IT-Sicherheitscheck beauftragen: Was soll am Ende geklärt sein?

Die Entscheidung hinter dem Check benennen

Ein größerer Kunde fragt nach Sicherheitsmaßnahmen, ein Unternehmen zieht in die Cloud oder die Geschäftsführung möchte wissen, wo die größten Lücken liegen. Diese Anlässe brauchen nicht zwangsläufig dieselbe Untersuchung. Beginnen Sie mit einem Satz: „Nach dem Check müssen wir entscheiden können, ob und wie wir …“

Für einen kleinen Betrieb kann zunächst eine verständliche Bestandsaufnahme sinnvoll sein. Bei einer bestimmten öffentlich erreichbaren Anwendung kann dagegen eine gezielte technische Untersuchung erforderlich werden. Wenn bereits Maßnahmen umgesetzt wurden, geht es möglicherweise nur um deren fachliche Nachprüfung.

Mit dieser Zielvorstellung können Sie einen IT-Sicherheitscheck anfragen. Wählen Sie im Formular das passende Anliegen. Die betroffenen Systeme und die gewünschte Untersuchungstiefe besprechen Sie anschließend mit dem Anbieter.

Ein aktueller Sicherheitsvorfall ist ein anderer Anlass als eine geplante Bestandsaufnahme. In diesem Fall nutzen Sie den vorgesehenen Notfallkontakt Ihres Betriebs und organisieren fachliche Unterstützung unmittelbar. Eine allgemeine Angebotsanfrage ersetzt keinen bereits benötigten Einsatz zur Vorfallbearbeitung.

Den betrachteten Bereich verständlich beschreiben

Listen Sie zunächst Standorte, wichtige Anwendungen und die zuständigen Dienstleister auf. Dazu gehören auch ausgelagerte Dienste wie E-Mail, Dateiaustausch oder eine Warenwirtschaft. Der Standort eines Servers ist nur ein Teil der Frage; entscheidend ist, welche Leistungen und Daten Ihr Unternehmen nutzt.

Der NIST-Leitfaden für kleine Unternehmen empfiehlt, Systeme und Dienste zu inventarisieren und ihre Bedeutung für den Betrieb zu berücksichtigen. Für die Vorbereitung genügt eine übersichtliche Zusammenstellung, die bekannte Angaben und offene Fragen erkennen lässt.

Benennen Sie ausdrücklich, ob nur Büroarbeitsplätze oder auch Produktion, Kassen, mobile Geräte und externe Zugänge betrachtet werden sollen. Zwei Angebote können gleich viele Arbeitstage enthalten und dennoch sehr unterschiedliche Bereiche abdecken.

Fehlende Unterlagen sind eine mögliche Aufgabe des Projekts. Fragen Sie den Anbieter, welche Bestandsaufnahme er selbst leisten kann und welche Mitwirkung dafür nötig ist. So vermeiden Sie, dass der Check wegen eines nicht vorhandenen Netzplans bereits zu Beginn stockt.

Die Methode zum Anlass wählen

Ein standardisiertes Gespräch kann einen guten Einstieg bieten, wenn der bisherige Sicherheitsstand unübersichtlich ist. DIN beschreibt den CyberRisikoCheck nach DIN SPEC 27076 als strukturierte Beratung mit verständlichen Fragen und Handlungsempfehlungen für kleine Unternehmen.

Fragen Sie dennoch, welche Leistung das konkrete Angebot enthält. Ein Gespräch über bestehende Maßnahmen, die Prüfung von Konfigurationen und eine technische Untersuchung sind unterschiedliche Arbeiten. Lassen Sie den Anbieter erklären, welche Aussagen seine Methode ermöglicht und was dabei nicht untersucht wird.

Für einen Kundenfragebogen kann außerdem ein bestimmter Nachweis verlangt sein. Klären Sie mit dem Kunden, welches Ergebnis er tatsächlich erwartet. Eine intern hilfreiche Bestandsaufnahme muss nicht automatisch die von einem Vertragspartner verlangte Prüfung oder Bescheinigung ersetzen.

Anlass	Sinnvolle Frage an den Anbieter
Bisher wenig Überblick	Wie entsteht eine priorisierte Bestandsaufnahme?
Neue Anwendung	Welche Komponenten und Zugänge werden untersucht?
Auffälliger Einzelbefund	Wie wird die Ursache fachlich eingegrenzt?
Umgesetzte Verbesserungen	Wie wird die Wirksamkeit nachgeprüft?
Kundennachweis	Entspricht das Ergebnis dem verlangten Umfang?

