IT-Sicherheit ohne eigene IT-Abteilung: Acht Punkte, sortiert nach Wirkung pro investierter Stunde

Ein Betrieb mit fünfzehn Beschäftigten hat keine Sicherheitsabteilung. Er hat in der Regel eine Person, die sich neben ihrer eigentlichen Arbeit um die IT kümmert, und ein Zeitbudget, das sich in Stunden pro Monat misst.

Für diese Ausgangslage ist die übliche Sicherheitscheckliste unbrauchbar. Sie zählt zwanzig oder dreißig Stichwörter auf, gewichtet sie nicht, und sie lässt genau die Frage offen, die im Alltag zählt: Woran erkenne ich, ob ein Punkt bei uns schon erfüllt ist? „Zugriffsrechte prüfen“ ist keine Aufgabe, sondern eine Überschrift.

Dieser Beitrag macht es anders. Acht Punkte, jeder mit vier Angaben: was gemeint ist, warum es zählt, wie Sie den aktuellen Stand in Ihrem Betrieb feststellen, und was „erledigt“ konkret bedeutet. Die Reihenfolge ist eine Empfehlung, keine Messung — sie orientiert sich daran, wie viel Schutz eine Maßnahme pro investierter Stunde bringt, und lehnt sich an die Prioritäten an, die das BSI in seinen Ransomware-Maßnahmen und seinen Erstempfehlungen für Unternehmen selbst setzt.

Zwei Einschränkungen vorweg. Diese Liste ist keine Konformitätsprüfung: Sie sagt nichts darüber aus, ob Ihr Unternehmen regulatorische Anforderungen erfüllt. Und sie ist bewusst unvollständig — welche verbreiteten Maßnahmen hier fehlen und warum, steht weiter unten in einem eigenen Abschnitt.

Die ersten drei Punkte bringen den größten Teil des Schutzes

Wenn Sie diesen Beitrag nach zwei Minuten schließen, nehmen Sie das mit: Mehrfaktor-Authentifizierung, getrennte Administratorkonten und eine mindestens einmal tatsächlich durchgeführte Wiederherstellung aus dem Backup sind die drei Punkte mit dem besten Verhältnis von Aufwand zu Wirkung.

Die ersten beiden schließen den häufigsten Einstiegsweg in eine Unternehmensumgebung — ein gestohlenes oder erratenes Passwort. Der dritte entscheidet darüber, ob ein erfolgreicher Angriff ein anstrengender Tag oder eine existenzielle Frage wird. Alles Weitere baut darauf auf; nichts davon ersetzt diese drei.

1. Mehrfaktor-Authentifizierung schützt ein Konto auch dann noch, wenn das Passwort bereits abgeflossen ist

Was gemeint ist. Ein zweiter Faktor zusätzlich zum Passwort: eine Authenticator-App, ein Hardware-Schlüssel, ein Passkey. Kein zweites Passwort, keine Sicherheitsfrage.

Warum es zählt. Passwörter werden nicht nur erraten, sie werden auch bei Dritten erbeutet und in Sammlungen weiterverkauft. Ein Angreifer, der ein gültiges Passwort besitzt, meldet sich technisch völlig unauffällig an. Der zweite Faktor ist die einzige Maßnahme in dieser Liste, die genau diesen Fall abfängt. Das BSI empfiehlt Mehrfaktor-Authentisierung „unter Verwendung von geeigneten Wissens- und Besitzfaktoren“ und bezeichnet Passkeys als „eine sehr sichere Lösung der Authentisierung, da sie Passwörter vollständig ersetzen und so beispielsweise Phishing-Angriffe […] verhindern“.

