☰☖5-Minuten-Compliance-CheckSchneller Überblick über zentrale Anforderungen an IT-Sicherheit und Compliance.

32 Fragen, gewichteter KMU-Reifegrad, Schatten-IT integriert

Beantworte die Fragen ehrlich aus Sicht des Unternehmens. „Teilweise“ steht für vorhandene, aber noch nicht durchgängig umgesetzte oder nachgewiesene Maßnahmen.

IT-Basisschutz (11 Fragen)
1. Ist Multi-Faktor-Authentifizierung für Microsoft 365, VPN, Fernzugriff und wichtige Cloud-Dienste aktiviert?

MFA verhindert viele erfolgreiche Angriffe trotz gestohlener Passwörter.

Basisschutz
2. Gibt es regelmäßige Backups, die auch tatsächlich wiederhergestellt getestet werden?

Ein Backup ist erst dann belastbar, wenn eine Wiederherstellung erfolgreich getestet wurde.

Datensicherung
3. Werden Sicherheitsupdates für Server, PCs, Router, Firewall, NAS und Fachsoftware zeitnah installiert?

Veraltete Systeme sind eines der häufigsten Einfallstore.

Systempflege
4. Sind normale Benutzerkonten und Administratorkonten sauber getrennt?

Administrationsrechte sollten nur genutzt werden, wenn sie wirklich benötigt werden.

Benutzerkonten
5. Wird ein Passwortmanager genutzt und sind geteilte Passwörter vermieden?

Gemeinsame Passwortlisten in Excel, Browsern oder Papierordnern sind schwer kontrollierbar.

Passwörter
8. Ist Fernzugriff nur über abgesicherte Verfahren wie VPN, MFA oder geprüfte Fernwartung möglich?

Offene Fernzugänge sind ein beliebtes Angriffsziel.

Fernzugriff
9. Gibt es eine aktiv betreute Firewall oder Router-Konfiguration mit dokumentierten Regeln?

Nicht jede Firewall muss komplex sein, aber sie muss verstanden und gepflegt werden.

Netzwerk
15. Sind grundlegende E-Mail-Schutzmaßnahmen gegen Spoofing und Phishing eingerichtet?

Dazu gehören je nach System SPF, DKIM, DMARC, Spamfilter und sichere Konfigurationen.

E-Mail
23. Werden Systeme regelmäßig auf bekannte Schwachstellen oder Fehlkonfigurationen geprüft?

Updates allein zeigen nicht, ob Systeme falsch konfiguriert oder unnötig erreichbar sind.

Schwachstellen
24. Werden sicherheitsrelevante Ereignisse wie fehlgeschlagene Anmeldungen, Admin-Aktionen oder Malware-Funde nachvollziehbar protokolliert?

Ohne ausreichende Protokolle lassen sich Angriffe und Ursachen oft nur schwer erkennen oder rekonstruieren.

Monitoring
28. Sind privilegierte Cloud- und Microsoft-365-Konten besonders abgesichert und von Alltagskonten getrennt?

Cloud-Administratoren besitzen weitreichende Rechte und sind besonders attraktive Angriffsziele.

Cloud
Benutzer & Geräte (7 Fragen)
6. Werden Benutzerkonten bei Austritt, Rollenwechsel oder längerer Abwesenheit zuverlässig gesperrt oder angepasst?

Alte Konten bleiben in kleinen Unternehmen oft unnötig lange aktiv.

Benutzerkonten
7. Sind alle PCs und Notebooks durch aktuellen Virenschutz oder Endpoint-Schutz abgesichert?

Auch kleine Unternehmen benötigen einen Mindestschutz auf Endgeräten.

Endgeräte
10. Sind Gäste-WLAN und internes Unternehmensnetz getrennt?

Gäste, Privatgeräte und Unternehmenssysteme sollten nicht im selben Netz sein.

Netzwerk
11. Wurden Mitarbeiter innerhalb der letzten 12 Monate zu Phishing, Passwörtern und Datenschutz geschult?

