bewerten und Verbesserungspotenzial erkennen möchten.
Zudem bietet das Framework einen strukturierten und flexiblen Ansatz für Cybersicherheit, der sich an die individuellen Anforderungen jedes Unternehmens anpassen lässt. So können Unternehmen ihre Maßnahmen priorisieren und sich auf die wichtigsten Risiken konzentrieren.
Schließlich unterstützt das Framework die Einhaltung regulatorischer Vorgaben. Sein grundlegender Sicherheitsansatz hilft Unternehmen, Vorschriften und Standards zu erfüllen, darunter Anforderungen an Privatsphäre und Datenschutz.
Die 6 Kernfunktionen des NIST Cybersecurity Framework
Der Kern des NIST Cybersecurity Framework besteht aus 6 Funktionen, die zusammenwirken, damit Unternehmen Cybersicherheitsrisiken steuern und reduzieren können. Mit CSF 2.0 kam zu den ursprünglichen 5 Funktionen eine sechste hinzu: „Govern“. Sie verankert Entscheidungen zur Cybersicherheit im übergeordneten Kontext von Unternehmensführung und Strategie:
Govern (Steuern). Diese Funktion steht im Mittelpunkt des Frameworks und bestimmt, wie ein Unternehmen die übrigen 5 Funktionen umsetzt. Sie verankert Cybersicherheit als Priorität auf Führungsebene, indem sie Rollen, Verantwortlichkeiten und Rechenschaftspflichten im gesamten Unternehmen festlegt. Govern umfasst die Strategie für das Management von Sicherheitsrisiken, die Erwartungen an die Aufsicht durch die Geschäftsleitung und die Berichterstattung an Leitungs- und Aufsichtsgremien, die Risikotoleranz des Unternehmens sowie das Management von Cybersicherheitsrisiken in der Lieferkette, einschließlich Risiken durch Drittanbieter und Lieferanten.
Identify (Identifizieren). Bei der ersten Funktion des NIST Cybersecurity Framework steht das Verständnis im Vordergrund: Sie konzentriert sich auf die Ressourcen, Systeme und Daten des Unternehmens sowie auf Bedrohungen und Schwachstellen, die dieses beeinträchtigen könnten. Dazu gehören Risikobewertungen, die Erfassung kritischer Ressourcen und Systeme sowie die Identifizierung der zu schützenden Datentypen.
Protect (Schützen). Die zweite Funktion des NIST Cybersecurity Framework legt Richtlinien für die Umsetzung von Sicherheitskontrollen und anderen Maßnahmen zum Schutz der Ressourcen, Systeme und Daten des Unternehmens vor einer Vielzahl von Cyberbedrohungen fest. Sie konzentriert sich auf die Implementierung von Firewalls und Zugriffskontrollen sowie auf den Schutz vor Social Engineering und anderen Arten von Angriffen.
Detect (Erkennen). Die Erkennungsfunktion bietet geeignete Ansätze, um Cyberbedrohungen und -vorfälle rechtzeitig zu identifizieren und darauf zu reagieren. Dazu zählt die Einführung von Systemen zur Angriffserkennung.
Respond (Reagieren). Die vierte Funktion des NIST Cybersecurity Framework befasst sich mit der Reaktion auf Cyberbedrohungen und -vorfälle. Sie legt Richtlinien fest, um die Auswirkungen eines Cybervorfalls zu minimieren und sicherzustellen, dass das Unternehmen weiterhin arbeitsfähig bleibt.
Recover (Wiederherstellen). Die letzte Funktion des NIST Cybersecurity Framework konzentriert sich auf die Wiederherstellung nach Cyberbedrohungen und -vorfällen und stellt sicher, dass das Unternehmen so schnell wie möglich zum normalen Betrieb zurückkehren kann. Dies umfasst die Planung von Sicherungs- und Wiederherstellungsmaßnahmen, das Testen von Wiederherstellungsplänen sowie die Erstellung und Pflege von Plänen zur Aufrechterhaltung des Geschäftsbetriebs.
