DAS WICHTIGSTE ZUERST
Kurz gefasst.
- Beginnen Sie bei wichtigen Geschäftsprozessen, nicht bei einer Einkaufsliste für Sicherheitssoftware.
- Eine beantwortete Frage ist noch kein Nachweis. Lassen Sie sich Zuständigkeit, Aktualität und Umsetzung zeigen.
- Aus dem Check soll ein überschaubarer Maßnahmenplan mit Verantwortlichen und Terminen entstehen.
Den Check vorbereiten: dieselbe Ausgangslage für alle.
Ein IT-Sicherheitscheck ist eine strukturierte Bestandsaufnahme. Er verbindet vorhandene Schutzmaßnahmen mit der Frage, welche Auswirkungen ein Ausfall, Datenverlust oder unberechtigter Zugriff auf Ihr Unternehmen hätte.
Nehmen Sie Geschäftsführung, interne IT und die betreuenden Dienstleister an einen Tisch. Vereinbaren Sie vorab, welche Standorte, Systeme und Cloud-Dienste betrachtet werden. Sammeln Sie die vorhandenen Unterlagen; fehlende Dokumentation ist ein Ergebnis, kein Grund, den Termin abzusagen.
Das BSI ordnet Informationssicherheit als Leitungsaufgabe ein. Auch seine Grundlagentipps für Unternehmen verbinden organisatorische Verantwortung mit technischen Schutzmaßnahmen. Die folgende Liste übersetzt diese Perspektive in ein Gespräch über Ihren Betrieb.
Notieren Sie je Prüffeld: vorhanden und belegt, teilweise geklärt oder offen. Ergänzen Sie einen Ansprechpartner und den nächsten Schritt. Verzichten Sie auf eine scheinbar präzise Gesamtnote: Ein einzelner kritischer offener Punkt kann wichtiger sein als neun gute Antworten.
10 Prüffelder für Ihren IT-Sicherheitscheck.
Die Fragen sind bewusst verständlich formuliert. Die Belege prüft Ihre IT im vereinbarten Umfang. Zugangsdaten, vertrauliche Konfigurationen und personenbezogene Detaildaten gehören nicht in ungeschützte Gesprächsnotizen.
Wer trägt die Verantwortung – auch bei Abwesenheit?
Klären Sie, wer Risiken bewertet, Maßnahmen freigibt und ihre Umsetzung verfolgt. Ein IT-Dienstleister kann Aufgaben übernehmen; Budgetentscheidungen und akzeptierte Geschäftsrisiken brauchen trotzdem einen Ansprechpartner im Unternehmen.
Möglicher NachweisAktuelle Aufgabenverteilung mit Namen, Vertretung und Eskalationsweg.
Welche Abläufe dürfen nicht lange ausfallen?
Beginnen Sie mit drei bis fünf wichtigen Abläufen, etwa Auftragsannahme, Produktion oder Rechnungsstellung. Notieren Sie benötigte Systeme, Daten und externe Dienste. Vergessen Sie nicht die Personen, die diese Abläufe tatsächlich kennen.
Möglicher NachweisEine abgestimmte Liste kritischer Prozesse und ihrer IT-Abhängigkeiten.
Ist der IT-Bestand vollständig genug für Entscheidungen?
Betrachten Sie Geräte, Server, Cloud-Anwendungen und Dienstleister gemeinsam. Erfragen Sie für jedes wichtige System Eigentümer, Zweck und Betreuungsverantwortung. Unbekannte oder nicht mehr betreute Systeme gehören als offene Punkte in den Plan.
Möglicher NachweisBestandsübersicht mit Verantwortlichen und Datum der letzten Prüfung.
Wer hat Zugriff auf welche Daten und Funktionen?
Besprechen Sie Mehrfaktor-Authentifizierung, getrennte Administrationskonten und den Umgang mit Ein- und Austritten. Entscheidend ist auch, ob Dienstleisterzugänge nachvollziehbar vergeben und nicht mehr benötigte Rechte entzogen werden.
