Wissen · Härtungsleitfaden

Systemhärtung mit CIS Benchmarks: Das solltest du vorab wissen

CIS Benchmarks sind im Konsens erarbeitete Konfigurationsleitfäden, die zeigen, wie du Betriebssysteme, Cloud-Konten, Container, Datenbanken und Netzwerkgeräte sicherer einrichtest. Sicher gelingt der Einsatz, wenn du ein Profil wählst, es an einer Pilotgruppe testest, Ausnahmen dokumentierst und danach Abweichungen überwachst, statt alle Einstellungen auf einmal zu aktivieren.

Aktualisiert: 6. November 2026

Was CIS Benchmarks sind und was sie abdecken

Das Center for Internet Security (CIS) veröffentlicht die CIS Benchmarks als konkrete Konfigurationsempfehlungen. Freiwillige Fachleute, Hersteller und Community-Mitglieder erarbeiten jedes Dokument, diskutieren und testen es auf der Plattform CIS WorkBench und veröffentlichen es, sobald die Gruppe einen Konsens erreicht. Jede Empfehlung nennt, was einzustellen ist, warum und wie du es prüfst.

Laut CIS umfasst der Katalog mehr als 25 Herstellerfamilien, gegliedert in Cloud-Anbieter, Desktop-Software, DevSecOps-Werkzeuge, Mobilgeräte, Netzwerkgeräte, Betriebssysteme, Serversoftware und Speichersysteme. CIS nennt unter anderem AWS, Azure, Kubernetes, Docker, Microsoft Windows, Ubuntu, Red Hat Enterprise Linux, Oracle Database und mehrere Netzwerkhersteller.

Benchmarks folgen dem Releasezyklus der jeweiligen Technik und der Community, deshalb ändern sich die Versionen. Nach Angaben von CIS decken die Windows-Benchmarks den jeweils neuesten Windows-Build innerhalb von 90 Tagen nach dessen Erscheinen ab. Prüfe daher immer, welche Benchmark-Version zu deiner exakten Produktversion passt.

Level 1, Level 2 und das STIG-Profil

Die meisten Benchmarks teilen ihre Empfehlungen in Profile auf. Laut CIS-FAQ ist Level 1 eine Basis, die sich recht zügig umsetzen lässt und die Angriffsfläche verkleinern soll, ohne Leistung und Nutzbarkeit stark zu belasten. Level 2 ist als mehrstufige Absicherung für Umgebungen gedacht, in denen Sicherheit Vorrang hat. CIS warnt, dass es bei unvorsichtiger Anwendung Probleme verursachen kann.

Manche Benchmarks enthalten außerdem ein STIG-Profil, das den früheren Level 3 ersetzt. Es bündelt die Empfehlungen aus dem DISA STIG und übernimmt überschneidende Punkte aus Level 1 und Level 2.

Praktisch heißt das: Starte fast überall mit Level 1 und wende Level 2 gezielt auf Systeme mit sensiblen Daten oder höherer Bedrohungslage an. CIS rät selbst, jedes Profil zuerst in einer Testumgebung zu prüfen.

Zusammenhang mit den CIS Controls

Die CIS Critical Security Controls sind ein eigenes Dokument. Sie beschreiben priorisierte Sicherheitsmaßnahmen für ein ganzes Programm: Inventarisierung, Zugriffskontrolle, Protokollierung, Incident Response und mehr. Nach der CIS-Seite, die im November 2026 geprüft wurde, ist die aktuelle Version v8.1 vom Juni 2024 mit 18 Controls. Version 8.1 ergänzte eine Governance-Funktion und glich die Zuordnungen an NIST CSF 2.0 an. Die Controls sind in Implementation Groups gegliedert, damit kleinere Organisationen mit grundlegender Hygiene anfangen können.

Die Benchmarks liefern die detaillierten Einstellungen, mit denen du eines dieser Controls umsetzt, nämlich die sichere Konfiguration von Systemen und Software. Man kann sagen: Die Controls sagen, was zu tun ist, die Benchmarks zeigen bei der Konfiguration, wie.

Konformität prüfen

Du brauchst eine Möglichkeit, echte Systeme mit dem Benchmark zu vergleichen. Die Optionen lassen sich in drei Gruppen teilen, und viele Organisationen kombinieren sie.

Egal wofür du dich entscheidest: Prüfe, welche Benchmark-Versionen und Profile das Werkzeug unterstützt, und sieh einen grünen Wert nur als Teilnachweis. Microsoft weist für die Azure-Policy-Initiative darauf hin, dass ein konformes Ergebnis nur bedeutet, dass die zugeordneten Richtlinien bestehen, und dass es Benchmark-Punkte ohne passende Richtlinie gibt, die du anders belegen musst.

