IT-Planung · CyberRisikoCheck
Der CyberRisikoCheck nach DIN SPEC 27076 ist eine standardisierte IT-Sicherheitsberatung für Klein- und Kleinstunternehmen. In einem strukturierten Gespräch werden 27 Anforderungen aus sechs Themenbereichen erhoben und nach dem vorgegebenen Verfahren ausgewertet. Das Unternehmen erhält einen Bericht zum ermittelten Sicherheitsstatus sowie priorisierte Handlungsempfehlungen.
Der Check schafft einen geordneten Einstieg, wenn bisher weder ein Sicherheitsmanagement noch eine vollständige Bestandsaufnahme besteht. Er ist jedoch kein technischer Schwachstellenscan, keine forensische Untersuchung, kein Penetrationstest und keine IT-Sicherheitszertifizierung. Seine Aussagekraft hängt davon ab, ob die richtigen Personen teilnehmen, Antworten den tatsächlichen Zustand beschreiben und Unklarheiten oder Ausnahmen offen benannt werden. Eine sorgfältige Vorbereitung verbessert deshalb das Ergebnis erheblich.
Dieser Leitfaden erklärt Auswahl, Vorbereitung, Gespräch, Ergebnisbericht und anschließende Umsetzung. Er zeigt außerdem, wann ein CyberRisikoCheck ausreicht und wann zusätzliche technische Prüfungen notwendig sind.
Direkt zu: Einordnung · Eignung · Vorbereitung · Themenbereiche · Gespräch · Bericht · Umsetzung · Anbieterwahl
1. Der CyberRisikoCheck ist eine standardisierte Standortbestimmung
Das Verfahren macht wesentliche Sicherheitsbereiche in überschaubarer Zeit sichtbar. Es liefert Orientierung und Handlungsempfehlungen, aber keinen technischen Vollbeweis für jedes System.
| Verfahren | Zentrale Frage | Typische Methode | Ergebnis |
|---|---|---|---|
| CyberRisikoCheck | Wie ist die Sicherheitsbasis des kleinen Unternehmens strukturiert? | Standardisiertes Interview und Bewertung nach DIN SPEC 27076 | Statusbericht und priorisierte Empfehlungen |
| Technischer Konfigurationscheck | Sind ausgewählte Systeme sicher und wie behauptet konfiguriert? | Exporte, Einstellungen, Stichproben und Funktionstests | Technische Befunde mit konkreten Systembezügen |
| Schwachstellenscan | Welche bekannten technischen Schwachstellen sind erkennbar? | Automatisierte Prüfung definierter Ziele | Trefferliste mit Validierungsbedarf |
| Penetrationstest | Welche Angriffswege lassen sich im vereinbarten Umfang praktisch ausnutzen? | Kontrollierte manuelle und technische Angriffssimulation | Nachgewiesene Angriffswege und Empfehlungen |
| ISMS-Audit | Erfüllt ein Managementsystem festgelegte Kriterien? | Dokumenten-, Prozess- und Nachweisprüfung im definierten Geltungsbereich | Auditfeststellungen; gegebenenfalls Grundlage einer Zertifizierung |
| Incident-Response-Untersuchung | Was geschah in einem konkreten Sicherheitsvorfall? | Spurensicherung, Protokollanalyse und Rekonstruktion | Zeitlinie, Reichweite, Ursache und Wiederherstellungsmaßnahmen |
Ein guter Statuswert ersetzt keinen Blick auf einzelne kritische Lücken
Ein zusammengefasster Wert erleichtert die Orientierung. Für Entscheidungen zählt zusätzlich, welche konkrete Anforderung nicht erfüllt ist. Ein einziges ungeschütztes Administratorkonto, eine nicht wiederherstellbare Datensicherung oder ein offen erreichbarer Fernzugang kann dringender sein als mehrere kleinere organisatorische Verbesserungen. Der Bericht wird deshalb auf Einzelbefunde und Auswirkungen gelesen.
