NIST CSWP 50: Der erste bundesstaatliche Cybersicherheitsleitfaden für Ein-Personen-Unternehmen

Wenn Sie als Freelancer, Einzelunternehmer oder Inhaber einer Ein-Personen-GmbH allein arbeiten, sind Sie wahrscheinlich davon ausgegangen, dass Cybersicherheitsleitlinien nicht für Sie geschrieben wurden. Die meisten lesen sich, als seien sie an IT-Abteilungen gerichtet: Firewalls, die konfiguriert werden müssen, Mitarbeitende, die geschult werden müssen, Sicherheitsteams, die sich abstimmen müssen. Nichts davon haben Sie. Sie haben einen Laptop, ein Telefon, eine Handvoll Kundenkonten und nicht viel Zeit übrig.

NIST hat genau diese Lücke bemerkt — und etwas dagegen unternommen. Im April 2026 veröffentlichte das National Institute of Standards and Technology einen überarbeiteten Entwurf seiner Cybersicherheitsleitlinie für Kleinunternehmen, der zum ersten Mal explizit für „Unternehmen ohne Angestellte" geschrieben ist: Unternehmen ohne bezahltes Personal außer dem Inhaber selbst. Das ist keine Nischenkategorie. Laut der Small Business Administration gibt es in den USA 34,8 Millionen Kleinunternehmen, und 81,9 % davon — mehr als 28 Millionen — haben null Angestellte. Wenn Sie Ihr Unternehmen allein führen, gehören Sie zur überwältigenden Mehrheit, nicht zum Sonderfall.

Was genau ist CSWP 50?​

Die neue Publikation, offiziell betitelt NIST CSWP 50: Small Business Cybersecurity: Non-Employer Firms, ist eine Überarbeitung eines Dokuments, das seit 2009 existiert (ursprünglich NIST IR 7621). Sie baut auf dem NIST Cybersecurity Framework (CSF) 2.0 auf — demselben Risikomanagement-Framework, das Banken, Krankenhäuser und Fortune-500-Unternehmen verwenden, nur so weit heruntergebrochen, dass ein Ein-Personen-Betrieb tatsächlich handeln kann, ohne einen Berater zu engagieren.

Ein paar Dinge haben sich in dieser Überarbeitung geändert, die wichtig sind, wenn Sie frühere NIST-Leitlinien als überwältigend empfunden haben:

• Engerer Fokus. Frühere Versionen versuchten, allgemeine Informationssicherheit abzudecken. CSWP 50 konzentriert sich speziell auf Cybersicherheit — den Schutz Ihrer digitalen Systeme und Daten vor Bedrohungen —, ein handhabbareres, konkreteres Ziel.
• Neu formatiert zum schnellen Überfliegen. Der Inhalt ist in Tabellen statt in dichtem Fließtext aufbereitet, sodass Sie den für Ihre Situation relevanten Abschnitt finden können, statt alles von vorn bis hinten zu lesen.
• Drei praxisnahe Anwendungsfälle. Der Entwurf enthält ausgearbeitete Beispiele, die zeigen, wie ein sehr kleines Unternehmen die Leitlinie in der Praxis anwenden würde, statt Sie die abstrakten Prinzipien selbst übersetzen zu lassen.
• Wachstumsbewusst. Er berücksichtigt, dass manche Unternehmen ohne Angestellte dauerhaft als Solo-Betrieb bestehen bleiben wollen, während andere irgendwann einstellen werden — und gibt Hinweise für beide Wege, statt anzunehmen, dass jeder auf dem Weg zu einem „richtigen" Unternehmen mit IT-Abteilung ist.

Die öffentliche Kommentierungsfrist für den Entwurf endete am 14. Mai 2026, und NIST wird voraussichtlich noch in diesem Jahr eine endgültige Fassung veröffentlichen. Es handelt sich noch um einen Entwurf, keinen finalen Standard — aber die Richtung, die er vorgibt, lohnt sich, schon jetzt und nicht erst später umzusetzen.