Schritte zur Implementierung des NIST-Frameworks
Das ursprünglich in NIST CSF 1.1 definierte Cybersecurity Framework beschreibt 7 Implementierungsschritte. Sie führen Unternehmen von der Festlegung des Geltungsbereichs zu einem konkreten Maßnahmenplan für ein wirksameres Management von Cybersicherheitsrisiken. CSF 2.0 richtet die Implementierung neu an Profilen und Stufen („Tiers“) aus. Die folgenden Schritte bleiben jedoch ein praxisnaher Ausgangspunkt.
Prioritäten und Anwendungsbereich festlegen. Definieren Sie die Geschäftsziele, bestimmen Sie die relevanten Systeme und Ressourcen und entscheiden Sie, welche Bereiche des Unternehmens das Framework zuerst abdecken soll.
Orientieren. Ermitteln Sie die Bedrohungen, Schwachstellen und regulatorischen Anforderungen, die für die ausgewählten Systeme und Ressourcen relevant sind.
Aktuelles Profil erstellen. Ordnen Sie Ihre bestehenden Cybersicherheitsmaßnahmen dem Framework zu, um den Ist-Zustand als Ausgangsbasis zu dokumentieren.
Risikobewertung durchführen. Bewerten Sie unter Berücksichtigung der aktuellen Bedrohungslage die Wahrscheinlichkeit und die möglichen Auswirkungen von Cybersicherheitsvorfällen auf Ihre Systeme.
Zielprofil erstellen. Definieren Sie die gewünschten Ergebnisse für die Cybersicherheit Ihres Unternehmens auf Grundlage der Geschäftsanforderungen, Risikotoleranz und Branchenvorgaben.
Lücken ermitteln und priorisieren. Vergleichen Sie das aktuelle Profil mit dem Zielprofil, ermitteln Sie bestehende Lücken und priorisieren Sie diese anhand von Risiko, Kosten und geschäftlichen Auswirkungen.
Maßnahmenplan implementieren. Erstellen Sie einen konkreten und mit Ressourcen ausgestatteten Plan, um die priorisierten Lücken zu schließen. Weisen Sie Verantwortlichkeiten zu, legen Sie Fristen fest und verfolgen Sie den Fortschritt fortlaufend.
Wer sagt, dass Unternehmenssicherheit kompliziert sein muss?
Schützen Sie Ihr Unternehmen vor Cyberbedrohungen, ohne dafür Komfort zu opfern
Was sind die NIST-Passwortrichtlinien?
Für privatwirtschaftliche Unternehmen ist die Anwendung des NIST Cybersecurity Frameworks freiwillig. Für US-Bundesbehörden wurde die Einführung des CSF durch die Executive Order 13800 (2017) verbindlich vorgeschrieben, während gesonderte Verpflichtungen gemäß FISMA und NIST SP 800-53 umfassendere Sicherheitsmaßnahmen auf Bundesebene regeln. Auch außerhalb staatlicher Stellen gewinnt das Framework weiter an Bedeutung: Cyberversicherer und Unternehmensanbieter betrachten die Ausrichtung an NIST CSF 2.0 als grundlegende Voraussetzung für Risikoprüfungen und die Bewertung von Lieferantenrisiken.
Ein Bereich, den das Framework ausdrücklich behandelt, ist die Passwortsicherheit – und das aus gutem Grund. Schwache oder wiederverwendete Passwörter sind nach wie vor eine der Hauptursachen für erfolgreiche Hackerangriffe. Die unter SP 800-63B-3 veröffentlichten und fortlaufend aktualisierten NIST-Richtlinien zur Passwortverwaltung gelten weithin als einer der einflussreichsten Standards dafür, wie Unternehmen Passwörter erstellen, speichern und verwenden sollten. Diese Richtlinien decken verschiedene Bereiche der Passwortverwaltung ab:
Passwortkomplexität. NIST SP 800-63B Rev. 4 weicht von herkömmlichen Vorgaben zur Passwortzusammensetzung ab. Eine Kombination aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen sollte nicht vorgeschrieben werden. Erzwungene Komplexität führt häufig zu vorhersehbaren Mustern, beispielsweise wenn aus „Passwort1!“ einfach „Passwort2!“ wird, ohne die Sicherheit tatsächlich zu verbessern. Stattdessen priorisiert NIST die Passwortlänge und empfiehlt lange Passphrasen. Zugleich soll die gesamte Bandbreite druckbarer Zeichen einschließlich Leerzeichen und Unicode unterstützt werden, um mehr Flexibilität zu ermöglichen.
