IT-Sicherheitscheck für Unternehmen: Schwarz auf weiß, wo Sie stehen.

IT-Sicherheit scheitert selten an einer einzelnen Lücke, sondern am blinden Fleck. Deshalb prüft der Check nicht nur Technik, sondern die ganze Breite:

Außensicht

Was Angreifer aus dem Internet sehen: erreichbare Dienste, bekannte offene Schwachstellen und die Absicherung Ihrer E-Mail-Domain über SPF, DKIM und DMARC, damit niemand in Ihrem Namen Rechnungen verschickt.

Innensicht

Wie robust die IT von innen ist: Update-Stand, Datensicherung und vor allem deren Wiederherstellbarkeit, Benutzerrechte, Passwörter und die Konfiguration Ihrer Cloud-Büroumgebung.

Organisation

Ob Ihr Unternehmen vorbereitet ist: Gibt es einen Notfallplan, sind Zuständigkeiten geklärt, und wissen die Mitarbeitenden, woran sie einen Angriff erkennen?

Beim Sehtest liest jeder die oberen Zeilen mühelos. Interessant wird es dort, wo die Buchstaben kleiner werden und man zu raten beginnt. Im Sicherheitscheck ist es ähnlich: Virenschutz und Firewall sind fast immer vorhanden. Ob sich die letzte Sicherung wirklich zurückspielen lässt oder ein ausgeschiedener Mitarbeiter noch ein aktives Konto hat, weiß dagegen oft niemand genau. Genau diese Zeilen liest der Check nach, statt sie zu schätzen.

In der Innensicht entscheidet sich, ob ein einzelner Fehler zum Flächenbrand wird oder ein Randthema bleibt. Ein erbeutetes Passwort richtet wenig an, wenn das Konto kaum Rechte hat und ein zweiter Faktor die Anmeldung schützt. Mit Administratorrechten und ohne funktionierende Datensicherung kann derselbe Fehler den ganzen Betrieb stilllegen. Technik ist nur die halbe Sicherheit: Im Ernstfall zählt, dass jeder weiß, was zu tun ist.

Was bedeuten SPF, DKIM und DMARC?

Die drei Einträge regeln, wer im Namen Ihrer Domain E-Mails verschicken darf. SPF nennt die zugelassenen Absendeserver, DKIM versieht jede Mail mit einer digitalen Signatur, und DMARC sagt empfangenden Servern, was mit Mails geschehen soll, die beides nicht bestehen. Fehlen diese Einträge oder sind sie zu locker gesetzt, können Betrüger täuschend echte Rechnungen oder Zahlungsaufforderungen unter Ihrer Adresse verschicken. Der Blick darauf gehört deshalb zur Außensicht.

Was ist ein IT-Sicherheitsaudit?

Keine Einschätzung ohne Maßstab. Kein Befund ohne Beleg.

Ein IT-Sicherheitsaudit misst den Ist-Stand an einem festen Regelwerk. Unser IT Security Check arbeitet genauso: Er prüft gegen den gewählten Standard und belegt jedes Ergebnis. Wer von IT-Sicherheitsanalyse oder IT Security Audit spricht, meint meist dasselbe. Entscheidend ist der Maßstab, nicht der Name.

Abzugrenzen ist das Audit von der Zertifizierung. Ein Zertifikat nach ISO 27001 vergibt nur eine akkreditierte Zertifizierungsstelle nach einem formalen Verfahren. Ein Sicherheitscheck zeigt Ihnen vorher, wie weit Sie von den Anforderungen entfernt sind, und ist damit oft der erste Schritt auf diesem Weg. Wie sich Sicherheitscheck, Schwachstellenscan und Pentest unterscheiden, zeigt der Ratgeber Pentest-Kosten 2026.

Der Check arbeitet überwiegend lesend und beobachtend. Wir prüfen Konfigurationen, Erreichbarkeiten und Abläufe, ohne Systeme anzugreifen oder zu belasten; Ihre Mitarbeitenden arbeiten normal weiter. Ist ein einzelner Prüfschritt sensibel, stimmen wir ihn vorher ab.

Warum ein Fragebogen vor der Prüfung?

Viele Antworten kennt Ihr Haus bereits: wer Administratorrechte hat, wann zuletzt eine Sicherung zurückgespielt wurde, ob es einen Notfallplan gibt. Der Fragebogen sammelt dieses Wissen vorab. Die Prüfer nutzen die gemeinsame Zeit dann für das, was nur vor Ort oder am System geht: nachsehen, ob die Antwort stimmt. Eine ehrliche Antwort „weiß ich nicht“ ist dabei wertvoller als eine geschönte, denn sie zeigt, wo genauer hingesehen werden muss.

Wer sollte beim Check dabei sein?

Neben der internen IT oder dem bisherigen Dienstleister gehört jemand aus der Geschäftsführung dazu. Viele Prüffelder sind keine reinen Technikfragen: Wer darf Zahlungen freigeben, wer entscheidet im Notfall, welche Daten sind für den Betrieb unverzichtbar? Je nach Standard kommen Personalabteilung und Datenschutz hinzu. Die Prüfung selbst braucht von den meisten Beteiligten nur wenig Zeit, die Vorbereitung über den Fragebogen erledigt den Großteil.

Was haben Sie danach in der Hand?

• Ergebnis je Prüffeld: was erfüllt ist und was offen bleibt, jeweils mit Beleg.
• Grundlage für Budget-Entscheidungen: Sie investieren dort zuerst, wo das Risiko wirklich liegt, nicht dort, wo es am lautesten beworben wird.
• Nachweis nach außen: gegenüber Kunden, Cyberversicherung oder im NIS2-Kontext belegen Sie, dass Sie Ihre IT-Sicherheit strukturiert angehen.

Der IT-Sicherheitscheck ist der Einstieg, kein Endpunkt. Offene Punkte schließen wir auf Wunsch selbst. Wo der Check Zweifel lässt, zeigt ein Penetrationstest, ob ein Angreifer durchkommt. Für den Dauerbetrieb sorgen Schwachstellenmanagement und Managed Security. Wer aus den Befunden einen geordneten Maßnahmenplan mit Zuständigen machen möchte, findet das in der IT-Security-Beratung.

Check oder Pentest?

Der Check zeigt, wo Sie stehen. Der Pentest beweist, was ein Angreifer damit anfangen kann. Der Sicherheitscheck ist der Überblick über die ganze Breite Ihrer IT, außen, innen und organisatorisch. Ein Penetrationstest geht gezielt in die Tiefe einzelner Systeme und Angriffswege. Viele Unternehmen starten mit dem Check und entscheiden dann gezielt, wo sich ein Pentest lohnt.

Wie oft sollte man prüfen?

Ein Prüfergebnis ist eine Momentaufnahme. Angreifer suchen täglich nach neuen Wegen, und Hersteller schließen laufend neue Lücken; was heute erfüllt ist, kann in einem Jahr wieder offen sein. Neue Anwendungen, Standorte, Mitarbeitende oder ein Umzug in die Cloud verändern den Stand. Sinnvoll ist eine Wiederholung in regelmäßigen Abständen und immer dann, wenn sich an der IT Grundlegendes geändert hat oder Kunde und Versicherer einen aktuellen Nachweis verlangen.