Wie Sie den Stand feststellen. Nicht im Bauchgefühl, sondern in der Verwaltungsoberfläche des jeweiligen Dienstes:

• Microsoft 365, Google Workspace: Benutzerliste exportieren und nach Konten ohne registrierte MFA-Methode filtern.
• Alle weiteren Dienste, in denen Geschäftsdaten liegen — Buchhaltung, CRM, Onlineshop-Backend, Domainverwaltung, Hoster, Bank: pro Dienst einmal nachsehen, ob MFA verfügbar und aktiv ist.
• Die Domain- und Hosting-Zugänge werden dabei fast immer vergessen. Wer sie kontrolliert, kann E-Mail umleiten und damit die Passwortzurücksetzung jedes anderen Dienstes übernehmen.

Erledigt ist der Punkt, wenn jedes Konto mit Zugriff auf Geschäftsdaten einen zweiten Faktor besitzt, wenn SMS nur dort noch verwendet wird, wo der Anbieter nichts Besseres anbietet, und wenn dokumentiert ist, wie ein Beschäftigter mit verlorenem Telefon wieder Zugang erhält — ohne dass dieser Weg selbst zur Hintertür wird.

Was Microsoft tatsächlich erzwingt — und was nicht. Hier wird viel durcheinandergebracht. Microsoft schreibt MFA verbindlich für die administrativen Oberflächen vor: Azure-Portal, Microsoft Entra Admin Center, Microsoft Intune Admin Center (seit Oktober 2024) sowie das Microsoft 365 Admin Center (seit Februar 2025). In einer zweiten Phase gilt die Pflicht seit dem 1. Oktober 2025 auch für den programmatischen Azure-Zugriff — Azure CLI, Azure PowerShell, Infrastructure-as-Code-Werkzeuge und die Control-Plane-REST-API — allerdings nur für schreibende Operationen; reine Leseoperationen sind ausgenommen. Ein Opt-out gibt es nach Angaben von Microsoft nicht; für die zweite Phase ist lediglich ein Aufschub bis zum 1. Juli 2026 vorgesehen.

Was Microsoft damit nicht erzwingt: MFA für jeden Endnutzer in Outlook, Teams oder SharePoint. Das bleibt Ihre Entscheidung. Die Empfehlung dieses Beitrags lautet trotzdem „MFA für alle“ — nicht weil ein Hersteller es verlangt, sondern weil das Konto einer Sachbearbeiterin mit Zugriff auf das Postfach der Buchhaltung für einen Angreifer wertvoll genug ist. Für die konkrete Umsetzung in einer Microsoft-Umgebung haben wir die Identitäts- und Rechtestruktur in Microsoft 365 in einem eigenen Beitrag beschrieben.

2. Administrative Rechte gehören in ein zweites Konto, nicht in das tägliche Arbeitskonto

Was gemeint ist. Wer administrieren muss, hat dafür ein separates Konto. Das Alltagskonto — E-Mail, Browser, Office — besitzt keine erhöhten Rechte.

Warum es zählt. Schadsoftware und Phishing treffen ein Konto in dem Zustand an, in dem es gerade benutzt wird. Ein kompromittiertes Konto ohne Administratorrechte ist ein Problem; dasselbe Konto mit globalen Administratorrechten ist der Verlust der gesamten Umgebung. Das BSI formuliert für privilegierte Konten unmissverständlich: „Ein solches privilegiertes Konto sollte immer über eine Zwei-Faktor-Authentisierung geschützt werden“ — und privilegierte Konten sollen ausschließlich für administrative Tätigkeiten verwendet werden, nicht für E-Mail und Websurfen.

Wie Sie den Stand feststellen.

• Listen Sie alle Konten mit globalen oder weitreichenden Administratorrechten auf — in Microsoft 365, Google Workspace, auf Servern, im Hosting-Panel, im Warenwirtschaftssystem.
• Prüfen Sie zu jedem: Ist das dieselbe Adresse, unter der die Person auch E-Mail empfängt?
• Zählen Sie mit. Zwei bis vier globale Administratoren sind für kleine Betriebe ein üblicher Rahmen. Zwölf sind ein Befund.
• Suchen Sie nach Konten ehemaliger Dienstleister. Sie überleben Vertragsenden regelmäßig.

