Im Alltag fällt oft nicht auf, ob Zugänge, Updates und Datensicherungen ausreichend abgesichert sind. Diese 15 Fragen helfen Ihnen, wichtige Grundlagen durchzugehen. Manche Antworten kennen Sie selbst, andere kann Ihre interne IT oder Ihr IT-Dienstleister beantworten.
So beantworten Sie die Fragen
Ja
Die Maßnahme ist umgesetzt und wurde nachvollziehbar bestätigt, beispielsweise durch die zuständige IT oder einen passenden Nachweis.
Nein
Die Maßnahme fehlt oder ist nur teilweise umgesetzt. Notieren Sie kurz, welche Teile fehlen.
Weiß ich nicht
Die Umsetzung ist ungeklärt. Das ist ein Punkt zum Nachfragen, bei der zuständigen IT oder bei Ihrem IT-Dienstleister.
Nicht zutreffend
Die Frage passt tatsächlich nicht zu Ihrer Umgebung, etwa weil Sie weder Microsoft 365 noch Google Workspace nutzen. Halten Sie den Grund kurz fest.
Für diesen Selbstcheck brauchen Sie keine umfangreichen Unterlagen. Antworten Sie mit Ja, wenn Sie wissen, wie die Maßnahme umgesetzt ist. Auch Ihre interne IT oder Ihr IT-Dienstleister kann die Umsetzung bestätigen und Ihnen verständlich erklären.
Zugänge
1. Wird für alle E-Mail-Konten bei der Anmeldung tatsächlich ein zweiter Faktor (MFA) verlangt?
MFA ist eine zusätzliche Bestätigung bei der Anmeldung, etwa über eine Authenticator-App oder einen Sicherheitsschlüssel. Ein gestohlenes Passwort allein reicht dann nicht mehr aus. Wichtig ist, dass die Anmeldung diesen Schutz auch wirklich verlangt, »eingerichtet« allein sagt dazu wenig. Berücksichtigen Sie auch die Konten der Geschäftsführung und Konten mit Administratorrechten. MFA erschwert Angriffe, bietet aber keinen vollständigen Schutz, siehe den Beitrag MFA ist an und trotzdem offen.
2. Werden die Zugänge ausgeschiedener Mitarbeitender spätestens mit dem Ende ihrer Tätigkeit gesperrt?
Dazu gehören E-Mail, Cloud-Dienste und Fernzugänge. Zugänge zu sperren bedeutet nicht, notwendige Unternehmensdaten sofort zu löschen: Postfach und Dateien können weiter aufbewahrt, weitergeleitet oder archiviert werden. Zu klären ist, wer die Sperrung auslöst und woran man erkennt, dass sie erledigt ist.
3. Arbeiten Sie im Alltag mit normalen Benutzerkonten und nicht mit Administratorrechten?
Normale Benutzerrechte können die Auswirkungen eines kompromittierten Kontos begrenzen. Ein Administratorkonto sollte deshalb nur für Administrationsaufgaben verwendet werden, nicht für E-Mail und das tägliche Arbeiten im Internet.
Geräte und Updates
4. Gibt es eine aktuelle Liste aller Geräte im Unternehmen?
PCs, Laptops, Server, Handys, Drucker, Netzwerkgeräte. Eine Liste Ihres IT-Dienstleisters oder aus einer Verwaltungssoftware zählt ebenfalls. Entscheidend ist, dass sie aktuell ist und alle betrieblich genutzten Geräte enthält, denn nur was bekannt ist, lässt sich aktualisieren und schützen.
5. Laufen alle Geräte auf Systemen, die noch Sicherheitsupdates bekommen?
Der reguläre Support für Windows 10 Version 22H2 endete am 14. Oktober 2025. Erweiterte Sicherheitsupdates über ESU und bestimmte LTSC-Versionen sind gesondert zu prüfen. Denken Sie auch an Server, Macs und Smartphones. Wie Sie mit Windows 10 umgehen können, steht im Beitrag Windows 10 nach dem Support-Ende.