Passwortlänge. NIST legt für selbst gewählte Passwörter eine Mindestlänge von 8 Zeichen fest. Dient ein Passwort als einziger Authentifizierungsfaktor, sind mindestens 15 Zeichen erforderlich. Systeme müssen Passwörter mit mindestens 64 Zeichen zulassen. Für einen stärkeren Schutz empfiehlt NIST ausdrücklich lange Passphrasen.
Passwortspeicherung. Passwörter sollten gehasht und mit einem Salt versehen gespeichert werden, um das Risiko unbefugter Zugriffe zu begrenzen. NIST empfiehlt außerdem, gespeicherte Anmeldedaten mit einer Multi-Faktor-Authentifizierung (MFA) zu ergänzen und so eine zweite Schutzebene zu schaffen.
Passwortalterung. In diesem Punkt hat NIST seine Position geändert. Die aktualisierten Richtlinien raten davon ab, routinemäßige Passwortänderungen vorzuschreiben, es sei denn, es gibt Hinweise darauf, dass Daten kompromittiert wurden. Vorgeschriebene Passwortwechsel führen häufig nur zu kleinen, vorhersehbaren Änderungen, etwa von „Passwort1“ zu „Passwort2“. Dadurch wird die Sicherheit eher geschwächt als verbessert.
Passwortwiederverwendung. NIST rät nachdrücklich davon ab, dasselbe Passwort für mehrere Konten zu verwenden. Bei Credential-Stuffing-Angriffen testen Angreifer bei einer Datenschutzverletzung erbeutete Anmeldedaten bei weiteren Diensten. Dadurch zählt die Wiederverwendung von Passwörtern zu den häufigsten Ursachen für unbefugte Zugriffe.
NIST Cybersecurity Framework 800 63B
NIST SP 800-63B, zuletzt 2025 mit Revision 4 aktualisiert, enthält weiterführende Richtlinien zur Authentifizierung und Verwaltung digitaler Identitäten. Damit können Unternehmen digitale Identitäten sicher und effizient verwalten.
Um die Anforderungen des NIST 800-63B zu erfüllen, sollten Unternehmen:
starke Authentifizierungsmethoden, wie z. B. die Multi-Faktor-Authentifizierung, implementieren, um digitale Identitäten zu schützen,
die Identitätsmanagementprozesse regelmäßig bewerten und aktualisieren, damit sie wirksam und auf dem neuesten Stand bleiben, und
ihre Mitarbeitenden regelmäßig in den bewährten Praktiken des Identitätsmanagements schulen, einschließlich Passwortsicherheit und Social-Engineering-Taktiken.
NIST 800-53: Definition und Tipps zur Umsetzung
Ein weiteres Regelwerk innerhalb des NIST-Frameworks ist SP 800-53. Es umfasst mehr als 1.000 Sicherheits- und Datenschutzkontrollen, die in 20 Kontrollfamilien gegliedert sind. Das reicht von der Zugriffskontrolle über die Reaktion auf Sicherheitsvorfälle bis hin zum Datenschutz.
Um die Anforderungen des NIST 800-53 einzuhalten, müssen Unternehmen die relevanten Sicherheitskontrollen aus dem Dokument umsetzen und ihre Wirksamkeit durch regelmäßige Bewertungen und Audits prüfen. Hier finden Sie einige Tipps, wie Sie das NIST-Framework 800-53 einhalten können:
Überprüfen Sie regelmäßig Ihre Systeme und Netzwerke, um Schwachstellen und verbesserungswürdige Bereiche zu identifizieren.
Implementieren Sie strenge Zugriffskontrollen, wie z. B. eine Multi-Faktor-Authentifizierung, um sensible Informationen und Systeme zu schützen.
