IT-Sicherheitscheck beauftragen: Was soll am Ende geklärt sein?

Die Entscheidung hinter dem Check benennen

Ein größerer Kunde fragt nach Sicherheitsmaßnahmen, ein Unternehmen zieht in die Cloud oder die Geschäftsführung möchte wissen, wo die größten Lücken liegen. Diese Anlässe brauchen nicht zwangsläufig dieselbe Untersuchung. Beginnen Sie mit einem Satz: „Nach dem Check müssen wir entscheiden können, ob und wie wir …“

Für einen kleinen Betrieb kann zunächst eine verständliche Bestandsaufnahme sinnvoll sein. Bei einer bestimmten öffentlich erreichbaren Anwendung kann dagegen eine gezielte technische Untersuchung erforderlich werden. Wenn bereits Maßnahmen umgesetzt wurden, geht es möglicherweise nur um deren fachliche Nachprüfung.

Mit dieser Zielvorstellung können Sie einen IT-Sicherheitscheck anfragen. Wählen Sie im Formular das passende Anliegen. Die betroffenen Systeme und die gewünschte Untersuchungstiefe besprechen Sie anschließend mit dem Anbieter.

Ein aktueller Sicherheitsvorfall ist ein anderer Anlass als eine geplante Bestandsaufnahme. In diesem Fall nutzen Sie den vorgesehenen Notfallkontakt Ihres Betriebs und organisieren fachliche Unterstützung unmittelbar. Eine allgemeine Angebotsanfrage ersetzt keinen bereits benötigten Einsatz zur Vorfallbearbeitung.

Den betrachteten Bereich verständlich beschreiben

Listen Sie zunächst Standorte, wichtige Anwendungen und die zuständigen Dienstleister auf. Dazu gehören auch ausgelagerte Dienste wie E-Mail, Dateiaustausch oder eine Warenwirtschaft. Der Standort eines Servers ist nur ein Teil der Frage; entscheidend ist, welche Leistungen und Daten Ihr Unternehmen nutzt.

Der NIST-Leitfaden für kleine Unternehmen empfiehlt, Systeme und Dienste zu inventarisieren und ihre Bedeutung für den Betrieb zu berücksichtigen. Für die Vorbereitung genügt eine übersichtliche Zusammenstellung, die bekannte Angaben und offene Fragen erkennen lässt.

Benennen Sie ausdrücklich, ob nur Büroarbeitsplätze oder auch Produktion, Kassen, mobile Geräte und externe Zugänge betrachtet werden sollen. Zwei Angebote können gleich viele Arbeitstage enthalten und dennoch sehr unterschiedliche Bereiche abdecken.

Fehlende Unterlagen sind eine mögliche Aufgabe des Projekts. Fragen Sie den Anbieter, welche Bestandsaufnahme er selbst leisten kann und welche Mitwirkung dafür nötig ist. So vermeiden Sie, dass der Check wegen eines nicht vorhandenen Netzplans bereits zu Beginn stockt.

Die Methode zum Anlass wählen

Ein standardisiertes Gespräch kann einen guten Einstieg bieten, wenn der bisherige Sicherheitsstand unübersichtlich ist. DIN beschreibt den CyberRisikoCheck nach DIN SPEC 27076 als strukturierte Beratung mit verständlichen Fragen und Handlungsempfehlungen für kleine Unternehmen.

Fragen Sie dennoch, welche Leistung das konkrete Angebot enthält. Ein Gespräch über bestehende Maßnahmen, die Prüfung von Konfigurationen und eine technische Untersuchung sind unterschiedliche Arbeiten. Lassen Sie den Anbieter erklären, welche Aussagen seine Methode ermöglicht und was dabei nicht untersucht wird.

Für einen Kundenfragebogen kann außerdem ein bestimmter Nachweis verlangt sein. Klären Sie mit dem Kunden, welches Ergebnis er tatsächlich erwartet. Eine intern hilfreiche Bestandsaufnahme muss nicht automatisch die von einem Vertragspartner verlangte Prüfung oder Bescheinigung ersetzen.

Anlass	Sinnvolle Frage an den Anbieter
Bisher wenig Überblick	Wie entsteht eine priorisierte Bestandsaufnahme?
Neue Anwendung	Welche Komponenten und Zugänge werden untersucht?
Auffälliger Einzelbefund	Wie wird die Ursache fachlich eingegrenzt?
Umgesetzte Verbesserungen	Wie wird die Wirksamkeit nachgeprüft?
Kundennachweis	Entspricht das Ergebnis dem verlangten Umfang?

