Kurz gesagt: Die VdS 10000 ist eine Richtlinie der VdS Schadenverhütung für Informationssicherheit in kleinen und mittleren Unternehmen. Sie basiert laut VdS auf ISO 27001 und dem BSI-Grundschutz, ist aber deutlich schlanker und auf den Mittelstand zugeschnitten. Für Websites und Webserver sind vor allem Inventar, Schwachstellenbehandlung, Fernzugänge mit Mehr-Faktor-Anmeldung, Datensicherung und der Umgang mit Sicherheitsvorfällen wichtig.
Warum die VdS 10000 für den Mittelstand interessant ist
Viele Unternehmen wissen, dass sie Informationssicherheit strukturierter angehen sollten, schrecken aber vor dem Aufwand einer ISO 27001 zurück. Genau dafür ist die VdS 10000 gedacht. VdS beschreibt sie als branchenneutralen Maßnahmenkatalog, der kleine und mittlere Unternehmen sowie Kommunen weder organisatorisch noch finanziell überfordern soll.
Zwei Angaben von VdS helfen bei der Einordnung. Der Aufwand liege bei etwa 20 Prozent im Vergleich zu ISO 27001. Und das BSI bewerte die Anforderungen der VdS 10000 als Teilmenge der Basis-Absicherung des IT-Grundschutzes. Die Richtlinie ist also kein Ersatz für die großen Standards, sondern ein realistischer Einstieg, der laut VdS aufwärtskompatibel ist.
Für Versicherer hat die VdS 10000 besonderes Gewicht, denn VdS ist eng mit der Versicherungswirtschaft verbunden. VdS hebt hervor, dass eine Zertifizierung bei Versicherern Vertrauen schaffen und helfen kann, das Restrisiko zu übertragen. Was das für Ihre Police konkret bedeutet, klären Sie mit Versicherer oder Makler; Hinweise zum Schadensfall stehen unter Cyberversicherung: Was im Schadensfall zählt.
Was in der VdS 10000 Fassung 2025 neu ist
VdS hat die Richtlinie 2025 überarbeitet. Laut VdS sind dabei unter anderem diese Punkte hinzugekommen oder verändert worden:
- Klarere Sprache, damit auch Einsteiger die Anforderungen verstehen.
- Verbindliche Verantwortlichkeiten: Informationssicherheitsbeauftragte und das zugehörige Team müssen offiziell bestellt werden.
- Mehr-Faktor-Authentifizierung für Fernzugänge wird zur Pflicht.
- Datensicherung nach dem Mehr-Generationen-Prinzip, an verschiedenen Orten und auf unterschiedlichen Medien.
- Überarbeitetes Risikomanagement mit Vorgaben zu Bewertungskriterien und Grenzen, ab denen ein Risiko akzeptiert wird.
- Ein gemeinsames Kapitel „Sicherheitsvorfälle“, das frühere Kapitel zu Störungen, Ausfällen und Vorfällen zusammenführt.
- Physische Zugänge wie Schlüssel und Transponder werden in den Personalprozessen mitgeregelt.
Die Neuauflage berücksichtigt außerdem die Richtlinie VdS 10100, die NIS2-Anforderungen beschreibt. VdS sieht die VdS 10000 als Basis, auf der sich diese später ergänzen lassen.
VdS 10000 und der Webserver: Was konkret zu tun ist
Die Richtlinie spricht nicht von PHP oder einzelnen Webservern. Ihre Anforderungen lassen sich aber direkt auf die Web-Infrastruktur übertragen. Die folgende Tabelle zeigt, wie das aussehen kann. Sie ist eine Übersetzungshilfe, keine amtliche Auslegung.
| Anforderungsbereich | Bedeutung für Website und Webserver | Beispiel aus der PHP2Shell-Lage |
|---|---|---|
| Überblick über IT-Systeme und Risiken | Websites, Shops, Portale und ihre Server sind erfasst und bewertet | Sofort wissen, welche Systeme PHP nutzen und in welcher Version |
| Schwachstellen und Updates | Sicherheitsupdates werden zeitnah eingespielt und dokumentiert | Patch auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35, Neustart aller Worker |
| Fernzugänge mit Mehr-Faktor-Anmeldung | SSH, Hosting-Panel und CMS-Admin sind zusätzlich abgesichert | Gestohlene Passwörter allein öffnen keinen Admin-Zugang |
| Datensicherung | Mehrere Generationen, getrennte Orte und Medien | Rückgriff auf eine Sicherung vor dem 17.10.2026, falls nötig |
| Sicherheitsvorfälle | Meldeweg, Bewertung, Dokumentation | Verdacht auf Webshell wird gemeldet und geprüft, nicht still gelöscht |
| Dienstleister | Hoster und Agentur sind vertraglich eingebunden | Schriftliche Patch-Bestätigung des Hosters |
Zur Datensicherung lohnt der Blick auf Backups nach der 3-2-1-Regel, zu den Fernzugängen auf Zwei-Faktor-Anmeldung für Admin-Zugänge. Beides deckt sich gut mit den neuen Pflichten der Fassung 2025.