6. Werden Updates regelmäßig eingespielt, und prüft jemand, ob sie tatsächlich installiert wurden?
Automatische Updates können fehlschlagen. Deshalb sollte jemand kontrollieren, ob wichtige Aktualisierungen tatsächlich installiert wurden. Das betrifft neben Windows auch Anwendungen und andere Geräte wie Firewall oder Router. Mehr dazu im Beitrag Patchen ist kein Projekt.
Daten und Backup
7. Ist mindestens eine Datensicherung vor unbefugtem Löschen und Verschlüsseln geschützt?
Wenn Angreifer ein Benutzer- oder Administratorkonto übernehmen, dürfen sie damit nicht auch sämtliche Sicherungen löschen oder verschlüsseln können. Schutz bieten beispielsweise offline aufbewahrte Sicherungen oder Sicherungen mit einem wirksamen Änderungs- und Löschschutz. Fragen Sie Ihre IT, wie das bei Ihnen gelöst ist. Weitere Hinweise bietet der Ransomware Guide der CISA.
8. Wird die Wiederherstellung wichtiger Daten regelmäßig und nach wesentlichen Änderungen getestet?
Ein Test vor Jahren sagt wenig über den heutigen Stand. Prüfen Sie: Lassen sich die Daten öffnen und verwenden? Wie lange dauert die Wiederherstellung, und passt diese Dauer zu Ihrem Betrieb? Ein erfolgreich zurückgespieltes Dokument bestätigt noch nicht, dass sich alle Systeme wiederherstellen lassen.
9. Wenn Sie Microsoft 365 oder Google Workspace nutzen: Ist geklärt, wie Ihre dort gespeicherten Daten wiederhergestellt werden könnten?
Papierkorb, Versionsverlauf und Wiederherstellungsfunktionen helfen in bestimmten Fällen. Prüfen Sie, ob deren Umfang und Aufbewahrungszeiten Ihre Anforderungen abdecken und welche zusätzliche Sicherung eingerichtet ist. Die Grenzen der Anbieter beschreiben Microsoft und Google; den Blick aus unserer Praxis finden Sie im Beitrag Microsoft 365 ist kein Backup. Wer keinen dieser Dienste nutzt, beantwortet die Frage mit »Nicht zutreffend«.
Mitarbeitende
10. Wissen Mitarbeitende, wo sie verdächtige Nachrichten melden können, auch wenn sie unsicher sind?
Mitarbeitende sollten wissen, an wen sie sich wenden können, beispielsweise an die interne IT oder Ihren IT-Dienstleister. Ermutigen Sie dazu, verdächtige Nachrichten auch bei Unsicherheit zu melden. Ein Fehlalarm ist kein Grund für Vorwürfe.
11. Gab es in den letzten zwölf Monaten eine Schulung zur IT-Sicherheit für Ihre Mitarbeitenden?
Die zwölf Monate dienen in diesem Selbstcheck als Orientierung und sind keine gesetzliche Frist. Gute Schulungen greifen Situationen aus dem Arbeitsalltag auf: verdächtige Nachrichten, ungewöhnliche Zahlungsaufforderungen oder den Umgang mit vertraulichen Daten. Wichtig sind regelmäßige Auffrischungen und die Einweisung neuer Mitarbeitender. Infinite Loop bietet dafür persönliche Schulungstermine an. Welche Schulungsanforderungen das NISG 2026 vorsieht, erklären wir im Beitrag Awareness-Training und NISG 2026.
12. Werden ungewöhnliche Zahlungsaufforderungen sowie neue oder geänderte Bankverbindungen vor der Zahlung zusätzlich bestätigt?
