Was englische Wirtschaftsprüfungsgesellschaften über Cyber Essentials Plus wissen müssen

Englische Wirtschaftsprüfungsgesellschaften verarbeiten täglich Steuerunterlagen, Gehaltsdaten, Finanzberichte und wirtschaftlich sensible Dokumente ihrer Mandanten. Ein einziger Datenschutzverstoß kann das Vertrauensverhältnis zu Mandanten zerstören, zu aufsichtsrechtlichen Sanktionen führen und das Unternehmen Klagen aussetzen. Cyber Essentials Plus bietet einen staatlich unterstützten Rahmen für grundlegende Cyberhygiene und wird zunehmend von Mandanten, Versicherern und Beschaffungsteams verlangt, bevor sie vertrauliche Daten teilen.

Dieser Artikel erläutert, welche Anforderungen Cyber Essentials Plus an die Compliance stellt, warum diese speziell für Wirtschaftsprüfungsgesellschaften relevant sind, wie sich das Programm vom grundlegenden Cyber Essentials Schema unterscheidet und wie Unternehmen die geforderten Kontrollen in der Praxis umsetzen können.

Executive Summary

Cyber Essentials Plus ist eine praxisorientierte, unabhängig geprüfte Zertifizierung, die bestätigt, dass ein Unternehmen fünf grundlegende Sicherheitskontrollen implementiert hat: Perimeter-Firewalls und Internet-Gateways, sichere Konfiguration, Zugriffskontrollen, Malware-Schutz und Patch-Management. Für englische Wirtschaftsprüfungsgesellschaften hat sich diese Zertifizierung von einem Wettbewerbsvorteil zu einer Basiserwartung entwickelt. Mandanten erwarten sie, bevor sie Steuerunterlagen teilen. Berufshaftpflichtversicherer verlangen sie häufig für die Ausstellung oder Verlängerung des Versicherungsschutzes. Öffentliche Auftraggeber können sie vertraglich vorschreiben. Im Zertifizierungsprozess prüft ein externer Auditor die Systeme durch Schwachstellenscans, Konfigurationsüberprüfungen und Tests, um sicherzustellen, dass die Kontrollen wie vorgesehen implementiert und wirksam sind. Im Gegensatz zu papierbasierten Compliance-Übungen verlangt Cyber Essentials Plus einen nachweisbaren technischen Sicherheitsstatus. Für Unternehmen, die sensible Daten per E-Mail und Filesharing verwalten, entfaltet die Zertifizierung ihren vollen Wert in Kombination mit einer einheitlichen Plattform, die zero trust Sicherheitskontrollen durchsetzt, Prüfprotokolle generiert und sich nahtlos in bestehende Workflows integriert.

wichtige Erkenntnisse

• Takeaway 1: Cyber Essentials Plus ist eine auditierte Zertifizierung, die fünf grundlegende Kontrollen durch externe Tests validiert – nicht durch Selbstauskunft. Wirtschaftsprüfungsgesellschaften müssen die technische Umsetzung gegenüber einem unabhängigen Prüfer nachweisen, was das Verfahren deutlich strenger macht als das Basisschema.

• Takeaway 2: Berufshaftpflichtversicherer verlangen zunehmend Cyber Essentials Plus für die Absicherung von Wirtschaftsprüfungsgesellschaften. Ohne Zertifizierung drohen höhere Prämien, eingeschränkte Deckungssummen oder eine vollständige Ablehnung des Versicherungsschutzes – mit direkten Auswirkungen auf die Wirtschaftlichkeit des Unternehmens.

• Takeaway 3: Die Zertifizierung adressiert Perimeter- und Endpunkt-Hygiene, schützt jedoch keine sensiblen Daten während der Übertragung oder im ruhenden Zustand. Unternehmen müssen zusätzliche Kontrollen einführen, um Mandantendateien bei E-Mail- und Dateitransfer-Workflows abzusichern.

• Takeaway 4: Mandanten fordern inzwischen routinemäßig einen Nachweis über Cyber Essentials Plus, bevor sie Finanzdaten teilen. Die Zertifizierung ist vom optionalen Marketing-Asset zur verpflichtenden Beschaffungsvoraussetzung geworden – insbesondere bei Firmen- und öffentlichen Aufträgen.

• Takeaway 5: Kontinuierliche Compliance erfordert die Integration der Zertifizierungskontrollen in den Arbeitsalltag, nicht nur in jährliche Audits. Unternehmen benötigen Transparenz über Datenbewegungen und Konfigurationsabweichungen, um ihre Sicherheitslage zwischen den Prüfzyklen aufrechtzuerhalten.