2. Besonders geeignet ist das Verfahren als erster strukturierter Überblick
Die DIN SPEC richtet sich an Klein- und Kleinstunternehmen. Die technische Komplexität und das benötigte Prüfziel entscheiden dennoch darüber, ob der Check allein genügt.
| Ausgangslage | Eignung | Sinnvolle Ergänzung |
|---|---|---|
| Erste systematische Beschäftigung mit IT-Sicherheit | Sehr geeigneter Einstieg | Technische Prüfung der dringlichsten Ergebnisse |
| Wenige Beschäftigte, überschaubare Standard-IT, keine eigene Sicherheitsrolle | Gut passend | Bestands- und Kontenexport zur Absicherung der Antworten |
| Geschäftsleitung benötigt priorisierte Entscheidungsgrundlage | Gut passend | Kosten-, Verantwortungs- und Umsetzungsplan |
| Kundenfragebogen oder Cyberversicherung wird vorbereitet | Nützliche interne Standortbestimmung | Konkrete Anforderungen des Empfängers separat prüfen |
| Laufender Sicherheitsvorfall oder Kompromittierungsverdacht | Nicht das geeignete Akutverfahren | Incident Response, Eindämmung und Beweissicherung |
| Öffentlich erreichbare Individualsoftware oder komplexes Netzwerk | Nur als organisatorischer Überblick | Architektur-, Konfigurations- und Anwendungstest |
| Nachweis einer Zertifizierung oder regulatorischen Erfüllung | Kein Ersatz | Gefordertes Audit beziehungsweise Nachweisverfahren |
| Bereits etabliertes ISMS mit regelmäßigen Audits | Meist zu grob als Hauptprüfung | Bestehendes Risikomanagement und internes Audit nutzen |
Sechs Fragen klären, ob das gewünschte Ergebnis erreichbar ist
- Soll erstmals ein vollständiger Überblick oder ein technischer Detailnachweis entstehen?
- Ist der Geltungsbereich auf ein Unternehmen mit überschaubarer IT begrenzt?
- Können Geschäftsleitung und technisch auskunftsfähige Person gemeinsam teilnehmen?
- Besteht Bereitschaft, unbekannte oder nur teilweise erfüllte Punkte offen festzuhalten?
- Werden nach dem Bericht Zeit und Budget für die wichtigsten Maßnahmen bereitgestellt?
- Gibt es besondere gesetzliche, vertragliche oder branchenspezifische Anforderungen, die zusätzlich geprüft werden müssen?
3. Gute Vorbereitung verkürzt das Gespräch und verbessert die Aussagekraft
Die Geschäftsleitung kennt Prioritäten und Schäden; technische Beteiligte kennen Konten, Systeme und Sicherungen. Beide Perspektiven werden benötigt.
| Rolle | Benötigte Informationen | Muss typischerweise teilnehmen? |
|---|---|---|
| Geschäftsleitung | Geschäftsprozesse, Risikotoleranz, Verantwortungen und Entscheidungen | Mindestens für Einordnung und Ergebnis |
| Interne IT-Verantwortung | Geräte, Konten, Netzwerk, Anwendungen, Änderungen und Vorfälle | Wenn diese Rolle existiert |
| Externer IT-Dienstleister | Technische Betriebsdetails und vertraglicher Leistungsumfang | Wenn wesentliche Systeme extern betreut werden |
| Fachverantwortung | Kritische Daten, Arbeitsabläufe, Ausfallfolgen und Notbetrieb | Bei besonderen Fachanwendungen oder Daten |
| Datenschutz oder Recht | Besondere Datenarten und spezifische Pflichten | Bei entsprechendem Beratungsbedarf |
Schritt für Schritt: Den CyberRisikoCheck vorbereiten
- Ziel des Checks und erwartete Folgeentscheidung schriftlich festhalten.
- Unternehmen, Standorte und organisatorischen Geltungsbereich abgrenzen.
- Geschäftsleitung und technisch auskunftsfähige Person terminieren.
- Die wichtigsten Geschäftsleistungen und maximal tolerierbare Ausfallzeiten notieren.
- Aktuelle Liste von Geräten, Servern, Anwendungen und Cloudplattformen zusammenstellen.
- Benutzer-, Administrator-, Gast- und Dienstkonten grob erfassen.
- Internetzugänge, Firewall, WLAN, Fernzugriff und externe Administration dokumentieren.
- Datensicherungen mit Quelle, Ziel, Frequenz und letztem Wiederherstellungstest auflisten.
- Verfahren für Eintritt, Austritt, Berechtigungen, Updates und Sicherheitsmeldungen bereithalten.
- Bekannte Vorfälle, offene Sicherheitslücken und geplante Projekte erfassen.
- Zuständigkeit und Vertrag der beteiligten IT-Dienstleister klären.
