Ein Zulieferer aus Baunatal bekommt im Februar eine Mail von seinem größten Kunden. Im Anhang ein Fragebogen mit sechzig Positionen zur Informationssicherheit, Rücklauf in vier Wochen. Der Geschäftsführer liest Wörter wie Netzsegmentierung, Rollenkonzept und Wiederanlaufzeit. Die Hälfte davon kann er nicht beantworten. Seine IT läuft seit vierzehn Jahren zuverlässig, geprüft hat sie in dieser Zeit niemand. Genau darin liegt das Problem.
Ein IT-Sicherheitsaudit beantwortet diese Fragen, bevor ein Kunde sie stellt. Es schaut sich an, was tatsächlich im Betrieb steht und läuft, und gleicht das mit dem ab, was fachlich erwartet wird. MIT-System aus Kassel führt solche Prüfungen für Betriebe in ganz Nordhessen durch, vom Handwerksbetrieb in Fritzlar bis zum Maschinenbauer mit 120 Beschäftigten.
Was ein IT-Sicherheitsaudit wirklich ist
Eine Bestandsaufnahme, die nie stattgefunden hat
Stell dir eine Betriebsbegehung vor, wie du sie vom Arbeitsschutz kennst. Jemand geht durch, schaut sich die Anlagen an, spricht mit den Leuten, notiert Abweichungen und schreibt einen Bericht mit Fristen. Ein IT-Sicherheitsaudit funktioniert genauso, nur eben für Server, Konten, Backups und Abläufe. Die Prüfung folgt einem festen Katalog. Am Ende hältst du ein Dokument in der Hand.
Den bekanntesten deutschen Katalog dafür stellt das BSI mit dem IT-Grundschutz-Kompendium bereit. Er ist in zehn Schichten gegliedert und beschreibt für jeden Themenbereich die typischen Gefährdungen, die Sicherheitsanforderungen und konkrete Umsetzungshinweise2. Für kleinere Betriebe gibt es eine deutlich schlankere Variante, den CyberRisikoCheck nach DIN SPEC 27076. Der prüft 27 Anforderungen aus sechs Themenbereichen in einem ein- bis zweistündigen Interview und richtet sich ausdrücklich an Unternehmen mit weniger als 50 Beschäftigten1. Bei MIT-System kommen beide Wege zum Einsatz, je nach Betriebsgröße und je nachdem, was am Ende herauskommen soll.
Warum der Fragebogen vom Großkunden der Auslöser ist
Bei den meisten Betrieben in Nordhessen kommt der Anstoß für das erste IT-Sicherheitsaudit von außen. Ein Automobilzulieferer in Baunatal bekommt Anforderungen aus der Konzern-Lieferkette. Ein Pflegedienst in Homberg soll gegenüber der Kasse Nachweise erbringen. Ein Ingenieurbüro in Göttingen will an eine öffentliche Ausschreibung und stolpert über einen Sicherheitsnachweis in den Vergabeunterlagen. Der Druck kommt aus der Geschäftsbeziehung.
Aus Unternehmersicht ist das erst mal einfach nur lästig. Du hast einen Betrieb zu führen, Aufträge im Haus und drei offene Stellen. Aber wer die Antworten einmal sauber erarbeitet hat, liefert sie beim nächsten Fragebogen in zwei Stunden statt in zwei Wochen.
Audit, Schwachstellenscan und Penetrationstest auseinanderhalten
Der Schwachstellenscan als Maschinenblick
Ein Schwachstellenscan ist ein automatisiertes Werkzeug. Es klopft die Systeme im Netz ab und meldet bekannte Lücken, veraltete Softwarestände und offene Dienste. Das geht schnell, kostet wenig und läuft im Idealfall regelmäßig im Hintergrund. Der Scan sieht technische Zustände. Ob dein Backup-Band tatsächlich im Tresor der Filiale in Fritzlar liegt, sieht er halt nicht.