Erledigt ist der Punkt, wenn administrative Tätigkeiten über eigene Konten laufen, wenn die Zahl der weitreichend berechtigten Konten begründbar ist, wenn diese Konten ebenfalls MFA besitzen und wenn es ein dokumentiertes Notfallkonto gibt, dessen Zugangsdaten außerhalb der Systeme aufbewahrt werden, die es im Notfall retten soll.

3. Ein Backup, aus dem noch nie zurückgespielt wurde, ist eine Annahme

Was gemeint ist. Nicht „läuft ein Backup“, sondern: Wurde daraus schon einmal etwas wiederhergestellt, und wie lange hat das gedauert?

Warum es zählt. Das BSI nennt das Backup „die wichtigste präventive Maßnahme, mit der im Falle eines Ransomware-Vorfalls die Verfügbarkeit der Daten gewährleistet werden kann“ — und verbindet die Empfehlung ausdrücklich mit einem Test: „Legen Sie Sicherungskopien Ihrer Daten an und testen Sie diese so genannten Backups regelmäßig.“ Der Grund ist banal und wiederholt sich: Sicherungen laufen monatelang mit einem Fehler, den niemand liest; sie enthalten die Datenbank, aber nicht deren Schlüssel; oder sie hängen an denselben Zugangsdaten wie die Produktivsysteme und werden im Angriffsfall gleich mitgelöscht.

Wie Sie den Stand feststellen. Der Test ist kürzer, als er klingt. Nehmen Sie sich eine Stunde und beantworten Sie fünf Fragen praktisch, nicht theoretisch:

1. Welche drei Datenbestände würden den Betrieb bei Verlust am härtesten treffen? Meist: Postfächer, Dateiablage, das führende Fachsystem.
2. Existiert für jeden dieser drei eine Sicherung, die nicht mit den normalen Administratorzugangsdaten löschbar ist?
3. Stellen Sie jetzt eine einzelne Datei und einen einzelnen Datensatz aus jeder Sicherung wieder her — in eine Testumgebung oder unter neuem Namen.
4. Stoppen Sie die Zeit. Von „ich fange an“ bis „die Daten sind wieder lesbar“.
5. Rechnen Sie hoch: Wenn eine Datei so lange dauert, wie lange dauert die vollständige Ablage?

Erledigt ist der Punkt, wenn Sie für Ihre drei kritischen Datenbestände eine getrennte, nicht mit denselben Zugangsdaten löschbare Sicherung haben, wenn eine Wiederherstellung nachweislich funktioniert hat, wenn Sie die gemessene Dauer kennen und wenn ein Datum für den nächsten Test im Kalender steht. Ein Test pro Jahr ist ein realistischer Anfang; die Wirkung liegt im ersten, nicht im dritten.

Ein häufiges Missverständnis: Die Aufbewahrungs- und Papierkorbfunktionen von Cloud-Plattformen sind nützlich, aber sie sind keine unabhängige Sicherung. Ob Sie zusätzlich sichern müssen, hängt von Aufbewahrungsfristen, Vertrag und Risiko ab — die Entscheidung sollte bewusst getroffen und aufgeschrieben werden, statt sich zu ergeben.

4. Updates brauchen keine Perfektion, sondern eine benannte Zuständigkeit und eine Frist

Was gemeint ist. Ein Verfahren, das beantwortet: Wer schaut wann worauf, und was passiert bei einer kritischen Lücke außerhalb des Rhythmus?

Warum es zählt. Das BSI führt „Patches und Updates“ als ersten Punkt seiner Top-10-Ransomware-Maßnahmen und benennt Schwachstellen in Büroanwendungen und anderen Programmen als „eines der Haupteinfallstore für Cyber-Angriffe“. Entscheidend ist die Priorisierung: Updates, die Schwachstellen hoher Kritikalität schließen, sollen vorgezogen werden statt im nächsten regulären Fenster mitzulaufen.

Wie Sie den Stand feststellen.