- Vorhandene Richtlinien, Berichte und technische Exporte auffindbar machen.
- Unbekannte Angaben ausdrücklich markieren, statt vor dem Gespräch zu schätzen.
- Vertraulichkeit, Aufbewahrung und Empfängerkreis des Ergebnisberichts vereinbaren.
Die Vorbereitung soll kein verborgenes Vollaudit vorwegnehmen. Sie verhindert lediglich, dass wichtige Antworten aus Erinnerung oder Annahmen entstehen. Fehlt ein Inventar, ist genau das bereits eine relevante Erkenntnis; eine hastig konstruierte Liste darf den tatsächlichen Mangel nicht verdecken.
4. Die 27 Anforderungen verteilen sich auf sechs miteinander verbundene Themenbereiche
Die Bereiche werden nicht isoliert gelesen. Ein Backup braucht Zuständigkeit, Berechtigungsschutz, aktuelle Systeme und einen getesteten Wiederanlauf.
| Themenbereich | Betrachtete Grundfrage | Typische betriebliche Nachweise |
|---|---|---|
| Organisation und Sensibilisierung | Wer verantwortet Sicherheit, welche Regeln gelten und wissen Beschäftigte, wie sie handeln? | Rollen, Richtlinien, Unterweisungen, Meldeweg und Notfallplan |
| Identitäts- und Berechtigungsmanagement | Wer erhält welchen physischen und digitalen Zugang und wie wird er beendet? | Konten- und Rollenlisten, MFA, Ein- und Austrittsprozess, Berechtigungsprüfung |
| Datensicherung | Welche Daten werden wie geschützt und lassen sie sich wiederherstellen? | Backupaufträge, Laufberichte, Trennung, Schlüssel und Restoreprotokolle |
| Patch- und Änderungsmanagement | Wie bleiben Systeme aktuell und wie werden Änderungen kontrolliert? | Inventar, Updaterichtlinien, Complianceberichte, Freigaben und Ausnahmen |
| Schutz vor Schadprogrammen | Wie werden schädliche Inhalte verhindert, erkannt und behandelt? | Schutzstatus, Alarmweg, E-Mail-Schutz, Benutzerverfahren und Reaktion |
| IT-Systeme und Netzwerke | Wie sind Geräte, Netze, Fernzugänge und technische Basis abgesichert? | Netzübersicht, Firewall, WLAN-Trennung, Verschlüsselung und Administrationsweg |
Querverbindungen verhindern Scheinerfüllung
- Ein geregelter Austritt ist nur wirksam, wenn alle Konten und Geräte bekannt sind.
- MFA schützt nicht, wenn alte Protokolle oder ein unkontrollierter Supportweg sie umgehen.
- Automatische Updates helfen nicht bei Geräten, die keine Verwaltung mehr erreichen.
- Virenschutzmeldungen helfen nicht, wenn niemand sie empfängt und bewertet.
- Ein Backup hilft nicht, wenn produktive Administratoren es löschen können oder der Schlüssel fehlt.
- Ein Notfallplan hilft nicht, wenn er ausschließlich im ausgefallenen System gespeichert ist.
- Ein Gastnetz trennt nur dann, wenn verbotene Verbindungen praktisch geprüft wurden.
- Eine Richtlinie beweist keine Umsetzung ohne Konfiguration, Bericht oder Stichprobe.
5. Im Interview wird der tatsächliche Zustand erhoben, nicht die gewünschte Antwort
DIN Media beschreibt für das persönliche Gespräch üblicherweise einen Zeitrahmen von ein bis zwei Stunden. Komplexität, Rückfragen und Vorbereitung können den Gesamtaufwand erhöhen.
| Antworttyp | Beispiel | Einordnung |
|---|---|---|
| Belegt erfüllt | Alle aktiven Arbeitskonten erscheinen im Export und unterliegen der geprüften MFA-Richtlinie. | Geltungsbereich und Nachweis stimmen überein. |
| Teilweise erfüllt | MFA gilt für Microsoft 365, aber nicht für Fernwartung und Registrar. | Keine pauschale Erfüllung; Ausnahmen konkret erfassen. |
| Organisatorisch vorgesehen | Richtlinie verlangt quartalsweise Rechteprüfung, letzte Prüfung ist nicht nachweisbar. | Vorgabe und tatsächliche Durchführung unterscheiden. |
| Geplant | Backupwechsel ist beauftragt, Restoretest noch nicht erfolgt. | Zukünftiger Zustand, keine heutige Wirksamkeit. |
| Unbekannt | Niemand kann sagen, welche externen Konten noch bestehen. | Eigener Befund und Anlass für Bestandsaufnahme. |
| Nicht anwendbar | Begründung nennt konkreten fehlenden Anwendungsfall. | Begründung prüfen; nicht als bequeme Auslassung verwenden. |
Schritt für Schritt: Eine einzelne Anforderung sauber besprechen
- Anforderung vollständig vorlesen und zentrale Begriffe erklären.
