Mit dem Betrieb anfangen
Das NCSC empfiehlt kleinen Unternehmen, geschäftskritische Systeme und Informationen zu identifizieren und die Folgen eines Ausfalls zu betrachten. Diese Grundlage hilft auch vor einer externen Sicherheitsanalyse.
Schreiben Sie zunächst auf, welche Tätigkeiten ohne IT stehenbleiben: Bestellungen annehmen, Termine vergeben oder Rechnungen versenden. Markieren Sie Ihre wichtigsten Abläufe. Diese Einordnung hilft später bei der Priorisierung, auch wenn ein technischer Dienst auf den ersten Blick unscheinbar wirkt. [1]
Die erste Viertelstunde: Dienste sammeln
Der NIST-Leitfaden für kleine Unternehmen empfiehlt ein gepflegtes Inventar von Hardware, Software, Systemen und Diensten. Die zugehörige Vorlage berücksichtigt auch Zuständigkeit und betriebliche Bedeutung.
Für die Vorbereitung schlagen wir eine einfache Tabelle vor. Nutzen Sie vorhandene Vertragsübersichten oder fragen Sie Ihre IT-Betreuung. Schreiben Sie Unbekanntes ausdrücklich dazu; eine vorläufige Liste darf Lücken haben. [2]
- Domains: Hauptdomain, weitere Marken- oder Shopdomains und bekannte ältere Adressen auflisten.
- Anbieter: Domainregistrar, Webhosting, E-Mail-Dienst und betreuende IT-Firma den jeweiligen Diensten zuordnen.
- Betriebsbezug: Zu jedem wichtigen Dienst notieren, welchen Arbeitsablauf er unterstützt und was bei einem Ausfall stockt.
- Veränderungen: Einen geplanten Websiteumzug, Anbieterwechsel oder neue öffentliche Dienste mit Datum ergänzen.
Die zweite Viertelstunde: Verantwortung klären
Zu einer Domain gehört oft mehr als ein Ansprechpartner. Die Agentur betreut die Website, der Hoster den Server und jemand im Unternehmen das Kundenkonto. Notieren Sie, wer eine technische Rückfrage beantworten und wer eine Änderung beauftragen kann.
- Eigentum und Verwaltung: Festhalten, auf wen Domain und Dienstkonto registriert sind und wer die Angaben bestätigen kann.
- Prüffreigabe: Klären, wer den vereinbarten Umfang autorisiert; bei fremd betriebenen Diensten die nötige Abstimmung mit dem Anbieter festhalten.
- Erreichbarkeit: Eine verantwortliche Person und eine Vertretung benennen, die bei Rückfragen oder einer unerwarteten Betriebsstörung erreichbar sind.
Die schriftliche Übergabe vorbereiten
Bei einer remote durchgeführten Analyse braucht der Prüfer eine verständliche Übersicht der vereinbarten externen Systeme. Vereinbaren Sie schriftlich, welche Angaben vorab nötig sind, wer den Ergebnisbericht erhält und über welchen geschützten Weg er übergeben wird. Die vorbereitende Liste ist noch keine Erlaubnis, alle darin genannten Systeme zu prüfen.
Senden Sie in der ersten Anfrage keine Passwörter, Wiederherstellungscodes oder Kundendaten. Namen und technische Adressen genügen zunächst zur Eingrenzung. Kennzeichnen Sie unbestätigte Zuordnungen; aus einem ähnlich benannten Dienst wird dadurch kein eigenes System.
Drei Entscheidungen aus dem Ergebnis
Für die Geschäftsführung ist eine Ergebnisliste erst nützlich, wenn daraus Arbeit verteilt werden kann. Bitten Sie deshalb um eine kurze schriftliche Entscheidungsübersicht neben den technischen Nachweisen. Unser Vorschlag: Ordnen Sie jeden relevanten Punkt einer der folgenden Entscheidungen zu.
- Bearbeiten: Was soll die eigene IT oder ein bestimmter Anbieter ändern, und warum hat das Vorrang?
- Klären: Welche fehlende Information oder unbestätigte Beobachtung braucht zuerst eine Antwort, und wer beschafft sie?
- Nachprüfen: Woran lässt sich nach einer Änderung erkennen, ob der konkrete Befund erledigt ist?
Nach Veränderungen neu hinschauen
Halten Sie die Übersicht nach größeren Änderungen aktuell. Ein Hostingwechsel, eine neue Domain oder ein neuer Shop ist ein sinnvoller Anlass, die betroffenen Teile erneut beurteilen zu lassen. Ein pauschaler Kalendertermin berücksichtigt solche Veränderungen allein nicht.
Eine externe Analyse beschreibt die vereinbarte Sicht zum Prüfzeitpunkt. Sie bestätigt weder die gesamte interne IT noch automatisch die Einhaltung gesetzlicher oder vertraglicher Anforderungen. Bewahren Sie deshalb Datum, Grenzen und offene Punkte zusammen mit dem Maßnahmenstand auf.
Weiterlesen
Quellen & Vertiefung
Veröffentlicht:
Primärquellen abgeglichen am 29.09.2026.
Quellen und Geltungsgrenzen sind im Beitrag angegeben.