Ohne Technikwissen prüfen, ob Ihre IT gut organisiert ist: 14 Fragen zu Datensicherung, Zugängen, Notfallplan und Sicherheit, mit Einordnung zu jeder Antwort.

Sie müssen nicht wissen, wie man ein Netzwerk absichert oder eine Sicherung einrichtet. Als Geschäftsführung tragen Sie aber die Verantwortung dafür, dass Ihre IT angemessen organisiert ist: dass Daten gesichert sind, Zugänge geregelt sind und der Betrieb nach einem Ausfall wieder anlaufen kann. Dafür brauchen Sie kein Technikwissen, sondern die richtigen Fragen.

Die folgenden 14 Fragen stammen aus unserer täglichen Arbeit mit kleinen und mittelständischen Unternehmen. Sie decken die Bereiche ab, in denen wir am häufigsten Lücken finden. Jede Frage lässt sich mit Ja, Nein oder Unbekannt beantworten. Ein Unbekannt ist dabei kein Vorwurf, sondern ein nützlicher Hinweis: Was niemand weiß, kann auch niemand verantworten. Gehen Sie die Liste am besten mit der Person durch, die Ihre IT betreut.

1. Sind administrative Zugangsdaten sicher dokumentiert und haben Sie diese griffbereit?

IT-Verantwortlichkeiten und Dokumentation

Die Zugangsdaten für Administratorkonten, Router, Domain und Microsoft 365 sind die Schlüssel zu Ihrem Unternehmen. Ein Ja bedeutet: Sie liegen an einem geschützten Ort, etwa in einem Passwortmanager mit Notfallzugang, und Sie als Geschäftsführung kommen im Ernstfall selbst daran. Ein Nein oder Unbekannt heißt oft, dass dieses Wissen nur bei einer einzelnen Person oder einem früheren Dienstleister liegt. Fällt sie aus, kommen Sie im Zweifel nicht mehr an Ihre eigenen Systeme.

2. Ist ein IT-Notfallplan vorhanden?

Notfallvorsorge

Ein Notfallplan beantwortet auf wenigen Seiten, was bei einem Ausfall oder Angriff zu tun ist: wer entscheidet, wer wen anruft, welche Systeme zuerst wieder laufen müssen und mit welcher Wiederanlaufzeit Sie rechnen. Ein Ja erkennen Sie daran, dass der Plan außerhalb der betroffenen Systeme erreichbar ist und die genannten Personen ihn kennen. Ohne Plan wird im Ernstfall improvisiert, und das verlängert den Stillstand.

3. Sind die technischen und organisatorischen Maßnahmen zum Datenschutz dokumentiert?

Datenschutz und Aufbewahrung

Beim Datenschutz geht es nicht nur darum, personenbezogene Daten zu schützen, sondern auch darum, beschreiben zu können, wie Sie das tun. Diese Beschreibung wird als TOM abgekürzt. Ein Ja bedeutet: Es gibt ein aktuelles Dokument dazu, und es passt zur tatsächlichen Umgebung. Fehlt es, fällt das meist erst auf, wenn ein Auftraggeber oder eine Aufsichtsbehörde danach fragt.

4. Werden Ihre Systeme automatisch überwacht und ist festgelegt, wer auf Warnungen reagiert?

Monitoring und Wartung

Monitoring meldet volle Festplatten, fehlgeschlagene Sicherungen und ausgefallene Dienste, bevor Ihre Mitarbeitenden etwas merken. Der zweite Teil der Frage zählt genauso: Eine Warnung, die in einem Postfach landet, das niemand liest, ist keine Überwachung. Ein Ja heißt: Es gibt ein Werkzeug, eine benannte Stelle, die reagiert, und ein Patchmanagement, das Updates geordnet einspielt. Ein Nein bedeutet meist, dass Probleme erst auffallen, wenn sie den Betrieb stören.