Der Penetrationstest als Angriffsprobe
Beim Penetrationstest versucht ein Fachmann aktiv, in deine Systeme einzudringen. Er nutzt gefundene Lücken aus, kombiniert sie und zeigt, wie weit ein echter Angreifer kommen würde. Das ist tiefer als ein Scan und deutlich aufwendiger. Ein Penetrationstest beantwortet die Frage, ob eine konkrete Schwachstelle ausnutzbar ist. Fragen zu Zuständigkeiten, Verträgen oder Notfallplänen bleiben dabei offen.
Das Audit als Gesamtbild
Ein IT-Sicherheitsaudit umfasst beides und geht darüber hinaus. Es kombiniert die technische Prüfung mit Gesprächen, Dokumentensichtung und einem Rundgang durch den Betrieb. Ein Audit fragt nach dem Wer, dem Wie oft und dem Was passiert dann. Deshalb kannst du mit einem IT-Sicherheitsaudit einen Kundenfragebogen beantworten. Ein Scan-Ergebnis allein reicht dafür selten. Bei MIT-System sind Scan und Test deshalb Bausteine innerhalb eines Audits, keine Einzelprodukte.
Du weißt jetzt, was Scan, Test und Audit jeweils leisten. Welche Kombination zu deinem Betrieb passt, klärt MIT-System mit dir in einem kurzen Erstgespräch. Ruf einfach durch.
Diese Bereiche prüft ein IT-Sicherheitsaudit
Netzwerk und Übergänge nach außen
Ein Prüfer schaut sich an, wie dein Netz aufgebaut ist und wo es Kontakt zur Außenwelt hat. Firewall-Regeln, VPN-Zugänge, Fernwartungszugriffe von Maschinenherstellern, offene Ports. Das BSI empfiehlt, Dienste wie RDP zu deaktivieren oder nur über VPN erreichbar zu machen, und Netze zu segmentieren, damit ein Vorfall sich nicht ungebremst ausbreitet3. In vielen nordhessischen Produktionsbetrieben hängt die CNC-Steuerung im selben Netz wie die Buchhaltung. Das fällt bei einem IT-Sicherheitsaudit sofort auf.
Konten, Passwörter und Berechtigungen
Wer darf was, und warum? Ein IT-Sicherheitsaudit zieht die Kontenliste und gleicht sie mit der Personalliste ab. Konten ausgeschiedener Mitarbeiter, geteilte Zugänge im Lager, der Chef-Account mit Administratorrechten für den Alltag. Das BSI rät dazu, privilegierte Konten nur für Administrationsaufgaben zu nutzen und sie mit Mehr-Faktor-Authentisierung abzusichern3. Bei einem Familienbetrieb in Homberg fand sich zuletzt ein aktiver Zugang eines 2019 ausgeschiedenen Buchhalters.
Backup und Wiederherstellung
Hier trennt sich Gefühl von Tatsache. Das BSI bezeichnet das Backup als wichtigste Schutzmaßnahme und weist darauf hin, dass Angreifer mit erbeuteten Administrationsrechten gezielt nach allen Backups suchen und diese mitverschlüsseln. Mindestens eine Kopie sollte deshalb offline liegen, und die Wiederherstellung gehört regelmäßig geübt, inklusive Schwarzstart aller Server3. Ein IT-Sicherheitsaudit begnügt sich deshalb nicht mit der Frage, ob eine Sicherung existiert. Sie wird im Zweifel testweise zurückgespielt. Viele Betriebe erleben dabei ihre erste echte Überraschung.
Endgeräte im Betrieb und im Homeoffice
Notebooks, Tablets, Diensthandys, der alte Rechner an der Presse mit einer Windows-Version, die es offiziell längst nicht mehr gibt. Ein Prüfer sieht sich Verschlüsselung, Updatestände und Virenschutz an. Und er fragt, was passiert, wenn ein Gerät im Zug nach Göttingen liegen bleibt. Ein IT-Sicherheitsaudit erfasst auch private Geräte, die auf Firmendaten zugreifen.