• Automatische Updates auf Arbeitsplatzrechnern und Telefonen: aktiv oder nicht? Das ist in fünf Minuten geprüft und deckt den größten Teil der Fläche ab.
• Welche Systeme sind nicht automatisch versorgt? Typisch: Server, Router und Firewall, NAS, Drucker mit Weboberfläche, das Warenwirtschaftssystem, WordPress-Plugins, alles mit eigener Login-Seite im Internet.
• Läuft irgendwo noch ein Betriebssystem oder eine Anwendung ohne Herstellerunterstützung? Diese Systeme bekommen keine Korrekturen mehr, unabhängig davon, wie gut sie funktionieren.
• Wer bekommt Sicherheitsmeldungen der eingesetzten Hersteller — und in welches Postfach?

Erledigt ist der Punkt, wenn für jedes System entweder automatische Updates laufen oder ein Name und ein Intervall danebenstehen, wenn Systeme ohne Herstellerunterstützung entweder abgelöst oder bewusst mit begründetem Risiko und eingeschränkter Erreichbarkeit weiterbetrieben werden, und wenn es eine Regel für den Sonderfall gibt: Bei einer kritischen, aktiv ausgenutzten Lücke wird nicht bis zum Monatsende gewartet.

5. Der Austritt eines Beschäftigten ist ein technischer Vorgang mit Frist

Was gemeint ist. Eine feste Abfolge, die beim letzten Arbeitstag ausgelöst wird — nicht ein Nachdenken darüber, was die Person eigentlich alles hatte.

Warum es zählt. Dieser Punkt kostet fast keine Zeit und wird trotzdem am häufigsten übersehen. Konten ehemaliger Beschäftigter bleiben aktiv, weil niemand sie deaktivieren darf, ohne den Verlust von Daten zu riskieren. Sie behalten ihr Passwort, oft ohne zweiten Faktor, und stehen weiter im Internet — ein Zugang ohne Besitzer und ohne Aufsicht. Dasselbe gilt für Zugänge von Dienstleistern nach Projektende.

Wie Sie den Stand feststellen. Rückwärts, an echten Fällen: Nehmen Sie die letzten drei Personen, die den Betrieb verlassen haben, und suchen Sie deren Spuren.

• Ist das zentrale Benutzerkonto deaktiviert?
• Existiert das Postfach noch — und wenn ja, wer greift darauf zu?
• Sind Zugänge zu Fachanwendungen, Onlineshop, Bank, Social-Media-Konten und Dienstleisterportalen entfernt?
• Sind geteilte Passwörter, die diese Person kannte, geändert worden?
• Ist der Zugang zu Firmengeräten und, falls vorhanden, zum VPN entzogen?

Erledigt ist der Punkt, wenn eine schriftliche Austrittsliste existiert, die alle Systeme aufführt, in denen überhaupt Konten vergeben werden, wenn diese Liste beim Eintritt einer Person mitgeführt und beim Austritt abgearbeitet wird, und wenn die drei Rückwärtsprüfungen oben keine offenen Zugänge mehr finden.

6. Geräteverschlüsselung ist meistens schon vorhanden — sie ist nur nicht überprüft

Was gemeint ist. Die vollständige Verschlüsselung der Festplatte auf Notebooks, Telefonen und Wechseldatenträgern, damit ein verlorenes Gerät ohne Anmeldung keine Daten preisgibt.

Warum es zählt. Ein liegengelassenes Notebook ist bei aktiver Verschlüsselung ein Sachschaden mit Wiederbeschaffungswert. Ohne Verschlüsselung ist es ein Datenabfluss mit allen Folgen, die daran hängen — bis hin zu Melde- und Informationspflichten. Der Aufwand für diesen Punkt ist gering, weil aktuelle Betriebssysteme die Funktion mitbringen und häufig bereits aktiviert haben. Nur weiß das niemand mit Sicherheit.

Wie Sie den Stand feststellen.