5. Ist ein Virenschutz im Einsatz, der zentral verwaltet wird und bei Vorfällen automatisch Alarm auslöst?

IT-Sicherheit

Ein auf jedem PC einzeln installierter Virenschutz ist besser als keiner, aber niemand sieht, ob er überall läuft. Zentral verwaltete Endpoint Protection zeigt den Stand aller Geräte in einer Übersicht und meldet Funde sofort an eine Stelle, die handelt. Ein Ja bedeutet, dass Sie auf Nachfrage eine Liste bekommen, welches Gerät geschützt ist und welches nicht. Ein Unbekannt ist hier häufig: Der Schutz wurde einmal eingerichtet, aber seitdem hat niemand mehr hineingeschaut.

6. Ist geregelt, welche Zugänge neue Mitarbeitende erhalten und wie diese beim Ausscheiden gesperrt werden?

Benutzer und Berechtigungen

Ein- und Austritte sind der Moment, in dem Berechtigungen entstehen und wieder verschwinden sollten. Ein Ja erkennen Sie an einer kurzen Checkliste je Rolle, einem festen Ablauf zwischen Personalabteilung und IT und einem Berechtigungskonzept, das festlegt, wer worauf zugreifen darf. Ein Nein zeigt sich typischerweise an noch aktiven Konten ehemaliger Mitarbeitender.

7. Ist eine Datensicherung für alle Systeme vorhanden?

Datensicherung

Die Betonung liegt auf alle. Der Dateiserver ist meistens gesichert, die Buchhaltungsdatenbank, die Telefonanlage, die Microsoft-365-Postfächer oder der einzelne PC mit der wichtigen Excel-Tabelle oft nicht. Ein Ja bedeutet: Es gibt eine Liste aller Systeme mit dem Vermerk, wie und wohin sie gesichert werden, und mindestens eine Kopie liegt getrennt vom Original, siehe Backup und 3-2-1-Prinzip. Ein Unbekannt ist hier die Antwort, die wir am dringendsten klären würden.

Sie möchten die Fragen für Ihr Unternehmen durchgehen? Der IT-Kurzcheck stellt genau diese 14 Fragen und zeigt Ihnen sofort, wo Sie stehen.

8. Wird regelmäßig geprüft, ob sich die gesicherten Daten tatsächlich wiederherstellen lassen?

Datensicherung

Eine Sicherung, die noch nicht zurückgespielt wurde, ist eine Annahme. Ob sie funktioniert, zeigt erst ein Restore: eine Datei, ein Postfach oder ein ganzer Server, testweise wiederhergestellt. Ein Ja heißt, dass Sie Termin und Ergebnis des letzten Wiederherstellungstests kennen. Ein Nein bedeutet, dass Sie erst im Ernstfall erfahren, ob die Sicherung vollständig und lesbar ist.

9. Werden geschäftliche E-Mails nachvollziehbar archiviert?

E-Mail-System

Rechnungen, Angebote und Verträge kommen per E-Mail und können Aufbewahrungspflichten unterliegen, für die ein normales Postfach, aus dem sich Nachrichten löschen lassen, in der Regel nicht genügt. Eine E-Mail-Archivierung legt ein- und ausgehende Nachrichten unveränderbar, GoBD-konform und durchsuchbar ab. Ein Ja erkennen Sie daran, dass sich eine vor Jahren gelöschte E-Mail auf Nachfrage wieder auffinden lässt. Ein Nein oder Unbekannt fällt oft erst bei einer Betriebsprüfung oder einem Rechtsstreit auf.

10. Ist eine Firewall vorhanden?

Firewall und Internetzugang

Eine Firewall ist der Türsteher zwischen Ihrem Netzwerk und dem Internet. Der Router vom Internetanbieter bringt einen Grundschutz mit, mehr aber meist nicht. Ein Ja bedeutet: Es gibt ein eigenes Gerät dafür, das Regelwerk ist dokumentiert und die Firewall selbst bekommt Updates. Ein Unbekannt heißt meistens, dass der Router des Providers diese Rolle übernimmt, ohne dass es jemand so entschieden hat.

11. Falls Ihr Team von unterwegs oder von weiteren Standorten auf interne Systeme zugreift: Sind diese Zugänge geschützt und dokumentiert?

