„Wir sollten mal unsere IT-Sicherheit prüfen lassen“ ist schnell gesagt. Was dabei tatsächlich angeschaut wird, bleibt oft unklar. Dieser Beitrag zeigt, welche Bereiche ein Security-Check im Mittelstand typischerweise abdeckt, wie er abläuft und was am Ende auf dem Tisch liegen sollte.
Hinweis: Stand: 29. Oktober 2026. Der Beitrag beschreibt allgemein übliche Praxis. Umfang und Tiefe eines konkreten Checks legen Auftraggeber und Dienstleister im Angebot fest. Statistiken und Rechtsauslegungen enthält er bewusst nicht.
Was ein Security-Check ist und was nicht
Ein Security-Check ist eine strukturierte Bestandsaufnahme: Welche Systeme, Konten und Dienste gibt es, wie sind sie abgesichert, und wo ist die Lücke zwischen Ist und Soll am größten? Das Ergebnis ist eine nach Dringlichkeit geordnete Maßnahmenliste.
Er ist kein Penetrationstest, der Schwachstellen gezielt auszunutzen versucht, und kein Zertifikat. Und er ist eine Momentaufnahme: Nach größeren Änderungen an Systemen oder Dienstleistern ist der Stand neu zu bewerten.
Auf der Seite IT-Sicherheit für KMU: Security-Check beschreibt ROUBE das eigene Angebot als strukturierte Bestandsaufnahme der Angriffsfläche mit priorisiertem Maßnahmenplan.
Die acht Prüfbereiche
Welche Bereiche ein Check im Detail umfasst, hängt von Größe und IT-Landschaft ab. Diese acht tauchen in der Praxis fast immer auf:
| Bereich | Typische Prüffragen |
|---|---|
| 1. Konten und Anmeldung | Ist ein zweiter Faktor für alle Konten aktiv, auch für Administratoren? Gibt es ungenutzte oder gemeinsam genutzte Konten? Wer hat Administratorrechte, und wofür? |
| 2. Geräte und Updates | Welche Geräte sind im Einsatz? Sind Betriebssysteme und Anwendungen noch vom Hersteller unterstützt und aktuell? Sind Datenträger verschlüsselt? |
| 3. E-Mail und Phishing-Schutz | Welche Filter greifen? Wie werden verdächtige Mails gemeldet? Sind Absenderprüfungen (SPF, DKIM, DMARC) für die eigene Domain eingerichtet? |
| 4. Netzwerk und Fernzugriff | Wie ist die Firewall konfiguriert? Welche Dienste sind aus dem Internet erreichbar? Wie läuft der Fernzugriff, auch für Dienstleister? |
| 5. Backup und Wiederherstellung | Was wird gesichert, wo liegen die Kopien, und ist eine Kopie vom Produktivnetz getrennt? Wurde die Wiederherstellung schon einmal real getestet? |
| 6. Daten und Berechtigungen | Wo liegen sensible Daten? Wer darf was? Werden Freigaben und externe Zugriffe regelmäßig bereinigt? |
| 7. Notfallvorbereitung | Gibt es einen Notfallplan mit Kontakten und Reihenfolge? Weiß jeder, wen er bei einem Vorfall zuerst anruft? |
| 8. Mitarbeitende und Regeln | Gibt es verständliche Regeln für Passwörter, Geräte und Cloud-Dienste? Wann wurde zuletzt geschult? |
Zu einzelnen Bereichen finden Sie vertiefende Beiträge: MFA und Passkeys zu Bereich 1, Backup mit RPO, RTO und der 3-2-1-Regel zu Bereich 5 und der Ransomware-Notfallplan zu Bereich 7.
Ablauf in vier Schritten
- Umfang und Spielregeln festlegen: Welche Standorte, Systeme und Cloud-Dienste gehören dazu? Wer gibt Zugänge frei, wer ist Ansprechpartner, wie wird mit den Ergebnissen vertraulich umgegangen?
- Bestand aufnehmen: Einstellungen und Berichte der Systeme werden ausgelesen, Unterlagen gesichtet, Gespräche mit den Verantwortlichen geführt. Die Geschäftsabläufe laufen dabei weiter.
- Bewerten: Jede Feststellung wird nach Risiko für Ihren Betrieb eingeordnet: Wie wahrscheinlich ist ein Ausnutzen, und wie groß wäre der Schaden?