• Prüfen Sie an jedem Firmennotebook, ob die Geräteverschlüsselung eingeschaltet ist. Das ist eine Einstellung, kein Projekt.
• Klären Sie, wo die Wiederherstellungsschlüssel liegen. Eine aktive Verschlüsselung ohne auffindbaren Schlüssel ist ein Ausfallrisiko, kein Schutz.
• Prüfen Sie Bildschirmsperre und Sperrzeit. Verschlüsselung wirkt nur bei ausgeschaltetem oder gesperrtem Gerät.
• Klären Sie den Umgang mit USB-Sticks und externen Festplatten, besonders dort, wo Sicherungen darauf liegen.
• Regeln Sie privat genutzte Telefone mit Zugriff auf Geschäftspost mindestens über Bildschirmsperre und die Möglichkeit, den Zugang aus der Ferne zu entziehen.

Erledigt ist der Punkt, wenn für jedes mobile Firmengerät die Verschlüsselung bestätigt ist, die Wiederherstellungsschlüssel an einem definierten Ort liegen und eine Bildschirmsperre mit kurzer Zeitspanne greift.

7. Berechtigungen wachsen von allein — nur eine Überprüfung nimmt sie zurück

Was gemeint ist. Das Prinzip der geringsten notwendigen Berechtigung: Jeder Zugriff, den jemand für seine Arbeit nicht braucht, wird entzogen.

Warum es zählt. Rechte werden vergeben, wenn jemand sie akut benötigt, und praktisch nie wieder eingesammelt. Nach ein paar Jahren hat der Vertrieb Zugriff auf Personalordner, weil vor zwei Jahren jemand eine Datei brauchte. Das ist nicht nur ein Sicherheitsthema: Die häufigsten Schäden in gewachsenen Freigabestrukturen entstehen nicht durch Angreifer, sondern durch versehentliches Verschieben und Löschen.

Ehrlich gesagt: Dieser Punkt steht an siebter Stelle, weil er von allen acht am meisten Zeit kostet und am langsamsten wirkt. Er lässt sich nicht in einer Stunde erledigen, und er ist nie abgeschlossen. Wer nur drei Stunden hat, investiert sie in die Punkte 1 bis 3.

Wie Sie den Stand feststellen. Fangen Sie nicht bei den Rechten an, sondern bei den Daten.

• Welche zwei oder drei Ablagen enthalten die wirklich sensiblen Bestände — Personal, Buchhaltung, Verträge, Kundendaten?
• Wer hat auf diese Ablagen heute Zugriff? Sehen Sie die Liste an und streichen Sie, was nicht begründbar ist.
• Wo sind Rechte an einzelne Personen statt an Gruppen vergeben? Einzelfreigaben sind nach zwei Jahren nicht mehr nachvollziehbar.
• Gibt es Freigaben nach außen — anonyme Links, Gastkonten, alte Projektfreigaben — die noch aktiv sind?
• Wer ist Eigentümer welcher Ablage? Ohne benannten Eigentümer entscheidet niemand über Zugriffe.

Erledigt ist der Punkt, wenn die sensiblen Ablagen einen benannten Eigentümer haben, Zugriff dort über Gruppen und nicht über Einzelfreigaben läuft, externe Freigaben ein Ablaufdatum oder eine Überprüfung haben und ein fester Termin im Jahr existiert, an dem die Zugriffslisten dieser Ablagen durchgesehen werden.

8. Gegen Phishing hilft ein funktionierender Meldeweg mehr als eine Jahresschulung

Was gemeint ist. Zwei Dinge: technische Filter, die den Großteil abfangen, und ein Verfahren, mit dem eine Mitarbeiterin eine verdächtige Nachricht in zehn Sekunden loswird — ohne sich zu rechtfertigen.

Warum es zählt. Das BSI beschreibt den Ausgangspunkt nüchtern: „Ein einziger falscher Klick auf einen E-Mail-Anhang kann ausreichen, um gefährliche Schadsoftware ins Unternehmen einzuschleusen.“ Der entscheidende Faktor ist dabei nicht, ob jemand klickt — das passiert früher oder später — sondern wie schnell es jemand meldet. Ein Betrieb, der binnen zwanzig Minuten erfährt, dass jemand Zugangsdaten eingegeben hat, kann das Passwort zurücksetzen und Sitzungen beenden, bevor der Zugang genutzt wird. Ein Betrieb, in dem sich niemand traut, es zuzugeben, erfährt es aus der Buchhaltung.