Eine dringende Überweisung oder eine neue Lieferanten-IBAN sollte vor der Zahlung überprüft werden. Nutzen Sie dafür bereits bekannte Kontaktdaten, nicht die Telefonnummer aus der betreffenden Nachricht. Legen Sie außerdem fest, wann eine zweite Person die Zahlung freigeben muss. Beispiele finden Sie in unseren Beiträgen zu Spear-Phishing und Stimmklon-Betrug.
Notfall und Verantwortung
13. Gibt es einen bekannten Notfallablauf mit Kontaktdaten, die auch bei einem IT-Ausfall erreichbar sind?
Dazu gehört, dass Mitarbeitende wissen, wie sie verdächtige Vorgänge melden, dass weitere Schritte mit der zuständigen IT abgestimmt werden und dass ein erreichbarer Ansprechpartner bekannt ist. Die Kontaktdaten sollten auch dann verfügbar sein, wenn E-Mail oder Server ausfallen, etwa im Handy oder ausgedruckt.
14. Ist klar, wer für die IT-Sicherheit zuständig ist, auch im Urlaub oder bei Krankheit?
Halten Sie fest, wer die IT-Sicherheit betreut und wer bei Urlaub oder Krankheit übernimmt. Das kann intern oder mit Ihrem IT-Dienstleister geregelt sein. Wichtig ist, dass Ansprechpartner und Entscheidungswege bekannt sind.
15. Werden Sicherheitswarnungen überprüft, und ist festgelegt, wer bei wichtigen Meldungen reagiert?
Sicherheitsprogramme können Angriffe automatisch blockieren. Manche Warnungen müssen jedoch geprüft werden. Klären Sie deshalb, wer diese Meldungen bearbeitet und wie dringende Fälle außerhalb der Arbeitszeiten behandelt werden.
Was Sie aus Ihren Antworten ableiten können
- Ja zeigt bestätigte Grundlagen im Umfang dieses Selbstchecks.
- Nein zeigt konkrete Verbesserungsbereiche.
- Weiß ich nicht muss zunächst geklärt werden.
- Nicht zutreffend wird nicht als Lücke bewertet.
- Die Anzahl der Ja-Antworten ist kein Sicherheitsnachweis.
Halten Sie drei nächste Schritte fest: Was wird geklärt oder verbessert, wer übernimmt es und bis wann? Die Reihenfolge richtet sich nach den möglichen Auswirkungen und nach Ihrer tatsächlichen Umgebung. Fehlender Anmeldeschutz (Frage 1), ungeschützte Sicherungen (Frage 7) und nicht getestete Wiederherstellung (Frage 8) verdienen besondere Aufmerksamkeit. Eine hohe Zahl positiver Antworten gleicht solche Lücken nicht aus. So kann ein nächster Schritt aussehen:
| Offener Punkt | Nächster Schritt | Zuständig | Termin |
|---|---|---|---|
| Wiederherstellung bisher nicht getestet | Mit der IT einen Wiederherstellungstest vereinbaren | Ansprechperson festlegen | Datum vereinbaren |
Und danach?
Offene Fragen können Sie zunächst mit Ihrer internen IT oder Ihrem IT-Dienstleister klären. Fehlt Ihnen der Überblick oder sind mehrere Punkte offen, unterstützt Infinite Loop Sie bei der Bestandsaufnahme und der Festlegung der nächsten Schritte.
Unser kostenloses IT-Audit ist ein Erstgespräch von rund 30 Minuten, remote oder vor Ort. Gemeinsam besprechen wir Ihre Situation und welche Punkte näher geprüft werden sollten. Technische Prüfungen, etwa des Patchstands oder der Wiederherstellbarkeit Ihrer Daten, werden bei Bedarf gesondert vereinbart.
Dieser Selbstcheck dient der ersten Orientierung. Er bestätigt weder die technische Sicherheit Ihrer Systeme noch die Erfüllung gesetzlicher Anforderungen.
Vereinbaren Sie ein unverbindliches Gespräch.