Cloud-Dienste und was dort wirklich läuft
Fast jeder Betrieb nutzt heute Microsoft 365, eine Cloud-Warenwirtschaft oder einen Dateidienst. Ein IT-Sicherheitsaudit klärt, welche Dienste im Einsatz sind, wer sie administriert, wo die Daten liegen und ob Mehr-Faktor-Authentisierung aktiv ist. Oft tauchen dabei Dienste auf, die eine Abteilung einfach auf eigene Faust eingeführt hat. Die stille Cloud nennen sie das bei MIT-System, und sie ist in fast jedem Audit dabei.
Physische Sicherheit vom Serverraum bis zum Schlüsselbrett
Der Serverschrank steht im Putzmittelraum. Die Tür klemmt und bleibt deshalb offen. Ein IT-Sicherheitsaudit schaut sich Zutrittsregelungen an, Schlüsselverwaltung, Brandschutz, Klimatisierung und die Frage, wer abends als Letzter geht. Bei Betrieben mit Publikumsverkehr, etwa einem Autohaus in Kassel, kommt der Empfangstresen dazu.
Prozesse, Zuständigkeiten und der Notfallplan
Was passiert am Montagmorgen, wenn nichts mehr geht? Ein IT-Sicherheitsaudit prüft, ob es darauf eine schriftliche Antwort gibt. Das BSI empfiehlt, Notfalldokumente zusätzlich ausgedruckt vorzuhalten und die Pläne regelmäßig zu üben3. Eine Telefonliste im verschlüsselten Dateiserver hilft im Ernstfall wenig. Das leuchtet jedem sofort ein.
Dienstleister und Lieferkette
MIT-System legt für diesen Teil eine Dienstleisterliste an, die viele Betriebe zum ersten Mal vollständig zu Gesicht bekommen. Dein Steuerbüro, dein Lohnabrechner, der Hersteller deiner Maschinensteuerung, dein Webdienstleister. Alle haben Zugänge oder Daten. Ein IT-Sicherheitsaudit erfasst diese Beziehungen und prüft die vertragliche Grundlage dahinter.
Weißt du auswendig, wer alles Zugänge zu deinen Systemen hat? Lass MIT-System diese Dienstleisterliste im Rahmen eines IT-Sicherheitsaudits für dich aufstellen, bevor dein Großkunde danach fragt.
Wie ein IT-Sicherheitsaudit in der Praxis abläuft
Vorgespräch und Abgrenzung
Am Anfang steht die Frage nach dem Umfang. Alle Standorte oder nur der Hauptsitz in Kassel? Produktion mit drin oder erst mal die Verwaltung? Wer aus dem Betrieb steht als Ansprechpartner bereit? In diesem Gespräch wird auch geklärt, welches Ergebnis du am Ende brauchst, etwa einen Bericht, den du deinem Großkunden vorlegen kannst. Erst danach schätzt MIT-System den Aufwand für dein IT-Sicherheitsaudit.
Erhebung vor Ort und technische Prüfung
Dann kommt jemand in den Betrieb. Interviews mit Geschäftsführung, IT-Verantwortlichen und einzelnen Mitarbeitern, ein Rundgang durch Serverraum und Produktion, ein Blick in Verträge und Dokumentation. Parallel laufen die technischen Prüfungen im Netz. Beim CyberRisikoCheck ist dieser Teil bewusst kompakt gehalten und dauert ein bis zwei Stunden1. Bei einem umfassenden IT-Sicherheitsaudit für einen Zulieferer mit drei Standorten werden daraus mehrere Tage.
Auswertung und Abschlussgespräch
Danach bewertet der Prüfer die Ergebnisse, priorisiert sie und schreibt den Bericht. Dann setzt ihr euch zusammen und geht ihn durch. Dieses Gespräch ist der wichtigste Teil, weil hier aus Befunden Entscheidungen werden. Ein guter Auditor erklärt jeden Punkt so, dass die Geschäftsführung ihn ohne IT-Ausbildung versteht.
