BSI und der Stand der Technik: Was das für eure Endgerätesicherheit bedeutet

Ein Smartphone erhält keine Sicherheitsupdates mehr. Auf einem Notebook ist die Verschlüsselung deaktiviert. Eine Sicherheitsmeldung bleibt unbearbeitet, weil die Zuständigkeit fehlt. Solche Lücken zeigen, warum Endgerätesicherheit regelmäßig überprüft werden muss.

Der „Stand der Technik“ ist dabei ein wichtiger Maßstab. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bietet Sicherheitsvorgaben und Orientierungshilfen, um diesen Maßstab praktisch anzuwenden. Doch was bedeutet das für eure Geräteverwaltung? Welche Veröffentlichungen sind für euch relevant? Und wie könnt ihr nachvollziehbar zeigen, dass eure Schutzmaßnahmen im Alltag funktionieren?

Was bedeutet „Stand der Technik“ für eure IT-Sicherheit?

Für eure Informationssicherheit lässt sich der Begriff als praktischer Maßstab verstehen: Ihr bewertet eure Schutzmaßnahmen anhand des aktuellen technischen Entwicklungsstands und ihrer Eignung für die jeweiligen Sicherheitsziele. Der Begriff gilt grundsätzlich über einzelne BSI-Veröffentlichungen hinaus.

Dieser Maßstab entwickelt sich weiter. Neue Angriffsmöglichkeiten, bekannte Schwachstellen und verbesserte Schutzverfahren können eine Neubewertung erforderlich machen. Deshalb solltet ihr regelmäßig prüfen, ob eure bisherigen Maßnahmen noch ausreichend schützen.

Für eure Endgeräte bedeutet das: Risiken erkennen, passende Schutzmaßnahmen umsetzen und deren Wirksamkeit nachvollziehbar überprüfen.

Welche Rolle spielen NIS2 und das BSI?

Für wichtige und besonders wichtige Einrichtungen legt § 30 des BSI-Gesetzes Anforderungen an technische und organisatorische Schutzmaßnahmen fest. Diese sollen den Stand der Technik einhalten und einschlägige europäische und internationale Normen berücksichtigen.

Die Maßnahmen müssen zum Risiko passen und wirksam sein. Bei der Bewertung ihrer Verhältnismäßigkeit werden unter anderem die Unternehmensgröße, die Umsetzungskosten und die möglichen Folgen eines Sicherheitsvorfalls berücksichtigt. Auch die Dokumentation der Umsetzung und Verfahren zur Wirksamkeitsbewertung gehören dazu. Besondere sektorale Vorgaben sind zusätzlich zu prüfen. § 30 BSIG

BSI-Veröffentlichungen helfen euch dabei, Anforderungen zu konkretisieren. Der Mindeststandard für Mobile Device Management behandelt beispielsweise die Durchsetzung von Geräterichtlinien und die Absicherung des Verwaltungssystems. Er richtet sich an Stellen des Bundes. Für Unternehmen kann er fachliche Orientierung bieten; welche Anforderungen verbindlich sind, ergibt sich aus den jeweils geltenden Vorgaben. BSI-Mindeststandard für MDM

Mit seiner Stand-der-Technik-Bibliothek stellt das BSI außerdem Sicherheitsvorschriften und Umsetzungsbeschreibungen in maschinenlesbarer Form bereit. Wählt für eure Prüfung passende Inhalte aus und haltet deren Versionsstand fest. BSI-Stand-der-Technik-Bibliothek

Drei Bereiche, die ihr praktisch überprüfen solltet

Die folgenden Empfehlungen helfen euch, den Maßstab auf eure Geräteflotte anzuwenden. Welche Maßnahmen erforderlich sind, hängt von euren Risiken, Einsatzbedingungen und verbindlichen Vorgaben ab.

1. Gerätebestand, Updates und Lebenszyklus

Beginnt mit einem verlässlichen Überblick: Welche Smartphones, Tablets und Notebooks greifen auf Unternehmensdaten zu? Wem sind sie zugeordnet? Welche Betriebssysteme und geschäftlichen Anwendungen werden eingesetzt?

Berücksichtigt die Versorgung mit Sicherheitsupdates bereits bei der Beschaffung. Legt anschließend fest, wie ihr Schwachstellen bewertet, Updates priorisiert und erfolgreiche Installationen kontrolliert. Für besonders dringende Sicherheitslücken braucht ihr einen Ablauf, der auch außerhalb der üblichen Wartungsroutine funktioniert.

Plant außerdem das Nutzungsende. Dazu gehören der rechtzeitige Austausch auslaufender Geräte, die Bereinigung geschäftlicher Daten und der Entzug zugehöriger Zugriffsrechte. Der BSI-Mindeststandard berücksichtigt sowohl die Updateversorgung während der Nutzung als auch die Außerbetriebnahme. BSI-Mindeststandard für MDM, Version 2.0

2. Sichere Konfiguration und kontrollierte Zugriffe

Definiert eine Sicherheitsgrundkonfiguration für eure Plattformen und Einsatzmodelle. Dazu können Verschlüsselung, automatische Gerätesperren, App-Vorgaben und die Einschränkung unnötiger Funktionen gehören.

