Die Essential Eight: ein praktischer Leitfaden

Nach Paul Gillet · Aktualisiert 2026-10-17

Die Essential Eight ist die Basisvorgabe des australischen Signals Directorate (ASD) mit acht Maßnahmenstrategien gegen die häufigsten Cyberangriffe. Das ASD veröffentlicht sie zusammen mit einem Reifegradmodell, das festlegt, was jede Strategie auf den Reifegradstufen Eins, Zwei und Drei erfordert. Die Anforderungen selbst sind Controls im Information Security Manual (ISM) des ASD.

Die acht Strategien

• Anwendungen patchen: Schwachstellen in Anwendungen finden und patchen sowie nicht mehr unterstützte Anwendungen entfernen.
• Betriebssysteme patchen: dasselbe für Betriebssysteme, Treiber und Firmware.
• Multi-Faktor-Authentifizierung: für Online-Dienste, Fernzugriff, privilegierte Benutzer und auf höheren Stufen für Datenspeicher, mit stärkeren (phishing-resistenten) Verfahren, je höher die Stufe.
• Administrative Berechtigungen einschränken: privilegierten Zugriff gewähren, überprüfen und protokollieren sowie privilegierte Umgebungen trennen.
• Anwendungskontrolle: Nur genehmigte Programme, Skripte, Installationsprogramme und Bibliotheken dürfen ausgeführt werden.
• Microsoft-Office-Makros einschränken: Makros aus dem Internet blockieren und nur vertrauenswürdige zulassen.
• Härtung der Benutzeranwendungen: Browser, Office- und PDF-Software härten sowie PowerShell einschränken.
• Regelmäßige Backups: wichtige Daten, Software und Einstellungen sichern, die Wiederherstellung testen und Backups vor Änderung und Löschung schützen.

Reifegradstufen

Jede Stufe zielt auf einen leistungsfähigeren Angreifer. Stufe Eins stoppt opportunistische Angreifer, die handelsübliche Werkzeuge nutzen. Stufe Zwei stoppt Angreifer, die bereit sind, mehr Zeit und Aufwand zu investieren. Stufe Drei stoppt adaptive Angreifer, die weniger auf öffentlich verfügbare Werkzeuge angewiesen sind. Das ASD empfiehlt, zunächst alle acht Strategien auf dieselbe Stufe zu bringen, bevor eine davon höher angehoben wird, und eine Zielstufe anhand Ihrer Bedrohungslage zu wählen.

Wer muss sie umsetzen

Nicht-kommerzielle Commonwealth-Behörden der australischen Regierung müssen die Essential Eight im Rahmen des Protective Security Policy Framework umsetzen, mit Reifegradstufe Zwei als Zielwert. Viele Landesregierungen, regulierte Unternehmen und Cyberversicherer in Australien verlangen sie ebenfalls. Für alle anderen ist sie eine bewährte, priorisierte technische Basisvorgabe.

So funktioniert die Bewertung

Es gibt kein Essential-Eight-Zertifikat. Bewertungen folgen dem Essential Eight Assessment Process Guide des ASD und können intern oder durch einen externen Prüfer erfolgen. Jede Strategie wird separat bewertet; eine Strategie erreicht eine Stufe erst, wenn alle Anforderungen dieser Stufe und aller darunterliegenden Stufen erfüllt sind. Die Qualität der Nachweise ist entscheidend: Die direkte Prüfung eines Controls ist der stärkste Nachweis, die Überprüfung einer Konfiguration ist gut, Dokumentation ist schwächer und ein reines Interview ist am schwächsten.

Die Schritte

1. Zielreifegradstufe für die Organisation festlegen, in der Regel zunächst Stufe Zwei.
2. Aktuelle Stufe je Strategie bewerten und dabei nach Möglichkeit systemseitige Tests einsetzen.
3. Lücken priorisieren und zuerst alle Strategien auf dieselbe Stufe bringen.
4. Controls umsetzen und Nachweise erbringen, Ausnahmen mit Kompensationsmaßnahmen und einem Verantwortlichen dokumentieren.
5. Regelmäßig neu bewerten: Patch- und Berechtigungskontrollen verschlechtern sich schnell.

Die Essential Eight und andere Frameworks

ISO 27001 und NIST CSF beschreiben Ergebnisse; die Essential Eight schreibt konkrete technische Einstellungen und Fristen vor. Daher sind die meisten Essential-Eight-Controls nur lose verwandt mit Anforderungen von ISO oder NIST: Diese Frameworks verlangen, Schwachstellen zu managen oder Zugriffe zu steuern, schreiben aber nicht vor, Makros aus dem Internet zu blockieren oder innerhalb einer festgelegten Frist zu patchen. Das ASD veröffentlicht kein Crosswalk; jede Essential-Eight-Verknüpfung auf dieser Website ist daher eine redaktionelle Einschätzung von ControlMapping, mit der jeweiligen Begründung.

Wie diese Website hilft

ControlMapping listet die ISM-Controls auf, die das ASD den Essential Eight zuordnet, gruppiert nach Strategie mit ihren Reifegradstufen, aus einer festgeschriebenen ISM-Version (CC BY 4.0). Die Tabelle unten zeigt, wie viel der Essential Eight Ihre bestehenden Frameworks bereits abdecken; erwarten Sie einen bescheidenen Wert, denn genau das ist der Zweck der Essential Eight.

Bereits ein anderes Framework im Einsatz?

Wie viele Essential Eight-Anforderungen jedes Framework, das Sie möglicherweise bereits erfüllen, abdeckt. Öffnen Sie einen Lückenbericht für die Liste Anforderung für Anforderung.

Crosswalk eine veröffentlichte Crosswalk (NIST, ENISA, CIS, PCI SSC) stellt die Verbindung her · Redaktionell Einschätzung von ControlMapping, wo kein Crosswalk existiert; die Begründung wird angezeigt · Lose verwandt teilt nur ein CSF-2.0-Ergebnis: einer Prüfung wert, aber keine Zuordnung · Keine Zuordnung in unseren Daten In unseren Daten nichts zugeordnet; oft neue Arbeit, aber prüfen Sie die Hinweise zur Abdeckung. Die Zählungen stammen aus denselben Daten wie Lückenanalyse. Eine Zuordnung bedeutet verwandte Anforderungen, nicht den Nachweis, dass eine die andere erfüllt.

Fragen

Ist die Essential Eight verpflichtend?

Für nicht-kommerzielle Commonwealth-Behörden der australischen Regierung ja, im Rahmen des Protective Security Policy Framework. Für andere Organisationen ist sie freiwillig, auch wenn Kunden, Aufsichtsbehörden und Versicherer sie verlangen können.

Welche Reifegradstufe sollten wir anstreben?

Das ASD empfiehlt, eine Stufe anhand Ihrer Bedrohungslage zu wählen und sie über alle acht Strategien hinweg zu erreichen, bevor Sie weitergehen. Stufe Zwei ist das übliche erste Ziel.

Gibt es eine Essential-Eight-Zertifizierung?

Nein. Organisationen werden anhand des Essential Eight Assessment Process Guide des ASD bewertet, intern oder durch externe Prüfer, aber es wird kein Zertifikat ausgestellt.

Keine Rechts- oder Compliance-Beratung. Prüfen Sie vor einer Verwendung den amtlichen Wortlaut und sprechen Sie mit Ihrem Auditor, Prüfer oder Ihrer Aufsichtsbehörde.