Möglicher NachweisDokumentierter Freigabe- und Entzugsprozess sowie eine aktuelle Rechteprüfung.
Wer hält Systeme aktuell und kümmert sich um Ausnahmen?
Ein Update-Prozess braucht Zuständigkeit, Wartungsfenster und einen Umgang mit Problemen. Lassen Sie erklären, wie die IT erkennt, dass eine Aktualisierung fehlt oder scheitert – und wie nicht mehr unterstützte Software behandelt wird.
Möglicher NachweisAktueller Umsetzungsstatus und eine begründete Liste offener Ausnahmen.
Sind E-Mail und Endgeräte in ein Schutzkonzept eingebunden?
Fragen Sie nach dem abgedeckten Gerätebestand, der Betreuung von Schutzsoftware und dem Meldeweg für verdächtige Nachrichten. Eine Lizenzliste allein sagt wenig darüber aus, ob Geräte eingebunden sind und Hinweise jemanden erreichen.
Möglicher NachweisAbgleich von Gerätebestand und Schutzabdeckung plus benannter Meldestelle.
Lässt sich aus den Sicherungen wirklich wieder arbeiten?
Erfragen Sie nicht nur den letzten erfolgreichen Sicherungslauf. Lassen Sie sich den letzten Wiederherstellungstest, die erfassten Daten und die erreichbare Wiederanlaufzeit erklären. Prüfen Sie, welche Cloud-Daten das Konzept tatsächlich einschließt.
Möglicher NachweisTestprotokoll mit Datum, geprüftem Umfang, Ergebnis und offenen Abweichungen.
Wer prüft Sicherheitsmeldungen und entscheidet über die Reaktion?
Klären Sie, welche Hinweise aus wichtigen Systemen ankommen, wer sie einordnet und wie eine Übergabe erfolgt. Dabei müssen Betreuungszeiten, Eskalationen und die Grenzen der beauftragten Überwachung verständlich sein.
Möglicher NachweisMelde- und Eskalationsweg mit Leistungsumfang und vereinbarten Servicezeiten.
Kennen Mitarbeitende den richtigen Meldeweg?
Beschäftigte sollten Auffälligkeiten einfach melden können, ohne eine technische Diagnose abliefern zu müssen. Besprechen Sie, wie neue Mitarbeitende informiert werden und wer Rückfragen beantwortet, wenn etwa eine Zahlungsanweisung ungewöhnlich wirkt.
Möglicher NachweisKurze, zugängliche Meldeanleitung und nachvollziehbare Einweisung.
Gibt es einen benutzbaren Plan für den Ernstfall?
Prüfen Sie Kontaktliste, Entscheidungskompetenzen und einen Ersatz für ausgefallene Kommunikationswege. Fragen Sie nach der letzten gemeinsamen Übung. Ein Plan darf nicht ausschließlich auf dem System liegen, dessen Ausfall er behandeln soll.
Möglicher NachweisAktuelle Notfallunterlagen und dokumentierte Erkenntnisse aus einer Übung.
Für grundlegende Schutzthemen bietet die CISA Materialien für kleine und mittlere Unternehmen. Warum Protokollierung eine Zuständigkeit für Auswertung und Reaktion braucht, erläutert sie gesondert im Leitfaden zu Logging und Monitoring.
Aus offenen Fragen einen Maßnahmenplan machen.
Sortieren Sie Feststellungen nach möglicher Geschäftsauswirkung und Dringlichkeit. Unterscheiden Sie dabei eine bestätigte Schwäche von einer noch ungeprüften Annahme. Das verhindert, dass die lauteste Sorge automatisch das gesamte Budget bindet.
| Feststellung | Nächster Schritt | Erledigt, wenn … |
|---|---|---|
| Wiederherstellung wurde nicht belegt | Abgestimmten Test für einen wichtigen Ablauf planen | Ergebnis, Dauer und Abweichungen dokumentiert sind |
| Dienstleisterzugänge sind unklar | Eigentümer und Freigaben gemeinsam prüfen | Benötigte Zugänge bestätigt und offene Fälle geklärt sind |
| Notfallvertretung fehlt | Vertretung benennen und Kontaktweg abstimmen | Die Beteiligten ihre Aufgabe kennen |
Ergänzen Sie für jede Maßnahme Verantwortliche, einen realistischen Termin und notwendige Freigaben. Die Geschäftsführung entscheidet auch darüber, welche Restrisiken vorerst getragen werden. Diese Entscheidung sollte sichtbar sein und einen Wiedervorlagetermin haben.
