Ein Team führte CIS Level 1 ein und löschte dabei Regeln, die nicht in der Baseline standen. Danach konnte eine Führungskraft Unternehmensdaten auf ein privates Gerät herunterladen. Genau das hatte eine frühere Kontrolle verhindert.
Die Baseline war nicht das Problem. Das Problem war, dass sie als vollständiger Sollzustand gelesen wurde. Im Namen der Standardisierung verschwand eine organisationsspezifische Schutzentscheidung.
Eine Baseline wurde zum Löschauftrag
Die entfernte Regel war nicht zufällig entstanden. Jemand hatte ein konkretes Risiko gesehen und eine Grenze gesetzt. Bei der späteren Harmonisierung fehlte diese Herkunft. Übrig blieb nur der technische Unterschied zur Baseline, und dieser Unterschied wurde als Abweichung behandelt.
Das ist eine gefährliche Verkürzung. Eine Baseline kann zeigen, welche Grundkonfiguration breit sinnvoll ist. Sie weiß nicht, welche Vorfälle, Datenflüsse, regulatorischen Pflichten und bewussten Risikoentscheidungen in einer einzelnen Organisation bereits zu zusätzlichen Kontrollen geführt haben.
Was CIS Level 1 verspricht
Die CIS Benchmarks FAQ beschreibt Level 1 als Basisempfehlung, die sich zügig umsetzen lassen und die Angriffsfläche senken soll, ohne die Nutzbarkeit wesentlich zu beeinträchtigen. Das ist ein sinnvoller Startpunkt.
Ein Startpunkt ist aber keine Obergrenze. CIS beschreibt Benchmarks als konkrete, konsensbasierte Konfigurationsempfehlungen. Daraus folgt nicht, dass jede strengere oder organisationsspezifische Kontrolle falsch ist. Wer eine vorhandene Grenze entfernen will, braucht deshalb einen eigenen Risikobefund und nicht nur den Hinweis, dass sie im Level-1-Profil fehlt.
Warum Regulierung keine Gleichmacherei verlangt
NIS2, Artikel 21 verlangt angemessene und verhältnismäßige technische, operative und organisatorische Maßnahmen. DORA, Artikel 4 bindet seine Anforderungen an Größe, Gesamtrisikoprofil sowie Art, Umfang und Komplexität der Leistungen. Beide Regelwerke arbeiten also mit Risiko und Verhältnismäßigkeit, nicht mit blind identischen Konfigurationen.
Auch der BSI-Standard 200-3 ergänzt die Grundschutzmethodik um eine Risikoanalyse für Sachverhalte, die zusätzliche oder angepasste Maßnahmen erfordern. Das ist keine Rechtsberatung und keine Gleichsetzung der Frameworks. Es zeigt nur denselben praktischen Punkt: Eine Basis ersetzt die organisationsspezifische Risikobetrachtung nicht.
Kontrollen brauchen Herkunft
Seit diesem Vorfall würde ich keine bestehende Sicherheitskontrolle allein deshalb entfernen, weil eine Baseline sie nicht nennt. Vorher müssen vier Dinge geklärt sein: Wer hat sie eingeführt? Welches Risiko sollte sie begrenzen? Ist dieses Risiko verschwunden oder anderweitig abgedeckt? Und wie wird die Wirkung der Änderung geprüft?
Dafür reicht eine kurze Begründung im Kontrollinventar. Sie macht aus einer anonymen Einstellung eine nachvollziehbare Entscheidung. Beim nächsten Baseline-Projekt sieht das Team dann nicht nur, dass eine Regel abweicht. Es versteht, warum sie existiert.
CIS Level 1 bleibt damit ein gutes Fundament. Saubere Security Governance beginnt dort, wo niemand das Fundament mit dem ganzen Gebäude verwechselt.
Gregor Lyttek ist Security Architect & AI Strategist und Threat Hunter im Versicherungsumfeld.