Was im Bericht steht und was du damit anfängst
Befund, Bewertung, Handlungsempfehlung
Jeder geprüfte Punkt erscheint mit drei Angaben: was vorgefunden wurde, wie kritisch das ist und was zu tun wäre. Beim CyberRisikoCheck bekommt der Betrieb zusätzlich eine Punktzahl und für jede nicht erfüllte Anforderung eine konkrete Handlungsempfehlung, dazu Hinweise auf staatliche Fördermaßnahmen auf Bundes-, Landes- und kommunaler Ebene1. Für einen Betrieb in Fritzlar mit knappem Budget ist dieser Förderteil oft der praktischste Abschnitt im ganzen Bericht.
Die Maßnahmenliste mit Prioritäten
Der Bericht aus einem IT-Sicherheitsaudit taugt wenig, wenn er 80 gleichrangige Punkte auflistet. Brauchbar wird er durch die Reihenfolge. Zu jeder Maßnahme schreibt MIT-System deshalb dazu, wer sie umsetzen muss und was sie ungefähr kostet. Sofortmaßnahmen in den nächsten vier Wochen, mittelfristige Schritte im laufenden Jahr, strategische Themen für die nächste Investitionsrunde.
Der Teil für die Geschäftsführung
Ganz vorne gehört eine Zusammenfassung hin, die ohne Fachbegriffe auskommt. Zwei Seiten, die du deinem Beirat, deiner Bank oder deinem Großkunden zeigen kannst. Das BSI weist ausdrücklich darauf hin, dass die Geschäftsleitung betroffener Einrichtungen die Risikomanagementmaßnahmen umzusetzen hat4. Verantwortung lässt sich nicht an die IT delegieren.
Dauer und Kosten eines IT-Sicherheitsaudits
Wie lange es dauert
Für einen Betrieb mit 15 Arbeitsplätzen an einem Standort ist ein kompaktes IT-Sicherheitsaudit an einem Tag vor Ort machbar, plus Auswertung. Bei 60 Arbeitsplätzen mit Produktion und zwei Standorten rechnest du mit drei bis fünf Tagen Erhebung. Zwischen Erhebung und Abschlussgespräch liegen üblicherweise ein bis zwei Wochen. Vom ersten Telefonat bis zum fertigen Bericht vergehen so vier bis acht Wochen. Die Terminfindung im Betrieb dauert dabei oft länger als die Prüfung selbst.
Wovon der Preis abhängt
Seriöse Pauschalpreise gibt es kaum, weil die Spannweite einfach zu groß ist. Der Aufwand hängt an diesen Faktoren:
- Anzahl der Standorte und ob überall vor Ort geprüft wird
- Anzahl der Arbeitsplätze, Server und Netzwerkgeräte
- Produktions- und Maschinennetze, die eigene Fachkenntnis erfordern
- Anzahl der Cloud-Dienste und Fachanwendungen
- Tiefe der Prüfung, also reines Interview gegenüber Interview plus Scan plus Penetrationstest
- Zielrahmen, etwa CyberRisikoCheck, IT-Grundschutz-Basis-Absicherung oder ein kundenspezifischer Fragebogen
- Zustand der Dokumentation, weil fehlende Unterlagen im Audit erst rekonstruiert werden müssen
- Umfang der Nacharbeit, also ob du nur den Bericht willst oder Begleitung bei der Umsetzung
Was den Preis nach oben treibt
MIT-System rechnet die kritischen Posten vorher transparent auf, damit dein IT-Sicherheitsaudit kein offenes Fass wird. Der größte Kostentreiber ist fehlende Dokumentation. Wenn niemand mehr weiß, welche Server laufen und welche Verträge existieren, wird ein erheblicher Teil des Audits zur Inventur. Der zweite Treiber sind gewachsene Sonderlösungen, etwa eine Fernwartung, die ein Maschinenbauer aus der Region vor zehn Jahren eingerichtet hat und die seitdem niemand angefasst hat.
Bevor du über Budget nachdenkst, brauchst du eine Zahl. Fordere bei MIT-System eine unverbindliche Aufwandsschätzung für dein IT-Sicherheitsaudit an und finde heraus, wie viel Inventurarbeit bei dir wirklich anfällt.
