IT-Sicherheitscheck

Verwenden alle Mitarbeitenden lange, individuelle Passwörter bzw. einen Passwort-Manager?

Gemeint sind mindestens 12 Zeichen und pro Dienst ein eigenes Passwort.

Ist eine Zwei-Faktor-Anmeldung (MFA) für E-Mail, Cloud-Dienste und Fernzugriffe aktiviert?

Zum Beispiel per Authenticator-App oder Sicherheitsschlüssel.

Haben Mitarbeitende nur jene Zugriffsrechte, die sie für ihre Arbeit brauchen?

Administratorrechte sind auf wenige, namentlich bekannte Personen beschränkt.

Werden Betriebssysteme und Programme auf allen Geräten zeitnah aktualisiert?

Auch Server, Router, Firewalls und Drucker zählen dazu.

Sind alle Geräte durch eine aktuelle, zentral verwaltete Schutzsoftware abgesichert?

Virenschutz bzw. Endpoint-Schutz mit automatischen Signatur-Updates.

Wird Hardware, die der Hersteller nicht mehr unterstützt (Support-Ende), rechtzeitig ersetzt?

Zum Beispiel Windows-Versionen oder Firewalls ohne Sicherheitsupdates.

Werden alle wichtigen Daten regelmäßig und automatisch gesichert?

Mindestens täglich für Geschäftsdaten, inklusive Cloud-Daten wie Microsoft 365.

Gibt es mindestens eine Sicherungskopie, die getrennt vom Firmennetz aufbewahrt wird (offline oder unveränderbar)?

Schutz davor, dass Erpresser-Software auch die Backups verschlüsselt.

Wurde die Wiederherstellung der Daten in den letzten 12 Monaten tatsächlich getestet?

Ein Backup ist erst dann sicher, wenn die Rücksicherung funktioniert.

Ist Ihr Netzwerk durch eine professionell gewartete Firewall geschützt?

Nicht nur der Standard-Router des Internetanbieters.

Ist das WLAN verschlüsselt und das Gäste-WLAN vom Firmennetz getrennt?

Besucher und private Geräte dürfen nicht im internen Netz landen.

Sind Firmen-Notebooks und Smartphones verschlüsselt und bei Verlust aus der Ferne sperr- bzw. löschbar?

Zum Beispiel über BitLocker und ein Geräte-Management.

Gibt es eine aktuelle Übersicht über alle IT-Geräte, Programme und Cloud-Dienste im Unternehmen?

Was man nicht kennt, kann man nicht schützen.

Wurden Ihre Mitarbeitenden in den letzten 12 Monaten zu Phishing und Datensicherheit geschult?

Auch eine kurze Unterweisung oder ein Online-Training zählt.

Wissen alle Mitarbeitenden, an wen sie sich bei verdächtigen E-Mails oder Vorfällen sofort wenden können?

Eine feste Ansprechperson und ein einfacher Meldeweg.

Gibt es klare, schriftliche Regeln zur Nutzung von IT, Internet, E-Mail und privaten Geräten?

Zum Beispiel eine kurze IT-Nutzungsrichtlinie.

Gibt es einen Notfallplan mit Kontakten und Schritten für einen IT-Ausfall oder Cyberangriff?

Wer macht was, wer wird informiert, wo liegt der Plan – auch wenn die IT ausgefallen ist?

Wissen Sie, welche Systeme für den Betrieb unverzichtbar sind und wie lange ein Ausfall höchstens dauern darf?

Grundlage für Prioritäten bei Wiederherstellung und Budget.

Sind Sie auf Meldepflichten bei Datenpannen (DSGVO, ggf. NIS2) vorbereitet?

Meldung an die Datenschutzbehörde innerhalb von 72 Stunden.

Sind Serverraum, Netzwerkschränke und Geräte vor unbefugtem Zutritt und Diebstahl geschützt?

Abschließbare Räume bzw. Schränke, Besucherregelung.