Grundwacht
Grundwacht
Dieser Bericht ist eine automatisierte Standortbestimmung auf Basis Ihrer Selbstauskunft. Er ist keine Rechtsberatung, kein Prüfergebnis einer akkreditierten Stelle und kein Testat. Die rechtliche Bewertung im Einzelfall bleibt einer fachkundigen Prüfung vorbehalten.
Die Stufe einer Anforderung ist das Niveau, das alle ihre Kontrollpunkte gemeinsam erreichen – nicht der Zustand jedes einzelnen Punkts. Ein einzelner offener Punkt hält die ganze Anforderung auf seiner Stufe.
Die zehn dringendsten Maßnahmen stehen hier unten; damit fangen Sie an. Weiter unten führt der Bericht alle Maßnahmen auf, nach den Anforderungen des Gesetzes geordnet – er ist zum Nachschlagen gedacht, nicht zum Lesen am Stück.
Der Rang einer Maßnahme ergibt sich daraus, wie stark das Gesetz den Punkt gewichtet und wie weit Ihre Angaben davon entfernt sind. Bei gleichem Ergebnis stehen die Punkte vorn, ohne die eine Anforderung insgesamt begrenzt bleibt. Unten sind die Maßnahmen nach Anforderungen gruppiert, deshalb springen die Rangzahlen.
| Anforderung | Fundstelle |
|---|---|
| Risiken kennen und schriftlich festhalten | § 30 Abs. 2 Satz 2 Nr. 1 BSIG |
| Sicherheitsvorfälle erkennen und abarbeiten | § 30 Abs. 2 Satz 2 Nr. 2 BSIG |
| Betrieb nach einem Ausfall wieder anlaufen lassen | § 30 Abs. 2 Satz 2 Nr. 3 BSIG |
| Dienstleister mit Zugriff absichern | § 30 Abs. 2 Satz 2 Nr. 4 BSIG |
| Systeme aktuell halten und Schwachstellen schließen | § 30 Abs. 2 Satz 2 Nr. 5 BSIG |
| Prüfen, ob die Maßnahmen wirklich wirken | § 30 Abs. 2 Satz 2 Nr. 6 BSIG |
| Alle Mitarbeiter regelmäßig schulen | § 30 Abs. 2 Satz 2 Nr. 7 BSIG |
| Vertrauliche Daten verschlüsseln | § 30 Abs. 2 Satz 2 Nr. 8 BSIG |
| Zugriffsrechte begrenzen und entziehen | § 30 Abs. 2 Satz 2 Nr. 9 BSIG |
| Zwei-Faktor-Anmeldung und sichere Kommunikation | § 30 Abs. 2 Satz 2 Nr. 10 BSIG |
| Vorfälle fristgerecht an das BSI melden | § 32 BSIG |
| Beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren | § 33 BSIG |
| Pflichten der Geschäftsführung | § 38 BSIG |
Dieser Bericht beruht auf Ihren eigenen Angaben. Von 75 Kontrollpunkten sind 73 abgedeckt, 2 nicht. Eine technische Prüfung war nicht Teil dieses Durchlaufs.
Wortlaut des Gesetzes: „Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Sicherheit in der Informationstechnik“
Diese Anforderung umfasst sechs Kontrollpunkte. Einer wird gelebt, ist aber nicht schriftlich festgelegt sowie fünf sind bisher nicht eingerichtet.
Begrenzt durch: Überprüfung der tatsächlichen Wirksamkeit der Sicherheitsmaßnahmen. Dieser Punkt zieht den Befund der ganzen Anforderung nach unten, unabhängig davon, wie gut die übrigen stehen.
Worum es geht: Es reicht nicht, Maßnahmen zu haben – ihre Wirksamkeit muss überprüft werden.
Wenn Sie in diesem Bereich nur eines tun: Greifen Sie eine Regel heraus, von der alle annehmen, dass sie eingehalten wird – etwa dass alle Notebooks verschlüsselt sind – und lassen Sie sich an einem Gerät zeigen, ob das stimmt.
Kritikalität: hoch
Ihre Angabe: bisher nicht eingerichtet
So sieht es aus, wenn es erledigt ist: Ein festgelegtes Vorgehen, das prüft, ob Maßnahmen wirken – nicht nur, ob sie auf dem Papier existieren –, und dessen Ergebnisse nachweislich zu Anpassungen führen. Diese Prüfung ist der Unterschied zwischen einem gelebten Sicherheitsniveau und einem dokumentierten.
Was zu tun ist: Legen Sie ein einfaches Vorgehen fest: Eine Handvoll Maßnahmen wird ausgewählt und an der Wirklichkeit geprüft – wer prüft, was geprüft wird, wohin die Ergebnisse gehen. Bestimmen Sie, dass jedes Ergebnis entweder eine Anpassung auslöst oder die begründete Feststellung, dass keine nötig ist.
Was Ihnen die IT vorlegen können muss: Das festgelegte Vorgehen und der letzte Prüfbericht mit den abgeleiteten Anpassungen oder der begründeten Feststellung, dass keine nötig waren.
Kritikalität: hoch
Ihre Angabe: bisher nicht eingerichtet
So sieht es aus, wenn es erledigt ist: Eine geführte Liste mit Verantwortlichem, Frist und Nachkontrolle, ob die Behebung tatsächlich gewirkt hat. Prüfungen ohne Nachverfolgung erzeugen Aufwand ohne Verbesserung.
Was zu tun ist: Übertragen Sie jeden bei einer Prüfung erkannten Mangel in eine geführte Liste mit Verantwortlichem und Frist. Ein Eintrag wird erst geschlossen, wenn nachgeprüft ist, dass die Behebung tatsächlich gewirkt hat – nicht, wenn sie gemeldet wurde.
Was Ihnen die IT vorlegen können muss: Die geführte Liste mit Verantwortlichem und Frist je Mangel und dem Vermerk der Nachkontrolle bei den erledigten Einträgen.
Kritikalität: hoch
Ihre Angabe: bisher nicht eingerichtet
So sieht es aus, wenn es erledigt ist: Eine Berichterstattung in festem Turnus, protokolliert und mit dokumentierten Entscheidungen der Leitung. Die Geschäftsleitung haftet persönlich – sie kann diese Verantwortung nur wahrnehmen, wenn sie die Ergebnisse kennt.
Was zu tun ist: Legen Sie fest, dass die Ergebnisse der Überprüfungen der Geschäftsführung vorgelegt werden – mit den erkannten Mängeln und dem Stand ihrer Behebung – und dass die Entscheidungen dazu im Protokoll festgehalten werden.
Was Ihnen die IT vorlegen können muss: Die Protokolle, aus denen vorgelegte Ergebnisse und getroffene Entscheidungen hervorgehen.
Kritikalität: mittel
Ihre Angabe: bisher nicht eingerichtet
So sieht es aus, wenn es erledigt ist: Es prüft nicht dieselbe Person, die die Maßnahmen umgesetzt hat; dort, wo ein Ausfall den Betrieb anhalten würde, prüft eine externe Stelle. Die eigene Arbeit zu prüfen, führt systematisch zu blinden Flecken – unabhängig von der Sorgfalt der Person.
Was zu tun ist: Bestimmen Sie für die Prüfung jemanden, der die Maßnahmen nicht selbst umgesetzt hat – eine andere interne Person genügt für den Anfang. Legen Sie selbst fest, welche Bereiche so wichtig sind, dass ihr Ausfall den Betrieb anhalten würde, und lassen Sie diese in größeren Abständen zusätzlich von einer externen Stelle prüfen.
Was Ihnen die IT vorlegen können muss: Die Prüfberichte mit Angabe des Prüfenden und, für die extern geprüften Bereiche, der Bericht der externen Stelle.
Kritikalität: mittel
Ihre Angabe: bisher nicht eingerichtet
So sieht es aus, wenn es erledigt ist: Prüfungen finden geplant statt, nicht nur nach einem Vorfall oder auf Kundenwunsch, und ihr Umfang richtet sich nach dem Risiko des Bereichs. Anlassbezogene Prüfungen kommen definitionsgemäß zu spät.
Was zu tun ist: Erstellen Sie einen einfachen Jahresplan, welcher Bereich wann geprüft wird, und richten Sie die Häufigkeit und Tiefe nach dem Risiko – die Bereiche, deren Ausfall den Betrieb anhalten würde, öfter und genauer als die übrigen.
Was Ihnen die IT vorlegen können muss: Der Prüfplan und der Beleg der letzten planmäßig durchgeführten Prüfung.
Kritikalität: niedrig
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Wenige, einheitlich erhobene Kennzahlen mit Zielwerten, die regelmäßig berichtet werden. Sie machen Entwicklung über die Zeit sichtbar und ersetzen Einzelmeinungen durch eine gemeinsame Grundlage.
Was zu tun ist: Legen Sie drei bis fünf Kennzahlen mit Zielwert fest, die sich aus Ihren Systemen ohne Zusatzaufwand erheben lassen – etwa der Anteil der Konten mit zweitem Faktor, der Stand der Updates und die Zahl der überfälligen Maßnahmen. Erheben Sie sie in festem Abstand auf dieselbe Weise, sonst sind die Werte nicht vergleichbar.