Wie oft du auditieren solltest
Der Jahresrhythmus als Grundlinie
Für die meisten Betriebe im Mittelstand hat sich ein vollständiges IT-Sicherheitsaudit alle zwei bis drei Jahre bewährt, dazwischen jährlich eine kürzere Überprüfung der offenen Punkte. Automatisierte Schwachstellenscans laufen sinnvollerweise monatlich oder quartalsweise. So bleibt der Aufwand planbar. Eine Spedition in Homberg kann ihn dann wie die Wartung der Fahrzeugflotte in den Jahresplan schreiben.
Anlässe, die ein Audit vorziehen
Ein Wechsel des IT-Dienstleisters, eine Betriebsübernahme, ein neuer Standort, die Einführung eines neuen ERP-Systems oder ein tatsächlicher Sicherheitsvorfall. In all diesen Fällen wird ein IT-Sicherheitsaudit vor dem Rhythmus fällig. Das gilt auch, wenn ein Großkunde neue Anforderungen stellt. Die Bedrohungslage bleibt nach Einschätzung des BSI auf angespanntem Niveau, wobei besonders unzureichend geschützte Angriffsflächen Deutschland verwundbar machen7. Das BKA verzeichnete für 2024 allein 131.391 in Deutschland verübte Cybercrime-Fälle sowie 201.877 Straftaten, die aus dem Ausland oder von unbekanntem Ort begangen wurden5.
Cyberversicherung, NIS2 und Kundenanforderungen
Was Versicherer im Schadensfall prüfen
Cyberversicherungen geben in ihren Bedingungen konkrete IT-Sicherheitsmaßnahmen vor, etwa ein geeignetes Backup-Konzept, und prüfen im Schadensfall sehr genau auf Versäumnisse des Versicherungsnehmers3. Ein dokumentiertes IT-Sicherheitsaudit hilft dir an beiden Stellen. Beim Abschluss beantwortest du die Risikofragen belastbar, im Schadensfall weist du nach, dass du deine Hausaufgaben gemacht hast. Ohne diesen Nachweis stehst du im Zweifel schlecht da.
NIS2 trifft dich über die Lieferkette
Die deutschen Schwellenwerte sind hoch angesetzt. Als besonders wichtige Einrichtung gilt ein Unternehmen ab 500 Beschäftigten oder 125 Millionen Euro Jahresumsatz, als wichtige Einrichtung ab 250 Beschäftigten oder 50 Millionen Euro Jahresumsatz4. Die meisten Familienbetriebe zwischen Kassel und Göttingen liegen darunter. Aber betroffene Einrichtungen müssen die Sicherheit ihrer Lieferkette einschließlich der Beziehungen zu unmittelbaren Anbietern absichern, und sie geben diese Anforderungen vertraglich weiter4. So landet NIS2 als Fragebogen auf dem Schreibtisch eines Zulieferers in Baunatal, der selbst gar nicht reguliert ist. Ein IT-Sicherheitsaudit ist die praktikabelste Antwort darauf.
Der Sicherheitsfragebogen als Türöffner
Betrachte den Fragebogen deines Großkunden mal als Wettbewerbsvorteil. Nach der Bitkom-Studie Wirtschaftsschutz 2025 waren 87 Prozent der Unternehmen in Deutschland innerhalb von zwölf Monaten von Datendiebstahl, Spionage oder Sabotage betroffen, der Gesamtschaden liegt bei 289,2 Milliarden Euro6. Einkäufer wissen das. Wer belastbar antworten kann, bleibt in der Ausschreibung. MIT-System übersetzt die Ergebnisse aus dem IT-Sicherheitsaudit direkt in die Sprache dieser Fragebögen.
Der erste Schritt für nordhessische Betriebe
Mit dem CyberRisikoCheck einsteigen
Wenn du unter 50 Beschäftigte hast und noch nie eine Bestandsaufnahme gemacht hast, ist der CyberRisikoCheck nach DIN SPEC 27076 der richtige Einstieg. 27 Anforderungen, sechs Themenbereiche, ein bis zwei Stunden Interview, danach ein Bericht mit Punktzahl, Handlungsempfehlungen und Förderhinweisen1. Das ist überschaubar. MIT-System bietet diesen Check für Betriebe in Kassel, Baunatal, Fritzlar, Homberg und Göttingen an und baut darauf bei Bedarf ein vollständiges IT-Sicherheitsaudit auf.