Warum das wichtiger ist, als es zunächst scheint​

Es ist verlockend anzunehmen, Cybersicherheit sei ein Problem „großer Unternehmen" — dass sich niemand die Mühe macht, eine Ein-Personen-Buchhaltungspraxis oder einen Solo-Webentwickler ins Visier zu nehmen. Die Daten sagen das Gegenteil.

Kleinunternehmen sind an einem großen Teil aller Cyberangriffe das Ziel, und Branchenberichte zu Datenschutzverletzungen beziffern die jährliche Vorfallsrate bei Kleinunternehmen auf etwa die Hälfte aller kleinen Firmen in einem gegebenen Jahr. Kommt es zu einer Sicherheitsverletzung, liegen die typischen Kosten für kleine und mittlere Unternehmen im niedrigen sechsstelligen bis in den siebenstelligen Bereich, sobald man Ausfallzeiten, Wiederherstellung, Meldepflichten und verlorenes Kundenvertrauen einrechnet — und ein Großteil der Kleinunternehmen, die eine erhebliche Sicherheitsverletzung erleiden, übersteht das langfristig nicht. Ransomware ist an einem großen Teil dieser Vorfälle beteiligt, mit medianen Lösegeldzahlungen weit im sechsstelligen Bereich — oft mehr als der gesamte Jahresumsatz eines Solo-Unternehmers.

Auch das freelancer-spezifische Risiko ist real: Kompromittierte Konten von Auftragnehmern und Freelancern werden branchenweit mit einem erheblichen Anteil der Sicherheitsvorfälle in Verbindung gebracht, oft weil ein Kunde Zugriff auf gemeinsam genutzte Systeme gewährt hat und niemand daran gedacht hat, diesen anschließend wieder zu sperren. Wenn Sie Auftragsarbeiten für andere Unternehmen ausführen, ist Ihre Sicherheitslage nicht nur Ihr eigenes Risiko — sie ist eine Tür in deren Systeme.

Trotzdem ist die Vorbereitungslücke enorm. Fast die Hälfte der Unternehmen mit weniger als 50 Beschäftigten gibt an, über kein dediziertes Cybersicherheitsbudget zu verfügen, und nur ein kleiner Bruchteil der Kleinunternehmen verfügt über eine Cyberversicherung. Prävention ist drastisch günstiger als Wiederherstellung — oft wird geschätzt, dass sie 50- bis 60-mal weniger kostet —, aber fast niemand budgetiert dafür, bevor etwas schiefgeht.

Die sechs Funktionen, übersetzt für ein Ein-Personen-Unternehmen​

Das CSF 2.0 gliedert Cybersicherheitsarbeit in sechs Funktionen: Govern (Steuern), Identify (Identifizieren), Protect (Schützen), Detect (Erkennen), Respond (Reagieren) und Recover (Wiederherstellen). Für ein Unternehmen mit Sicherheitsteam ist jede davon eine eigene Abteilung. Für einen Solo-Unternehmer ist jede eher ein Checklistenpunkt, den man ein paar Mal im Jahr durchgeht. So sehen sie in der Praxis aus:

Govern (Steuern) — Legen Sie schriftlich fest (auch ein einfaches Dokument genügt), welche Daten Sie verarbeiten und wie hoch Ihre Risikotoleranz ist. Wenn Sie finanzielle Kundendaten, medizinische Informationen oder Zahlungsdetails speichern, sollte Ihre Risikotoleranz niedrig sein und Ihre Praktiken sollten das widerspiegeln.

Identify (Identifizieren) — Erstellen Sie eine kurze Bestandsaufnahme: Welche Geräte nutzen Sie beruflich? Welche Konten enthalten sensible Daten — E-Mail, Cloud-Speicher, Buchhaltungssoftware, Kundenportale? Sie können nicht schützen, was Sie nicht aufgelistet haben.