- Erfragten Geltungsbereich auf Personen, Systeme und Standorte beziehen.
- Verantwortliche Person nach dem tatsächlich gelebten Ablauf fragen.
- Technische Beteiligte Konfiguration und Ausnahmen beschreiben lassen.
- Zwischen Vorgabe, Umsetzung und nachgewiesener Wirkung unterscheiden.
- Mindestens ein reales Beispiel aus dem jüngsten Betriebszeitraum heranziehen.
- Widersprüche zwischen Teilnehmenden sichtbar notieren.
- Unbekannte Angaben nicht durch Vermutungen schließen.
- Vorhandenen Nachweis und dessen Stichtag vermerken.
- Bekannte Ausnahme mit Umfang und Geschäftswirkung festhalten.
- Bewertung nach dem vorgegebenen Verfahren zuordnen.
- Ergebnis und nächste fachliche Klärung in verständlichen Sätzen zusammenfassen.
Ein Gespräch darf verständlich sein, ohne technische Unterschiede einzuebnen. „Wir arbeiten in der Cloud“ beantwortet weder MFA noch Backup, Administratorrollen, Freigaben oder Notfallzugang. Die beratende Person übersetzt solche Sammelbegriffe in getrennte prüfbare Aussagen und hält fest, welche davon bestätigt sind.
6. Technische Nachweise erhöhen Verlässlichkeit, ohne den Check in ein Vollaudit zu verwandeln
Eine kurze Stichprobe kann zeigen, ob Aussage und Systemzustand zusammenpassen. Sie muss mit Quelle, Umfang und Grenze dokumentiert werden.
| Aussage | Geeigneter Nachweis | Was der Nachweis nicht allein beweist |
|---|---|---|
| Alle Geräte sind inventarisiert | Geräteexport plus Abgleich mit Netzsicht und Einkauf | Dass jedes Gerät sicher konfiguriert ist |
| MFA gilt für alle Konten | Konten- und Methodenexport plus wirksame Richtlinie | Dass Wiederherstellungsprozesse sicher sind |
| Updates werden zeitnah installiert | Compliancebericht mit Frist, letzter Verbindung und Ausnahmen | Dass jede Anwendung im Bericht enthalten ist |
| Backups werden täglich erstellt | Laufhistorie je Datenquelle | Dass Inhalt, Trennung und Wiederherstellung funktionieren |
| Backups sind getrennt | Berechtigungsprüfung und dokumentierter Löschschutz | Dass Schlüssel im Notfall verfügbar sind |
| Externe Zugänge werden beendet | Abgeschlossener Offboardingfall und Rollenexport | Dass unbekannte Schattenkonten erfasst sind |
| Warnungen werden bearbeitet | Beispielalarm mit Zeit, Bearbeiter und Ergebnis | Dass jede relevante Quelle überwacht wird |
Keine stillen Zusatzversprechen aus einem begrenzten Check ableiten
Wenn nur ein Interview und wenige Stichproben vereinbart sind, darf der Bericht nicht behaupten, sämtliche Systeme seien technisch geprüft. Er nennt Methode, Informationsquellen, betrachteten Geltungsbereich und erkennbare Grenzen. So können Geschäftsleitung, Kunden oder Versicherer das Ergebnis angemessen einordnen.