Was Ihnen die IT vorlegen können muss: Die festgelegten Kennzahlen mit Zielwerten und die letzte Erhebung mit Datum.
Wortlaut des Gesetzes: „Registrierungspflicht“
Der einzige Kontrollpunkt dieser Anforderung ist bisher nicht eingerichtet.
Worum es geht: Betroffene Einrichtungen müssen sich beim BSI registrieren. Die Registrierung ist eine eigenständige Pflicht und unabhängig davon zu erfüllen, wie weit die technischen und organisatorischen Maßnahmen gediehen sind.
Wenn Sie in diesem Bereich nur eines tun: Prüfen Sie umgehend, ob eine Registrierungspflicht besteht – die gesetzliche Frist ist abgelaufen.
Kritikalität: hoch
Ihre Angabe: bisher nicht eingerichtet
So sieht es aus, wenn es erledigt ist: Die Registrierung beim BSI ist vorgenommen und die Bestätigung des Bundesamts liegt vor, zusammen mit dem Ergebnis der Betroffenheitsprüfung.
Was zu tun ist: Sobald feststeht, dass Ihr Unternehmen erfasst ist, nehmen Sie die Registrierung über das Portal des BSI vor. Sie hängt nicht davon ab, wie weit Ihre übrigen Maßnahmen gediehen sind. Steht die Betroffenheit noch nicht fest, klären Sie sie zuerst – siehe „Dokumentierte Prüfung der eigenen Betroffenheit“.
Was Ihnen die IT vorlegen können muss: Die Bestätigung der erfolgten Registrierung.
Wortlaut des Gesetzes: „Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen“
Diese Anforderung umfasst sechs Kontrollpunkte. Fünf werden gelebt, sind aber nicht schriftlich festgelegt sowie einer ist bisher nicht eingerichtet.
Worum es geht: Die Geschäftsleitung muss die Maßnahmen billigen, ihre Umsetzung überwachen und sich selbst schulen lassen. Sie haftet persönlich.
Wenn Sie in diesem Bereich nur eines tun: Lassen Sie sich die getroffenen Sicherheitsmaßnahmen einmal vollständig vorlegen und halten Sie Ihre Entscheidung dazu im Protokoll fest.
Kritikalität: hoch
Ihre Angabe: bisher nicht eingerichtet
So sieht es aus, wenn es erledigt ist: Eine dokumentierte Teilnahme der Geschäftsleitung selbst, in regelmäßiger Wiederholung eingeplant. Diese Pflicht trifft die Leitung persönlich und wird in der Praxis fast durchgängig übersehen – sie ist zugleich mit dem geringsten Aufwand zu erfüllen.
Was zu tun ist: Planen Sie für die Geschäftsführung selbst eine Schulung zu Cybersicherheitsrisiken ein – ein halber Tag genügt für den Einstieg – und legen Sie den Wiederholungsturnus gleich mit fest. Lassen Sie die Teilnahme dokumentieren wie bei jeder anderen Schulung auch.
Was Ihnen die IT vorlegen können muss: Der Teilnahmenachweis je Mitglied der Geschäftsführung mit Datum und der eingeplante nächste Termin.
Kritikalität: mittel
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Die Geschäftsführung hat sich mit den Maßnahmen befasst, sie formal freigegeben und hält ihre Umsetzung nach. § 38 Abs. 1 BSIG verpflichtet die Leitung, die Maßnahmen umzusetzen und ihre Umsetzung zu überwachen; nach der Gesetzesbegründung schließt das die Billigung ein. Ein rein in der IT geführtes Vorgehen erfüllt die Pflicht nicht, unabhängig von seiner fachlichen Qualität.
Was zu tun ist: Lassen Sie sich die Sicherheitsmaßnahmen und die zugrunde liegende Risikobewertung vorlegen, entscheiden Sie darüber im Kreis der Geschäftsführung und halten Sie den Beschluss im Protokoll fest – einschließlich der Punkte, die Sie bewusst zurückgestellt haben. Lassen Sie sich zu den freigegebenen Maßnahmen den Umsetzungsstand vorlegen, bis sie abgeschlossen sind.
Was Ihnen die IT vorlegen können muss: Das Protokoll des Beschlusses mit Datum und die vorgelegten Umsetzungsstände.
Kritikalität: mittel
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Die Pflichten sind bekannt, dokumentiert zur Kenntnis genommen und in die Aufgabenverteilung der Geschäftsführung aufgenommen. Die Verantwortung ist persönlich und lässt sich nicht an die IT delegieren.
Was zu tun ist: Lassen Sie sich die Pflichten der Geschäftsleitung aus dem BSI-Gesetz einmal zusammenstellen – Umsetzung, Überwachung, eigene Schulung – und nehmen Sie sie dokumentiert zur Kenntnis. Legen Sie fest, welches Mitglied das Thema federführend trägt; die Verantwortung selbst trifft jedes Mitglied persönlich.
Was Ihnen die IT vorlegen können muss: Der Vermerk der Kenntnisnahme mit Datum und die festgehaltene Federführung.
Kritikalität: mittel
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Eine durchgeführte, dokumentierte und rechtlich abgesicherte Prüfung, ob das Unternehmen unter die Pflichten fällt, erneuert bei Änderungen von Größe oder Tätigkeit. Ohne dieses Ergebnis steht jede weitere Aussage auf unsicherem Grund.
Was zu tun ist: Prüfen Sie anhand von Branche, Mitarbeiterzahl sowie Umsatz und Bilanzsumme, ob Ihr Unternehmen unter das BSI-Gesetz fällt, und halten Sie Ergebnis und Begründung schriftlich fest – bei unklarer Lage mit rechtlicher Beratung. Legen Sie fest, dass die Prüfung bei wesentlichen Änderungen von Größe oder Tätigkeit wiederholt wird.
Was Ihnen die IT vorlegen können muss: Das dokumentierte Ergebnis mit Begründung und Datum sowie die festgehaltenen Anlässe für eine Wiederholung.
Kritikalität: niedrig Einordnung: empfohlen, aus der gesetzlichen Pflicht herleitbar, nicht wörtlich gefordert.
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Ein festes Budget samt Personalkapazität, jährlich überprüft – nicht nur eine Zusage im Bedarfsfall. Hinweis: Die Ressourcenausstattung ist im Gesetz nicht wörtlich geregelt, folgt aber aus der Umsetzungspflicht der Geschäftsleitung.
Was zu tun ist: Planen Sie Mittel für Informationssicherheit fest im Jahresbudget ein – Geld und Arbeitszeit –, statt sie im Einzelfall zu bewilligen. Überprüfen Sie den Ansatz jährlich anhand der Liste der offenen Maßnahmen.
Was Ihnen die IT vorlegen können muss: Der Budgetansatz im Jahresplan samt eingeplanter Arbeitszeit und der Vermerk der jährlichen Überprüfung.
Kritikalität: niedrig
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Berichterstattung in festem Turnus, protokolliert, mit dokumentierten Entscheidungen. Die Pflicht zur Überwachung setzt voraus, dass es überhaupt etwas zu überwachen gibt.
Was zu tun ist: Vereinbaren Sie einen festen Turnus – viermal im Jahr genügt –, in dem die für Informationssicherheit verantwortliche Person der Geschäftsführung den Gesamtstand berichtet: die Kennzahlen, Vorfälle seit dem letzten Termin, Fortschritt der Maßnahmen, offene Risiken. Protokollieren Sie Bericht und getroffene Entscheidungen.
Was Ihnen die IT vorlegen können muss: Die Protokolle der letzten Termine mit den festgehaltenen Entscheidungen.
Wortlaut des Gesetzes: „Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen“
Diese Anforderung umfasst zehn Kontrollpunkte. Neun werden gelebt, sind aber nicht schriftlich festgelegt sowie zu einem konnte keine Auskunft gegeben werden.
Worum es geht: Jeder darf nur auf das zugreifen, was er für seine Aufgabe braucht – und Zugänge müssen wieder entzogen werden.
Wenn Sie in diesem Bereich nur eines tun: Lassen Sie sich für ein besonders sensibles Verzeichnis – etwa Personal oder Buchhaltung – anzeigen, wer darauf zugreifen kann.
Kritikalität: hoch
Ihre Angabe: nicht bekannt
So sieht es aus, wenn es erledigt ist: Der Kreis ist bekannt, dokumentiert, begrenzt und wird in festem Turnus überprüft. Jedes zusätzliche Konto mit Vollrechten vervielfacht den Schaden eines einzelnen erfolgreichen Angriffs.
Was zu tun ist: Lassen Sie sich alle Konten mit vollen Verwaltungsrechten auflisten und gehen Sie sie einzeln durch: Gehört diese Berechtigung zur Aufgabe der Person – auch wenn sie sie nur selten braucht? Entziehen Sie die Rechte allen übrigen. Getrennte Administratorkonten und ein hinterlegtes Notfallkonto bleiben dabei bestehen; sie sind gewollt.