Wie Sie den Stand feststellen.

• Sind SPF, DKIM und DMARC für Ihre eigene Domain eingerichtet? Das verhindert nicht jedes Phishing, aber es erschwert den Missbrauch Ihres Absendernamens gegenüber Ihren eigenen Kunden.
• Weiß jede Person im Betrieb, an wen sie eine verdächtige Nachricht weiterleitet? Fragen Sie drei Leute, nicht die IT-Zuständige.
• Ist klar, dass eine Meldung nach einem Klick keine Konsequenz hat? Ohne diese Zusage funktioniert der Meldeweg nicht.
• Gibt es für die typische Betrugsmasche im Zahlungsverkehr — geänderte Bankverbindung eines Lieferanten, dringende Anweisung der Geschäftsführung — eine Regel, die einen zweiten Kanal verlangt?
• Werden verdächtige Anmeldungen an den zentralen Konten überhaupt irgendwo sichtbar?

Zum Thema Passwörter noch ein Punkt, der viele Sicherheitsrichtlinien überlebt hat, obwohl das BSI ihn ausdrücklich nicht mehr empfiehlt: der turnusmäßige Passwortwechsel. Das BSI hält dazu fest, dass „regelmäßige, anlassunabhängige Passwortwechsel erfahrungsgemäß dazu [führen], dass zunehmend schwächere Passwörter genutzt werden“, und empfiehlt stattdessen starke Passwörter in Verbindung mit einem zweiten Faktor oder den Umstieg auf Passkeys. Wenn in Ihrer Richtlinie noch ein 90-Tage-Wechsel steht, ist dessen Streichung eine Verbesserung, die nichts kostet.

Erledigt ist der Punkt, wenn die Absenderauthentifizierung für Ihre Domain eingerichtet ist, jede Person den Meldeweg kennt und ihn ohne Angst benutzt, für Zahlungsänderungen eine Zwei-Kanal-Regel gilt und ein anlassloser Passwortwechselzwang nicht mehr in Ihren Vorgaben steht.

Was in dieser Liste bewusst fehlt

Diese acht Punkte sind keine vollständige Sicherheitsarchitektur. Vier Themen sind ausgelassen, jedes aus einem eigenen Grund:

Netzwerksegmentierung. Das BSI führt sie in den Top-10-Ransomware-Maßnahmen, und die Begründung ist zutreffend: Eine saubere Netzsegmentierung begrenzt den Schaden, weil Schadsoftware dann nur noch die Systeme in unmittelbarer Nachbarschaft erreicht. Für einen Betrieb mit einem flachen Netz, ein paar Notebooks und überwiegend Cloud-Diensten ist sie trotzdem kein Erste-Stunde-Thema, sondern ein Projekt mit Planung und Ausfallrisiko. Sie gehört auf die Liste danach.

Erweiterte Angriffserkennung. Produkte zur Endpunktüberwachung und zentralen Protokollauswertung sind wirksam — aber nur, wenn jemand die Meldungen liest und darauf reagiert. Ohne diese Person erzeugt ein solches Produkt Kosten und ein Sicherheitsgefühl. Der in aktuellen Betriebssystemen enthaltene Virenschutz ist für kleine Teams eine vertretbare Ausgangsbasis.

Notfallplan. Er steht bei den BSI-Maßnahmen an zehnter Stelle und gehört unbedingt dazu — aber sinnvollerweise erst, wenn Punkt 3 erledigt ist. Ein Notfallplan, der eine Wiederherstellung beschreibt, die nie getestet wurde, hilft niemandem.

Penetrationstests und Angriffssimulationen. Sie beantworten die Frage „was findet ein Angreifer noch?“ Diese Frage lohnt sich, wenn die Grundlagen stehen. Vorher liefert ein Test eine lange Liste von Befunden, die man auch ohne Test kennt.