7. Der Ergebnisbericht muss Einzelbefunde, Dringlichkeit und nächste Schritte verbinden
Punktzahlen und Visualisierung schaffen Überblick. Umsetzbar wird der Bericht erst, wenn eine verantwortliche Person die Empfehlungen auf den tatsächlichen Bestand überträgt.
| Bestandteil | Erwarteter Inhalt | Prüffrage des Unternehmens |
|---|---|---|
| Geltungsbereich | Unternehmen, Standorte, Gesprächspartner und betrachtete IT | Ist klar, worauf sich das Ergebnis bezieht? |
| Methode | Interview, verwendete DIN SPEC, ergänzende Unterlagen und Stichproben | Wird Erhebung von technischer Prüfung unterschieden? |
| Status | Auswertung der 27 Anforderungen und sechs Bereiche | Sind Teilumsetzung und Unbekanntes sichtbar? |
| Einzelbefund | Beobachtung, Risiko und betroffener Geschäftsbezug | Versteht die Leitung die konkrete Auswirkung? |
| Empfehlung | Erwartetes Schutzziel und geeignete nächste Maßnahme | Ist das Ziel produktneutral und überprüfbar? |
| Dringlichkeit | Priorisierung entsprechend Verfahren und konkreter Lage | Werden akute Einzelrisiken hervorgehoben? |
| Grenze | Nicht geprüfte Systeme, fehlende Informationen und Restunsicherheit | Entsteht kein falscher Vollständigkeitseindruck? |
| Weiteres Vorgehen | Klärungen, technische Prüfungen und Umsetzungsblöcke | Kann daraus ein verantworteter Arbeitsplan entstehen? |
Der Bericht wird mit den Teilnehmenden besprochen. Rückfragen und Korrekturen werden dokumentiert, nicht nur mündlich geklärt. Enthält der Bericht eine falsche Systemannahme, wird sie vor der Maßnahmenplanung berichtigt. Die freigegebene Fassung erhält Version, Datum, Eigentümer und geschützten Speicherort.
Aus jedem kritischen Befund wird die passende Folgeprüfung abgeleitet
| Befund im CyberRisikoCheck | Geeignete Folgeprüfung | Erwartetes Ergebnis |
|---|---|---|
| Gerätebestand ist unbekannt oder widersprüchlich | Inventar aus Verwaltung, Netzsicht, Einkauf und Benutzerstichprobe abgleichen | Eindeutige Liste mit Eigentümer, Systemstand und Abweichungen |
| MFA wird nur pauschal bejaht | Konten, Methoden, wirksame Richtlinien, Altprotokolle und Ausnahmen exportieren | Nachweis des tatsächlich geschützten Geltungsbereichs |
| Administrationsrechte sind nicht überschaubar | Cloudrollen, lokale Administratoren, Dienstkonten und externe Zugänge prüfen | Personenbezogenes Rollenregister und begründete Restrechte |
| Updates laufen angeblich automatisch | Compliancebericht je Systemklasse mit letzter Verbindung und Fehlern auswerten | Liste fristgerechter, überfälliger und nicht erfasster Systeme |
| Backup ist vorhanden, aber nie wiederhergestellt worden | Priorisierten Datensatz in getrennte Zielumgebung zurücksichern und fachlich testen | Restoreprotokoll mit Datenstand, Dauer und festgestellten Lücken |
| Extern erreichbare Dienste sind nicht dokumentiert | Firewallregeln, DNS, Fernwartung, VPN und freigegebenen externen Scan abgleichen | Bestätigte Angriffsfläche mit Eigentümer und Schließplan |
| Warnungen gehen an ein Sammelpostfach | Testalarm erzeugen und Weg bis zu Bewertung, Eskalation und Abschluss verfolgen | Benannter Bereitschafts- und Vertretungsprozess |
| Notfallplan besteht nur als Dokument | Tischübung mit ausgefallenem E-Mail-Kanal und nicht erreichbarer Schlüsselperson durchführen | Geprüfte Alarmierung, Ersatzkommunikation und Maßnahmenliste |
- Einzelbefund und ursprüngliche Interviewaussage unverändert übernehmen.
- Konkrete Unsicherheit formulieren, die der Check nicht auflösen konnte.
- Betroffene Systeme, Konten, Daten und Geschäftsprozesse abgrenzen.
- Prüfmethode wählen, die genau diese Unsicherheit beantworten kann.
- Zugriff, Betriebsrisiko und Datenschutz der Prüfung vorab bewerten.
- Erwartete Unterlagen, technische Exporte und benötigte Personen benennen.
- Erfolgskriterium und mögliche Abbruchbedingung vor Beginn festlegen.
- Prüfung in einem kontrollierten Umfang ausführen.
- Beobachtung, Nachweis und technische Schlussfolgerung getrennt dokumentieren.
- Das Ergebnis in erfüllt, teilweise erfüllt, nicht erfüllt oder weiterhin ungeklärt einordnen.