Was Ihnen die IT vorlegen können muss: Die dokumentierte Liste der vollberechtigten Konten mit Begründung je Eintrag und dem Datum der letzten Überprüfung.
Kritikalität: mittel
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Rechte richten sich nach der Rolle, sind dokumentiert und werden regelmäßig überprüft. Diese Begrenzung bestimmt, wie weit sich ein Angreifer nach dem ersten kompromittierten Konto im Unternehmen ausbreiten kann.
Was zu tun ist: Bestimmen Sie mit den Fachbereichen die drei bis fünf sensibelsten Datenbestände – etwa Personal, Buchhaltung, Konstruktionsdaten – und lassen Sie sich für jeden anzeigen, wer darauf zugreifen kann. Streichen Sie alles, was sich nicht mit einer aktuellen Aufgabe begründen lässt.
Was Ihnen die IT vorlegen können muss: Je sensiblem Datenbestand eine Übersicht der Zugriffsberechtigten mit Datum und der Angabe, aufgrund welcher Aufgabe der Zugriff besteht.
Kritikalität: mittel
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Administratoren nutzen für Verwaltungsaufgaben ein anderes Konto als für E-Mail und Alltagsarbeit; privilegierte Rechte werden nur bei Bedarf und zeitlich begrenzt aktiviert. Andernfalls genügt eine geöffnete Anlage in der täglichen Post, um dem Angreifer sofort Vollrechte zu verschaffen.
Was zu tun ist: Richten Sie für jeden Administrator ein zweites Konto ein, das ausschließlich für Verwaltungsaufgaben dient und kein Postfach besitzt. E-Mail, Dokumente und Internet laufen weiter über das normale Konto.
Was Ihnen die IT vorlegen können muss: Die Zuordnung von Verwaltungs- zu Alltagskonto je Administrator, dazu ein Beleg, dass die Verwaltungskonten keine Postfächer haben.
Kritikalität: mittel
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Ein fester Ablauf gemeinsam mit der Personalabteilung, ergänzt um eine regelmäßige Suche nach verwaisten Konten. Konten ausgeschiedener Beschäftigter bleiben sonst aktiv, ohne dass jemand ihre Nutzung bemerken würde.
Was zu tun ist: Vereinbaren Sie mit der Personalabteilung, dass jeder Austritt und jeder Rollenwechsel dieselbe Meldung an die für Benutzerkonten zuständige Stelle auslöst – beim Austritt so, dass die Zugänge am letzten Arbeitstag geschlossen werden. Lassen Sie zusätzlich einmal im Quartal nach Konten suchen, die seit Monaten niemand benutzt hat.
Was Ihnen die IT vorlegen können muss: Der schriftlich festgelegte Ablauf zwischen Personalabteilung und zuständiger Stelle, dazu das Ergebnis der letzten Suche nach ungenutzten Konten mit Datum.
Kritikalität: niedrig
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Alle zugreifenden Geräte sind erfasst, für private Geräte bestehen Regeln, und der Zugriff nicht verwalteter Geräte ist technisch eingeschränkt. Private Geräte sind der Teil, der in der Praxis fast immer fehlt.
Was zu tun ist: Erfassen Sie, welche Geräte auf Firmendaten zugreifen – und zwar über die Firmengeräte hinaus auch die privaten Mobiltelefone, auf denen dienstliche E-Mail liegt. Das ist der Teil, der in fast jeder Übersicht fehlt. Legen Sie danach fest, unter welchen Bedingungen private Geräte zugelassen sind.
Was Ihnen die IT vorlegen können muss: Die Geräteübersicht mit Stand und Datum, in der Firmen- und Privatgeräte getrennt ausgewiesen sind, dazu die Regelung für private Geräte.
Kritikalität: niedrig
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Eine durchgängige Regelung als Bestandteil der Arbeitsverträge, mit zusätzlichen Vereinbarungen für besonders sensible Rollen. Häufige Lücke sind ältere Vertragsgenerationen, die nie nachgezogen wurden.
Was zu tun ist: Gehen Sie die Personalakten einmal vollständig durch – nicht stichprobenartig – und halten Sie fest, bei wem eine unterzeichnete Vertraulichkeitsregelung vorliegt. Holen Sie fehlende Verpflichtungen einzeln nach und nehmen Sie die Klausel fest in die Vorlage für neue Verträge auf.
Was Ihnen die IT vorlegen können muss: Eine Übersicht, aus der je Beschäftigtem hervorgeht, ob eine unterzeichnete Verpflichtung vorliegt, mit Datum der Durchsicht, sowie die Vertragsvorlage mit der enthaltenen Klausel.
Kritikalität: niedrig
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Eine Prüfung in festem Turnus, ob die vergebenen Rechte noch gebraucht werden, mit Bestätigung durch die Fachbereiche und dokumentiertem Ergebnis. Rechte werden bei jedem Rollenwechsel ergänzt und fast nie entzogen – ohne Überprüfung sammeln langjährige Beschäftigte über die Jahre Vollzugriff an.
Was zu tun ist: Legen Sie einen festen Termin im Jahr fest, an dem jede Führungskraft die Rechte ihrer Mitarbeiter bestätigt oder streicht. Entscheidend ist die Form der Liste: Sie muss benennen, auf welche Systeme und Ordner jemand zugreifen kann. Setzen Sie eine Rückmeldefrist und verfolgen Sie ausbleibende Antworten nach.
Was Ihnen die IT vorlegen können muss: Das dokumentierte Ergebnis je Fachbereich, aus dem hervorgeht, welche Rechte bestätigt und welche entzogen wurden, mit Datum.
Kritikalität: niedrig Einordnung: empfohlen, aus der gesetzlichen Pflicht herleitbar, nicht wörtlich gefordert.
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Das Netz ist bewusst unterteilt und dokumentiert, die Wirksamkeit der Trennung wird geprüft. In einem flachen Netz erreicht ein einzelner befallener Arbeitsplatz jedes andere System. Hinweis: Netzsegmentierung ist im Gesetz nicht wörtlich genannt, sondern aus der Pflicht zur Zugriffskontrolle hergeleitet.
Was zu tun ist: Trennen Sie die besonders gefährdeten Bereiche vom Arbeitsplatznetz ab – Maschinensteuerungen, die Verwaltungsoberflächen Ihrer Server und Netzwerkgeräte sowie das Gäste-WLAN, das gar nicht erst ins Firmennetz führen sollte. Prüfen Sie danach von einem gewöhnlichen Arbeitsplatz aus, dass die Verwaltungsoberflächen nicht mehr erreichbar sind, die benötigten Anwendungen aber weiterhin.
Was Ihnen die IT vorlegen können muss: Ein Netzplan mit den vorgenommenen Trennungen und das Ergebnis der Erreichbarkeitsprüfung mit Datum, aus dem beides hervorgeht: was gesperrt ist und was weiterhin funktioniert.
Kritikalität: niedrig Einordnung: empfohlen, aus der gesetzlichen Pflicht herleitbar, nicht wörtlich gefordert.
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Der Zutritt ist auf einen festgelegten Personenkreis begrenzt und protokolliert, ergänzt um Schutz vor Feuer, Wasser und Stromausfall. Physischer Zugang hebelt nahezu jede technische Schutzmaßnahme aus. Hinweis: Physische Sicherheit ist im Gesetz nicht wörtlich genannt, sondern aus der Pflicht zur Zugriffskontrolle hergeleitet.
Was zu tun ist: Begrenzen Sie den Zutritt zu Serverraum und Netzwerkverteilern auf einen namentlich festgelegten Kreis und ziehen Sie überzählige Schlüssel ein. Halten Sie fest, wer wann im Raum war, und prüfen Sie, ob Rauchmelder, Wasserschutz und Stromversorgung zu dem passen, was von diesen Räumen abhängt.
Was Ihnen die IT vorlegen können muss: Die Liste der zutrittsberechtigten Personen mit Datum der letzten Aktualisierung, die Zutrittsaufzeichnung in der bei Ihnen üblichen Form und ein Vermerk zur Absicherung gegen Feuer, Wasser und Stromausfall.
Kritikalität: niedrig
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Ein festgelegtes Verfahren mit Nachweis, das auch beauftragte Dienstleister einschließt. Ausgemusterte Geräte verlassen das Unternehmen mit ihren Daten, wenn niemand dafür zuständig ist.
Was zu tun ist: Legen Sie fest, wer ausgemusterte Geräte und Datenträger entgegennimmt und welchen der beiden Wege sie gehen: im Haus löschen, sodass sich nichts wiederherstellen lässt, oder durch einen Dienstleister vernichten lassen. Defekte Datenträger lassen sich nicht mehr löschen – die gehören immer auf den zweiten Weg.
Was Ihnen die IT vorlegen können muss: Das festgelegte Verfahren mit benannter Zuständigkeit, dazu die Löschprotokolle beziehungsweise die Vernichtungsnachweise des Dienstleisters, je Charge mit Datum.