Warum englische Wirtschaftsprüfungsgesellschaften Cyber Essentials Plus priorisieren

Wirtschaftsprüfungsgesellschaften agieren in einem Umfeld mit hohem Vertrauensvorschuss und hohem Risiko. Mandanten vertrauen ihnen Steuererklärungen, Gehaltsabrechnungen und vertrauliche Korrespondenz an. Ein Datenschutzvorfall unterbricht nicht nur den Betrieb, sondern zerstört das Mandantenvertrauen, löst Meldepflichten nach Berufsregeln aus und setzt das Unternehmen Haftungsansprüchen wegen Fahrlässigkeit aus. Mandanten erwarten die Gewissheit, dass ihre Daten geschützt sind, bevor sie diese teilen – Cyber Essentials Plus bietet hierfür ein glaubwürdiges, staatlich unterstütztes Signal, dass grundlegende Kontrollen implementiert wurden.

Berufshaftpflichtversicherer machen den wirtschaftlichen Nutzen noch deutlicher: Ohne Cyber Essentials Plus müssen Unternehmen mit höheren Prämien, geringeren Deckungssummen oder Ausschlüssen für Cyber-Schäden rechnen. Versicherer sehen die Zertifizierung als Nachweis für grundlegendes Sicherheitsrisikomanagement. Für kleine und mittlere Kanzleien sind die Zertifizierungskosten gering im Vergleich zu möglichen Prämiensteigerungen oder Deckungsablehnungen bei fehlender Zertifizierung.

Öffentliche Auftraggeber und größere Firmenkunden verlangen Cyber Essentials Plus inzwischen regelmäßig als vertragliche Voraussetzung. Beschaffungsteams nutzen sie als K.-o.-Kriterium. Unternehmen ohne aktuelle Zertifizierung werden bereits vor Beginn der Gespräche ausgeschlossen.

Wie sich Cyber Essentials Plus vom Basisschema unterscheidet

Die grundlegende Cyber Essentials Zertifizierung besteht aus einem Selbstauskunftsfragebogen, der von einer externen Zertifizierungsstelle geprüft wird. Es gibt keine technischen Tests, keine Schwachstellenscans und keine Vor-Ort-Überprüfung. Das Verfahren ist bewusst zugänglich und kostengünstig gestaltet, lässt sich aber auch ohne strenge Umsetzung leicht bestehen.

Cyber Essentials Plus ergänzt unabhängige technische Tests. Ein externer Auditor führt Schwachstellenscans an internetzugänglichen Systemen durch, prüft Konfigurationen auf ausgewählten Endgeräten und testet Zugriffskontrollen. Der Auditor kann Remote-Zugriff anfordern, um Firewall-Regeln, Patch-Status oder Benutzerkonten-Konfigurationen zu überprüfen. Er stellt sicher, dass die auf dem Papier beschriebenen Richtlinien tatsächlich umgesetzt und durchgesetzt werden.

Für Wirtschaftsprüfungsgesellschaften ist die praktische Konsequenz eindeutig: Cyber Essentials Plus lässt sich nicht durch dokumentierte Absichtserklärungen bestehen. Unternehmen müssen nachweisen, dass Firewalls so konfiguriert sind, dass unnötiger eingehender Datenverkehr blockiert wird, dass Endgeräte aktuelle Betriebssysteme und die neuesten Sicherheitspatches verwenden, dass Admin-Konten eingeschränkt und überwacht werden, dass Antivirensoftware aktiv und aktuell ist und dass nicht unterstützte Software entfernt oder isoliert wurde.

Was die fünf technischen Kontrollen in der Praxis verlangen

• Perimeter-Firewalls und Internet-Gateways müssen standardmäßig sämtlichen eingehenden Datenverkehr blockieren – mit Ausnahme explizit benötigter Dienste. Der Auditor scannt den öffentlichen IP-Bereich des Unternehmens, um offene Ports und Dienste zu identifizieren. Unternehmen, die veraltete Remote-Desktop-Protokolle direkt ins Internet exponieren, bestehen diese Kontrolle nur, wenn sie VPN- oder zero trust-Architekturen einsetzen.

• Sichere Konfiguration bedeutet, unnötige Software, Dienste und Konten zu entfernen oder zu deaktivieren. Standardpasswörter müssen geändert werden. Nicht genutzte Admin-Konten sind zu deaktivieren. Der Auditor prüft eine Stichprobe von Arbeitsplätzen und Servern, ob die Konfigurationen den Härtungsleitfäden der Hersteller oder Branchenstandards entsprechen. Unternehmen, die Standard-Images mit unnötigen Diensten ausrollen, werden Schwierigkeiten beim Bestehen haben.