Wie gehen KMU realistisch vor?
Die VdS 10000 lässt sich auch ohne Zertifizierungsziel als Leitfaden nutzen. Ein pragmatischer Weg beginnt mit dem Inventar, weil ohne Überblick keine andere Anforderung sauber erfüllbar ist. Danach folgen die Punkte mit der größten Wirkung pro Aufwand: Mehr-Faktor-Anmeldung, funktionierende Backups mit Wiederherstellungstest und ein klarer Meldeweg bei Verdacht.
Erst wenn diese Grundlagen stehen, lohnt sich die formale Seite mit Richtlinien, bestellten Verantwortlichen und Risikobewertung. Wer später eine Zertifizierung anstrebt, findet das Verfahren in den Unterlagen von VdS; die Prüfung selbst übernimmt die Zertifizierungsstelle, nicht ein Dienstleister wie wir.
Ein häufiger Stolperstein im Mittelstand ist die Frage, wer die Rolle der Informationssicherheitsbeauftragten übernimmt. Die Fassung 2025 verlangt eine offizielle Bestellung. In kleinen Unternehmen landet die Aufgabe oft bei der IT-Leitung oder der Geschäftsführung selbst. Das ist möglich, solange Zeit und Befugnisse realistisch bemessen sind. Wichtig ist, dass diese Person auch die Websites im Blick hat, die Marketing oder eine Agentur betreuen. Gerade sie fallen bei der ersten Bestandsaufnahme gern durch das Raster, weil sie nicht im eigenen Rechenzentrum laufen. Hilfreich ist eine einfache Regel: Jede Domain, die das Unternehmen besitzt, hat eine verantwortliche Person und einen Eintrag im Inventar.
Für den Webserver heißt das: Härtung und Patch-Disziplin sind keine Kür neben der Richtlinie, sondern genau das, was sie im Alltag verlangt. Was dazu gehört, beschreibt die Server-Härtung für PHP-Webserver. Den Vergleich mit den großen Standards zieht der Beitrag ISO 27001 und TISAX: Was Webserver betrifft.
Wie hilft PHP SOS konkret?
- Wir erstellen mit Ihnen das Inventar Ihrer Websites, Server und PHP-Versionen und markieren die kritischen Systeme.
- Wir setzen die technischen Anforderungen am Webserver um: Updates mit Nachweis, Mehr-Faktor-Anmeldung für Fernzugänge, Härtung und Backup-Prüfung.
- Wir dokumentieren das so, dass Ihre Informationssicherheitsbeauftragten es in die VdS-Unterlagen übernehmen können.
- Wir versprechen keine Zertifizierung. Ob die Anforderungen erfüllt sind, beurteilt die Prüfstelle.
Fazit
Die VdS 10000 ist ein ernst zu nehmender, aber machbarer Rahmen für den Mittelstand. Die Fassung 2025 schärft genau die Punkte, die auch nach PHP2Shell zählen: Verantwortliche, Mehr-Faktor-Anmeldung, gute Backups und ein geregelter Umgang mit Vorfällen. Wer am Webserver beginnt, hat schnell sichtbare Fortschritte und eine solide Grundlage für mehr.
Häufige Fragen
Für wen ist die VdS 10000 gedacht?
Laut VdS für kleine und mittlere Unternehmen sowie Kommunen und kommunale Unternehmen. Sie ist branchenneutral und soll weder organisatorisch noch finanziell überfordern. Anwenden können sie laut VdS auch größere Organisationen.
Was ist der Unterschied zwischen VdS 10000 und ISO 27001?
Die VdS 10000 basiert laut VdS auf ISO 27001 und dem BSI-Grundschutz, ist aber auf KMU zugeschnitten und deutlich schlanker. VdS beziffert den Aufwand auf etwa 20 Prozent im Vergleich zu ISO 27001 und beschreibt die Richtlinie als aufwärtskompatibel, also als möglichen Einstieg in die ISO-27000-Reihe.
Hilft die VdS 10000 bei NIS2?
VdS beschreibt die Neuauflage 2025 als Basis, auf der sich die NIS2-Anforderungen später ergänzen lassen. Dafür gibt es die eigene Richtlinie VdS 10100. Ob Ihr Unternehmen unter NIS2 fällt und was dann gilt, klären Sie bitte gesondert.
Gibt es eine Fassung für Produktionsanlagen?
Ja. Für industrielle Automatisierungssysteme veröffentlicht VdS den Leitfaden VdS 10020, der die VdS 10000 für diesen Bereich auslegt.