Was nach dem Audit passiert
MIT-System begleitet die Umsetzung und schaut nach einem Jahr nach, was tatsächlich passiert ist. Denn der Bericht aus dem IT-Sicherheitsaudit ist der Anfang der Arbeit. Die Sofortmaßnahmen kannst du meist innerhalb weniger Wochen abarbeiten, oft ohne große Investition. Mehr-Faktor-Authentisierung aktivieren, alte Konten löschen, ein Offline-Backup einrichten, den Notfallplan ausdrucken. Die mittelfristigen Punkte gehören dann in den Investitionsplan.
Bleibt eine Frage, die dir kein IT-Sicherheitsaudit abnimmt: Wie viel Ausfall verkraftet dein Betrieb, bevor die Kunden zum Wettbewerber abwandern? Drei Tage? Zwei Wochen? Das BSI weist darauf hin, dass Maßnahmen zur Wiederherstellung nach einem schweren Vorfall häufig mehrere Wochen oder gar Monate in Anspruch nehmen3. Die Antwort darauf kennt nur die Geschäftsführung. Und sie sollte sie vor dem nächsten Montagmorgen kennen.
Diese Zahl solltest du kennen, bevor sie dich einholt. Vereinbare mit MIT-System einen Termin für die Bestandsaufnahme in deinem Betrieb, ob in Kassel, Baunatal, Fritzlar, Homberg oder Göttingen.
Ein Kunde hat uns einen mehrseitigen Fragebogen zur IT geschickt und ich verstehe die Hälfte der Begriffe nicht. Wie komme ich da raus?
Beantworte ihn auf Basis einer echten Bestandsaufnahme. Ein IT-Sicherheitsaudit ist genau das: eine strukturierte Begehung deiner IT, vergleichbar mit einer Begehung im Arbeitsschutz. Jemand schaut sich Netzwerk, Konten, Backups und Abläufe an und schreibt die Ergebnisse auf. Aus diesem Dokument beantwortest du solche Fragebögen. Beim nächsten Mal brauchst du dafür zwei Stunden.
Wir haben eine Firewall und Virenschutz und trotzdem sagt unsere Versicherung, das reiche nicht. Was fehlt da noch?
Versicherer schreiben in ihren Bedingungen konkrete Maßnahmen vor, etwa ein tragfähiges Backup-Konzept, und schauen im Schadensfall sehr genau hin. Ein IT-Sicherheitsaudit, also eine systematische Bestandsaufnahme deiner gesamten IT, deckt die typischen Lücken auf: Konten ausgeschiedener Mitarbeiter, fehlende Mehr-Faktor-Anmeldung, nie getestete Backups. Mit dem Ergebnis beantwortest du die Risikofragen deines Versicherers belastbar.
Bei uns weiß niemand mehr, welche Programme, Server und Zugänge überhaupt alle laufen. Wo fange ich an?
Mit einer Inventur. Ein IT-Sicherheitsaudit bedeutet, dass ein Fachmann deinen Betrieb systematisch durchgeht und aufschreibt, was vorhanden ist und wie gut es abgesichert ist. Für Betriebe unter 50 Beschäftigten gibt es einen schlanken Einstieg mit 27 Standardfragen in einem zweistündigen Gespräch. MIT-System nutzt diesen Weg für viele Betriebe in Nordhessen.
Vor drei Jahren hat mal jemand von außen unsere IT angeschaut. Muss ich das in festen Abständen wiederholen?
Ja. Für Mittelständler hat sich ein volles IT-Sicherheitsaudit, also eine komplette Bestandsaufnahme der IT mit schriftlichem Bericht, alle zwei bis drei Jahre bewährt. Dazwischen reicht meist eine kürzere Kontrolle der offenen Punkte. Früher fällig wird es bei einer Betriebsübernahme, einem neuen Standort, dem Wechsel des IT-Dienstleisters, einer neuen Warenwirtschaft oder nach einem tatsächlichen Angriff.
