Das US-Normungsinstitut NIST hat am 2. November einen Leitfaden zur Cybersicherheit für Firmen ohne Angestellte veröffentlicht. Das Papier setzt kein Vorwissen voraus. Zielgruppe sind Freiberufler, Einzelunternehmer und Plattformarbeiter.[1]
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 4 Abschnitte
Zum knapp 30 Seiten langen Leitfaden gehört eine Excel-Datei mit Arbeitsblättern für die Bestandsaufnahme von Geräten und Konten, für Risiken und den Notfallplan. In Deutschland arbeiteten 2025 laut Statistischem Bundesamt 3,5 Prozent aller Erwerbstätigen zwischen 15 und 64 Jahren als Selbstständige ohne Mitarbeiter. Fällt bei ihnen der Rechner aus, fehlt sofort das Einkommen.[2]
Das Wichtigste in Kürze
- Das Papier CSWP 50 ersetzt den NIST-Leitfaden für kleine Firmen von 2016.
- Passwörter sollen mindestens 15 Zeichen haben, besser sind Passkeys.
- Drei Beispielfälle zeigen, wie eine Patentkanzlei, ein Onlineshop und eine Marketingberatung den Leitfaden umsetzen.
- KI heißt im Papier „Super Intelligence“, weil eine Anordnung des US-Präsidenten das vorschreibt.
Was empfiehlt der NIST-Leitfaden?
Der Leitfaden folgt dem Cybersecurity Framework 2.0 von NIST, das Schutzmaßnahmen in sechs Bereiche von der Steuerung bis zur Wiederherstellung gliedert. Zu jeder Maßnahme nennt das Papier den Grund, einen ersten Schritt und was sich ändert, sobald die Firma Personal einstellt.[1]
An den Anfang stellt NIST eine kurze Liste. Für E-Mail, Bank und Passwortmanager empfiehlt das Institut eine Zwei-Faktor-Anmeldung, die Phishing standhält. Im Alltag sollen Selbstständige mit einem normalen Benutzerkonto statt mit Administratorrechten arbeiten. Mindestens eine Datensicherung liegt getrennt vom Gerät, ein regelmäßiger Test zeigt, ob sich die Daten zurückspielen lassen. Die Liste der Notfallkontakte gibt es zusätzlich auf Papier.[1] Router, Drucker und Kameras bekommen eigene Passwörter statt der Werkseinstellung, ein Rat, der auch für vernetzte Geräte im Smart Home gilt.
Warum schreibt NIST nur für Firmen ohne Angestellte?
NIST beruft sich auf die US-Mittelstandsbehörde SBA: Von 34,8 Millionen kleinen Unternehmen in den USA haben 81,9 Prozent keine bezahlten Angestellten außer den Eigentümern. Die Vorgänger von 2009 und 2016 sprachen alle kleinen Firmen an. Nach drei öffentlichen Konsultationsrunden hat NIST die Zielgruppe auf Betriebe mit wenig IT verengt.[1]
Statt von künstlicher Intelligenz spricht NIST von „Super Intelligence“. Eine Fußnote verweist auf eine Executive Order vom 29. September 2026, die Bundesbehörden diesen Wechsel vorschreibt. Bei KI-Werkzeugen sollen Selbstständige festhalten, welche sie nutzen, und vor dem Eingeben von Geschäftsgeheimnissen prüfen, wie lange der Anbieter Daten speichert und ob er sie zum Training seiner KI-Modelle verwendet. Mit KI verfasste Phishing-Mails wirken laut NIST überzeugender. Zahlungsaufforderungen sollen Selbstständige deshalb über bekannte Kontaktdaten gegenprüfen.[1] Die Münchener Rück warnte bereits im September, KI mache Cyberangriffe zum Massengeschäft.
Ein Einzelunternehmer ist zugleich Chef und IT-Abteilung, deshalb zählt ein getestetes Backup mehr als jede Firewall.
Markus Seyfferth, Chefredakteur Dr. Web
Die Zahlen
Vom Kleinfirmen-Ratgeber zum Solo-Leitfaden
Was heißt das für Selbstständige in Deutschland?
Bei der Passwortlänge weicht das BSI von NIST ab und hält acht bis zwölf Zeichen mit vier Zeichenarten für sicher, ebenso 20 bis 25 Zeichen mit zwei Zeichenarten.[3] NIST verlangt in seinen Regeln zur digitalen Identität für Passwörter ohne zweiten Faktor mindestens 15 Zeichen und untersagt Pflichtvorgaben zu Zeichenarten.[4] Ein Passwortmanager erfüllt beide Vorgaben ohne Mühe.
Für kleine und Kleinstunternehmen hat das BSI ein eigenes Format, den CyberRisikoCheck nach DIN SPEC 27076. Ein IT-Dienstleister prüft dabei in einem ein- bis zweistündigen Gespräch 27 Anforderungen aus sechs Bereichen. Der Bericht nennt auch passende Förderprogramme.[5]
Den Datenschutz behandelt NIST nur am Rand. Hierzulande gilt Art. 33 DSGVO: Bei einer Datenpanne, die ein Risiko für Kunden birgt, müssen auch Einzelunternehmer binnen 72 Stunden die Aufsichtsbehörde informieren.[6] Auf die Notfallliste aus Papier gehört deshalb auch die zuständige Landesdatenschutzbehörde.[2]
Quellen
6 Quellen anzeigenQuellen ausblenden
- NISTSmall Business Cybersecurity: Non-Employer Firms, NIST CSWP 50, Daniel Eliot, Jeffrey A. Marron, Savann Thorn
- Statistisches BundesamtSolo-Selbstständige, Indikatoren zur Qualität der Arbeit
- BSISichere Passwörter erstellen
- NISTDigital Identity Guidelines: Authentication and Authenticator Management, SP 800-63B-4, Abschnitt „Password Verifiers“
- BSICyberRisikoCheck nach DIN SPEC 27076
- EUR-LexVerordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Art. 33
Mehr Newshunger?
- Kühlregal-Angriff trifft erste Supermärkte in Deutschland, die Anlagen standen auf 50 Grad
- Security Optimizer mit über 1 Million Installationen: Zwei-Faktor-Codes ließen sich beliebig oft raten
- Einbruch bei Northflank: Kunden sollen alle gespeicherten Zugangsdaten austauschen
- Schadsoftware nutzt Sprachmodelle, um Opfer nach ihrem Wert zu ordnen
- Kampagne gegen Fortinet und Palo Alto: Angreifer erbeuteten mehr als 70.000 Zugangsdaten
- Ein Passwort für alles? Warum diese Gewohnheit zum Sicherheitsrisiko wird