Prüft, wie sich der Gerätezustand mit dem Zugriff auf geschäftliche Ressourcen verbinden lässt. Geeignete Mehr-Faktor-Authentifizierung, begrenzte Berechtigungen und risikobasierte Zugriffsregeln helfen dabei, sensible Daten zu schützen.

Welche Regeln technisch durchsetzbar sind, hängt von Betriebssystem, Verwaltungsmodus und eingesetzter Lösung ab. Bei privat genutzten Geräten mit geschäftlichem Zugriff müssen außerdem Datenschutz, zulässige Eingriffe und der Schutz privater Daten berücksichtigt werden. Empfehlungen zur Absicherung unterschiedlicher mobiler Einsatzmodelle bietet der NIST-Leitfaden zur Sicherheit mobiler Endgeräte. NIST SP 800-124 Rev. 2

3. Bedrohungserkennung und verlässliche Reaktion

Prüft, welche ergänzenden Schutzfunktionen zu euren Risiken passen. Endpoint Security und Mobile Threat Defense können je nach Plattform und Produkt Hinweise auf Angriffe oder gefährdete Geräte liefern. Verbindet diese Hinweise mit klaren Abläufen für Bewertung, Zugriffsbeschränkung und Wiederfreigabe.

Legt auch fest, wie Mitarbeiter Verlust, Diebstahl und verdächtige Aktivitäten melden. Kurze, verständliche Anweisungen und regelmäßige Sensibilisierung unterstützen die technische Absicherung. NIST-Leitfaden, Abschnitte zu Bedrohungserkennung und Sensibilisierung

Sichert außerdem die Geräteverwaltung selbst ab. Beschränkt administrative Rechte auf die erforderlichen Aufgaben und überprüft sie regelmäßig. Über diese Zugänge lassen sich Einstellungen und Aktionen für viele Geräte steuern. BSI-Mindeststandard für MDM

So prüft ihr die Wirksamkeit im Alltag

Eine hinterlegte Richtlinie zeigt zunächst, was vorgesehen ist. Ob sie tatsächlich greift, solltet ihr mit geeigneten Tests und Betriebsdaten prüfen.

Ein mögliches Prüfszenario: Ein Testgerät unterschreitet die festgelegte Betriebssystemversion. Ihr kontrolliert, ob die Verwaltung die Abweichung erkennt, die vorgesehene Meldung auslöst und die konfigurierte Zugriffsregel funktioniert. Nach dem Update prüft ihr auch die Rückkehr in den regulären Betrieb.

Für wiederkehrende Kontrollen bieten sich drei Fragen an:

• Wie vollständig ist der Überblick? Werden alle Geräte mit geschäftlichem Zugriff erfasst oder durch einen definierten Schutzprozess abgedeckt?
• Wie zuverlässig greifen die Maßnahmen? Werden Updates installiert, Konfigurationen durchgesetzt und Abweichungen erkannt?
• Wie schnell erfolgt die Bearbeitung? Werden Warnungen und Ausnahmen innerhalb der festgelegten Zeit bewertet und behandelt?

Legt nachvollziehbare Zielwerte fest, die zu euren Risiken und Betriebsbedingungen passen. Überprüft sie regelmäßig und bei konkreten Anlässen, etwa einer kritischen Schwachstelle, einer größeren Systemänderung oder einem Sicherheitsvorfall.

Entscheidungen und Ausnahmen nachvollziehbar dokumentieren

Haltet fest, welche Anforderungen ihr zugrunde legt, welche Maßnahmen sie erfüllen und wie ihr deren Wirksamkeit prüft. Hilfreich sind der Versionsstand der Referenz, die zuständige Person und das Datum der letzten Kontrolle.

Wenn ein Gerät eine Vorgabe vorübergehend nicht erfüllen kann, braucht die Ausnahme eine begründete Bewertung. Dokumentiert betroffene Daten und Zugriffe, ergänzende Schutzmaßnahmen, Verantwortliche und einen verbindlichen Termin für die erneute Prüfung oder Behebung.

Eine dokumentierte Ausnahme ersetzt keine verbindliche Schutzpflicht. Prüft deshalb, ob die geplante Vorgehensweise mit den geltenden Anforderungen vereinbar ist.

So entsteht eine nachvollziehbare Verbindung zwischen Sicherheitsanforderung, technischer Umsetzung und täglichem Betrieb.

Endgerätesicherheit kontinuierlich weiterentwickeln

BSI-Veröffentlichungen bieten euch Orientierung, um den Stand der Technik auf eure Endgerätesicherheit anzuwenden. Praktisch wirksam wird diese Orientierung, wenn ihr aktuelle Risiken bewertet, passende Maßnahmen umsetzt und deren Wirksamkeit überprüft. Unified Endpoint Management (UEM), Endpoint Security und Mobile Security unterstützen euch dabei, diese Aufgaben für eure Geräteflotte systematisch zu bearbeiten.