IT-Sicherheit wirkt oft komplex, dabei lässt sich der aktuelle Stand mit wenigen gezielten Fragen schon recht gut einschätzen. Diese zehn Punkte nutzen wir bei K&C NetFox als ersten Schnellcheck, bevor wir tiefer in Firewall-Regeln oder Backup-Konzepte einsteigen. Damit aus einem gefühlten „Ja" ein belastbares wird, findest du unter der Liste zu jedem Punkt eine konkrete Prüfung.
Die zehn Punkte im Überblick
- Firewall aktuell konfiguriert? Regeln aktiv gepflegt, nicht nur einmalig eingerichtet.
- Multi-Faktor-Authentifizierung für E-Mail, VPN und kritische Systeme aktiviert?
- Backups nach der 3-2-1-Regel und regelmäßig auf Wiederherstellbarkeit getestet?
- Software-Updates zeitnah eingespielt: Betriebssysteme, Firmware, Anwendungen?
- Endpoint-Security (z. B. Bitdefender) auf allen Geräten aktiv und aktuell?
- Netzwerksegmentierung vorhanden: Gäste-WLAN, IoT und Produktivsysteme getrennt?
- Zugriffsrechte nach dem Prinzip der minimalen Rechtevergabe geregelt?
- Videoüberwachung DSGVO-konform dokumentiert und Speicherfristen begrenzt?
- Mitarbeiter sensibilisiert für Phishing und Social Engineering?
- Ein fester IT-Ansprechpartner, der im Ernstfall schnell erreichbar ist?
So prüfst du jeden Punkt konkret
| Punkt | Konkrete Prüfung | Als „Ja" zählt |
|---|---|---|
| 1. Firewall | Regelwerk und Portfreigaben nach außen durchsehen. Ist eine Verwaltungsoberfläche oder RDP direkt aus dem Internet erreichbar? | Datum der letzten Regelprüfung bekannt, keine offenen Admin- oder RDP-Zugänge |
| 2. MFA | Liste aller Logins, die aus dem Internet erreichbar sind: Microsoft 365, Webmail, VPN, Fernwartung, Buchhaltung, Banking | Jeder Eintrag hat MFA, Admin-Konten möglichst mit Passkey oder Hardware-Schlüssel |
| 3. Backup | Gibt es eine Kopie offline oder unveränderlich? Wann wurde zuletzt eine Datei oder VM testweise zurückgeholt? | Restore-Test mit Datum dokumentiert |
| 4. Updates | Geräteliste mit Betriebssystem und Supportende abgleichen, Firmware von Router, Firewall, NAS und Kameras prüfen | Kein System ohne Herstellerupdates im Einsatz |
| 5. Endpoint | Zentrale Konsole öffnen: Melden alle Geräte, sind Schutz und Signaturen aktuell? | Geräteanzahl in der Konsole entspricht der Inventarliste |
| 6. Segmentierung | Vom Gäste-WLAN aus versuchen, Drucker oder NAS zu erreichen | Kein Zugriff aus Gast- oder IoT-Netz auf interne Systeme |
| 7. Rechte | Benutzerliste prüfen: ausgeschiedene Mitarbeiter, Sammelkonten, Admin-Rechte im Alltag | Alte Konten deaktiviert, Admin-Konten getrennt von Arbeitskonten |
| 8. Video | Hinweisschilder, Eintrag im Verarbeitungsverzeichnis, automatische Löschung im Rekorder | Speicherfrist technisch eingestellt, nicht nur festgelegt |
| 9. Awareness | Wann war die letzte Schulung? Wissen alle, wohin sie eine verdächtige Mail melden? | Schulung mit Datum, Meldeweg bekannt |
| 10. Ansprechpartner | Notfallnummern liegen ausgedruckt vor, nicht nur auf dem Server | Name, Telefonnummer und Vertretung sind bekannt |
Zu einigen Punkten haben wir eigene Beiträge: wie du ein gewachsenes Firewall-Regelwerk aufräumst, warum die 3-2-1-Backup-Regel gerade gegen Ransomware zählt und welche Windows-Fristen im Oktober 2026 ältere Rechner betreffen. Für die Kameras hilft der Überblick zu Videoüberwachung und DSGVO. Bei Punkt 3 ist eine extern betriebene Kopie oft der einfachste Weg zu einem unveränderlichen Backup, etwa mit einem Managed Proxmox Backup Server.
Wie viele Punkte konntest du mit „Ja" beantworten?
Sieben oder mehr: Du bist auf einem guten Weg, regelmäßige Kontrolle reicht meist aus. Weniger als sieben: Es lohnt sich, die offenen Punkte zeitnah anzugehen, bevor sie zum Problem werden. Wenn du priorisieren musst: MFA, ein getestetes Offline-Backup und aktuelle Updates schließen die häufigsten Einfallstore zuerst.