• Zugriffskontrolle verlangt, dass Benutzerkonten angemessene Rechte besitzen und Adminrechte eingeschränkt sind. Normale Anwender dürfen keinen lokalen Administratorzugriff haben. Die Zwei-Faktor-Authentifizierung (2FA) sollte administrative Zugriffe und Remote-Verbindungen schützen. Der Auditor prüft Active Directory oder vergleichbare Identitäts- und Zugriffsmanagementsysteme auf Rollenzuweisungen und Berechtigungsstufen.

• Malware-Schutz muss aktiv, aktuell und in der Lage sein, bekannte Bedrohungen zu erkennen und zu blockieren. Antivirensoftware muss Signaturen regelmäßig aktualisieren und Dateien in Echtzeit scannen. Der Auditor prüft, dass Antivirenprogramme auf allen Systemen installiert, Signaturen aktuell und Scans nicht deaktiviert sind.

• Patch-Management verlangt, dass Betriebssysteme, Anwendungen und Firmware innerhalb von vierzehn Tagen nach Verfügbarkeit von Patches für aktiv ausgenutzte Schwachstellen aktualisiert werden. Der Auditor scannt Systeme auf fehlende Patches. Unternehmen mit nicht mehr unterstützten Betriebssystemen oder Anwendungen müssen diese vor der Zertifizierung aktualisieren oder isolieren.

Warum Zertifizierung allein sensible Daten in Bewegung nicht schützt

Cyber Essentials Plus bestätigt, dass Endpunkte und Netzwerkgrenzen eines Unternehmens sicher konfiguriert sind. Es regelt jedoch nicht, was mit Mandantendaten geschieht, sobald sie im Unternehmen angekommen sind. Ein Mitarbeiter kann eine Steuererklärung auf ein privates Gerät herunterladen, sie per Webmail versenden oder in einen nicht verwalteten Filesharing-Dienst hochladen. Die zertifizierte Firewall erkennt oder blockiert diese Aktionen nicht, da sich die Daten bereits innerhalb des Perimeters befinden.

E-Mail-Anhänge stellen eine dauerhafte Schwachstelle dar. Selbst wenn Unternehmen verschlüsselte E-Mails nutzen, gilt die Verschlüsselung meist nur für die Übertragung. Nach dem Herunterladen liegt der Anhang im Klartext auf dem Gerät des Empfängers. Beim Weiterleiten entfällt der Schutz vollständig. Wirtschaftsprüfungsgesellschaften senden regelmäßig Mandantendateien an HMRC-Portale, Lohnabrechnungsdienste und Finanzinstitute. Jede Übertragung schafft eine neue Angriffsfläche, die Cyber Essentials Plus nicht adressiert.

Filesharing-Plattformen bergen ähnliche Risiken. Cloud-Speicherdienste erlauben es Anwendern, Links mit unterschiedlichen Zugriffskontrollen zu erstellen. Ein Mitarbeiter kann versehentlich einen Link für „jeder mit dem Link“ statt für bestimmte Personen freigeben und so vertrauliche Finanzdaten offenlegen. Ohne Transparenz über Datenbewegungen und automatisierte Durchsetzung von Zugriffsregeln bleiben Richtlinienverstöße unentdeckt, bis es zu einem Vorfall kommt.

Managed File Transfer Workflows für den Massendatenaustausch basieren oft auf SFTP oder proprietären Protokollen. Diese Tools verschlüsseln Daten während der Übertragung, bieten aber keine granularen Zugriffskontrollen oder Audit-Trails. Eine falsch konfigurierte Ordnerberechtigung kann hunderte Mandantendateien offenlegen. Unternehmen haben keine Echtzeit-Transparenz darüber, wer auf welche Daten zugegriffen hat – eine forensische Untersuchung nach einem Vorfall wird dadurch erschwert.

Wie sich die Zertifizierung in kontinuierliche Compliance-Programme integrieren lässt

Cyber Essentials Plus ist zwölf Monate gültig. Die damit validierten Kontrollen müssen jedoch dauerhaft bestehen bleiben. Konfigurationen verändern sich, wenn neue Software installiert wird, Patches aus Kompatibilitätsgründen aufgeschoben werden oder Benutzerkonten zusätzliche Rechte erhalten. Unternehmen, die die Zertifizierung als einmalige Audit-Checkliste betrachten, entfernen sich innerhalb weniger Wochen von ihrem zertifizierten Sicherheitsstatus.