Wortlaut des Gesetzes: „Bewältigung von Sicherheitsvorfällen“
Diese Anforderung umfasst fünf Kontrollpunkte. Vier werden gelebt, sind aber nicht schriftlich festgelegt sowie einer ist bisher nicht eingerichtet.
Worum es geht: Es muss geregelt sein, wie ein Sicherheitsvorfall erkannt, gemeldet und abgearbeitet wird.
Wenn Sie in diesem Bereich nur eines tun: Legen Sie eine Meldestelle für Sicherheitsverdachtsfälle fest und schicken Sie sie einmal an alle Mitarbeiter.
Kritikalität: mittel
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Eine feste Stelle, an die Mitarbeiter einen Verdacht melden – und die allen bekannt ist. Der Zeitverlust zwischen Auffälligkeit und Meldung entscheidet häufig darüber, ob ein Vorfall begrenzt bleibt.
Was zu tun ist: Benennen Sie eine Stelle, die Verdachtsmeldungen entgegennimmt, machen Sie sie über einen Weg erreichbar, den auch jemand ohne IT-Kenntnisse findet – eine Telefonnummer genügt – und geben Sie beides einmal an alle Beschäftigten bekannt. Sagen Sie ausdrücklich zu, dass ein Fehlalarm keine Folgen hat, sonst meldet niemand.
Was Ihnen die IT vorlegen können muss: Die bekanntgemachte Meldestelle mit ihrer Erreichbarkeit und ein Beleg der Bekanntmachung an alle Beschäftigten.
Kritikalität: mittel
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Sicherheitsrelevante Ereignisse werden an einer Stelle gesammelt, ausgewertet und für eine festgelegte Dauer aufbewahrt. Ohne zentrale Protokolle lässt sich nach einem Vorfall weder der Hergang noch der Umfang des Schadens rekonstruieren – und ohne diese Rekonstruktion ist keine belastbare Meldung an das BSI möglich.
Was zu tun ist: Bestimmen Sie, welche Systeme Protokolle liefern müssen – zentrale Anmeldung, Mailsystem, Firewall, Dateiserver – und führen Sie diese an einer Stelle zusammen. Legen Sie eine Aufbewahrungsdauer fest – die Voreinstellung vieler Systeme liegt bei wenigen Tagen – und bestimmen Sie, wer die Protokolle in welchem Abstand durchsieht.
Was Ihnen die IT vorlegen können muss: Eine Liste der angebundenen Systeme mit der festgelegten Aufbewahrungsdauer und das Ergebnis der letzten Durchsicht mit Datum.
Kritikalität: mittel
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Eine Festlegung, wer bei einem Sicherheitsvorfall was tut – einschließlich der Erreichbarkeit außerhalb der Geschäftszeiten. Vorfälle richten sich nicht nach Bürozeiten, und improvisierte Abläufe kosten in den ersten Stunden die meiste Zeit.
Was zu tun ist: Schreiben Sie auf zwei Seiten auf, wer bei einem Vorfall die Bearbeitung leitet, wer die Technik übernimmt und wer wen benachrichtigt. Hinterlegen Sie zu jeder Rolle eine Nummer, unter der die Person auch nachts erreichbar ist, und eine Vertretung.
Was Ihnen die IT vorlegen können muss: Der schriftliche Ablauf mit Rollen, Erreichbarkeiten und Vertretungen, mit Datum der letzten Aktualisierung.
Kritikalität: mittel
Ihre Angabe: bisher nicht eingerichtet
So sieht es aus, wenn es erledigt ist: Mindestens eine geplante Übung, deren Ergebnis festgehalten und in den Plan zurückgeführt wird. Ein nie erprobter Plan enthält erfahrungsgemäß Annahmen, die im Ernstfall nicht zutreffen.
Was zu tun ist: Spielen Sie einen Vorfall einmal am Tisch durch – zwei Stunden, die Beteiligten im Raum, ein angenommenes Szenario wie ein verschlüsselter Dateiserver. Halten Sie fest, an welchen Stellen der Plan nicht funktioniert hat, und ändern Sie ihn.
Was Ihnen die IT vorlegen können muss: Ein Protokoll der Übung mit Datum, Teilnehmern, erkannten Schwachstellen und den daraufhin geänderten Punkten im Plan.
Kritikalität: niedrig
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Vorfälle werden erfasst und im Nachgang auf ihre Ursache untersucht, statt nach der Behebung abgeschlossen zu werden. Wer nur das Symptom beseitigt, erlebt denselben Vorfall erneut.
Was zu tun ist: Halten Sie nach jedem Vorfall in wenigen Sätzen fest, was passiert ist, wie es dazu kommen konnte und was eine Wiederholung verhindert. Versehen Sie den letzten Punkt mit einer zuständigen Person und einem Datum – sonst bleibt es bei der Erkenntnis.
Was Ihnen die IT vorlegen können muss: Je Vorfall ein kurzer Bericht mit Ursache und abgeleiteter Maßnahme, samt Verantwortlichem und Frist.
Wortlaut des Gesetzes: „Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen“
Diese Anforderung umfasst acht Kontrollpunkte. Sechs werden gelebt, sind aber nicht schriftlich festgelegt, einer ist bisher nicht eingerichtet sowie zu einem liegen keine Angaben vor.
Worum es geht: Systeme müssen aktuell gehalten werden, und bekannt gewordene Schwachstellen müssen einen Weg zur Behebung haben.
Wenn Sie in diesem Bereich nur eines tun: Lassen Sie sich zeigen, welche Geräte seit über einem Jahr kein Update erhalten haben – ausdrücklich auch Drucker, Netzwerktechnik und Maschinensteuerungen.
Kritikalität: mittel
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Ein Verfahren, das ausdrücklich auch Maschinensteuerungen, Netzwerktechnik und Peripheriegeräte umfasst, mit zentraler Überwachung des Update-Stands. Bei Arbeitsplätzen und Servern funktioniert es meist – die Lücke liegt fast immer bei allem anderen.
Was zu tun ist: Legen Sie schriftlich fest, wer Updates für welche Gerätegruppe einspielt und in welchem Abstand – Arbeitsplätze, Server, Netzwerktechnik, Drucker, Maschinensteuerungen, jede Gruppe mit einem Namen dahinter. Richten Sie eine zentrale Sicht auf den Update-Stand ein, statt sich darauf zu verlassen, dass alles automatisch läuft.
Was Ihnen die IT vorlegen können muss: Das festgelegte Verfahren je Gerätegruppe und ein aktueller Auszug aus der Übersicht des Update-Stands.
Kritikalität: mittel
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Eine möglichst automatisch erhobene, laufend aktuelle Aufstellung der eingesetzten Software mit Versionsständen. Bei einer neu bekannt gewordenen Schwachstelle entscheidet sie darüber, ob die Frage der Betroffenheit in Minuten oder in Tagen beantwortet ist.
Was zu tun ist: Lassen Sie eine Übersicht der eingesetzten Programme und Systeme samt Versionsstand aufbauen – möglichst automatisch aus Ihren Verwaltungswerkzeugen erhoben statt von Hand gepflegt; Handlisten veralten schneller, als sie entstehen.
Was Ihnen die IT vorlegen können muss: Die Übersicht mit Versionsständen und dem Datum der letzten Aktualisierung.
Kritikalität: mittel
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Altsysteme ohne Sicherheitsupdates sind erfasst, es existiert ein Ersatzplan, und verbleibende Systeme sind nachweislich abgeschottet. Ein System ohne Updates lässt sich nicht mehr absichern, sondern nur noch isolieren.
Was zu tun ist: Lassen Sie kennzeichnen, welche Ihrer Systeme vom Hersteller keine Sicherheitsupdates mehr erhalten, und legen Sie je System eines von beidem fest: einen Ablösetermin oder – wo Ablösung nicht kurzfristig möglich ist, etwa bei Maschinensteuerungen – die Abschottung vom übrigen Netz.
Was Ihnen die IT vorlegen können muss: Die Kennzeichnung der Altsysteme mit Ablösetermin je System beziehungsweise dem Beleg der Abschottung.
Kritikalität: mittel
Ihre Angabe: bisher nicht eingerichtet
So sieht es aus, wenn es erledigt ist: Eine benannte Kontaktmöglichkeit mit veröffentlichtem Verfahren und zugesagter Reaktion. Das Gesetz nennt die Offenlegung von Schwachstellen ausdrücklich – ohne Kanal geht ein wohlmeinender Hinweis im allgemeinen Postfach unter oder wird veröffentlicht.
Was zu tun ist: Richten Sie eine eigene Kontaktadresse für Sicherheitshinweise ein, benennen Sie sie auf Ihrer Website und legen Sie fest, wer eingehende Meldungen prüft und dem Absender antwortet. Veröffentlichen Sie dazu eine kurze Zusage, in welcher Zeit eine Rückmeldung erfolgt.
Was Ihnen die IT vorlegen können muss: Die veröffentlichte Kontaktmöglichkeit samt Reaktionszusage und die festgelegte interne Zuständigkeit.