Zugriffe und Betriebsbedingungen vorab vereinbaren

Ein technischer Check benötigt einen klaren Auftrag. Vereinbaren Sie, welche Systeme untersucht werden dürfen, welche Zugriffe vorgesehen sind und wer die Durchführung freigibt. Bei fremd betriebenen Diensten müssen die verantwortlichen Stellen einbezogen werden.

Besprechen Sie Betriebszeiten, Wartungsfenster und empfindliche Anwendungen. Ein Produktionssystem kann andere Bedingungen haben als eine isolierte Testumgebung. Der Anbieter sollte mögliche Auswirkungen seiner Methode erklären und einen Umgang mit unerwarteten Störungen festlegen.

Vertrauliche Unterlagen werden erst über einen dafür vereinbarten sicheren Weg bereitgestellt. Für die erste Beratung reichen meist beschreibende Angaben. Passwörter, Schlüssel oder vollständige personenbezogene Datensätze gehören nicht in eine allgemeine Kontaktaufnahme.

Bestimmen Sie außerdem, wer während der Untersuchung erreichbar ist. Wenn ein kritischer Befund entsteht, braucht es einen direkten Meldeweg und jemanden, der über weitere Maßnahmen entscheiden kann. Die Geschäftsführung sollte nicht erst im Abschlussbericht von einem unmittelbar relevanten Problem erfahren.

Einen Bericht verlangen, mit dem Ihr Team arbeiten kann

Ein brauchbarer Befund nennt den betroffenen Bereich, die Beobachtung, ihre Bedeutung und eine nachvollziehbare Empfehlung. Fragen Sie nach einem anonymisierten Musterbericht oder einer Beschreibung des geplanten Ergebnisses. So erkennen Sie, ob die Darstellung zu Ihrem internen Kenntnisstand passt.

Die Priorität sollte mit dem Geschäftsrisiko und den konkreten Bedingungen begründet werden. Eine rein technische Bewertung kann wichtig sein, erklärt aber noch nicht, welche betriebliche Abhängigkeit zuerst behandelt werden muss. Lassen Sie hohe Prioritäten und verbleibende Unsicherheiten im Abschlussgespräch erläutern.

Vereinbaren Sie eine überschaubare Maßnahmenliste mit Zuständigkeiten. Manche Aufgaben übernimmt Ihr bestehendes Systemhaus, andere benötigen zusätzliche Unterstützung oder eine Entscheidung der Geschäftsführung. Diese Zuordnung macht aus dem Bericht einen Arbeitsauftrag.

Achten Sie auch auf die Aussagegrenzen. Eine Stichprobe sollte als solche erkennbar sein. Nicht untersuchte Systeme dürfen im Ergebnis nicht den Eindruck einer Prüfung erhalten. Das hilft, spätere Entscheidungen auf die tatsächlich vorhandenen Erkenntnisse zu stützen.

Eine Kernfrage in prüfbare Ergebnisse übersetzen

Nehmen Sie einen konkreten Anlass aus Ihrem Betrieb. Wenn beispielsweise die Ablage wichtiger Projektdaten neu organisiert werden soll, kann der Check klären, welche Zugänge, Zuständigkeiten und bestehenden Schutzmaßnahmen zu betrachten sind. Schreiben Sie auf, welche Entscheidung Sie danach treffen möchten. Fragen Sie den Anbieter anschließend, mit welcher Untersuchung er diese Frage beantworten kann und wo zusätzliche Arbeit nötig wäre.

Beschreiben Sie das erwartete Ergebnis anhand einer betrieblichen Handlung. Wer soll nach dem Abschluss wissen, was als Nächstes zu tun ist? Eine Geschäftsführung braucht vielleicht eine priorisierte Entscheidungsvorlage; das betreuende Systemhaus benötigt zusätzlich genaue fachliche Befunde. Vereinbaren Sie, wie diese unterschiedlichen Empfänger in Bericht und Abschlussgespräch berücksichtigt werden.

Lassen Sie bei einem eng begrenzten Check den betrachteten Ausschnitt benennen. Ein Ergebnis für einen bestimmten Zugang oder eine einzelne Anwendung lässt sich nicht ungeprüft auf alle übrigen Systeme übertragen. Fragen Sie ausdrücklich, welche Aussage nach Abschluss möglich sein wird. Dadurch können Sie den Nutzen des Angebots mit Ihrer ursprünglichen Entscheidungsfrage abgleichen.