• Werkzeuge des Benchmark-Herausgebers: CIS bietet CIS-CAT Pro Assessor, das Systeme gegen CIS Benchmarks prüft, sowie eine Lite-Variante. CIS-CAT Pro gehört zur Mitgliedschaft CIS SecureSuite.
• Allgemeine Scanner und SCAP-Werkzeuge: Kommerzielle Schwachstellen- und Compliance-Scanner sowie Open-Source-Lösungen wie OpenSCAP können viele Konfigurationsprofile auswerten und darüber berichten.
• Cloud-eigene Dienste: AWS Security Hub unterstützt mehrere Versionen des CIS AWS Foundations Benchmark, und Azure Policy hat eine integrierte Initiative für den CIS Microsoft Azure Foundations Benchmark. Beide lassen einzelne Punkte für die manuelle Prüfung offen.

Ausrollen, ohne die Produktion zu stören

Härtung scheitert meist an einer Einstellung, die eine undokumentierte Anwendung lahmlegt. Ein gestuftes Vorgehen senkt dieses Risiko.

Halte die finale Baseline schlank und versioniert. Erscheint eine neue Benchmark-Version, vergleichst du die Unterschiede und aktualisierst die Baseline über denselben Prozess.

• Zuerst inventarisieren: Wisse, welche Systeme, Verantwortlichen und Anwendungen es gibt, und gruppiere sie nach Rolle.
• Baseline je Rolle festlegen: zum Beispiel Level 1 für normale Server, ausgewählte Level-2-Punkte für Domänencontroller oder Datenbankhosts.
• Pilotgruppe und Staging-Kopie nutzen, wobei die Anwendungsverantwortlichen echte Abläufe prüfen.
• Ausnahmen festhalten: Weichst du von einer Empfehlung ab, notierst du Grund, Ersatzmaßnahme, Verantwortlichen und Wiedervorlagedatum.
• Änderungen über das Change Management führen, mit Rückfallplan und gestaffeltem Zeitplan.
• Per Konfigurationsmanagement durchsetzen, etwa mit Gruppenrichtlinien, Ansible, Intune oder Infrastructure as Code, damit die Baseline wiederholbar ist.
• Drift überwachen: In festen Abständen neu scannen und alarmieren, wenn Systeme die Baseline verlassen, denn Patches, Administratoren und neue Deployments verändern Einstellungen mit der Zeit.

Alternativen und Ergänzungen

DISA STIGs sind Konfigurationsleitfäden, die über das DoD Cyber Exchange unter der Defense Information Systems Agency veröffentlicht werden. Sie sind streng, auf US-Verteidigungsumgebungen ausgerichtet und als SCAP-Inhalt verfügbar. Teams außerhalb dieses Umfelds nutzen sie manchmal als strengere Referenz, und CIS bietet in einigen Benchmarks ein STIG-Profil an.

Microsoft veröffentlicht eigene Security Baselines für Windows, Microsoft 365 Apps und Edge im Security Compliance Toolkit, mit Werkzeugen wie Policy Analyzer und LGPO zum Vergleichen und Anwenden von Gruppenrichtlinienobjekten. Sie überschneiden sich bei Windows mit CIS, sind aber nicht identisch. Wähle daher eine Hauptreferenz und dokumentiere die Unterschiede.

In Deutschland deckt der BSI IT-Grundschutz die Härtung als Teil einer umfassenderen Methode für das Informationssicherheitsmanagement ab. Das aktuelle Kompendium bleibt laut BSI während einer mehrjährigen Übergangszeit anwendbar. Eine modernisierte Variante namens Grundschutz++ wurde im April 2026 als Methodik veröffentlicht und befindet sich laut einer Zusammenfassung einer Kanzlei in einer Pilotphase, wobei der bisherige Ansatz bis Ende 2028 gültig bleibt. Prüfe den aktuellen Stand auf der BSI-Seite, bevor du dich auf einen Zertifizierungsweg festlegst.

Wann ein Dienstleister sinnvoll ist

Eine erste Level-1-Einführung in einer kleinen, gut verstandenen Umgebung kannst du mit dem eigenen Team stemmen. Ein Dienstleister lohnt sich, wenn der Umfang groß ist, Systeme alt oder schlecht dokumentiert sind, du gegenüber Prüfern oder Kunden Konformität nachweisen musst oder dir Personal zum Testen, Durchsetzen und Überwachen fehlt.

Hilfreich sind Baseline-Design, Automatisierung, Pilottests, Ausnahmeverwaltung und gemanagte Scans mit regelmäßigen Berichten. Frage jeden Anbieter, mit welchen Benchmark-Versionen er arbeitet, wie er vor der Durchsetzung testet und wie er Drift berichtet.