- Bericht und Maßnahmenplan um den bestätigten Zustand ergänzen.
- Eine notwendige Korrektur der ursprünglichen Bewertung nachvollziehbar versionieren.
Die Vertiefung wird nicht pauschal für alle 27 Anforderungen beauftragt. Sie konzentriert sich auf Aussagen mit hoher Geschäftswirkung, erheblicher Exposition oder unzureichender Beleglage. Das hält den Aufwand für ein kleines Unternehmen beherrschbar und verhindert zugleich, dass ein guter Intervieweindruck eine technisch relevante Unsicherheit verdeckt.
8. Handlungsempfehlungen werden in abnehmbare Arbeitspakete übersetzt
„MFA einführen“ oder „Backups verbessern“ beschreibt eine Richtung. Für eine Beauftragung braucht das Unternehmen einen Geltungsbereich und ein nachweisbares Ergebnis.
| Empfehlung | Konkretes Ziel | Abnahmetest |
|---|---|---|
| MFA einführen | Alle interaktiven Arbeits-, Admin- und Fernzugänge erzwingen geeignete MFA; Ausnahmen sind dokumentiert. | Kontenexport, Richtlinienwirkung und Testanmeldung |
| Backups verbessern | Alle priorisierten Datenquellen besitzen getrennte Sicherung mit festgelegtem Datenverlustziel. | Restore eines repräsentativen Datensatzes mit fachlicher Prüfung |
| Updates beschleunigen | Alle unterstützten Systemklassen erscheinen innerhalb definierter Fristen im Compliancebericht. | Stichtagsbericht ohne unbegründete überfällige Geräte |
| Rechte begrenzen | Persönliche Konten, Gruppenrollen und getrennte Administration ersetzen breite Dauervollrechte. | Rollenexport und Stichprobe eines Normalbenutzers |
| Notfallvorsorge schaffen | Rollen, Ersatzkommunikation, Kontakte, Notbetrieb und Wiederanlauf sind offline verfügbar. | Moderierte Tischübung mit protokollierten Ergebnissen |
| Mitarbeitende sensibilisieren | Beschäftigte erkennen typische Situationen und nutzen einen bekannten Meldeweg. | Praxisübung samt Reaktions- und Bearbeitungsnachweis |
Schritt für Schritt: Den Bericht in einen Maßnahmenplan überführen
- Alle nicht oder nur teilweise erfüllten Anforderungen einzeln übernehmen.
- Betroffenen Geschäftsprozess, Datenbestand und technischen Geltungsbereich ergänzen.
- Akute Exposition und mögliche Schadensausweitung prüfen.
- Abhängigkeiten zwischen Empfehlungen kennzeichnen.
- Unbekannte Zustände zuerst durch Bestandsaufnahme oder technischen Test klären.
- Für jede Empfehlung einen konkreten Sollzustand formulieren.
- Ausführbare Einzelschritte und erforderliche Entscheidungen bestimmen.
- Interne Verantwortung und technische Ausführung getrennt zuordnen.
- Aufwand, Betriebsunterbrechung und Fremdleistung realistisch schätzen.
- Abnahmetest vor Beginn der Umsetzung festlegen.
- Maßnahmen nach Risiko und gemeinsamer Wirkung bündeln.
- Termine und Zwischenkontrollen vereinbaren.
- Umsetzung anhand technischer Nachweise prüfen.
- Restabweichung und verbleibendes Risiko dokumentieren.
- Nach Abschluss betroffene Dokumentationen und Notfallwege aktualisieren.
- Wirksamkeit nach einem geeigneten Betriebszeitraum erneut prüfen.
Eine Empfehlung darf nicht automatisch zum Kauf des bevorzugten Produkts der prüfenden Stelle führen. Zuerst wird das Schutzziel festgelegt. Danach werden vorhandene Plattformfunktionen, organisatorische Änderungen und mögliche Produkte sachlich verglichen. Das hält die Standortbestimmung von der späteren Beschaffung getrennt.
