IT-Sicherheitscheck
KMU & Mittelstand
kostenlos online

💡 Informationssicherheit ist Chefsache. Ohne klares Commitment der Leitungsebene fehlt es an Ressourcen und Durchsetzungskraft. Prüfen Sie: Gibt es eine dokumentierte Beauftragung – z.B. im Organigramm oder in einer internen Richtlinie?

💡 Ohne eine klar definierte Zuständigkeit bleibt IT-Sicherheit "Aufgabe aller" – und damit niemandes. Diese Person muss nicht Vollzeit IT-Sicherheit machen, sollte aber eine dokumentierte Rolle haben.

💡 IT-Sicherheit "nebenbei" funktioniert nicht. Selbst wenn nur 1-2 Stunden pro Woche eingeplant sind: Hauptsache, diese Zeit ist fest reserviert und nicht immer der erste Kandidat beim Arbeitsdruck.

💡 Fachwissen kann durch Schulungen, Zertifikate (z.B. IT-Grundschutz-Praktiker, CompTIA Security+) oder langjährige Praxiserfahrung nachgewiesen werden. Externe Dienstleister können diese Rolle ebenfalls übernehmen.

💡 Mitarbeitende entdecken viele Angriffe zuerst – aber nur, wenn sie wissen, wohin sie damit sollen. Eine einfache E-Mail-Adresse wie security@unternehmen.de oder eine Telefonnummer reicht oft aus.

💡 Ein Notfallplan muss kein 50-Seiten-Dokument sein. Schon eine einseitige Checkliste mit den wichtigsten Kontakten, Sofortmaßnahmen und Eskalationswegen hilft enorm – besonders im Stress eines echten Vorfalls.

💡 Im Notfall herrscht Chaos – außer wenn klare Kommunikationswege existieren. Wer ruft wen an? Wer informiert Kunden? Wer entscheidet über Abschaltmaßnahmen? Diese Fragen sollten beantwortet sein, bevor der Notfall eintritt.

💡 Phishing, Social Engineering und Ransomware starten fast immer mit einem menschlichen Fehler. Regelmäßige Schulungen (mindestens einmal jährlich) oder kurze Awareness-Trainings senken das Risiko erheblich. Auch kurze monatliche E-Mails zählen.

💡 Externe, die Zugang zu Ihren Systemen oder Daten haben, sind potenzielle Schwachstellen. Klären Sie: Welche Sicherheitsanforderungen gelten für Wartungszugänge, Cloud-Dienstleister oder Berater? Sind diese vertraglich geregelt?

💡 Eine Vertraulichkeits- oder Informationsschutzrichtlinie muss keine Rechtsabhandlung sein. Sie sollte klären: Welche Daten sind sensibel? Wie dürfen sie geteilt werden? Wo dürfen sie gespeichert werden?

💡 Eine Verschwiegenheitserklärung (NDA) ist Standard in professionellen Dienstleisterverträgen. Stellen Sie sicher, dass jede externe Person mit Zugang zu Ihren Daten oder Systemen eine solche unterschrieben hat.

💡 Falls Ihr Team ausschließlich vor Ort arbeitet und keine mobilen Geräte oder Remote-Zugriffe genutzt werden, entfallen die folgenden Fragen.

💡 Physische Sicherheit ist oft die vernachlässigte Basis. Wer kann ins Serverraumzimmer, ins Büro, zum NAS? Zugangsregelungen können einfach sein: abschließbare Räume, Besucherpflicht mit Begleitung, keine tailgating-Möglichkeiten.

💡 Das "Least Privilege Principle" ist einer der wichtigsten Grundsätze der IT-Sicherheit. Ein Buchhalter braucht keinen Zugriff auf Kundendatenbanken – und ein Praktikant nicht auf alle Laufwerke. So begrenzt man Schäden bei Fehlern oder Angriffen.

💡 Geteilte Accounts machen Nachvollziehbarkeit unmöglich. Wenn "admin/admin" von fünf Personen genutzt wird, weiß niemand, wer wann was getan hat. Außerdem: Wechselt eine Person, müssen alle anderen ihr Passwort ändern.

💡 "Sommer2023!" ist kein sicheres Passwort. Empfehlung: mindestens 12 Zeichen, Mix aus Groß-/Kleinbuchstaben, Zahlen und Sonderzeichen. Ein Passwortmanager (z.B. Bitwarden, KeePass) erleichtert das enorm und ist kostenlos verfügbar.

💡 2FA ist aktuell eine der effektivsten Maßnahmen gegen Kontoübernahmen. Selbst wenn ein Passwort gestohlen wird, schützt ein zweiter Faktor (SMS, App, Hardware-Token). Microsoft und Google bieten 2FA kostenlos an.

💡 Wie oft Sie sichern sollten, hängt davon ab, wie viele Daten Sie sich leisten können zu verlieren. Für die meisten KMU gilt: mindestens täglich für kritische Daten, mindestens wöchentlich für den Rest. Automatisierung ist zuverlässiger als manuelles Backup.

💡 Ein unverschlüsseltes Backup auf einem öffentlich zugänglichen NAS ist kaum besser als keine Sicherung. Backups sollten verschlüsselt sein – besonders wenn sie in der Cloud oder extern gespeichert werden.

💡 Wenn die Person, die das Backup eingerichtet hat, krank oder nicht mehr im Unternehmen ist, muss jemand anderes die Wiederherstellung durchführen können. Ohne Dokumentation wird das zum Glücksspiel.

