IT-Sicherheitscheck: Zehn Fragen für die Geschäftsführung

So nutzen Sie die Fragen

Besprechen Sie die Fragen mit Ihrer IT oder Ihrem Dienstleister. Halten Sie zu jeder Antwort einen Nachweis, offene Aufgaben und einen Verantwortlichen fest. Ein unbekannter Stand sollte Anlass für eine Prüfung sein und nicht als erledigt gelten.

1. Welche Systeme sind für unseren Betrieb kritisch?

Lassen Sie sich wichtige Anwendungen und deren Abhängigkeiten zeigen. Klären Sie, welche Ausfallzeit und welcher Datenverlust wirtschaftlich noch vertretbar wären.

2. Welche Systeme erhalten keine Updates mehr?

Fragen Sie nach einem aktuellen Inventar und nach Supportenden. Für Ausnahmen braucht es eine begründete Übergangslösung und einen Ablöseplan.

3. Wer kontrolliert den Erfolg von Updates?

Ein Updateauftrag belegt noch keine erfolgreiche Installation. Vereinbaren Sie die Kontrolle fehlgeschlagener Updates und ein Vorgehen bei dringlichen Sicherheitslücken.

4. Wer hat administrative Rechte?

Betrachten Sie persönliche und technische Konten, getrennte Administrationszugänge und externe Dienstleister. Nicht mehr benötigte Rechte müssen entzogen werden.

5. Wie schützen wir Anmeldungen und Wiederherstellungswege?

Fragen Sie nach eindeutigen Passwörtern, einem freigegebenen Passwortmanager und geeigneter Mehrfaktor-Authentifizierung. Auch das Zurücksetzen verlorener Zugänge muss sicher geregelt sein. Bloßes regelmäßiges Ändern von Passwörtern ersetzt keinen wirksamen Schutz; ein Wechsel braucht einen nachvollziehbaren Anlass.

6. Sind Endgeräte und Fernzugänge vollständig erfasst?

Lassen Sie sich zeigen, wie Geräteschutz, Verschlüsselung und Fernzugriffe verwaltet werden. Auch Geräte außerhalb des Büros und berechtigte Ausnahmen müssen sichtbar sein.

7. Wann haben wir zuletzt Daten wiederhergestellt?

Fragen Sie nach dem Testprotokoll, der benötigten Zeit und dem wiederhergestellten Umfang. Sicherungen brauchen außerdem Schutz gegen Löschung und Veränderung durch einen Angreifer.

8. Wohin melden Mitarbeitende verdächtige Vorgänge?

Der Meldeweg muss bekannt und auch bei gestörter E-Mail nutzbar sein. Unterstützen Sie frühe Meldungen, auch wenn sich der Verdacht später nicht bestätigt.

9. Wer reagiert auf Sicherheitsmeldungen?

Klären Sie Zuständigkeiten und vereinbarte Bearbeitungszeiten. Eine ständig messende Software bedeutet nicht automatisch, dass jederzeit ein Mensch eingreift.

10. Können wir im Notfall koordiniert handeln?

Lassen Sie sich Notfallkontakte, Entscheidungsbefugnisse und eine dokumentierte Übung zeigen. Berücksichtigen Sie Kommunikation, Wiederanlauf und die Prüfung möglicher Meldepflichten.

Offene Punkte nach Risiko bearbeiten

Priorisieren Sie die Antworten mit den Fachverantwortlichen. Diese Fragen schaffen Orientierung; sie sind kein vollständiges Audit und bestätigen keine Rechtskonformität. Bei widersprüchlichen Nachweisen hilft eine gezielte Prüfung.