9. Die Anbieterwahl entscheidet über Verständlichkeit, Unabhängigkeit und Anschlussfähigkeit
Die DIN SPEC enthält Anforderungen an durchführende IT-Dienstleister. Vor dem Auftrag klärt das Unternehmen zusätzlich Leistung, Unterlagen, Vertraulichkeit und spätere Rollen.
| Frage | Warum sie wichtig ist |
|---|---|
| Wird der Check ausdrücklich nach DIN SPEC 27076:2023-05 durchgeführt? | Begrenzt Methode und erwartetes Ergebnis. |
| Welche Qualifikation und praktische Erfahrung besitzt die durchführende Person? | Zeigt, ob Antworten sachgerecht eingeordnet werden können. |
| Welche Personen und Unterlagen sollen teilnehmen beziehungsweise vorliegen? | Verhindert ein reines Verkaufsgespräch ohne belastbare Auskunft. |
| Welche Bestandteile enthält der Ergebnisbericht? | Macht Status, Einzelbefunde und Empfehlungen vergleichbar. |
| Welche technischen Stichproben sind enthalten und welche ausdrücklich nicht? | Verhindert einen falschen Prüfungsumfang. |
| Wie werden vertrauliche Angaben gespeichert, übertragen und gelöscht? | Schützt Netz-, Konten- und Sicherheitsinformationen. |
| Wie werden Unbekanntes, Teilumsetzung und Meinungsunterschiede dokumentiert? | Zeigt redaktionelle und fachliche Sorgfalt. |
| Ist die spätere Umsetzung frei beauftragbar? | Trennt Beratungsergebnis und Produktverkauf. |
| Wie werden Rückfragen und sachliche Korrekturen am Bericht behandelt? | Sichert eine belastbare Endfassung. |
| Welche ergänzenden Prüfungen werden bei kritischen Befunden empfohlen? | Macht die methodischen Grenzen transparent. |
Das Übergabepaket bleibt auch ohne Folgeauftrag nutzbar
| Unterlage | Erforderliche Qualität |
|---|---|
| Ergebnisbericht | Freigegebene vollständige Fassung mit Geltungsbereich, Methode, Status und Empfehlungen |
| Einzelbefundliste | Eindeutige Zuordnung zu Anforderung, Risiko, betroffener Umgebung und Dringlichkeit |
| Offene Klärungen | Unbekannte Angaben mit zuständiger Person und benötigtem Nachweis |
| Maßnahmenregister | Sollzustand, Verantwortung, Priorität, Termin, Abhängigkeit und Abnahmetest |
| Verwendete Nachweise | Verzeichnis der betrachteten Dokumente und Exporte mit Stichtag |
| Präsentationsstand | Dokumentierte Rückfragen, Korrekturen und Entscheidungen aus dem Ergebnisgespräch |
Dateien werden in einem offenen, üblichen Format übergeben und so bezeichnet, dass ein anderer qualifizierter Dienstleister den Maßnahmenstand nachvollziehen kann. Produktangebote, Lizenzen oder Umsetzungsverträge bilden getrennte Unterlagen. Dadurch bleibt erkennbar, welche Empfehlung aus dem standardisierten Check stammt und welche konkrete Lösung später angeboten wurde.
Fördermöglichkeiten werden vor Auftrag aktuell geprüft
Programme, Förderquote, Fördergebiet und Antragszeitpunkt können sich ändern. Eine ältere Broschüre oder Anbieterangabe genügt deshalb nicht. Das Unternehmen prüft vor Vertragsabschluss die zuständige offizielle Programmseite und klärt, ob Antrag oder Bewilligung vor Beauftragung erforderlich sind. Der Auftrag wird nicht allein wegen einer erwarteten Förderung ausgelöst.
10. Eine Wiederholung misst nur dann Fortschritt, wenn Geltungsbereich und Veränderungen bekannt sind
Ein höherer Wert kann aus realer Verbesserung, anderer Auslegung oder verändertem Umfang entstehen. Deshalb werden Berichtsversionen nicht nur anhand der Gesamtzahl verglichen.
| Vergleichsfeld | Zu prüfen |
|---|---|
| Geltungsbereich | Gleiche Rechtsträger, Standorte, Systeme und Beschäftigtengruppen |
| Methode | Gleiche Ausgabe der DIN SPEC und vergleichbare Erhebung |
| Teilnehmende | Ausreichend geschäftliche und technische Auskunftsfähigkeit |
| Nachweise | Gleiche oder verbesserte Belegtiefe |
| Einzelanforderung | Tatsächliche Zustandsänderung statt anderer Formulierung |
| Neue Risiken | Neue Cloudanbieter, Standorte, Fernzugänge, Daten und Dienstleister |
| Umgesetzte Maßnahme | Abnahmetest und Wirksamkeitskontrolle vorhanden |
| Restabweichung | Offene Ausnahme, Verantwortung und Termin weitergeführt |
Eine Wiederholung ist besonders nach größeren technischen oder organisatorischen Veränderungen sinnvoll: Microsoft-365-Migration, Büroerweiterung, neue Fachanwendung, Wechsel des IT-Dienstleisters oder abgeschlossener erster Maßnahmenzyklus. Zwischen den Checks wird der Maßnahmenplan fortgeführt; der Bericht ersetzt keine laufende Verantwortung.
