Checkliste IT-Sicherheit für kleine Betriebe

Aufbau der Checkliste IT-Sicherheit

Die Prüfpunkte orientieren sich an den Themen, die das BSI in seinen Empfehlungen für kleine und mittlere Unternehmen, in den Top-10-Maßnahmen gegen Ransomware, in den WiBA-Checklisten und in der DIN SPEC 27076 hervorhebt. Sie sind bewusst kurz gehalten. Jeder Punkt verweist auf das Thema, unter dem die Umsetzung genauer beschrieben ist.

Bewerten Sie jeden Punkt mit «umgesetzt», «teilweise» oder «offen» und notieren Sie bei «teilweise» und «offen» eine verantwortliche Person und einen Termin.

Organisation

1. Eine Person ist für Informationssicherheit verantwortlich und hat dafür Zeit.
2. Es gibt schriftliche Regeln für den Umgang mit IT, E-Mail, mobilen Geräten und Daten, und alle Beschäftigten kennen sie.
3. Mitarbeitende werden mindestens jährlich zu Phishing und Betrugsmaschen sensibilisiert.
4. Es gibt eine aktuelle Übersicht über Geräte, Software, Cloud-Dienste und Verträge mit IT-Dienstleistern.
5. Beim Ein- und Austritt von Mitarbeitenden werden Zugänge geregelt angelegt und vollständig entzogen.

Zugänge und Berechtigungen

1. Jede Person hat ein eigenes Benutzerkonto; Sammelkonten gibt es nicht oder nur begründet.
2. Administratorrechte werden nur für Administrationsaufgaben genutzt, nicht zum Surfen oder Mailen.
3. E-Mail, Fernzugänge, Cloud-Dienste und Administratorkonten sind mit Zwei-Faktor-Authentifizierung geschützt.
4. Für Passwörter gibt es eine Regel, und ein Passwortmanager steht zur Verfügung.
5. Berechtigungen auf Daten folgen dem Prinzip Least Privilege und werden regelmäßig überprüft.

Updates und Systeme

1. Betriebssysteme, Browser und Anwendungen erhalten Updates automatisch oder zeitnah nach Freigabe.
2. Router, Firewall, Drucker, NAS und andere Geräte werden ebenfalls aktualisiert.
3. Geräte und Software ohne Herstellerunterstützung sind erfasst und werden ersetzt oder abgeschottet.
4. Ein Virenschutz ist auf allen Arbeitsplatzrechnern und Servern aktiv und wird überwacht.
5. Makros in Office-Dokumenten aus dem Internet sind blockiert oder streng eingeschränkt.

Datensicherung

1. Alle wichtigen Daten werden automatisch und regelmäßig gesichert, auch Cloud-Daten und Postfächer.
2. Mindestens eine Sicherung ist vom Netz getrennt oder gegen Veränderung geschützt.
3. Die Wiederherstellung wird regelmäßig getestet und das Ergebnis dokumentiert.

Netz und Fernzugriff

1. Fernzugriffe laufen nur über ein abgesichertes VPN oder einen vergleichbar geschützten Zugang.
2. Das Gäste-WLAN ist vom Firmennetz getrennt.
3. Aus dem Internet sind nur die Dienste erreichbar, die tatsächlich gebraucht werden.

Mobile Geräte und Homeoffice

1. Laptops und Smartphones sind verschlüsselt und mit PIN oder Passwort gesperrt.
2. Für Homeoffice und mobiles Arbeiten gibt es klare Regeln, auch zu privaten Geräten.

Vorbereitung auf den Ernstfall

1. Es gibt einen kurzen Notfallplan mit Ansprechpartnern, der auch ausgedruckt vorliegt.
2. Alle wissen, wie ein Verdacht gemeldet wird, und dass eine frühe Meldung erwünscht ist.

Auswertung und Priorisierung

Zuerst

Punkte 8, 11, 17 und 18 haben in der Praxis die größte Hebelwirkung. Sie entsprechen Maßnahmen, die das BSI in seinen Top-10-Empfehlungen gegen Ransomware an vorderer Stelle nennt: zeitnahe Updates, Zwei-Faktor-Authentisierung für Fernzugänge und Offline-Backups mit getestetem Wiederanlauf.

Danach

Administratorrechte (7), Sensibilisierung (3), Übersicht über Geräte und Dienste (4) und der Notfallplan (24). Diese Punkte kosten vor allem Zeit, kaum Geld.

Mittelfristig

Netztrennung, Regeln für mobile Geräte und die Ablösung veralteter Systeme. Hier ist oft Unterstützung durch den IT-Dienstleister nötig.

Typische Befunde in kleinen Betrieben

Die Sicherung steht neben dem Server

Ein USB-Laufwerk, das dauerhaft angeschlossen ist, schützt vor einem Plattendefekt, aber nicht vor Ransomware, die alle erreichbaren Laufwerke verschlüsselt. Erst eine getrennte oder unveränderbare Kopie erfüllt Punkt 17.

Der Chef ist Administrator

Häufig arbeitet die Geschäftsleitung mit dem Konto, das auch die Domäne oder den Microsoft-365-Mandanten verwaltet. Ein erfolgreicher Phishing-Angriff auf dieses Konto öffnet dann den ganzen Betrieb. Getrennte Konten für Alltag und Verwaltung sind schnell eingerichtet.

Niemand kennt alle Zugänge

Wer Domain, Website, Cloud-Speicher und Telefonanlage verwaltet, steht oft nirgends geschrieben. Fällt die betreffende Person aus, beginnt die Suche. Eine Übersicht der Konten und ihrer Verantwortlichen gehört deshalb zu Punkt 4.

Grenzen einer Checkliste

Eine Checkliste zeigt Lücken, beweist aber nichts. «Backup vorhanden» heißt nicht, dass es im Ernstfall funktioniert. Sinnvoll ist deshalb, wichtige Punkte stichprobenartig nachzuweisen: einen Wiederherstellungstest durchführen, die Liste der Administratorkonten ausdrucken, den Update-Stand in der Verwaltungskonsole ansehen.

Wer eine strukturierte, vergleichbare Bewertung braucht, nutzt den CyberRisikoCheck nach DIN SPEC 27076. Wer systematisch weiterarbeiten will, findet in den WiBA-Checklisten des BSI rund 250 Prüffragen mit Hinweisen zur Umsetzung. Unternehmen, die unter NIS-2 fallen, brauchen darüber hinaus ein Risikomanagement nach den gesetzlichen Vorgaben; diese Checkliste ersetzt das nicht.