💡 Automatische Backups können fehlschlagen – und wenn niemand die Meldungen prüft, merkt man es erst im Ernstfall. Eine klare Zuständigkeit sorgt dafür, dass Backup-Fehler bemerkt und behoben werden.

💡 Ein Backup auf demselben Server, den Ransomware verschlüsselt, ist wertlos. Die 3-2-1-Regel empfiehlt: 3 Kopien, auf 2 verschiedenen Medien, davon 1 außerhalb des Büros oder in der Cloud.

💡 Viele Unternehmen haben Backups, die sich im Ernstfall als korrupt oder unvollständig erweisen. Ein Backup, das nie getestet wurde, ist kein Backup. Mindestens zweimal jährlich eine Probe-Wiederherstellung durchführen.

💡 Einmalige Tests reichen nicht. Systeme ändern sich – neue Software, neue Daten, neue Strukturen. Nur regelmäßige Tests stellen sicher, dass das Backup mit der aktuellen Umgebung kompatibel ist.

💡 Über 60% aller erfolgreichen Cyberangriffe nutzen bekannte Schwachstellen aus, für die es bereits Patches gibt. Automatische Updates sind für die meisten Systeme einfach zu aktivieren und sollten Standard sein.

💡 Nach Bekanntwerden einer Sicherheitslücke starten automatisierte Angriffe oft innerhalb von Stunden. Kritische Patches müssen unverzüglich eingespielt werden (innerhalb von 24 Stunden spätestens) – auch wenn das einen kurzen Neustart bedeutet.

💡 Ohne klare Verantwortlichkeit werden Updates verschoben oder vergessen. Ob IT-Mitarbeiter, externer Dienstleister oder automatisiertes Tool – die Zuständigkeit muss eindeutig sein und regelmäßig überprüft werden.

💡 Windows 7, Office 2010, alte NAS-Firmware – End-of-Life-Produkte erhalten keine Sicherheitsupdates mehr und sind dauerhaft verwundbar. Sie müssen bekannt sein, um sie gezielt abzusichern oder zu ersetzen.

💡 Der Weiterbetrieb veralteter Systeme ist ein kalkulierbares Risiko – aber es sollte bewusst entschieden und nicht ignoriert werden. Gibt es einen Migrationsplan? Oder zumindest Isolationsmaßnahmen für kritische Altsysteme?

💡 Moderne Endpoint-Security erkennt neben klassischen Viren auch Ransomware, Spyware und verdächtiges Verhalten. Für kleine Unternehmen reicht oft der kostenlose Windows Defender. Entscheidend ist: Schutzsoftware muss auf jedem Gerät aktiviert und stets aktuell sein.

💡 Raubkopien, inoffizielle Download-Seiten oder Crack-Tools sind ein beliebter Verteilungsweg für Malware. Klare Regeln, welche Software installiert werden darf und woher, reduzieren das Risiko erheblich. Idealerweise gibt es eine genehmigte Software-Liste.

💡 Wenn jeder Mitarbeitende selbst Programme installieren kann, steigt das Risiko, dass schädliche oder unsichere Software ins Netzwerk gelangt. Administratorrechte sollten auf IT-Verantwortliche beschränkt sein.

💡 Makros in Office-Dokumenten sind eines der häufigsten Einfallstore für Schadsoftware. Besonders per E-Mail empfangene Dokumente mit Makros stellen ein hohes Risiko dar. Die Standardeinstellung sollte immer "deaktiviert" sein.

💡 Manche Geschäftsprozesse erfordern Makros – etwa in komplexen Excel-Auswertungen. Dann muss klar geregelt sein: Wer darf aktivieren? Wurde die Quelle geprüft? Ist die Datei vertrauenswürdig?

💡 Eine Firewall ist die erste Verteidigungslinie Ihres Netzwerks gegen Angriffe von außen. Sie kontrolliert, welcher Datenverkehr in Ihr Netzwerk hinein und hinaus darf. Ohne Firewall ist Ihr Netzwerk praktisch offen.

💡 Eine Firewall mit Werkseinstellungen bietet oft unzureichenden Schutz. Individuelle Regeln stellen sicher, dass nur die Verbindungen erlaubt sind, die Ihr Unternehmen wirklich braucht – alles andere wird blockiert.

💡 Firewall-Regeln sollten nicht willkürlich geändert werden. Es muss eine kompetente Person bestimmt sein, die Änderungen genehmigt, dokumentiert und deren Auswirkungen versteht.

💡 Ein ungesperrtes Gerät ist wie eine offene Tür: Jeder kann darauf zugreifen. Automatische Bildschirmsperren nach kurzer Inaktivität (max. 5 Minuten) sollten auf allen Geräten erzwungen sein.

💡 Wenn Mitarbeitende von außerhalb auf interne Systeme, Laufwerke oder Anwendungen zugreifen, muss dieser Zugang besonders abgesichert werden.

💡 WLAN ist komfortabel, aber ohne richtige Konfiguration ein Sicherheitsrisiko. Die folgenden Fragen betreffen die Absicherung Ihres Funk-Netzwerks.

💡 Fernwartung durch IT-Dienstleister ist üblich, birgt aber Risiken wenn sie nicht kontrolliert stattfindet. Die folgenden Fragen betreffen die Absicherung von Fernzugriffen.

💡 Nicht nur Hacker bedrohen Ihre IT: Ein Wasserrohrbruch im Serverraum, ein Blitzschlag ohne Überspannungsschutz oder Überhitzung durch fehlende Klimatisierung können ebenso verheerende Folgen haben.