Wenn Sie diese Punkte gemeinsam mit einem Dienstleister angehen wollen: Genau diese Reihenfolge — Bestandsaufnahme, Priorisierung, Umsetzung, Dokumentation — liegt unserer Arbeit im Bereich IT-Sicherheitscheck und Systemhärtung zugrunde. Penetrationstests, forensische Incident Response und Zertifizierungen bieten wir dagegen nicht an.

Eine Reihenfolge für die ersten Stunden

Die folgenden Zeitangaben sind Schätzungen für einen Betrieb von etwa zehn bis dreißig Personen mit überwiegend cloudbasierten Diensten. Sie sind kein Versprechen, sondern eine Größenordnung für die Planung.

Wer nur einen Tag im Quartal aufbringen kann, arbeitet diese Liste in vier Quartalen ab und ist danach deutlich besser aufgestellt als der Betrieb, der stattdessen ein Sicherheitsprodukt gekauft hat.

Wo diese Liste endet und Struktur beginnt

Eine Checkliste ist ein Werkzeug für den Anfang. Sie ersetzt weder eine strukturierte Bestandsaufnahme noch eine regulatorische Einordnung — und sie sagt insbesondere nichts darüber aus, ob Ihr Unternehmen gesetzliche Anforderungen erfüllt.

Wenn Sie eine methodische Standortbestimmung von außen möchten, gibt es dafür in Deutschland ein Verfahren, das speziell auf kleine und Kleinstunternehmen zugeschnitten ist: den CyberRisikoCheck nach DIN SPEC 27076. Er arbeitet 27 Anforderungen in sechs Themenbereichen in einem ein- bis zweistündigen Interview ab und endet mit einem priorisierten Bericht. Das ist die strukturierte Variante dessen, was dieser Beitrag als Selbsteinschätzung anbietet.

Und wenn Ihr Unternehmen in einem der Sektoren tätig ist, die das seit dem 6. Dezember 2025 geltende deutsche NIS-2-Umsetzungsgesetz erfasst, kommen Registrierungs-, Melde- und Nachweispflichten hinzu, die weit über diese acht Punkte hinausgehen. Was dabei zu prüfen ist, steht in unserem Beitrag zum pragmatischen Einstieg in NIS-2. Wichtig dabei: Die Zugehörigkeit zu einem regulierten Sektor ist Voraussetzung — die Unternehmensgröße allein löst keine NIS-2-Pflicht aus.

Die acht Punkte oben helfen in beiden Fällen. Sie sind die technische Grundlage, auf der eine strukturierte Prüfung überhaupt erst sinnvoll aufsetzt.

Handlungsaufruf

Sie haben die Liste durchgesehen und wissen jetzt, wo es hakt — aber nicht, wie Sie mit begrenzter Zeit anfangen? Wir nehmen den Bestand auf, sortieren die Befunde nach tatsächlichem Risiko und setzen die vereinbarten Maßnahmen um. Eine rechtliche Bewertung oder Compliance-Zertifizierung ist nicht Teil der Leistung; wo sie nötig ist, sagen wir das.

Technische Bestandsaufnahme anfragen

Weiterführend: IT-Sicherheitscheck und Systemhärtung · CyberRisikoCheck nach DIN SPEC 27076 · NIS-2 pragmatisch einordnen

Quellenhinweise

• BSI: Erste Schritte für mehr Cyber-Sicherheit – Schutzmaßnahmen ergreifen
• BSI: Top 10 der Ransomware-Maßnahmen
• BSI: Back-up – Doppelt gesichert hält besser
• BSI: Multi-Faktor-Authentisierung und gesicherte Kommunikation
• BSI-Pressemitteilung vom 31.01.2025: Passwortwechseln war gestern
• BSI: CyberRisikoCheck nach DIN SPEC 27076
• Microsoft Learn: Planning for mandatory multifactor authentication for Azure and other admin portals
• BSI: Informationen zu NIS-2 und regulierten Unternehmen