Wie sicher ist Ihr Unternehmen von innen?

Eingerichtet ist nicht gleich wirksam

Manche Antwort im IT-Sicherheits-Check lautet „Ja“, obwohl die Maßnahme im Alltag nicht greift. Typische Beispiele:

• MFA mit Ausnahmen: Die meisten Konten sind geschützt, aber ältere Postfächer, Dienstkonten oder der Zugang eines externen Dienstleisters sind ausgenommen.
• Backup ohne Wiederherstellungstest: Die Sicherung läuft, aber niemand weiß, wie lange eine vollständige Wiederherstellung dauert und ob sie überhaupt funktioniert.
• Updates ohne Kontrolle: Automatische Updates sind aktiviert, doch einzelne Geräte waren lange nicht mehr im Netz oder hängen bei einem Neustart fest.
• Offboarding auf Zuruf: Konten ausgeschiedener Mitarbeitender bleiben aktiv, weil niemand die Liste aller Zugänge vollständig kennt.
• Admin-Rechte im Alltag: Getrennte Admin-Konten existieren, werden aber aus Bequemlichkeit auch für E-Mail und Internet genutzt.

Wenn Sie eine Frage mit „Ja“ beantwortet haben, lohnt deshalb die Nachfrage: Woran erkennen wir, dass es funktioniert – und wer prüft das regelmäßig?

NIS2 über die Lieferkette

Auch wenn Ihr Unternehmen nach der Ersteinschätzung nicht selbst unter NIS2 fällt, kann das Thema über Ihre Kunden auf Sie zukommen. Einrichtungen, die unter NIS2 fallen, müssen die Sicherheit ihrer Lieferkette berücksichtigen und Anforderungen an ihre direkten Zulieferer und Dienstleister stellen. Das BSI beschreibt auf seiner Informationsseite zur sicheren Lieferkette, dass dies auch für nicht regulierte Zulieferer zu einer vertraglichen und wirtschaftlichen Anforderung werden kann. In der Praxis zeigt sich das als Fragebogen im Einkauf, als Klausel im Rahmenvertrag oder als Bitte um Nachweise zu Backup, Zugriffsschutz und Meldewegen. Wer die Basis-Maßnahmen aus dem IT-Sicherheits-Check dokumentiert hat, kann solche Anfragen deutlich schneller beantworten. Ohne Vorbereitung bindet ihre Beantwortung Zeit, die im Tagesgeschäft fehlt, und oft ist die Frist knapp. Eine rechtliche Bewertung ersetzt das nicht – wir sind keine Kanzlei und leisten keine Rechtsberatung.

Reihenfolge statt Aktionismus

Nach dem IT-Sicherheits-Check stellt sich oft die Frage, womit man anfangen soll. Bewährt hat sich eine einfache Reihenfolge: zuerst die Maßnahmen, die einen Totalausfall verhindern, also Backup und Wiederherstellung, dann der Zugangsschutz mit MFA und getrennten Admin-Konten, danach Geräte, E-Mail-Schutz und Schulung. Parallel sollte feststehen, wer im Unternehmen für IT-Sicherheit verantwortlich ist und wer im Ernstfall welche Entscheidung trifft – auch wenn die Umsetzung bei einem externen Dienstleister liegt.

Hilfreich ist eine einfache Übersicht, die mit jedem Schritt wächst: welche Maßnahme umgesetzt ist, seit wann, wer sie verantwortet und wann sie zuletzt geprüft wurde. Diese Übersicht muss kein umfangreiches Handbuch sein. Eine gepflegte Tabelle reicht oft aus, um bei einer Kundenanfrage, einem Versicherungsfragebogen oder nach einem Vorfall schnell Auskunft geben zu können. Wiederholen Sie den Check außerdem in regelmäßigen Abständen, etwa einmal im Jahr oder nach größeren Veränderungen wie einem Umzug, einem neuen Standort oder dem Wechsel des IT-Dienstleisters. So sehen Sie, ob sich Ihr Score tatsächlich verbessert hat.

Wie wir Unternehmen ohne eigene IT-Abteilung dabei begleiten, lesen Sie auf unserer Seite zur IT-Sicherheit für KMU. Ihr Ergebnis aus dem IT-Sicherheits-Check ist dafür ein guter Ausgangspunkt, weil es die offenen Punkte bereits nach Priorität sortiert.