Zugriffe und Betriebsbedingungen vorab vereinbaren

Ein technischer Check benötigt einen klaren Auftrag. Vereinbaren Sie, welche Systeme untersucht werden dürfen, welche Zugriffe vorgesehen sind und wer die Durchführung freigibt. Bei fremd betriebenen Diensten müssen die verantwortlichen Stellen einbezogen werden.

Besprechen Sie Betriebszeiten, Wartungsfenster und empfindliche Anwendungen. Ein Produktionssystem kann andere Bedingungen haben als eine isolierte Testumgebung. Der Anbieter sollte mögliche Auswirkungen seiner Methode erklären und einen Umgang mit unerwarteten Störungen festlegen.

Vertrauliche Unterlagen werden erst über einen dafür vereinbarten sicheren Weg bereitgestellt. Für die erste Beratung reichen meist beschreibende Angaben. Passwörter, Schlüssel oder vollständige personenbezogene Datensätze gehören nicht in eine allgemeine Kontaktaufnahme.

Bestimmen Sie außerdem, wer während der Untersuchung erreichbar ist. Wenn ein kritischer Befund entsteht, braucht es einen direkten Meldeweg und jemanden, der über weitere Maßnahmen entscheiden kann. Die Geschäftsführung sollte nicht erst im Abschlussbericht von einem unmittelbar relevanten Problem erfahren.

Einen Bericht verlangen, mit dem Ihr Team arbeiten kann

Ein brauchbarer Befund nennt den betroffenen Bereich, die Beobachtung, ihre Bedeutung und eine nachvollziehbare Empfehlung. Fragen Sie nach einem anonymisierten Musterbericht oder einer Beschreibung des geplanten Ergebnisses. So erkennen Sie, ob die Darstellung zu Ihrem internen Kenntnisstand passt.

Die Priorität sollte mit dem Geschäftsrisiko und den konkreten Bedingungen begründet werden. Eine rein technische Bewertung kann wichtig sein, erklärt aber noch nicht, welche betriebliche Abhängigkeit zuerst behandelt werden muss. Lassen Sie hohe Prioritäten und verbleibende Unsicherheiten im Abschlussgespräch erläutern.

Vereinbaren Sie eine überschaubare Maßnahmenliste mit Zuständigkeiten. Manche Aufgaben übernimmt Ihr bestehendes Systemhaus, andere benötigen zusätzliche Unterstützung oder eine Entscheidung der Geschäftsführung. Diese Zuordnung macht aus dem Bericht einen Arbeitsauftrag.

Achten Sie auch auf die Aussagegrenzen. Eine Stichprobe sollte als solche erkennbar sein. Nicht untersuchte Systeme dürfen im Ergebnis nicht den Eindruck einer Prüfung erhalten. Das hilft, spätere Entscheidungen auf die tatsächlich vorhandenen Erkenntnisse zu stützen.

Den Aufwand nach Umfang und Ergebnis vergleichen

Vergleichen Sie Vorbereitung, Erhebung, technische Untersuchung, Auswertung und Abschlussgespräch getrennt. Fragen Sie, ob eine Nachprüfung umgesetzter Maßnahmen enthalten ist oder separat angeboten wird. Ebenso wichtig ist die interne Zeit, die Beschäftigte und bestehende IT-Dienstleister beisteuern müssen.

Wählen Sie den Check, der Ihre konkrete Entscheidung mit einem verständlichen Ergebnis unterstützt. Ein umfangreicher Bericht ist kein Selbstzweck; ein sehr kurzer Check kann wiederum wesentliche Bereiche offenlassen. Der beauftragte Umfang sollte zu Anlass, Unternehmensumgebung und gewünschter Aussage passen.

Über die kostenfreie und unverbindliche Anfrage zur IT-Sicherheit können Sie diese Beratung beginnen. Halten Sie Anlass, betroffene Bereiche und gewünschtes Ergebnis für das folgende Gespräch bereit. Daraus lässt sich eine Prüfleistung entwickeln, deren Nutzen und Grenzen vor der Beauftragung erkennbar sind.