Cyber Essentials: Zugriffskontrolle für Administratoren – Ein vollständiger UK-Leitfaden (2026)
17. August 2026
Beherrschen Sie die Anforderungen an die Admin-Zugriffskontrolle für die britische Zertifizierung. Praktische Schritte zur Absicherung privilegierter Konten und zum Bestehen des Audits.
Was ist Admin-Zugriffskontrolle in Cyber Essentials?
Die Admin-Zugriffskontrolle ist eine der fünf zentralen technischen Kontrollen im britischen Cyber-Essentials-Programm. Sie stellt sicher, dass nur autorisierte Personen Ihre Systeme, Software und Benutzerkonten verwalten können. Im Rahmen des 2026er-Frameworks bedeutet dies, alle administrativen Konten zu identifizieren – sowohl On-Premises als auch cloudbasiert – und ihre Nutzung auf wesentliche Aufgaben zu beschränken. Das Ziel besteht darin, das Risiko zu verringern, dass Angreifer über kompromittierte oder unnötige Admin-Anmeldedaten privilegierten Zugriff erlangen. Für britische Unternehmen, die eine Cyber-Essentials- oder Cyber-Essentials-Plus-Zertifizierung anstreben, ist der Nachweis einer wirksamen Admin-Zugriffskontrolle verpflichtend. Dies umfasst die Dokumentation, wer über Admin-Rechte verfügt, warum diese benötigt werden und wie sie geschützt sind.
Warum das britische Cyber-Essentials-Programm den Fokus auf Administratorkonten legt
Admin-Konten sind das Kronjuwel für Cyberkriminelle. Wenn ein Angreifer ein Admin-Konto kompromittiert, kann er Sicherheitskontrollen deaktivieren, sensible Daten stehlen, Ransomware einsetzen oder Sie aus Ihren eigenen Systemen aussperren. Das National Cyber Security Centre (NCSC) des Vereinigten Königreichs hat den Missbrauch privilegierter Zugriffe durchweg als einen der wichtigsten Angriffsvektoren identifiziert. Deshalb legt Cyber Essentials so großen Wert auf die Kontrolle des Admin-Zugriffs. Für britische Unternehmen geht es bei dieser Kontrolle nicht nur darum, eine Bewertung zu bestehen – sondern darum, sich an bewährten Praktiken zu orientieren, die Ihre Kunden, Ihren Ruf und Ihre gesetzlichen Verpflichtungen gemäß DSGVO schützen. Indem Sie Admin-Rechte einschränken, verkleinern Sie Ihre Angriffsfläche erheblich.
So implementieren Sie die Admin-Zugriffskontrolle für Compliance
Beginnen Sie mit einer vollständigen Prüfung aller Benutzerkonten in Ihren Systemen, einschließlich Office 365, Google Workspace, Windows-Servern und allen Cloud-Diensten. Identifizieren Sie jedes Konto mit Administratorrechten und entfernen oder stufen Sie alle Konten herab, die nicht unbedingt erforderlich sind. Für die verbleibenden Konten setzen Sie das Prinzip der geringsten Rechte durch – das bedeutet, dass Administratoren für alltägliche Aufgaben Standardbenutzerkonten verwenden und nur bei bestimmten Funktionen auf Administratorzugänge umsteigen. Verwenden Sie für jeden Administrator separate, dedizierte Administratorkonten. Stellen Sie sicher, dass Passwörter stark und einzigartig sind und sicher in einem Passwort-Manager aufbewahrt werden. Für Cyber Essentials Plus müssen Sie zusätzlich eine technische Verifizierung nachweisen; erwägen Sie daher den Einsatz eines Privileged Access Management-Tools. Dokumentieren Sie Ihre Richtlinie und schulen Sie Mitarbeiter zu diesen Anforderungen.
Häufige Fallstricke und wie man sie vermeidet
Viele britische Unternehmen scheitern an dieser Kontrolle aufgrund vermeidbarer Fehler. Eine häufige Falle ist die Nutzung eines einzigen gemeinsamen Administratorkontos für mehrere IT-Mitarbeiter – dies widerspricht ausdrücklich den Cyber-Essentials-Prinzipien, da es die Nachvollziehbarkeit verhindert. Eine weitere Falle ist, Standard-Administratorkonten aktiv zu lassen, wie „Administrator“ unter Windows oder „root“ unter Linux, selbst wenn diese nicht verwendet werden. Denken Sie außerdem daran, dass normale Benutzerkonten mit lokalen Admin-Rechten auf den eigenen Rechnern problematisch sein können; stellen Sie sicher, dass diese entfernt werden. Die Vernachlässigung von Cloud-Diensten ist ein weiteres Problem – Admin-Rechte in Microsoft Entra ID oder anderen Identitätsanbietern müssen ebenfalls kontrolliert werden. Um dies zu vermeiden, führen Sie regelmäßige Überprüfungen durch, automatisieren Sie das Offboarding von Benutzern und dokumentieren Sie jede Entscheidung. Eine saubere, gut verwaltete Benutzerliste ist Ihr bester Schutz.
Aufrechterhaltung der Compliance und Vorbereitung auf die Bewertung
Die Kontrolle des Administratorzugriffs ist keine einmalige Aufgabe – sie erfordert kontinuierliche Pflege. Legen Sie einen wiederkehrenden Zeitplan fest, um Administratorkonten mindestens vierteljährlich zu überprüfen, und entziehen Sie ausscheidenden Mitarbeitern oder bei Rollenwechseln sofort den Zugriff. Überwachen Sie die Administratoraktivität mithilfe von Auditprotokollen und nach Möglichkeit Alarmmeldungen. Prüfen Sie vor Ihrer Cyber-Essentials-Bewertung, ob Ihre Richtlinie mit der technischen Realität übereinstimmt. Bei Cyber Essentials Plus führt ein externer Prüfer Tests durch, um zu bestätigen, dass Standardbenutzer keine Rechteausweitung vornehmen können. Bleiben Sie über die neuesten Leitlinien von IASME und NCSC auf dem Laufenden, da sich die Anforderungen weiterentwickeln können. Indem Sie die Kontrolle des Administratorzugriffs in Ihren täglichen Betrieb integrieren, bestehen Sie nicht nur Ihre Bewertung, sondern schaffen auch eine stärkere Sicherheitslage für Ihr britisches Unternehmen.
FAQ
Ein Administratorkonto ist jedes Benutzerkonto, das Software installieren, Systemeinstellungen ändern, andere Benutzer verwalten oder Sicherheitskontrollen verändern kann. Dies umfasst lokale Konten unter Windows oder Linux, Domänenadministratoren sowie Cloud-Administratoren wie den Globalen Administrator in Microsoft 365. Wenn das Konto Standardbeschränkungen umgehen kann, muss es als privilegiert behandelt werden.