Kritikalität: niedrig
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Verbindliche Fristen nach Schweregrad, deren Einhaltung gemessen und berichtet wird. Ohne Frist wird das Dringende regelmäßig vom Tagesgeschäft verdrängt.
Was zu tun ist: Legen Sie je Schweregrad eine verbindliche Frist zum Schließen fest und bestimmen Sie, wer die Einhaltung misst und an wen sie berichtet wird. Ohne Messung bleibt die Frist eine Absichtserklärung.
Was Ihnen die IT vorlegen können muss: Die festgelegten Fristen je Schweregrad und die letzte Auswertung ihrer Einhaltung.
Kritikalität: niedrig
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Feste Mindestanforderungen, die vor der Kaufentscheidung geprüft und dokumentiert freigegeben werden. Nach der Einführung lässt sich fehlende Sicherheit nur noch teuer nachrüsten oder gar nicht.
Was zu tun ist: Stellen Sie eine kurze Liste von Mindestanforderungen für neue Anschaffungen zusammen – zum Beispiel: Updates über die geplante Nutzungsdauer zugesichert, Anmeldung mit zweitem Faktor möglich, Protokollierung vorhanden – und machen Sie deren Prüfung zum festen Schritt vor der Kaufentscheidung.
Was Ihnen die IT vorlegen können muss: Die Anforderungsliste und die dokumentierten Freigaben der letzten Anschaffungen.
Kritikalität: niedrig
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Eine benannte Rolle mit festen Informationsquellen und einem definierten Weg von der Meldung zur Maßnahme. Solange es niemandes Aufgabe ist, erfährt man von Schwachstellen zufällig.
Was zu tun ist: Machen Sie die Beobachtung neuer Schwachstellen zur festen Aufgabe einer benannten Person und legen Sie die Quellen fest – die Warnmeldungen des BSI und die Sicherheitshinweise Ihrer wichtigsten Hersteller genügen für den Anfang. Bestimmen Sie, wie aus einer Meldung eine Aufgabe wird: wer bewertet, wer entscheidet, wer umsetzt.
Was Ihnen die IT vorlegen können muss: Die benannte Zuständigkeit mit den festgelegten Quellen und eine beispielhaft bearbeitete Meldung mit Datum.
Wortlaut des Gesetzes: „Konzepte in Bezug auf die Risikoanalyse und auf die Sicherheit in der Informationstechnik“
Diese Anforderung umfasst sechs Kontrollpunkte. Alle werden gelebt, sind aber nicht schriftlich festgelegt.
Worum es geht: Das Unternehmen muss seine Risiken kennen und schriftlich festhalten, wie es damit umgeht.
Wenn Sie in diesem Bereich nur eines tun: Schreiben Sie mit Ihrer IT die fünf Systeme auf, ohne die Ihr Betrieb morgen stillsteht.
Kritikalität: mittel
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Eine gepflegte Aufstellung der Systeme und Datenbestände, ohne die der Betrieb stillsteht. Sie ist die Grundlage für alles Weitere: Ohne zu wissen, was schützenswert ist, lässt sich weder ein Risiko bewerten noch eine Maßnahme priorisieren.
Was zu tun ist: Erstellen Sie eine Aufstellung der Systeme und Datenbestände, ohne die Ihr Betrieb nicht weiterläuft, und vermerken Sie zu jedem, wer dafür zuständig ist und ob es im Haus oder bei einem Dienstleister liegt. Halten Sie die Liste bewusst kurz und legen Sie fest, wer sie aktuell hält – was hier steht, hat Vorrang bei Sicherung, Updates und Wiederanlauf.
Was Ihnen die IT vorlegen können muss: Die Aufstellung mit Zuständigkeit je Eintrag und dem Datum der letzten Aktualisierung.
Kritikalität: mittel
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Eine benannte Person mit Vertretung, festem Aufgabenumfang und Berichtsweg zur Leitung. Verantwortung, die niemandem konkret zugewiesen ist, wird im Alltag von niemandem wahrgenommen.
Was zu tun ist: Benennen Sie schriftlich eine Person, die Informationssicherheit verantwortet, samt Vertretung, festem Zeitanteil und direktem Berichtsweg zur Geschäftsführung. Der Zeitanteil gehört dazu – ohne eingeplante Stunden verliert die Aufgabe gegen das Tagesgeschäft.
Was Ihnen die IT vorlegen können muss: Die schriftliche Benennung mit Vertretung, Zeitanteil und Berichtsweg, mit Datum.
Kritikalität: mittel
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Eine schriftliche Einschätzung, welche Ausfälle und Angriffe dem Unternehmen am meisten schaden würden. Sie ist der Maßstab, an dem sich die Angemessenheit der getroffenen Maßnahmen später messen lässt – auch gegenüber einer Aufsichtsbehörde.
Was zu tun ist: Setzen Sie sich mit Geschäftsführung, IT und den wichtigsten Fachbereichen einen halben Tag zusammen und bewerten Sie, welche Ausfälle oder Angriffe dem Unternehmen am meisten schaden würden und für wie wahrscheinlich Sie sie halten. Halten Sie die wichtigsten Szenarien mit beiden Einschätzungen schriftlich fest.
Was Ihnen die IT vorlegen können muss: Die dokumentierte Bewertung mit Datum und Teilnehmerkreis.
Kritikalität: niedrig
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Ein kurzes, von der Leitung freigegebenes Dokument, das den Stellenwert der Informationssicherheit im Unternehmen festlegt. Es begründet die Verbindlichkeit aller nachgelagerten Regelungen – ohne diese Rückendeckung bleiben Vorgaben aus der IT unverbindliche Empfehlungen.
Was zu tun ist: Lassen Sie die Geschäftsführung auf ein bis zwei Seiten festlegen, welchen Stellenwert Informationssicherheit im Unternehmen hat, wer sie verantwortet und dass ihre Vorgaben für alle gelten. Unterschrift der Leitung, Bekanntgabe an alle Beschäftigten – der geringe Umfang ist Absicht.
Was Ihnen die IT vorlegen können muss: Das von der Geschäftsführung unterzeichnete Dokument mit Datum und ein Beleg der Bekanntgabe.
Kritikalität: niedrig
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Eine Aktualisierung in festem Turnus und zusätzlich, wenn sich im Unternehmen oder in der Bedrohungslage etwas Wesentliches ändert. Eine veraltete Bewertung schützt nicht, sie erzeugt nur den Eindruck von Kontrolle.
Was zu tun ist: Legen Sie fest, in welchem Turnus die Risikobewertung überprüft wird – einmal im Jahr genügt für den Anfang – und benennen Sie zusätzlich die Anlässe, die eine sofortige Überprüfung auslösen: neue Standorte, neue Kernsysteme, ein Vorfall im eigenen Haus oder bei einem wichtigen Dienstleister.
Was Ihnen die IT vorlegen können muss: Der festgelegte Turnus samt Anlassliste und der Vermerk der letzten Überprüfung mit Datum.
Kritikalität: niedrig
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Jedes erkannte Risiko erhält eine konkrete Maßnahme, eine zuständige Person und ein Datum. Ohne diesen Schritt bleibt die Risikoanalyse eine Bestandsaufnahme ohne Wirkung.
Was zu tun ist: Übertragen Sie jedes erkannte Risiko in eine Liste mit Maßnahme, Verantwortlichem und Frist, und gehen Sie die Liste in festem Abstand durch. Auch die bewusste Entscheidung, ein Risiko hinzunehmen, gehört hinein – mit Begründung, sonst ist sie von Vergessen nicht zu unterscheiden.
Was Ihnen die IT vorlegen können muss: Die geführte Liste, je Risiko mit Maßnahme, Verantwortlichem und Frist – beziehungsweise der Begründung bei bewusst hingenommenen Risiken – und dem Datum der letzten Durchsicht.
Wortlaut des Gesetzes: „Konzepte und Prozesse für den Einsatz von kryptographischen Verfahren“
Diese Anforderung umfasst fünf Kontrollpunkte. Alle werden gelebt, sind aber nicht schriftlich festgelegt.
Worum es geht: Vertrauliche Daten müssen auf dem Übertragungsweg und im gespeicherten Zustand geschützt sein.
Wenn Sie in diesem Bereich nur eines tun: Prüfen Sie an drei Notebooks stichprobenartig, ob die Festplattenverschlüsselung tatsächlich aktiv ist.
Kritikalität: mittel
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Verschlüsselung ist vorgegeben, wird beim Einrichten gesetzt und ihr Zustand zentral überwacht. Sie entscheidet darüber, ob ein verlorenes Gerät ein Sachschaden ist oder ein meldepflichtiger Datenabfluss.
Was zu tun ist: Machen Sie die Verschlüsselung zur festen Vorgabe beim Einrichten jedes Notebooks und Mobilgeräts und lassen Sie den Zustand zentral anzeigen, statt sich auf Werkseinstellungen zu verlassen. Hinterlegen Sie die Wiederherstellungsschlüssel an zentraler Stelle – ohne sie sind die Daten bei einem vergessenen Kennwort oder Defekt endgültig verloren.