IT-Sicherheit ist kein Zustand, sondern ein fortlaufender Prozess. Diese Checkliste ist ein guter Ausgangspunkt, kein Abschluss.
NIS2: Bin ich 2026 betroffen?
Seit dem 6. Dezember 2025 gilt in Deutschland das NIS2-Umsetzungsgesetz mit einem neuen BSI-Gesetz. Es betrifft Unternehmen in bestimmten Sektoren, etwa Energie, Gesundheit, Transport, digitale Dienste oder Produktion, in der Regel ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme. Ob das auf dich zutrifft, klärt die kostenlose NIS-2-Betroffenheitsprüfung des BSI.
- Registrierung: Betroffene müssen sich beim BSI registrieren. Die gesetzliche Frist ist abgelaufen, wer noch nicht registriert ist, soll das laut BSI umgehend nachholen. Dafür brauchst du ein ELSTER-Organisationszertifikat über „Mein Unternehmenskonto" und meldest dich damit im BSI-Portal an.
- Meldepflicht: Erhebliche Sicherheitsvorfälle werden gestuft gemeldet: eine erste Meldung binnen 24 Stunden, eine ausführlichere binnen 72 Stunden, ein Abschlussbericht nach einem Monat.
- Geschäftsleitung: Sie muss die Risikomanagementmaßnahmen umsetzen, deren Umsetzung überwachen und sich regelmäßig schulen lassen. Delegieren lässt sich die Arbeit, nicht die Verantwortung.
Auch wenn du selbst nicht unter NIS2 fällst: Betroffene Kunden geben Anforderungen oft an ihre Dienstleister und Zulieferer weiter. Wer die zehn Punkte oben belegen kann, ist für solche Fragebögen gut vorbereitet.
Der nächste Schritt für kleine Firmen: CyberRisikoCheck
Für Betriebe, denen ISO 27001 oder IT-Grundschutz zu groß ist, hat das BSI mit dem Mittelstandsverband den CyberRisikoCheck nach DIN SPEC 27076 entwickelt. Ein IT-Dienstleister fragt in einem Interview von etwa ein bis zwei Stunden 27 Anforderungen aus sechs Themenbereichen ab. Ergebnis ist ein Bericht mit Punktzahl und nach Dringlichkeit sortierten Empfehlungen, dazu Hinweise auf mögliche Förderprogramme. Ein Zertifikat ist das nicht, aber eine strukturierte Fortsetzung dieser Schnellprüfung.
Fazit
Diese Checkliste ersetzt kein vollständiges Audit, gibt aber in wenigen Minuten einen ehrlichen ersten Eindruck. Mit den Prüfungen aus der Tabelle wird daraus eine Liste, die du belegen kannst, sei es gegenüber Kunden, Versicherern oder im Rahmen von NIS2. Gerne gehen wir die einzelnen Punkte gemeinsam mit dir durch, kostenlos und unverbindlich.
Die zehn Punkte gemeinsam durchgehen
Wir prüfen mit dir Firewall, Backups, Updates und Zugänge und sagen dir, welche offenen Punkte zuerst drankommen.
Termin vereinbarenFAQ
Wie oft sollte ich die Checkliste durchgehen?
Mindestens einmal im Jahr und zusätzlich nach größeren Änderungen, etwa neuer Firewall, Umzug in die Cloud oder Personalwechsel in der IT.
Welche Punkte sind am dringendsten?
MFA auf allen aus dem Internet erreichbaren Zugängen, ein getestetes Backup mit einer Offline- oder unveränderlichen Kopie und aktuelle Updates. Diese drei schließen die häufigsten Einfallstore.
Gilt NIS2 auch für kleine Firmen?
Direkt meist erst ab 50 Beschäftigten oder mehr als 10 Millionen Euro Umsatz und Bilanzsumme in bestimmten Sektoren. Indirekt kann es dich als Dienstleister oder Zulieferer betroffener Unternehmen treffen. Die Betroffenheitsprüfung des BSI gibt Klarheit.
Was ist der CyberRisikoCheck?
Ein Verfahren nach DIN SPEC 27076 für kleine Unternehmen: Ein IT-Dienstleister fragt 27 Anforderungen ab, du erhältst einen Bericht mit priorisierten Empfehlungen. Es ist keine Zertifizierung.
Quellen
- Bundesamt für Sicherheit in der Informationstechnik, NIS-2-regulierte Unternehmen, bsi.bund.de, abgerufen 15.10.2026
- Bundesamt für Sicherheit in der Informationstechnik, CyberRisikoCheck nach DIN SPEC 27076, bsi.bund.de, abgerufen 15.10.2026
- Ebner Stolz, NIS-2 in Deutschland: das neue BSIG ist in Kraft, ebnerstolz.de, abgerufen 15.10.2026