Vorhandene Maßnahmen mit ihren tatsächlichen Nachweisen vorbereiten

Sammeln Sie beschreibende Unterlagen zu den vereinbarten Bereichen. Dazu können eine aktuelle Systemübersicht, vorhandene Zuständigkeiten und bereits dokumentierte Verbesserungen gehören. Halten Sie fest, was bekannt ist und wo eine Aussage noch geprüft werden muss. Eine frühere Angebotsbeschreibung zeigt beispielsweise, was bestellt wurde; ob und wie es eingerichtet ist, gehört gegebenenfalls zur Bestandsaufnahme.

Fragen Sie nach dem benötigten Detailgrad. Ein erster Beratungstermin braucht möglicherweise andere Informationen als eine freigegebene technische Untersuchung. Stimmen Sie einen geeigneten Übergabeweg und die zugriffsberechtigten Personen ab. Stellen Sie vertrauliche Inhalte gezielt bereit, wenn sie für den vereinbarten Auftrag benötigt werden. Eine allgemeine Formularanfrage soll zunächst den Beratungsbedarf beschreiben.

Für die anschließende Arbeit vertieft der Ratgeber zum Umsetzen eines Sicherheitskonzepts die Maßnahmenplanung. Die neuere Anleitung zur Einführung einer Mehrfaktor-Anmeldung behandelt eine konkrete betriebliche Veränderung. Ein Check kann die passende Reihenfolge vorbereiten; die tatsächliche Umsetzung muss mit ihrem eigenen Umfang vereinbart werden.

Bei technischen Untersuchungen den Ablauf gemeinsam festlegen

Bitten Sie um eine verständliche Beschreibung der vorgesehenen Methode. Welche Systeme werden betrachtet, welche Zugriffe benötigt der Anbieter und welche Eingriffe sind geplant? Vereinbaren Sie die zuständigen Kontakte und den Umgang mit unerwarteten Auswirkungen. Die verantwortlichen Stellen müssen wissen, wann die Untersuchung beginnt und wie nötige Rückfragen unmittelbar geklärt werden können.

Beziehen Sie bei ausgelagerten Anwendungen die jeweils zuständigen Betreiber ein. Fragen Sie, welche Freigaben und Bedingungen für die konkrete Umgebung zu klären sind. Übernehmen Sie keine allgemeine Zusage aus einem anderen Projekt. Der Auftrag sollte den tatsächlich erlaubten Umfang erkennen lassen und auch Bereiche benennen, die zunächst ausgenommen bleiben.

Lassen Sie nach Abschluss darstellen, welche Arbeiten durchgeführt werden konnten. Vielleicht war ein Teilbereich nicht zugänglich oder eine Voraussetzung fehlte. Solche Einschränkungen gehören zur Interpretation der Ergebnisse. Fragen Sie, ob daraus ein gezielter Nachtermin entsteht oder ob die ursprüngliche Fragestellung bereits ausreichend beantwortet ist. Das entscheidet sich am beauftragten Ziel.

Die Maßnahmenbesprechung mit den Umsetzenden führen

Planen Sie das Abschlussgespräch so, dass fachliche Rückfragen geklärt werden können. Nehmen Sie die Personen hinzu, die Maßnahmen später verantworten oder ausführen sollen. Lassen Sie wichtige Befunde am betreffenden Ablauf erläutern und unterscheiden Sie unmittelbar zu klärende Punkte von weiter zu planenden Verbesserungen. Die Reihenfolge sollte für Ihren Betrieb nachvollziehbar begründet sein.

Ordnen Sie anschließend jedem ausgewählten Schritt eine Entscheidung oder Aufgabe zu. Wer holt ein ergänzendes Angebot ein, wer prüft eine vorhandene Einstellung und wer stimmt eine organisatorische Änderung ab? Bewahren Sie den ursprünglichen Befund mit dem Bearbeitungsstand auf. Eine als umgesetzt gemeldete Maßnahme kann je nach Auftrag noch eine fachliche Nachprüfung benötigen; vereinbaren Sie deren Umfang ausdrücklich.