Was Ihnen die IT vorlegen können muss: Die Vorgabe, eine zentrale Übersicht des Verschlüsselungszustands je Gerät und der Beleg, dass die Wiederherstellungsschlüssel hinterlegt sind.
Kritikalität: mittel
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Eine eigene Vorgabe zur Transportverschlüsselung, abgeschaltete veraltete Verfahren und eine regelmäßige Überprüfung. Dass moderne Systeme dies meist mitbringen, ersetzt die Vorgabe nicht – veraltete Verfahren bleiben sonst jahrelang unbemerkt aktiv.
Was zu tun ist: Halten Sie als Vorgabe fest, dass Übertragungen nach außen verschlüsselt erfolgen – E-Mail, Fernzugriff, Webzugriff – und lassen Sie prüfen, welche veralteten Verschlüsselungsverfahren für diesen Transport Ihre Systeme noch anbieten. Schalten Sie diese ab und wiederholen Sie die Prüfung in festem Abstand.
Was Ihnen die IT vorlegen können muss: Die schriftliche Vorgabe und das Ergebnis der letzten Prüfung mit den abgeschalteten Verschlüsselungsverfahren.
Kritikalität: niedrig
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Für definierte Datenarten ist Verschlüsselung auf Servern, in der Cloud und in Sicherungen vorgegeben und wird überprüft. Voraussetzung ist eine Festlegung, welche Daten überhaupt als besonders schützenswert gelten.
Was zu tun ist: Legen Sie zuerst fest, welche Datenarten besonders schützenswert sind – etwa Personal-, Finanz- und Konstruktionsdaten. Geben Sie für diese vor, dass sie verschlüsselt gespeichert werden, und lassen Sie je Ablageort bestätigen, dass das der Fall ist: auf Servern, in Cloud-Diensten und ausdrücklich auch in den Sicherungen.
Was Ihnen die IT vorlegen können muss: Die Festlegung der Datenarten und je Ablageort die Bestätigung der aktiven Verschlüsselung.
Kritikalität: niedrig
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Zuständigkeit, Übersicht und Überwachung der Ablaufdaten, mit automatischer Erinnerung, hinterlegter Vertretung und Verfahren für den Notfallzugriff. Abgelaufene Zertifikate verursachen Ausfälle, verlorene Schlüssel unwiederbringlichen Datenverlust.
Was zu tun ist: Erstellen Sie eine Übersicht der Zertifikate und Schlüssel mit Ablaufdaten, benennen Sie einen Zuständigen samt Vertretung und richten Sie eine Erinnerung deutlich vor jedem Ablauf ein. Regeln Sie zusätzlich, wie im Notfall an einen Schlüssel heranzukommen ist, wenn der Zuständige nicht erreichbar ist.
Was Ihnen die IT vorlegen können muss: Die Übersicht mit Ablaufdaten, Zuständigkeit und Vertretung, die eingerichtete Erinnerung und die Regelung für den Notfallzugriff.
Kritikalität: niedrig
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Eine schriftliche Festlegung, welche Verfahren eingesetzt werden dürfen und welche nicht mehr, orientiert an einem anerkannten Maßstab wie der Technischen Richtlinie des BSI. Sie macht die Ablösung veralteter Verfahren zu einer planbaren Aufgabe statt einer Einzelfallentscheidung.
Was zu tun ist: Legen Sie schriftlich fest, welche Verschlüsselungsverfahren eingesetzt werden dürfen und welche nicht mehr – orientieren Sie sich an der Technischen Richtlinie des BSI, statt die Auswahl selbst zu treffen. Setzen Sie einen jährlichen Termin, an dem die Festlegung mit der aktuellen Fassung der Richtlinie abgeglichen wird.
Was Ihnen die IT vorlegen können muss: Die schriftliche Vorgabe mit Stand und der Vermerk des letzten Abgleichs.
Wortlaut des Gesetzes: „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern“
Diese Anforderung umfasst sieben Kontrollpunkte. Alle werden gelebt, sind aber nicht schriftlich festgelegt.
Worum es geht: Wer Zugriff auf Ihre Systeme hat, muss ausgewählt, vertraglich gebunden und überprüft werden.
Wenn Sie in diesem Bereich nur eines tun: Listen Sie auf einer Seite alle Dienstleister auf, die auf Ihre Systeme oder Daten zugreifen können.
Kritikalität: mittel
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Eine gepflegte Liste mit Art und Umfang des jeweiligen Zugriffs, die in festem Turnus mit der Realität abgeglichen wird. Ohne diese Übersicht ist unbekannt, wie groß die eigene Angriffsfläche über Dritte tatsächlich ist.
Was zu tun ist: Erstellen Sie eine Liste aller externen Dienstleister mit Zugriff auf Ihre Systeme oder Daten – auch Fernwartung, Cloud-Dienste und der Steuerberater gehören hinein. Vermerken Sie je Eintrag, worauf und auf welchem Weg zugegriffen wird, und legen Sie fest, wer die Liste in welchem Abstand mit der Wirklichkeit abgleicht.
Was Ihnen die IT vorlegen können muss: Die Liste mit Art und Umfang des Zugriffs je Dienstleister und dem Datum des letzten Abgleichs.
Kritikalität: mittel
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Zugänge externer Dienstleister laufen automatisch ab und werden zum Auftragsende entzogen. Vergessene Fremdzugänge sind ein häufiger Einstiegsweg, weil sie niemandem gehören und daher niemandem auffallen.
Was zu tun ist: Versehen Sie jeden Dienstleister-Zugang mit einem Ablaufdatum, sodass er erlischt, wenn ihn niemand aktiv verlängert. Nehmen Sie den Entzug als festen Punkt in den Ablauf zum Auftragsende auf und lassen Sie in festem Abstand prüfen, ob abgelaufene Zugänge tatsächlich geschlossen sind.
Was Ihnen die IT vorlegen können muss: Ein Beleg, dass Fremdzugänge befristet sind, und das Ergebnis der letzten Prüfung auf abgelaufene oder vergessene Zugänge.
Kritikalität: mittel
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Ein fester Fragenkatalog oder geforderte Nachweise, deren Ergebnis dokumentiert wird und deren Tiefe sich nach der Kritikalität des Dienstleisters richtet. Nach Vertragsschluss ist die Verhandlungsposition deutlich schlechter.
Was zu tun ist: Stellen Sie einen kurzen, festen Fragenkatalog für neue Dienstleister zusammen – Umgang mit Ihren Daten, Absicherung der Zugänge, Meldung von Vorfällen – und lassen Sie ihn vor der Beauftragung beantworten. Je kritischer der Dienstleister, desto eher verlangen Sie Nachweise statt Zusagen.
Was Ihnen die IT vorlegen können muss: Der Fragenkatalog und je neuem Dienstleister das dokumentierte Ergebnis vor Vertragsschluss.
Kritikalität: mittel
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Eine vertraglich vereinbarte Meldefrist mit festem Ansprechpartner, abgestimmt auf die eigene Meldepflicht. Ihre eigene Frist beginnt zwar erst mit Ihrer Kenntnis – aber ohne Meldepflicht des Dienstleisters erfahren Sie so spät von einem Vorfall, dass für Bewertung und eigene Meldung kaum Zeit bleibt.
Was zu tun ist: Vereinbaren Sie mit jedem Dienstleister, der Zugriff auf Ihre Systeme oder Daten hat, eine vertragliche Pflicht, Ihnen Sicherheitsvorfälle zu melden – mit konkreter Frist und festem Ansprechpartner. Setzen Sie die Frist in Stunden, nicht in Tagen: Sie brauchen nach deren Meldung selbst noch Zeit, den Vorfall zu bewerten und Ihre eigene Meldung vorzubereiten.
Was Ihnen die IT vorlegen können muss: Die Vertragsklausel mit Frist und Ansprechpartner, belegt an den Verträgen der kritischen Dienstleister.
Kritikalität: mittel
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Standardklauseln, die in neuen Verträgen verwendet und in Altverträgen systematisch nachgezogen werden. Nur vertraglich vereinbarte Anforderungen lassen sich durchsetzen.
Was zu tun ist: Lassen Sie einmalig Standardklauseln zu Sicherheitsanforderungen aufsetzen und nehmen Sie sie fest in jeden neuen Vertrag auf. Gehen Sie die bestehenden Verträge der kritischen Dienstleister durch und ziehen Sie die Klauseln bei der nächsten Verlängerung nach.
Was Ihnen die IT vorlegen können muss: Die Standardklauseln, ein neuer Vertrag als Beleg ihrer Verwendung und die Übersicht, welche Altverträge bereits nachgezogen sind.
Kritikalität: niedrig
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Die wichtigsten Dienstleister werden in festem Turnus erneut bewertet, nicht nur einmal bei Vertragsschluss. Sicherheitsniveau und Eigentümerstrukturen ändern sich über die Laufzeit.