Was Sie vor einer Beauftragung klären sollten.
- Prüfumfang: Welche Systeme und Prozesse werden betrachtet – und welche ausdrücklich nicht?
- Methode: Handelt es sich um Gespräche, Dokumentensichtung, technische Prüfung oder eine Kombination?
- Ergebnis: Erhalten Sie eine verständliche Management-Zusammenfassung und konkrete Aufgaben für die IT?
- Zusammenarbeit: Welche Unterlagen und Ansprechpartner werden benötigt? Wer darf Prüfungen freigeben?
- Folgeschritte: Wer setzt Maßnahmen um, wer überprüft sie und welche Leistungen kosten zusätzlich?
Ein sinnvoller Einstieg muss nicht sofort jedes Detail untersuchen. Er muss seine Grenzen nennen und die nächste Entscheidung erleichtern. Auf unserer Seite zur IT-Sicherheit für Unternehmen finden Sie den möglichen Ablauf und die Zusammenarbeit mit Ihrem bestehenden IT-Team.
Was diese Checkliste nicht leistet.
Diese redaktionelle Liste ist weder ein technischer Sicherheitsnachweis noch ein Audit, eine Zertifizierung oder der standardisierte CyberRisikoCheck nach DIN SPEC 27076. Sie belegt auch keine gesetzliche Konformität. Ob Schutzmaßnahmen wirklich greifen, muss abhängig vom Auftrag gesondert geprüft werden.
Bei einem konkreten Angriff oder verdächtigen Vorgang ist ein allgemeiner Check nicht der passende erste Schritt. Nutzen Sie in diesem Fall den direkten Kontakt zum IT-Notdienst und Incident Response.
AUF IHRE SITUATION ÜBERTRAGEN
Welche Unterstützung passt zum nächsten Schritt?
Nicht jede Ausgangslage braucht denselben Auftrag. Diese Leistungen knüpfen an die Fragen aus dem Leitfaden an.
- IT-Sicherheitsberatung: Risiken zuerst einordnen
Wenn noch unklar ist, welche Schutzmaßnahmen für Ihre geschäftskritischen Systeme zuerst nötig sind. - Managed Security: Maßnahmen im Betrieb nachhalten
Wenn die Risiken bekannt sind, aber Zeit und klare Zuständigkeiten für die laufende Umsetzung fehlen. - NIS2-Beratung: Anforderungen und Nachweise verbinden
Wenn technische Ergebnisse in ein nachvollziehbares Maßnahmenprogramm für Geschäftsführung und IT einfließen sollen.
QUELLEN & EINORDNUNG
Zum Vertiefen und Gegenprüfen.
Dieser Leitfaden ist eine redaktionelle Orientierung von LOCKVEIL. Die folgenden Primärquellen unterstützen die fachliche Einordnung; die Prüffragen und Beispiele sind unsere eigene Zusammenstellung.
- BSI: 10 Tipps zur Cyber-Sicherheit für Unternehmen Grundlagen zu Verantwortlichkeit, Updates, Sensibilisierung und Schutzmaßnahmen.
- CISA: Small and Medium-Sized Business Resources Kostenfreie Orientierung für kleinere Unternehmen, etwa zu MFA, Backups und Protokollierung (englisch).
- CISA: Use Logging on Business Systems Einordnung von Protokollierung, Überwachung und Zuständigkeiten (englisch).
Veröffentlicht und redaktionell eingeordnet am 5. September 2026. Empfehlungen müssen an Ihre Systeme, Verträge und Risiken angepasst werden. Dieser Beitrag ersetzt keine individuelle technische oder rechtliche Prüfung.