Den Anbieter nach einem verständlichen Arbeitsplan fragen

Lassen Sie Vorbereitung, Erhebung und Auswertung in einer kurzen Abfolge beschreiben. Welche Personen werden wann benötigt, welche Unterlagen müssen vorher vorliegen und wann werden Zwischenergebnisse besprochen? Ein nachvollziehbarer Plan hilft, die Mitwirkung der Geschäftsführung, einzelner Fachbereiche und des bestehenden IT-Betriebs zu organisieren. Klären Sie dabei, welche Schritte im angebotenen Umfang tatsächlich enthalten sind.

Fragen Sie nach dem Vorgehen bei einem fehlenden Nachweis. Wird die Information im Gespräch erhoben, durch eine Untersuchung geprüft oder als offen dokumentiert? Eine Vermutung sollte im Ergebnis als solche erkennbar bleiben. Damit können Sie später unterscheiden, welche Empfehlung auf einem beobachteten Zustand und welche auf einer noch zu klärenden Voraussetzung beruht.

Vereinbaren Sie schließlich, wie Rückfragen zum Bericht bearbeitet werden. Ein Abschlussgespräch kann die wesentlichen Punkte erklären; weitergehende Detailuntersuchungen können einen eigenen Auftrag benötigen. Wenn dieser Übergang vor der Bestellung verständlich ist, lässt sich der Check mit seinem tatsächlichen Nutzen und den anschließend noch offenen Aufgaben bewerten.

Fragen zum passenden IT-Sicherheitscheck

Ist ein CyberRisikoCheck dasselbe wie eine technische Sicherheitsprüfung?

DIN beschreibt den CyberRisikoCheck als strukturierten Beratungsansatz mit verständlichen Fragen und Handlungsempfehlungen für kleine Unternehmen. Fragen Sie beim konkreten Angebot, welche Erhebungen vorgesehen sind. Eine technische Untersuchung mit Zugriffen und festgelegtem Prüfziel ist ein eigener Leistungsumfang, den Sie passend zu Ihrem Anlass abstimmen.

Brauche ich vor dem Erstgespräch einen vollständigen Netzplan?

Beschreiben Sie zunächst die wichtigen Anwendungen, Standorte, Dienstleister und offenen Fragen. Klären Sie, welche Unterlagen der Anbieter für den geplanten Check tatsächlich benötigt. Fehlende Bestandsinformationen können als eigene Aufgabe aufgenommen werden, wenn Umfang und Mitwirkung verständlich vereinbart sind.

Welche Aussage sollte ein Abschlussbericht ermöglichen?

Er sollte die vereinbarte Frage für den tatsächlich untersuchten Bereich beantworten. Lassen Sie Befunde, ihre betriebliche Bedeutung, Empfehlungen und Aussagegrenzen nachvollziehbar darstellen. Ein Abschlussgespräch mit den Verantwortlichen hilft, daraus konkrete Entscheidungen und Aufgaben für Ihren Betrieb abzuleiten.

Ist die Umsetzung der Empfehlungen im Check enthalten?

Lesen Sie die konkrete Leistungsbeschreibung und fragen Sie nach. Bestandsaufnahme, Untersuchung, Bericht, Umsetzung und Nachprüfung können getrennte Leistungen sein. Klären Sie, welche Aufgaben Ihr Systemhaus übernimmt und wofür zusätzliche Unterstützung nötig ist, bevor Sie die Angebote vergleichen.

Den Aufwand nach Umfang und Ergebnis vergleichen

Vergleichen Sie Vorbereitung, Erhebung, technische Untersuchung, Auswertung und Abschlussgespräch getrennt. Fragen Sie, ob eine Nachprüfung umgesetzter Maßnahmen enthalten ist oder separat angeboten wird. Ebenso wichtig ist die interne Zeit, die Beschäftigte und bestehende IT-Dienstleister beisteuern müssen.

Wählen Sie den Check, der Ihre konkrete Entscheidung mit einem verständlichen Ergebnis unterstützt. Ein umfangreicher Bericht ist kein Selbstzweck; ein sehr kurzer Check kann wiederum wesentliche Bereiche offenlassen. Der beauftragte Umfang sollte zu Anlass, Unternehmensumgebung und gewünschter Aussage passen.

Über die kostenfreie und unverbindliche Anfrage zur IT-Sicherheit können Sie diese Beratung beginnen. Halten Sie Anlass, betroffene Bereiche und gewünschtes Ergebnis für das folgende Gespräch bereit. Daraus lässt sich eine Prüfleistung entwickeln, deren Nutzen und Grenzen vor der Beauftragung erkennbar sind.