Als Zulieferer für einen Konzern höre ich ständig von neuen gesetzlichen Pflichten. Betrifft mich das mit 20 Beschäftigten?
Direkt meistens nicht. Die Pflichten aus dem europäischen Regelwerk NIS2 greifen in Deutschland erst ab 250 Beschäftigten oder 50 Millionen Euro Jahresumsatz. Dein Konzernkunde fällt aber vermutlich darunter und muss seine Lieferkette absichern. Er gibt die Anforderungen vertraglich an dich weiter. Ein IT-Sicherheitsaudit, die geordnete Durchleuchtung deiner IT, liefert dir die Antworten dafür.
Ich kann meine Leute nicht tagelang aus der Produktion nehmen. Wie viel Zeit muss ich einplanen, wenn jemand unsere IT durchleuchtet?
Weniger als die meisten befürchten. Bei einem kompakten IT-Sicherheitsaudit, also einer strukturierten Bestandsaufnahme deiner IT, reichen ein bis zwei Stunden Gespräch mit dir und deinem IT-Verantwortlichen. Bei 60 Arbeitsplätzen mit Produktion und zwei Standorten rechnest du mit drei bis fünf Tagen, verteilt über mehrere Wochen. Die Terminfindung dauert oft länger als die Arbeit selbst.
Ich habe keine Vorstellung, mit welchen Kosten ich rechnen muss, wenn jemand unsere IT gründlich unter die Lupe nimmt. Wovon hängt der Preis ab?
Pauschalpreise wären unseriös, weil die Betriebe zu unterschiedlich sind. Der Preis für ein IT-Sicherheitsaudit, also die vollständige Bestandsaufnahme deiner IT, richtet sich nach der Zahl der Standorte, Arbeitsplätze und Server, nach vorhandenen Maschinennetzen, nach der Zahl deiner Cloud-Dienste und nach der Prüftiefe. Der größte Kostentreiber ist fehlende Dokumentation. Lass dir den Aufwand vorher aufschlüsseln.
Unsere Backups laufen jede Nacht automatisch durch. Kann mir bei einem Angriff dann überhaupt noch etwas passieren?
Leider ja. Angreifer verschaffen sich zuerst Administratorrechte, suchen dann gezielt nach allen Sicherungen und verschlüsseln diese gleich mit. Deshalb gehört mindestens eine Kopie offline, also komplett getrennt vom Netz. Wichtig ist außerdem, dass die Rücksicherung regelmäßig geübt wird. Ein IT-Sicherheitsaudit, die systematische Kontrolle deiner IT, spielt eine Sicherung im Zweifel testweise zurück.
Ein Dienstleister bietet uns einen automatischen Scan unserer Systeme an. Reicht so ein Scan meinem Kunden als Nachweis?
Meistens nicht. Ein Scan ist ein Werkzeug, das die Systeme abklopft und bekannte Softwarelücken meldet. Er sieht ausschließlich Technik. Ein IT-Sicherheitsaudit umfasst zusätzlich Gespräche, Verträge, Zuständigkeiten, den Notfallplan und einen Rundgang durch den Betrieb. Kundenfragebögen fragen genau diese organisatorischen Punkte ab. Für den Nachweis brauchst du deshalb die breitere Prüfung.
Ich soll meiner Bank schriftlich belegen, dass unsere IT ordentlich aufgestellt ist. Was für ein Dokument bekomme ich dafür?
Den Bericht aus einem IT-Sicherheitsaudit, also aus der geordneten Bestandsaufnahme deiner IT. Darin steht zu jedem geprüften Punkt der Befund, wie kritisch er ist und was zu tun wäre. Dazu kommt eine nach Dringlichkeit sortierte Maßnahmenliste. Ganz vorne gehören zwei Seiten Zusammenfassung ohne Fachbegriffe hin, die du deiner Bank oder deinem Großkunden vorlegen kannst.
Quellen
6 Bitkom e. V., Primärquelle: https://www.bitkom.org/Bitkom/Publikationen/Wirtschaftsschutz