Entwickeln Sie einen Plan für die Reaktion auf Zwischenfälle, den Sie regelmäßig überprüfen und aktualisieren, um seine Wirksamkeit zu gewährleisten.
Schulen Sie Ihre Mitarbeitenden regelmäßig in den bewährten Praktiken der Cybersicherheit, einschließlich Passwortsicherheit und Social-Engineering-Taktiken.
NordPass Business und die Einhaltung des NIST Cybersecurity Framework
Bei so vielen Richtlinien und Empfehlungen kann es schwierig werden, die Anforderungen dauerhaft einzuhalten. Bei der Passwortverwaltung kann NordPass Business Unternehmen dabei unterstützen, die passwortbezogenen Aspekte dieser Richtlinie abzudecken.
Im Bereich Governance erwartet NIST CSF 2.0, dass Unternehmen Cybersicherheit als Priorität auf Führungsebene behandeln (GV.RM/GV.PO). Dazu gehört auch die unternehmensweite Verwaltung von Anmeldedaten. NordPass Business gibt IT-Administratoren die zentrale Kontrolle über Passwortrichtlinien – von Regeln zur Mindestlänge und Komplexität bis hin zur unternehmensweiten Durchsetzung – und das alles über ein einziges Dashboard. Aktivitätsprotokolle lassen sich außerdem in SIEM-Plattformen wie Splunk oder Microsoft Sentinel exportieren. Dadurch erhalten Sicherheitsteams vollständige Transparenz über Ereignisse im Zusammenhang mit Anmeldedaten und können die von der „Govern“-Funktion geforderte kontinuierliche Überwachung umsetzen.
Bei der „Protect“-Funktion (PR.AA/PR.DS) von NIST CSF 2.0 geht es dann ans Eingemachte. NordPass Business schafft mehrere Schutzebenen für die Erstellung, Speicherung und Verwendung von Anmeldedaten:
MFA-Durchsetzung. Administratoren können die Multi-Faktor-Authentifizierung (MFA) unternehmensweit vorschreiben. Das entspricht der Empfehlung von NIST SP 800-63B für mehrstufige Zugriffskontrollen.
Passkey-Unterstützung. NordPass unterstützt Passkeys. Diese phishing-resistente Authentifizierungsmethode wird in den aktualisierten NIST-Richtlinien gegenüber herkömmlichen Passwörtern bevorzugt.
Zero-Knowledge-Verschlüsselung. Alle gespeicherten Anmeldedaten werden im Rahmen einer Zero-Knowledge-Architektur mit xChaCha20 verschlüsselt. Niemand – auch NordPass nicht – kann auf die Inhalte Ihres Tresors zugreifen.
Phishing-resistentes automatisches Ausfüllen. Die Funktion zum automatischen Ausfüllen trägt Anmeldedaten nur auf verifizierten Domains ein. So wird verhindert, dass Mitarbeitende Passwörter auf gefälschten oder schädlichen Websites eingeben.
Überwachung der Qualität von Anmeldedaten. Das Tool zur Überprüfung der Passwortqualität kennzeichnet unternehmensweit schwache, wiederverwendete und veraltete Anmeldedaten. So lassen sich Schwachstellen erkennen, bevor sie ausgenutzt werden.
All diese Funktionen entsprechen unmittelbar der aktualisierten Ausrichtung von NIST SP 800-63B: lange Passphrasen statt willkürlicher Komplexitätsregeln, Passkeys als bevorzugte Authentifizierungsmethode und keine erzwungenen Passwortwechsel, sofern keine Sicherheitsverletzung vermutet wird. NordPass Business basiert auf denselben Prinzipien. Es erstellt starke Anmeldedaten mit hoher Entropie, unterstützt Passkeys nativ und erzwingt keine unnötigen Zurücksetzungen.
Über NIST hinaus unterstützt NordPass Business Unternehmen bei der Ausrichtung an verschiedenen Sicherheits- und Compliance-Frameworks. Hier erfahren Sie mehr darüber, inwiefern NordPass Standards wie der ISO 27001 entspricht.