Kontinuierliche Compliance erfordert die Überwachung von Konfigurationsgrundlagen, Nachverfolgung des Patch-Status, Überprüfung von Zugriffsrechten und Auditierung des Benutzerverhaltens. Unternehmen benötigen automatisierte Tools, die erkennen, wenn ein Endpunkt nicht mehr konform ist oder ein Benutzer versucht, sensible Daten unzulässig zu teilen. Diese Tools erzeugen Telemetriedaten für Dashboards und sinnvolle Benachrichtigungen und Alarme, sodass IT-Teams Probleme beheben können, bevor sie ausgenutzt werden oder der nächste Auditzyklus beginnt.

Audit-Trails sind nicht nur für die Zertifizierungserneuerung unerlässlich, sondern auch für Mandantennachweise und aufsichtsrechtliche Anforderungen. Mandanten können Nachweise verlangen, dass ihre Daten vertragsgemäß behandelt wurden. Berufsverbände oder Aufsichtsbehörden können bei gemeldeten Vorfällen Prüfprotokolle anfordern, die zeigen, wer auf betroffene Dateien zugegriffen hat. Unternehmen, die unveränderliche, mit Zeitstempel versehene Protokolle vorlegen können, die Zugriffskontrollen und Verschlüsselung belegen, beantworten solche Anfragen schneller und mit weniger Reputationsschaden.

Wie Wirtschaftsprüfungsgesellschaften Datenschutz neben der Zertifizierung operationalisieren können

Zero trust Datenschutz zu operationalisieren bedeutet, Kontrollen in die täglich genutzten Tools zu integrieren. E-Mail-, Filesharing- und Kollaborations-Workflows müssen Verschlüsselung, Zugriffsbeschränkungen und Audit-Logging durchsetzen, ohne dass Anwender die Plattform wechseln müssen. Ziel ist es, sicheres Verhalten zum Standard zu machen.

Zero-trust-Prinzipien bieten hierfür einen praxisnahen Rahmen. Jeder Zugriffsversuch wird authentifiziert, autorisiert und protokolliert – unabhängig davon, ob der Anwender intern oder extern ist. Sensible Dateien werden im ruhenden Zustand und während der Übertragung verschlüsselt. Zugriffsrechte sind auf bestimmte Anwender beschränkt und laufen automatisch ab. Externe Empfänger können Dateien nur weiterleiten oder herunterladen, wenn dies explizit erlaubt ist.

Content-Aware-Kontrollen sorgen für kontextbezogene Durchsetzung. Data Loss Prevention Richtlinien prüfen Dateiinhalte auf sensible Informationen wie Steuerkennzeichen oder Finanzberichte. Versucht ein Anwender, eine solche Datei zu teilen, kann das System die Aktion blockieren, zusätzliche Freigaben verlangen oder erweiterte Verschlüsselung und Audit-Logging anwenden.

Die Integration mit Identitäts- und Zugriffsmanagementsystemen stellt sicher, dass Authentifizierung und Autorisierung in allen Datenworkflows konsistent sind. Single Sign-on vereinfacht die Benutzererfahrung und ermöglicht zentrale Richtliniendurchsetzung. Zwei-Faktor-Authentifizierung (2FA) schützt risikoreiche Aktionen wie externes Teilen. Rollenbasierte Zugriffskontrollen stimmen Berechtigungen auf die Aufgabenprofile ab.

Wie Kiteworks englische Wirtschaftsprüfungsgesellschaften beim Schutz sensibler Daten neben Cyber Essentials Plus unterstützt

Cyber Essentials Plus bestätigt, dass Ihre Infrastruktur und Endpunkte grundlegende Sicherheitsstandards erfüllen – eine notwendige Basis. Doch die Zertifizierung schützt sensible Mandantendaten nicht, wenn sie per E-Mail, Filesharing oder Kollaboration weitergegeben werden. Hier setzt das Private Data Network von Kiteworks an.

Kiteworks bietet eine einheitliche Plattform, die jede von Ihrer Kanzlei geteilte Datei verschlüsselt, kontrolliert und nachverfolgt – egal ob sie per sichere E-Mail, sichere Dateiübertragung, Managed File Transfer oder sichere Web-Formulare versendet wird. Die Plattform setzt zero-trust-Prinzipien durch: Jeder Zugriffsversuch wird authentifiziert, Daten werden im ruhenden Zustand und während der Übertragung verschlüsselt, und Aktionen wie Weiterleiten oder Herunterladen werden gemäß Richtlinie eingeschränkt. Für Wirtschaftsprüfungsgesellschaften bedeutet das: Steuererklärungen und Finanzunterlagen Ihrer Mandanten bleiben auch außerhalb des zertifizierten Perimeters geschützt.

