Zugriffskontrolle und Cyber Essentials UK: Ein umfassender Leitfaden für 2026
17. August 2026
Erfahren Sie, wie Zugriffskontrolle mit den Cyber-Essentials-Anforderungen im Vereinigten Königreich übereinstimmt. Praktische Schritte für Unternehmen, um Konten, Geräte und Daten im Jahr 2026 zu sichern.
Was verlangt Cyber Essentials für die Zugriffskontrolle?
Cyber Essentials, die von der britischen Regierung unterstützte Zertifizierung, konzentriert sich auf fünf zentrale technische Kontrollen. Die Zugriffskontrolle spielt dabei eine wichtige Rolle, insbesondere durch die Verwaltung von Benutzerkonten und Administratorrechten. Das Programm verlangt, dass Sie jeden Benutzer eindeutig identifizieren, Standard- oder Gastkonten entfernen und sicherstellen, dass Konten nur die Berechtigungen erhalten, die für ihre Rolle erforderlich sind. Für Cyber Essentials müssen Sie außerdem Konten deaktivieren oder löschen, wenn Mitarbeiter das Unternehmen verlassen. Dies erfordert eine klare Benutzerzugriffsrichtlinie, die dem Prinzip der geringsten Privilegien entspricht. Im Jahr 2026 bleibt der Standard weiterhin die Grundlage für viele Aufträge des britischen öffentlichen Sektors. Die Zugriffskontrolle richtig umzusetzen, ist daher nicht nur gute Cybersicherheit – es ist eine geschäftliche Anforderung.
Einrichtung von Standardbenutzerkonten für Compliance
Ein wichtiger Schritt für Cyber Essentials ist die Trennung von Standard-Benutzerkonten und privilegierten Konten. Jeder Mitarbeiter sollte sich für alltägliche Aufgaben wie E-Mail und Surfen im Internet mit einem Standardkonto anmelden. Standardkonten sollten keine lokalen Administratorrechte auf den eigenen Geräten besitzen. Dadurch wird verhindert, dass sich Malware mit erweiterten Rechten ausbreitet. In der Praxis sollten Sie ein separates Konto mit Administratorrechten nur für IT-Aufgaben einrichten – und auch dann nur bei Bedarf. Für britische KMU bedeutet dies oft, Windows- oder macOS-Geräte so zu konfigurieren, dass das tägliche Benutzerkonto ein Standard-Benutzer ist. Cyber-Essentials-Prüfer achten auf Nachweise dafür, dass Administratorkonten nicht für Routineaufgaben verwendet werden.
Verwaltung von Administratorrechten und privilegierten Konten
Im Rahmen von Cyber Essentials ist die Kontrolle administrativer Konten ein kritischer Prüfpunkt. Sie müssen alle Konten mit Administratorrechten identifizieren – sowohl lokale als auch netzwerkweite – und jedes einzelne begründen. Beispielsweise sollten nur IT-Mitarbeiter, die Software installieren oder Einstellungen ändern, Administratorkonten besitzen. Diese Konten müssen über stärkere Passwörter verfügen und von normalen Benutzerkonten getrennt sein. Im Jahr 2026 sollten Sie in Erwägung ziehen, einen dedizierten Browser für administrative Aufgaben zu nutzen, um Risiken zu reduzieren. Stellen Sie außerdem sicher, dass der Fernzugriff auf Administratorkonten eine Multi-Faktor-Authentifizierung (MFA) verwendet, auch wenn MFA selbst noch kein verpflichtender Cyber-Essentials-Kontrollpunkt ist. Regelmäßige Prüfungen dieser privilegierten Konten sind unerlässlich, um die Einhaltung der Vorgaben zu gewährleisten.
Umsetzung von Best Practices für Passwörter und MFA
Während Cyber Essentials derzeit starke Passwortrichtlinien anstelle einer verpflichtenden MFA verlangt, wird dringend empfohlen, beides zu kombinieren. Für die Zugriffskontrolle sollten Sie für jedes Konto eindeutige Passwörter erstellen, vorhersehbare Muster vermeiden und wo immer möglich MFA aktivieren – insbesondere für Cloud-Dienste und E-Mail. Britische Unternehmen setzen zunehmend auf Passkeys und Authenticator-Apps als Teil ihrer Zugriffsstrategie. Für die Cyber-Essentials-Zertifizierung muss Ihre Passwortrichtlinie bestimmte Kriterien erfüllen, wie etwa Mindestlänge und Komplexität. Allerdings deutet der Standard nun darauf hin, dass MFA eine wichtige kompensierende Kontrolle darstellt. Wenn Sie als britisches Unternehmen eine Cyber-Essentials-Plus-Zertifizierung anstreben, kann die frühzeitige Integration von MFA den Prüfungsprozess erleichtern.
Überprüfung von Zugriffsrechten und Entfernung von Austrittskonten
Zugriffskontrolle ist ein fortlaufender Prozess. Cyber Essentials verlangt, dass Sie Benutzerkonten regelmäßig überprüfen – in der Regel mindestens vierteljährlich. Dazu gehört, dass aktive Mitarbeitende über die korrekten Berechtigungen verfügen und keine ruhenden Konten bestehen. Wenn jemand das Unternehmen verlässt, müssen Sie den Zugriff sofort entziehen. In Großbritannien passiert dies oft zu spät, was das Risiko von Datenschutzverletzungen erhöht. Legen Sie einen klaren Austrittsprozess fest: Deaktivieren Sie das Konto am Tag des Ausscheidens, holen Sie Geräte zurück und setzen Sie gemeinsam genutzte Zugangsdaten zurück. Dokumentieren Sie diese Überprüfungen und führen Sie Prüfprotokolle. Wenn Sie Software wie Microsoft 365 oder Google Workspace verwenden, generieren Sie Zugriffsberichte und bewahren Sie diese als Nachweis für Ihre Cyber-Essentials-Bewertung auf.
FAQ
Ja, Zugriffskontrolle ist ein zentraler Bestandteil von Cyber Essentials. Das Programm verlangt, dass Sie Benutzerkonten sicher verwalten, unnötige Konten entfernen und sicherstellen, dass Benutzer über angemessene Berechtigungen verfügen. Dies umfasst auch die Kontrolle von Administratorrechten. Die genauen Kontrollen sind in den Cyber-Essentials-Anforderungen festgelegt und für die Zertifizierung unerlässlich.