Netzwerk

Homeoffice, Außendienst, ein zweiter Standort: Sobald jemand von außen auf Server oder Anwendungen zugreift, entsteht eine Tür ins Firmennetz. Ein Ja heißt: Der Zugang läuft über ein VPN oder eine vergleichbar geschützte Verbindung, jede Person hat einen eigenen Zugang, und es ist dokumentiert, wer hineinkommt. Ein Nein zeigt sich oft an Fernwartungszugängen, die direkt aus dem Internet erreichbar sind und von Angreifern gezielt gesucht werden. Trifft die Frage auf Ihr Unternehmen nicht zu, ist das ebenfalls eine gültige Antwort.

12. Besteht aktiver Herstellersupport für die Hardware?

Server und Arbeitsplatz-PCs

Server, Firewall und Switches laufen oft länger, als der Hersteller sie unterstützt. Ohne Support bedeutet ein Defekt: kein Ersatzteil, keine Firmware-Updates, dafür eine Beschaffung unter Zeitdruck. Ein Ja erkennen Sie an einer Liste der zentralen Geräte mit Anschaffungsdatum und Ablauf der Garantie oder des Wartungsvertrags. Ein Unbekannt ist hier verbreitet, weil die Geräte unauffällig laufen und das Ablaufdatum niemand im Kalender hat.

13. Ist die Anmeldung für alle Benutzer zusätzlich zum Passwort abgesichert, zum Beispiel durch eine Bestätigung per App?

Microsoft 365

Gestohlene oder erratene Passwörter gehören zu den häufigsten Wegen in ein Unternehmenskonto. Die Multi-Faktor-Authentifizierung (MFA) verlangt einen zweiten Nachweis, meist eine Bestätigung auf dem Smartphone, sodass ein erbeutetes Passwort allein in den meisten Fällen nicht mehr für den Zugriff reicht (mehr dazu in unserem Beitrag Was ist MFA?). Ein Ja bedeutet: MFA ist für alle Konten erzwungen, nicht nur empfohlen, und für Administratorkonten ohne Ausnahme. Ein „Fast alle“ ist bei dieser Frage ein Nein, denn Angreifer suchen sich das eine Konto ohne zweiten Faktor.

14. Ist Ihr WLAN vom internen Netzwerk getrennt?

WLAN

Gäste, private Smartphones und Geräte wie Drucker oder Kameras gehören nicht in dasselbe Netz wie Ihr Server. Ein Ja heißt: Gäste-WLAN und internes WLAN sind über eine Segmentierung getrennt, und das interne WLAN ist nur für verwaltete Firmengeräte zugänglich. Ein Nein bedeutet, dass jedes Gerät mit dem WLAN-Passwort grundsätzlich alle internen Systeme erreichen kann. Haben Sie kein eigenes WLAN, entfällt die Frage.

Was das Ergebnis bedeutet

Können Sie alle 14 Fragen mit Ja beantworten und die Belege dazu nennen, spricht viel dafür, dass Ihre IT organisatorisch gut aufgestellt ist. Dann geht es um Feinheiten und darum, den Stand nach größeren Änderungen erneut zu prüfen.

Mehrere Nein oder Unbekannt sind kein Grund zur Panik, aber ein klarer Arbeitsauftrag. Bewährt hat sich diese Reihenfolge: zuerst die Datensicherung (Fragen 7 und 8), weil ohne sie aus fast jedem anderen Schaden ein dauerhafter Datenverlust werden kann. Dann die Zugänge (Fragen 1, 6 und 13), weil offene Zugänge Angreifern die Arbeit abnehmen. Danach der Notfallplan (Frage 2), damit alle Beteiligten wissen, was im Ernstfall zu tun ist. Alles Weitere lässt sich anschließend in Ruhe planen.

Sie möchten wissen, wo Ihr Unternehmen steht? Der IT-Kurzcheck stellt Ihnen genau diese 14 Fragen. Möchten Sie die offenen Punkte anschließend besprechen, gibt es dafür unseren kostenlosen IT-Check: 45 Minuten, in denen wir Ihre Antworten gemeinsam einordnen und die nächsten Schritte festlegen.

← Zurück zur Übersicht