Was zu tun ist: Legen Sie fest, welche Dienstleister wichtig genug sind, um regelmäßig neu bewertet zu werden, und in welchem Turnus. Bewerten Sie die kritischsten gleich in der ersten Runde – mit demselben Fragenkatalog wie vor der Beauftragung, damit die Ergebnisse vergleichbar bleiben.
Was Ihnen die IT vorlegen können muss: Die Liste der regelmäßig zu bewertenden Dienstleister mit Turnus und das Ergebnis der letzten Bewertung je Eintrag.
Kritikalität: niedrig
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Für die kritischen Dienstleister ist bewertet, was ihr Ausfall bedeutet, und es existiert ein Ausweichplan. Die Verfügbarkeit des eigenen Betriebs hängt zunehmend an Dritten, ohne dass dies bewusst betrachtet wird.
Was zu tun ist: Bestimmen Sie die Dienstleister, deren Ausfall Ihren Betrieb unmittelbar trifft, und halten Sie je Eintrag fest, was dann stillsteht und wie lange das tragbar wäre. Legen Sie für die kritischsten den Ausweichweg fest – ein zweiter Anbieter, ein Notbetrieb von Hand oder eine vertraglich zugesicherte Wiederanlaufzeit.
Was Ihnen die IT vorlegen können muss: Die Übersicht der kritischen Dienstleister mit bewerteten Ausfallfolgen und – für die kritischsten – dem festgehaltenen Ausweichweg.
Wortlaut des Gesetzes: „Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement“
Diese Anforderung umfasst sechs Kontrollpunkte. Einer ist schriftlich festgelegt und wird gelebt sowie fünf werden gelebt, sind aber nicht schriftlich festgelegt.
Worum es geht: Der Betrieb muss auch nach einem Ausfall wieder anlaufen können – mit geprüfter Datensicherung und einem Krisenablauf.
Wenn Sie in diesem Bereich nur eines tun: Versuchen Sie, eine einzelne Datei aus der letzten Sicherung zurückzuholen, und halten Sie fest, ob es geklappt hat und wie lange es gedauert hat.
Kritikalität: mittel
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Geplante Wiederherstellungstests, deren Ergebnis und Zeitbedarf dokumentiert werden. Eine Sicherung, aus der noch nie zurückgespielt wurde, ist eine Vermutung, kein Schutz – das ist der Punkt, an dem die meisten Wiederanläufe scheitern.
Was zu tun ist: Legen Sie feste Termine für Wiederherstellungstests fest und holen Sie mindestens einmal im Jahr ein vollständiges System zurück – auf Ersatzhardware oder in einer Testumgebung, nicht in die laufende Umgebung zurückgespielt. Stoppen Sie die Zeit; sie ist die ehrlichste Antwort auf die Frage, wie lange ein Ausfall mindestens dauert.
Was Ihnen die IT vorlegen können muss: Ein Protokoll je Test mit Datum, zurückgeholtem System, benötigter Zeit und aufgetretenen Problemen.
Kritikalität: mittel
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Mindestens eine Kopie liegt so, dass ein Angreifer mit Zugriff auf das Netzwerk sie nicht löschen oder verschlüsseln kann. Genau darauf zielen Verschlüsselungsangriffe heute zuerst – erreichbare Sicherungen werden mitverschlüsselt.
Was zu tun ist: Richten Sie mindestens eine Sicherungskopie so ein, dass ein Angreifer aus Ihrem Netz heraus sie weder löschen noch verschlüsseln kann: auf einem Datenträger, der nach der Sicherung getrennt wird, oder in einem Speicher, der Ändern und Löschen für eine festgelegte Zeit technisch sperrt. Ein zweites Sicherungsziel im selben Netz genügt nicht.
Was Ihnen die IT vorlegen können muss: Die Beschreibung, wo diese Kopie liegt und wodurch sie geschützt ist – bei getrennten Datenträgern der feste Wechselrhythmus, bei gesperrtem Speicher ein Beleg, dass auch das Konto, mit dem die Sicherung läuft, bereits gespeicherte Stände nicht löschen kann.
Kritikalität: niedrig
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Der Notfallplan liegt zusätzlich in einer Form vor, die auch bei vollständigem Ausfall der IT zugänglich ist. Ein Plan, der ausschließlich im verschlüsselten Dateisystem liegt, hilft im Ernstfall nicht.
Was zu tun ist: Existiert noch kein Notfallplan, genügen für den Anfang wenige Seiten: die wichtigsten Systeme, die Reihenfolge des Wiederanlaufs und die Rufnummern von IT-Dienstleister, Versicherung und BSI. Drucken Sie den Plan aus, hinterlegen Sie ihn dort, wo die Beteiligten auch ohne IT herankommen, und setzen Sie einen jährlichen Termin, an dem der Ausdruck erneuert wird.
Was Ihnen die IT vorlegen können muss: Der Ausdruck mit Stand und Datum am festgelegten Ort, dazu der eingetragene Termin für die Erneuerung.
Kritikalität: niedrig
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Eine schriftliche Regelung, wer in der Krise entscheidet und wer gegenüber Kunden, Behörden und Presse spricht. Unabgestimmte Aussagen in den ersten Stunden verursachen regelmäßig mehr Schaden als der Vorfall selbst.
Was zu tun ist: Legen Sie schriftlich fest, wer in der Krise entscheidet und wer als Einziger nach außen spricht – gegenüber Kunden, Behörden und Presse – und benennen Sie für beide Rollen eine Vertretung. Bereiten Sie zwei kurze Textbausteine vor: eine erste Mitteilung an Kunden und eine an die Belegschaft.
Was Ihnen die IT vorlegen können muss: Die schriftliche Rollenfestlegung mit Vertretung und die vorbereiteten Textbausteine, mit Datum.
Kritikalität: niedrig
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Für die wichtigsten Systeme ist schriftlich festgelegt, wie lange der Betrieb ohne sie auskommt und wie viel Datenverlust höchstens tragbar wäre. Ohne diese Werte lässt sich nicht beurteilen, ob die vorhandene Sicherungstechnik überhaupt ausreicht.
Was zu tun ist: Fragen Sie für die fünf wichtigsten Systeme die Fachbereiche, nicht die IT: Wie lange kommen Sie ohne dieses System aus, und wie viele Stunden Arbeit dürfen höchstens verloren gehen? Halten Sie beide Werte je System fest und vergleichen Sie sie spätestens beim nächsten Wiederherstellungstest mit der dort gemessenen Zeit.
Was Ihnen die IT vorlegen können muss: Je System die beiden festgelegten Werte und – sobald ein Wiederherstellungstest vorliegt – die Gegenüberstellung mit der gemessenen Zeit.
Wortlaut des Gesetzes: „Meldepflichten“
Diese Anforderung umfasst zwei Kontrollpunkte. Beide werden gelebt, sind aber nicht schriftlich festgelegt.
Worum es geht: Erhebliche Vorfälle müssen dem BSI in einem gestuften Verfahren gemeldet werden, beginnend mit einer sehr kurzen Erstmeldefrist.
Wenn Sie in diesem Bereich nur eines tun: Halten Sie schriftlich fest, wer eine Meldung an das BSI absetzt und wer vertritt – die Erstmeldung ist binnen 24 Stunden nach Kenntnis fällig.
Kritikalität: mittel
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Das gestufte Meldeverfahren ist bekannt und im Vorfallsablauf schriftlich hinterlegt. Die Erstmeldung ist innerhalb von 24 Stunden fällig. Die Folgemeldung folgt nach 72 Stunden. Die Abschlussmeldung ist spätestens einen Monat nach der Folgemeldung fällig; dauert der Vorfall dann noch an, tritt zunächst eine Fortschrittsmeldung an ihre Stelle. Die erste Frist läuft ab Kenntnis; sie ist in der Praxis schon abgelaufen, bevor die Ursache geklärt ist.
Was zu tun ist: Nehmen Sie die drei Meldestufen als eigene Schritte in Ihren Vorfallsablauf auf, jeweils mit dem Zeitpunkt, zu dem sie fällig werden. Legen Sie ausdrücklich fest, wodurch die Uhr zu laufen beginnt – maßgeblich ist der Moment der Kenntnis, nicht der, in dem die Ursache geklärt ist.
Was Ihnen die IT vorlegen können muss: Der Vorfallsablauf, in dem die drei Meldestufen mit ihren Fristen als eigene Schritte stehen, mit Datum der letzten Aktualisierung.
Kritikalität: mittel
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Schriftlich festgelegt, wer die Meldung tatsächlich absetzt und wer es tut, wenn diese Person nicht erreichbar ist; die Zugangsdaten zum Meldeportal sind hinterlegt und getestet. Die Suche nach Zuständigkeit und Zugangsdaten kostet die entscheidenden Stunden.
Was zu tun ist: Benennen Sie schriftlich eine Person und eine Vertretung für die Meldung und lassen Sie beide den Zugang zum Meldeportal des BSI einmal selbst aufrufen. Legen Sie die Zugangsdaten so ab, dass die Vertretung im Ernstfall auch ohne die benannte Person herankommt.