Viele Vorfälle beginnen mit einer E-Mail oder Fehlbedienung.

Mitarbeiter
25. Werden Berechtigungen auf Dateiablagen, Fachanwendungen und Cloud-Diensten regelmäßig überprüft?

Rechte wachsen mit Rollenwechseln und Projekten oft schleichend an.

Berechtigungen
26. Sind Notebooks und mobile Arbeitsgeräte vollständig verschlüsselt?

Geräteverlust muss nicht automatisch zu einem Datenabfluss werden.

Endgeräte
27. Gibt es verbindliche Vorgaben oder technische Verwaltung für Smartphones und Tablets mit Unternehmenszugriff?

Mobile Geräte greifen oft auf E-Mail, Dateien und Cloud-Anwendungen zu.

Endgeräte
Datenschutz & Organisation (8 Fragen)
12. Ist klar geregelt, wer bei IT-Sicherheitsvorfällen, Datenschutzpannen oder Ransomware informiert wird?

Im Notfall zählt Geschwindigkeit. Telefonnummern und Zuständigkeiten sollten bekannt sein.

Notfall
13. Sind die wichtigsten IT-Dienste bekannt, ohne die das Unternehmen nicht arbeitsfähig ist?

Zum Beispiel Warenwirtschaft, E-Mail, DATEV, Zeiterfassung, Telefonie oder Produktionssysteme.

Betrieb
14. Sind Verarbeitungsverzeichnis, AV-Verträge und grundlegende Datenschutzunterlagen aktuell?

Diese Unterlagen werden bei Datenschutzfragen und Prüfungen regelmäßig benötigt.

Datenschutz
21. Gibt es mindestens eine vom Produktivsystem getrennte oder unveränderbare Sicherungskopie?

Offline- oder immutable Backups erschweren es Ransomware, auch die Sicherungen zu verschlüsseln.

Datensicherung
22. Sind für wichtige Systeme Wiederanlaufzeiten und maximal tolerierbare Datenverluste festgelegt?

RTO und RPO helfen, Backup, Technik und Erwartungen der Fachbereiche aufeinander abzustimmen.

Notfall
29. Wurde der IT-Notfallprozess innerhalb der letzten 12 Monate praktisch getestet oder durchgesprochen?

Ein dokumentierter Plan zeigt seine Lücken oft erst bei einer Übung.

Notfall
30. Werden wichtige IT-Dienstleister und deren Fernzugriffe vor Beauftragung und danach regelmäßig bewertet?

Dienstleister besitzen häufig privilegierte Zugriffe oder verarbeiten sensible Daten.

Dienstleister
31. Gibt es nachvollziehbare Regeln, wann personenbezogene Daten und alte Benutzer- oder Kundendaten gelöscht werden?

Datenbestände wachsen schnell, wenn Aufbewahrung und Löschung nicht geregelt sind.

Datenschutz
Schatten-IT (6 Fragen)
16. Nutzen Mitarbeiter private Cloudspeicher wie Dropbox, Google Drive, iCloud oder OneDrive privat für Unternehmensdaten?

Private Cloudspeicher entziehen sich oft der Kontrolle des Unternehmens.

Schatten-IT
17. Werden WhatsApp, private Messenger oder private E-Mail-Konten geschäftlich genutzt?

Messenger sind praktisch, aber häufig nicht sauber dokumentiert oder steuerbar.

Schatten-IT
18. Werden Dateien regelmäßig über WeTransfer, private Links oder unbekannte Upload-Dienste verschickt?

Ad-hoc-Dateitransfer ist bequem, aber häufig nicht geprüft.

Schatten-IT
19. Werden KI-Tools wie ChatGPT, Copilot, Gemini oder ähnliche Dienste ohne klare Vorgaben genutzt?

KI-Nutzung ist hilfreich, benötigt aber klare Regeln für vertrauliche und personenbezogene Daten.