- Ergebnis besprechen: Der Bericht wird gemeinsam durchgegangen, Rückfragen werden geklärt und die Reihenfolge der Maßnahmen wird festgelegt.
Was am Ende vorliegen sollte
- Eine priorisierte Maßnahmenliste mit klarer Reihenfolge, nicht eine lange Mängelliste ohne Gewichtung.
- Pro Maßnahme eine verständliche Beschreibung, eine Einschätzung des Aufwands und ein Vorschlag, wer sie umsetzt.
- Schnelle Erfolge getrennt von größeren Vorhaben, damit Sie sofort beginnen können.
- Eine Zusammenfassung für die Geschäftsführung in normaler Sprache, ohne Fachjargon.
Praxis: Ein Bericht ist erst dann etwas wert, wenn danach jemand mit Namen und Termin für die ersten drei Maßnahmen zuständig ist.
Worauf Sie beim Angebot achten
- Umfang schriftlich: Welche Bereiche sind enthalten, welche ausdrücklich nicht?
- Zugriff und Vertraulichkeit: Welche Rechte braucht der Dienstleister, und wie werden Ergebnisse und Zugangsdaten geschützt?
- Preis vorab: Ein fixer oder klar begrenzter Rahmen, bevor die Arbeit beginnt.
- Verständlicher Bericht: Bitten Sie vorab um ein anonymisiertes Beispiel für den Aufbau eines Berichts.
- Keine Absolutversprechen: Wer „100 % Sicherheit“ in Aussicht stellt, verspricht Unmögliches. Ein Check verkleinert Risiken, er beseitigt sie nicht.
Häufige Fragen
Ist ein Security-Check dasselbe wie ein Penetrationstest?
Nein. Ein Security-Check ist eine strukturierte Bestandsaufnahme von Konfiguration, Zugängen und Prozessen. Ein Penetrationstest versucht gezielt, Schwachstellen praktisch auszunutzen, und braucht einen eigenen, klar abgegrenzten Auftrag.
Wie lange gilt das Ergebnis?
Es ist eine Momentaufnahme. Nach größeren Änderungen, etwa neuer Cloud-Dienste, einem Standortwechsel oder einem Dienstleisterwechsel, sollten Sie die betroffenen Bereiche erneut prüfen.
Müssen wir dafür Systeme abschalten?
Üblicherweise nicht. Eine Bestandsaufnahme liest Einstellungen und Berichte aus und führt Gespräche. Den genauen Ablauf legen Sie vor dem Start mit dem Dienstleister fest.
Was brauchen wir zur Vorbereitung?
Eine Liste der Standorte, Systeme und Cloud-Dienste, die Benutzerübersicht, vorhandene Richtlinien und Verträge sowie einen Ansprechpartner, der Zugänge freigeben kann.
Ist ein Security-Check ein Nachweis für Kunden oder Behörden?
Nicht automatisch. Er ist eine Entscheidungsgrundlage für Ihre Maßnahmen. Ob ein Nachweis verlangt wird und in welcher Form, richtet sich nach den jeweiligen Anforderungen.
Fazit
Ein guter Security-Check ist unspektakulär: klarer Umfang, acht überschaubare Bereiche, eine nach Dringlichkeit geordnete Liste und jemand, der sich um die ersten Schritte kümmert. Wer so startet, weiß danach, wo die IT steht, und kann Budget und Zeit gezielt einsetzen. Mehr zum Vorgehen finden Sie unter Cybersecurity und Security-Check bei ROUBE.
Quellen und Stand
Stand der fachlichen Prüfung: 29. Oktober 2026. Der Beitrag beruht auf allgemein anerkannter Praxis der IT-Betreuung und enthält keine Zahlen, Fristen oder Rechtsauslegungen, die eine externe Quelle voraussetzen. Die Angaben zum ROUBE-Angebot stammen von der Seite IT-Sicherheit für KMU: Security-Check (abgerufen am 29. Oktober 2026). Verweise auf weiterführende Inhalte führen zu den genannten ROUBE-Beiträgen.
Dieser Beitrag ist eine allgemeine Orientierung und keine Rechtsberatung. Er ersetzt keine Prüfung Ihrer konkreten Umgebung.
Wo steht Ihre IT-Sicherheit heute?
Mehr zum Vorgehen und zum Security-Check von ROUBE finden Sie auf der Seite zu Cybersecurity für KMU.
Security-Check ansehen