Protect (Schützen) — Hier liegt der größte praktische Nutzen für ein Solo-Unternehmen:

• Verwenden Sie einen Passwort-Manager und aktivieren Sie Multi-Faktor-Authentifizierung für jedes Konto, das diese anbietet, besonders für E-Mail und Finanztools — E-Mail ist der Wiederherstellungsschlüssel für fast alles andere.
• Halten Sie Software und Betriebssysteme automatisch aktuell, statt Updates aufzuschieben.
• Verschlüsseln Sie die Festplatte Ihres Laptops (in modernem Windows und macOS bereits integriert, muss nur aktiviert werden).
• Sichern Sie Kunden- und Finanzdaten irgendwo getrennt von Ihrem primären Gerät — ein Cloud-Backup oder eine externe Festplatte, die nicht dauerhaft angeschlossen ist.
• Wenn Sie Auftragnehmer oder Subunternehmer beschäftigen, gewähren Sie nicht mehr Systemzugriff, als für die jeweilige Aufgabe nötig ist, und entziehen Sie ihn, sobald die Arbeit beendet ist.

Detect (Erkennen) — Aktivieren Sie Anmeldebenachrichtigungen und Warnungen bei ungewöhnlicher Aktivität für Ihre E-Mail-, Bank- und wichtigsten Cloud-Konten. Als Ein-Personen-Betrieb haben Sie kein eigenes Überwachungssystem — aber die meisten großen Anbieter benachrichtigen Sie kostenlos, wenn etwas verdächtig aussieht, sofern Sie das aktiviert haben.

Respond (Reagieren) — Schreiben Sie auf, bevor Sie es brauchen, was Sie tun, wenn Sie eine Kompromittierung vermuten: welche Konten Sie zuerst sperren, wen Sie benachrichtigen (Kunden, Ihre Bank, Ihren Versicherer, falls vorhanden) und wo Ihre Backups liegen. Das im Voraus in Ruhe zu entscheiden ist weit besser, als es mitten in der Panik zu entscheiden.

Recover (Wiederherstellen) — Wissen Sie, wie Sie Ihre Systeme und Daten aus dem Backup wiederherstellen würden, und testen Sie tatsächlich, ob das Backup funktioniert, bevor Sie es brauchen. Ein ungetestetes Backup ist eine Hoffnung, kein Plan.

Eine 30-Minuten-Startcheckliste​

Sie müssen nicht alle sechs CSF-Funktionen auf einmal umsetzen. Wenn Sie heute noch handeln wollen, hier ein realistischer Ausgangspunkt, der zuerst die wertvollsten Punkte abdeckt:

1. Aktivieren Sie Multi-Faktor-Authentifizierung (MFA) für Ihre E-Mail, Ihre Bank und jedes kundenzugängliche Portal. Das allein blockiert die Mehrheit der Kontoübernahmeversuche, selbst wenn ein Passwort geleakt wird.
2. Installieren Sie einen Passwort-Manager und hören Sie auf, Passwörter über mehrere Konten hinweg wiederzuverwenden. Ein einziges wiederverwendetes Passwort auf einer kompromittierten Website ist einer der häufigsten Wege, wie Solo-Konten kompromittiert werden.
3. Bestätigen Sie, dass Ihre Backups tatsächlich funktionieren. Vertrauen Sie nicht einfach darauf, dass eine Cloud-Synchronisierung läuft — wählen Sie eine Datei, löschen Sie sie lokal und stellen Sie sie aus dem Backup wieder her, um zu beweisen, dass der Prozess funktioniert.
4. Listen Sie jeden Ort auf, an dem Kundendaten liegen — E-Mail-Anhänge, ein gemeinsames Laufwerk, ein Rechnungstool, Ihre Buchhaltungssoftware — und prüfen Sie, ob bei jedem MFA aktiviert ist.
5. Schreiben Sie einen Zwei-Absatz-Notfallplan. Wen rufen Sie an, was sperren Sie zuerst, wo liegen Ihre Backups. Er muss nicht formell sein; er muss existieren, bevor Sie in Panik geraten.
6. Überprüfen Sie vierteljährlich die Zugriffsrechte von Auftragnehmern und Apps. Entziehen Sie alles, was Sie für ein inzwischen abgeschlossenes Projekt gewährt haben.