Schatten-IT
20. Schließen Fachbereiche selbstständig SaaS-Dienste, Apps oder Testzugänge ab, ohne IT oder Geschäftsleitung einzubinden?

Unbekannte Dienste erzeugen Vertrags-, Datenschutz- und Sicherheitsrisiken.

Schatten-IT
32. Werden private Geräte, nicht freigegebene Browser-Erweiterungen oder eigenmächtig installierte Programme für Unternehmensdaten genutzt?

Auch kleine Tools und private Endgeräte können weitreichenden Zugriff auf Daten und Sitzungen erhalten.

Schatten-IT
Antworten werden nur als kompakte Highscore-Zusammenfassung gespeichert.
Highscorescheck5min_compliance_scores
#PlayerScoreDetailsDate
1Jakob Server👷🏾45Score/Gesamtreifegrad: 45% || IT-Bericht: Kritischer Handlungsbedarf || Bewertung: Die Antworten zeigen mehrere wesentliche Lücken. Für ein KMU ist das kein Grund zur Panik, aber ein klares Signal: Die wichtigsten Basisschutzmaßnahmen sollten kurzfristig priorisiert werden. || IT-Basisschutz: 53% || Schatten-IT-Risiko: 79% || Offene Maßnahmen gesamt: 11 || Themenfelder: Basisschutz: 100% (gut); Datensicherung: 0% (kritisch); Systempflege: 100% (gut); Benutzerkonten: 0% (kritisch); Passwörter: 100% (gut); Endgeräte: 100% (gut); Fernzugriff: 100% (gut); Netzwerk: 100% (gut); Mitarbeiter: 0% (kritisch); Notfall: 100% (gut); Betrieb: 0% (kritisch); Datenschutz: 0% (kritisch); E-Mail: 0% (kritisch); Schatten-IT: 21% (kritisch) || Top-Maßnahmen: 1. Backup-Konzept prüfen, Wiederherstellungstest dokumentieren und mindestens jährlich wiederholen. [Datensicherung, Gewicht 8] - Risiko: Bei Ransomware, Defekt oder Fehlbedienung droht längerer Datenverlust. | 2. Separate Admin-Konten einrichten und lokale Adminrechte auf Arbeitsplätzen reduzieren. [Benutzerkonten, Gewicht 7] - Risiko: Schadsoftware kann mit zu hohen Rechten größeren Schaden anrichten. | 3. Eintritts-, Wechsel- und Austrittsprozess mit Kontenprüfung nutzen. [Benutzerkonten, Gewicht 6] - Risiko: Ehemalige oder falsche Benutzer können weiterhin Zugriff haben. | 4. Freigegebene Dateiablage bereitstellen und private Cloudnutzung untersagen oder sauber regeln. [Schatten-IT, Gewicht 6] - Risiko: Unternehmensdaten können außerhalb kontrollierter Systeme landen. | 5. Einfache Freigaberegel für neue Tools und SaaS-Dienste einführen. [Schatten-IT, Gewicht 6] - Risiko: Ungeprüfte Anbieter können personenbezogene oder geschäftskritische Daten verarbeiten. || Stärken: Ist Multi-Faktor-Authentifizierung für Microsoft 365, VPN, Fernzugriff und wichtige Cloud-Dienste aktiviert?; Werden Sicherheitsupdates für Server, PCs, Router, Firewall, NAS und Fachsoftware zeitnah installiert?; Wird ein Passwortmanager genutzt und sind geteilte Passwörter vermieden?; Sind alle PCs und Notebooks durch aktuellen Virenschutz oder Endpoint-Schutz abgesichert?; Ist Fernzugriff nur über abgesicherte Verfahren wie VPN, MFA oder geprüfte Fernwartung möglich?Fr. 18. Sep. 2026 11:24vor 4 Tagen
∑ | ⌀45 | 45
Di. 16. Juni 2026 22:22:45 | 3 M 3.2K 586 | 97 | 6 1015 | 0% 1 h
Datenschutz