Was Ihnen die IT vorlegen können muss: Die schriftliche Benennung von Zuständigkeit und Vertretung, dazu ein Vermerk mit Datum, dass beide den Portalzugang erfolgreich aufgerufen haben.
Wortlaut des Gesetzes: „Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung“
Diese Anforderung umfasst sieben Kontrollpunkte. Zwei sind schriftlich festgelegt und werden gelebt, vier werden gelebt, sind aber nicht schriftlich festgelegt sowie zu einem liegen keine Angaben vor.
Worum es geht: Ein Passwort allein genügt nicht. Zusätzlich braucht es gesicherte Kanäle für den Ernstfall.
Wenn Sie in diesem Bereich nur eines tun: Schalten Sie den zweiten Faktor zuerst für alle Administratorkonten ein und planen Sie danach die Ausweitung auf jeden Zugriff von außen.
Kritikalität: mittel
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Ausnahmen – etwa technische Konten oder ältere Anwendungen – sind bekannt, begründet, befristet und mit einem Ablöseplan versehen. Undokumentierte Ausnahmen sind gefährlicher als gar kein zweiter Faktor, weil sie Schutz vortäuschen, den es nicht gibt.
Was zu tun ist: Tragen Sie jede bestehende Ausnahme in eine Liste ein – mit Grund, Verantwortlichem, Ablaufdatum und dem, was sie ersetzen soll. Ein Notfallkonto, falls Sie eines führen, gehört dort ebenfalls hinein – sonst ist es eine unsichtbare Ausnahme.
Was Ihnen die IT vorlegen können muss: Die geführte Ausnahmeliste, in der zu jedem Eintrag Grund, Frist und Ablösung stehen, mit dem Datum der letzten Durchsicht.
Kritikalität: niedrig
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Ein von der eigenen IT unabhängiger Weg samt Kontaktliste, aktuell gehalten und mindestens einmal erprobt. Häufigster Fehler: Die Kontaktliste liegt ausschließlich in dem System, das im Ernstfall verschlüsselt ist.
Was zu tun ist: Bestimmen Sie einen Kommunikationsweg, der ohne Ihre Firmen-IT funktioniert, und stellen Sie ihn den Krisenbeteiligten zur Verfügung – vom Unternehmen bereitgestellt, nicht deren private Anschlüsse. Drucken Sie die Kontaktliste aus und hinterlegen Sie sie dort, wo die Beteiligten auch bei stehender IT herankommen.
Was Ihnen die IT vorlegen können muss: Ausgedruckte Kontaktliste mit Datum der letzten Aktualisierung und ein kurzer Vermerk darüber, dass die Erreichbarkeit über diesen Weg einmal getestet wurde.
Kritikalität: niedrig
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Zulässige und unzulässige Kanäle sind festgelegt, bekannt und technisch unterstützt, etwa durch bereitgestellte sichere Übertragungswege. Ohne eine bereitgestellte Alternative weicht die Belegschaft auf private Dienste aus.
Was zu tun ist: Benennen Sie in einer Übersicht die Kanäle, über die vertrauliche Informationen laufen dürfen, und die, über die sie nicht laufen dürfen. Stellen Sie zu jedem gesperrten Kanal einen Ersatz bereit – wer keinen bekommt, nutzt weiter den gesperrten Weg.
Was Ihnen die IT vorlegen können muss: Die freigegebene Übersicht mit Datum, dazu ein Beleg, dass sie den Mitarbeitern zugegangen ist.
Kritikalität: niedrig
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Eingesetzt werden widerstandsfähige Verfahren, mindestens für privilegierte Konten. Ein Code per Kurznachricht oder eine einfach zu bestätigende Push-Meldung lässt sich abfangen oder so lange wiederholt anfordern, bis jemand entnervt bestätigt, und gilt daher als schwach.
Was zu tun ist: Stellen Sie zumindest Administratoren und Geschäftsführung auf ein Verfahren um, das an ein bestimmtes Gerät gebunden ist – etwa einen Sicherheitsschlüssel zum Anstecken oder die Anmeldung per Gesichtserkennung am Firmengerät. Schalten Sie für diesen Personenkreis die Bestätigung per Kurznachricht und die einfache Ja-Nein-Abfrage ab.
Was Ihnen die IT vorlegen können muss: Eine Übersicht der zugelassenen Anmeldeverfahren je Personenkreis, aus der hervorgeht, dass die schwachen Verfahren für privilegierte Konten nicht mehr auswählbar sind.
Wortlaut des Gesetzes: „Grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik“
Diese Anforderung umfasst sechs Kontrollpunkte. Einer ist schriftlich festgelegt und wird gelebt sowie fünf werden gelebt, sind aber nicht schriftlich festgelegt.
Worum es geht: Alle Mitarbeiter müssen wiederkehrend geschult werden, nicht nur die IT.
Wenn Sie in diesem Bereich nur eines tun: Legen Sie fest, wer im nächsten Quartal geschult wird – alle Mitarbeiter, nicht nur die IT – und dokumentieren Sie die Teilnahme.
Kritikalität: niedrig
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Überprüfungen, etwa durch simulierte Phishing-Nachrichten, deren Ergebnisse die nächsten Schulungsinhalte steuern. Teilnahme ist nicht dasselbe wie Wirkung.
Was zu tun ist: Prüfen Sie in festem Abstand, ob die Schulungsinhalte ankommen – mit einer simulierten Phishing-Nachricht oder einer kurzen Wissensabfrage. Werten Sie die Ergebnisse nicht personenbezogen aus, sondern nutzen Sie sie für die nächsten Inhalte – wer Bloßstellung fürchtet, meldet auch den echten Verdachtsfall nicht.
Was Ihnen die IT vorlegen können muss: Das Ergebnis der letzten Überprüfung – etwa die Quote – und die daraus abgeleiteten Schulungsschwerpunkte.
Kritikalität: niedrig
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Eine feste, dokumentierte Einweisung als Teil des Onboardings, die vor der Vergabe von Zugriffsrechten stattfindet. Die ersten Wochen sind die Zeit mit dem höchsten Risiko, weil Abläufe und Ansprechpartner noch unbekannt sind.
Was zu tun ist: Vereinbaren Sie mit der Personalabteilung einen festen Schritt im Onboarding: Neue Mitarbeiter erhalten ihre Zugangsdaten erst nach einer kurzen Sicherheitseinweisung, deren Durchführung je Eintritt festgehalten wird. So ist die Reihenfolge gesichert, ohne dass jemand daran denken muss.
Was Ihnen die IT vorlegen können muss: Der Onboarding-Ablauf mit diesem Schritt und die dokumentierten Einweisungen der letzten Eintritte.
Kritikalität: niedrig
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Schriftliche, auffindbare Regeln zu Passwörtern, mobilen Geräten und Arbeit von zu Hause, deren Einhaltung stichprobenartig geprüft wird. Regeln, die niemand findet oder versteht, wirken nicht.
Was zu tun ist: Fassen Sie die Alltagsregeln – Passwörter, mobile Geräte, Arbeit von zu Hause – auf wenigen Seiten in verständlicher Sprache zusammen und legen Sie sie dort ab, wo Mitarbeiter ohnehin nachsehen. Prüfen Sie gelegentlich stichprobenartig, ob die Regeln im Alltag ankommen.
Was Ihnen die IT vorlegen können muss: Die Regeln mit Datum, der Ort, an dem sie für alle auffindbar sind, und der Vermerk der letzten Stichprobe.
Kritikalität: niedrig
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Vollständig erfasste Teilnahmen, wobei Nichtteilnahmen nachgehalten werden. Ohne Nachweis lässt sich die Erfüllung der Schulungspflicht gegenüber einer Aufsicht nicht belegen.
Was zu tun ist: Halten Sie je Schulungstermin fest, wer teilgenommen hat, und geben Sie Fehlenden einen Nachholtermin, der nachgehalten wird, bis er wahrgenommen ist.
Was Ihnen die IT vorlegen können muss: Die Teilnahmeübersicht der letzten Runde einschließlich der nachgeholten Termine.
Kritikalität: niedrig
Ihre Angabe: wird gelebt, aber nicht schriftlich festgelegt
So sieht es aus, wenn es erledigt ist: Besonders exponierte Rollen erhalten eigene Inhalte, abgeleitet aus der Risikobewertung. Die Buchhaltung wird anders angegriffen als die Produktion.
Was zu tun ist: Bestimmen Sie die zwei, drei Rollen, die am gezieltesten angegriffen werden – Buchhaltung, Assistenz der Geschäftsführung, Administratoren – und ergänzen Sie deren Schulung um die jeweils passenden Angriffsmuster: gefälschte Zahlungsanweisungen, dringende Bitten im Namen der Leitung, gefälschte Anmeldeseiten.
Was Ihnen die IT vorlegen können muss: Die benannten Rollen und die zugehörigen Zusatzinhalte.
Zu diesen Punkten konnte keine Auskunft gegeben werden. Fehlende Kenntnis über den eigenen Stand ist ein Befund für sich und kein technischer Mangel.