Keiner dieser Punkte erfordert ein Budget oder Sicherheits-Fachwissen — sie ähneln eher einem Nachmittag mit Kontoeinstellungen als einem IT-Projekt.

Wie geht es weiter?​

Da CSWP 50 noch ein Entwurf ist, könnten sich der genaue Wortlaut und die Struktur ändern, bevor NIST ihn finalisiert. Aber die Richtung — klar formulierte, anwendungsfallgetriebene Leitlinien in der Größenordnung eines Ein-Personen-Unternehmens — wird sich kaum umkehren, und die zugrunde liegenden CSF-2.0-Funktionen, auf denen er aufbaut, sind bereits final und stabil. Wenn Sie einen Vorsprung wollen: Die praktischen Schritte oben lassen sich direkt auf das Framework übertragen, unabhängig davon, wie das finale Dokument am Ende aussieht — es gibt also kaum einen Nachteil darin, jetzt zu beginnen, statt auf die endgültige Fassung zu warten.

Es ist auch ein nützliches Signal dafür, worauf sich Regulierungsbehörden und Normungsgremien konzentrieren: Solo- und angestelltenlose Unternehmen werden zunehmend als eigene Kategorie behandelt, die eigene Leitlinien verdient, statt als Nachgedanke an Ratschläge für Unternehmen mit IT-Personal angehängt zu werden. Erwarten Sie mehr davon — von Meldepflichten bei Datenschutzverletzungen bis zur Risikoprüfung bei Versicherungen —, die zunehmend explizit berücksichtigen, dass die meisten „Kleinunternehmen" tatsächlich aus einer einzigen Person bestehen.

Die Verbindung zur Buchhaltung​

Hier überschneiden sich Cybersicherheit und Finanzbuchführung mehr, als man erwarten würde: Ein Sicherheitsvorfall ist auch ein Vorfall bei den Finanzunterlagen. Wenn Ihre Buchhaltungsdaten in einem System liegen, das Sie nicht vollständig kontrollieren, oder wenn Ihre Bücher nur als Live-Verbindung zu einem Cloud-Dashboard ohne exportierbares Backup existieren, kann ein kompromittiertes Konto bedeuten, dass Sie genau in dem Moment Ihre Finanzhistorie verlieren, in dem Sie sie am dringendsten brauchen — während der Vorfallsbewältigung, einer Versicherungsschadensmeldung oder einer Steuererklärung.

Das ist einer der unterschätzten Vorteile davon, Ihre Bücher in Klartext-Dateien mit Versionskontrolle zu führen statt ausschließlich in einer proprietären Plattform: Ihre Finanzunterlagen sind nicht hinter einem einzigen Login gefangen, aus dem ein Angreifer Sie aussperren könnte. Eine lokale, gesicherte Ledger-Datei übersteht eine kompromittierte SaaS-Anmeldung auf eine Weise, wie es ein reines Browser-Dashboard nicht kann.

Vereinfachen Sie Ihre Finanzverwaltung​

Während Sie als Solo-Unternehmer Ihre Cybersicherheitspraktiken stärken, lohnt es sich, dasselbe Prinzip „vertraue nicht alles einem einzigen Login an" auch auf Ihre Bücher auszuweiten. Beancount.io bietet Plain-Text-Accounting, das Ihnen vollständige Transparenz und Kontrolle über Ihre Finanzdaten gibt — keine Black Boxes, keine Anbieterbindung und Aufzeichnungen, die Sie genauso sichern und prüfen können wie jede andere kritische Datei. Kostenlos starten und entdecken, warum Entwickler und Finanzfachleute zu Plain-Text-Accounting wechseln.