Die Plattform erstellt unveränderliche Audit-Trails, die erfassen, wer auf welche Datei, wann, von wo und mit welchen Aktionen zugegriffen hat. Diese Protokolle unterstützen die Cyber Essentials Plus Zertifizierung, indem sie den Nachweis für Zugriffskontrollen und Datenschutzrichtlinien liefern. Sie erfüllen auch Mandantennachfragen nach sicherem Umgang, Anfragen von Berufsverbänden und aufsichtsrechtliche Untersuchungen.

Kiteworks integriert sich mit Security Information and Event Management (SIEM), SOAR und ITSM-Plattformen, sodass Ihre Security- und IT-Teams Datei-Zugriffsereignisse mit anderen Sicherheitsdaten korrelieren können. Versucht ein Anwender, eine Datei mit sensiblen Daten zu teilen, kann die Plattform eine Benachrichtigung auslösen, ein Ticket erstellen oder eine Freigabe verlangen – alles automatisiert und ohne manuellen Mehraufwand.

Content-Aware Data Loss Prevention prüft Dateiinhalte und Metadaten, um Richtlinien zu erzwingen, die auf die Arbeitsabläufe von Wirtschaftsprüfern zugeschnitten sind. Sie können das externe Teilen von Dateien mit Steuerkennzeichen blockieren, Verschlüsselung für Gehaltsdaten verlangen oder jeden Zugriff auf Audit-Dateien protokollieren. Diese Kontrollen greifen auf Datenebene und schützen Inhalte über alle Kommunikationskanäle hinweg.

Für Unternehmen mit öffentlichen Auftraggebern belegen die Compliance-Mappings von Kiteworks die Einhaltung weiterer Rahmenwerke wie DSGVO, ISO 27001 und branchenspezifischer Vorgaben – und erleichtern so Mandantennachweise und Beschaffungsprozesse.

Wenn Ihre Kanzlei sich auf die Cyber Essentials Plus Zertifizierung vorbereitet oder die geforderten Kontrollen operationalisieren möchte, vereinbaren Sie eine individuelle Demo mit Kiteworks. Wir zeigen Ihnen, wie das Private Data Network sensible Mandantendaten in Bewegung schützt, zero-trust- und Content-Aware-Richtlinien durchsetzt und die Audit-Trails generiert, die Sie für Zertifizierung, Mandantennachweise und kontinuierliche Compliance benötigen.

Mandantendaten schützen und Zertifizierung mit einer einheitlichen Plattform aufrechterhalten

Cyber Essentials Plus bestätigt, dass Ihre Kanzlei grundlegende Sicherheitskontrollen implementiert hat. Das ist ein glaubwürdiges Signal an Mandanten, Versicherer und Beschaffungsteams, dass Sie Cyberrisiken ernst nehmen. Die Zertifizierung adressiert jedoch Infrastruktur- und Endpunkt-Hygiene, nicht den Schutz sensibler Daten in Ihren täglichen Workflows. Englische Wirtschaftsprüfungsgesellschaften benötigen beides: validierte Basiskontrollen und durchsetzbaren Datenschutz auf Inhaltsebene.

Das Private Data Network von Kiteworks schließt diese Lücke. Es schützt jede von Ihrer Kanzlei geteilte Datei – egal ob per E-Mail oder Dateitransfer. Es setzt zero-trust- und Content-Aware-Richtlinien durch, die unbefugten Zugriff und Weiterleitung verhindern. Es erstellt unveränderliche Audit-Trails, die Zertifizierungserneuerung, Mandantennachweise und aufsichtsrechtliche Anforderungen unterstützen. Und es integriert sich in Ihre bestehenden SIEM-, SOAR- und ITSM-Workflows, sodass Compliance operationalisiert wird, ohne den Service zu beeinträchtigen.

Wirtschaftsprüfungsgesellschaften, die Cyber Essentials Plus mit einer einheitlichen Datenschutzplattform kombinieren, profitieren messbar: Sie reduzieren die Angriffsfläche, indem sie unkontrolliertes Filesharing und unverschlüsselte E-Mail-Anhänge eliminieren. Sie beschleunigen die Incident Response, indem sie Datenzugriffe mit Sicherheitsalarmen korrelieren. Sie vereinfachen die Audit-Vorbereitung durch vollständige, manipulationssichere Protokolle auf Abruf. Und sie gewinnen das Vertrauen der Mandanten durch kontinuierlichen, durchsetzbaren Schutz sensibler Finanzdaten.