Für den Zeitvergleich wird zu jeder inzwischen erfüllten Anforderung der Wirksamkeitsnachweis aufbewahrt. Dazu gehören beispielsweise der neue Rollenexport, ein abgeschlossener Wiederherstellungstest oder das Protokoll einer Notfallübung. Gleichzeitig werden neu hinzugekommene Systeme und Ausnahmen erfasst. So zeigt die Wiederholung nicht nur, dass mehr Punkte erreicht wurden, sondern welche konkrete Änderung den Zustand verbessert hat und an welcher Stelle neues Risiko entstanden ist.
Bleibt eine Empfehlung bewusst offen, dokumentiert die Geschäftsleitung ihre Entscheidung mit Begründung, Ersatzmaßnahme und neuem Prüftermin. Diese Behandlung ist belastbarer als eine stillschweigende Verschiebung. Sie verhindert außerdem, dass derselbe Befund bei jeder Wiederholung erneut ohne Verantwortung und ohne Termin erscheint. Ändert sich die zugrunde liegende Geschäftsabhängigkeit, wird die Entscheidung vor dem regulären Wiederholungstermin neu bewertet. Der neue Beschluss wird im Maßnahmenregister nachvollziehbar ergänzt.
Häufige Fragen zum CyberRisikoCheck nach DIN SPEC 27076
Ist der CyberRisikoCheck eine Zertifizierung?
Nein. Er ist eine standardisierte IT-Sicherheitsberatung und Standortbestimmung. Der Ergebnisbericht kann Verbesserungen strukturieren, bestätigt aber keine Zertifizierung nach ISO/IEC 27001 oder einem anderen Zertifizierungsschema.
Werden beim Check die Computer technisch untersucht?
Der Kern ist ein strukturiertes Gespräch. Vereinbarte Unterlagen oder Stichproben können Aussagen stützen, ersetzen aber keinen vollständigen Konfigurationscheck oder Schwachstellenscan. Der konkrete Leistungsumfang wird vor Auftrag schriftlich abgegrenzt.
Muss das Unternehmen bereits ein IT-Inventar besitzen?
Nein. Ein fehlender Überblick ist selbst eine wichtige Erkenntnis. Vorhandene Geräte-, Konten- und Anwendungsexporte verbessern jedoch die Genauigkeit und helfen, pauschale Antworten oder übersehene Ausnahmen zu vermeiden.
Reicht der Bericht für einen Cyberversicherungsantrag?
Er kann die Vorbereitung unterstützen. Maßgeblich bleiben die konkreten Fragen und Bedingungen des Versicherers. Technische Angaben werden dafür mit aktuellem Geltungsbereich, Ausnahmen und geeigneten Nachweisen separat geprüft.
Wie lange dauert die Durchführung?
DIN Media beschreibt für das persönliche Interview üblicherweise ein bis zwei Stunden. Vorbereitung, Auswertung, Bericht, Ergebnisgespräch und technische Klärungen kommen hinzu. Der Anbieter sollte diese Bestandteile getrennt und realistisch benennen.
Was geschieht nach dem Ergebnisbericht?
Unbekannte Zustände werden geklärt, dringende Lücken technisch geprüft und Empfehlungen in Arbeitspakete mit Verantwortung, Termin und Abnahmetest übersetzt. Erst die bestätigte Umsetzung verändert den Sicherheitszustand.
Weiterführende fachliche Grundlagen
Vom CyberRisikoCheck zu belastbaren technischen Maßnahmen
fra.digital unterstützt kleine Unternehmen in Frankfurt bei der strukturierten Bestandsaufnahme und bei den technischen Folgearbeiten: Konten- und Rollenprüfung, MFA, Geräte- und Patchstatus, Datensicherung, Netz- und Fernzugänge sowie Notfallvorsorge. Umfang, Ergebnis und Abnahmetest werden vor der Umsetzung klar festgelegt.
