Leistung · BestandsaufnahmeIT-Standortbestimmung: Wissen, wo Ihre IT wirklich steht.

• –Ihre Cyberversicherung schickt einen Fragebogen, und Sie wissen nicht, was Sie ankreuzen sollen.
• –Ein großer Kunde verlangt einen Nachweis, dass Ihre IT abgesichert ist.
• –Sie wollen eine zweite Meinung zu Ihrem bisherigen IT-Dienstleister.
• –Ein Mitarbeiter, der die IT nebenbei betreut hat, geht.
• –Sie haben einen Betrieb übernommen und erben eine unbekannte IT.
• –Nach einem Vorfall wollen Sie wissen, ob das Problem wirklich beseitigt ist.

Die Systematik orientiert sich an der DIN SPEC 27076, die das BSI mit dem Mittelstandsverband für Unternehmen bis 50 Beschäftigte entwickelt hat. Sie umfasst 27 Anforderungen in sechs Themenbereichen. Dazu kommt eine technische Prüfung vor Ort, denn Antworten im Gespräch und tatsächliche Konfiguration unterscheiden sich häufiger, als man denkt. Bei größeren Unternehmen erweitere ich den Umfang entsprechend, etwa um mehrere Standorte oder eigene Server-Landschaften.

Organisation und Sensibilisierung+

Wer ist zuständig? Gibt es einen Notfallplan? Wissen die Mitarbeiter, wie Phishing aussieht?

Identitäten und Berechtigungen+

Wer hat welche Zugänge? Ist die Mehr-Faktor-Anmeldung aktiv? Werden Konten beim Austritt gesperrt?

Datensicherung+

Was wird gesichert, wo liegt die Kopie, und wurde die Wiederherstellung je getestet?

Patch- und Änderungsmanagement+

Sind Betriebssysteme, Programme, Firewall und Server auf aktuellem Stand?

Schutz vor Schadprogrammen+

Welcher Endpunktschutz läuft, wer wertet Funde aus, wie werden Mails gefiltert?

IT-Systeme und Netzwerke+

Firewall, Fernzugriff, WLAN, Trennung von Netzen, Verschlüsselung von Geräten.

Transparent gesagt: Ich bin kein im BSI-Verzeichnis gelisteter Anbieter des offiziellen CyberRisikoChecks. Wenn Sie genau dieses Zertifikat brauchen, etwa für eine Förderung, nenne ich Ihnen passende Anbieter.

• –Eine Dokumentation Ihrer aktuellen IT-Umgebung: Geräte, Zugänge, Systeme, Abhängigkeiten.
• –Eine Risikobewertung pro Themenbereich, in Sprache, die auch ohne IT-Hintergrund verständlich ist.
• –Eine priorisierte Maßnahmenliste: was sofort, was in diesem Jahr, was irgendwann.
• –Eine Ergebnisbesprechung, in der Sie jede Frage stellen können.

Alles davon gehört Ihnen. Sie können es Ihrem bisherigen Dienstleister vorlegen, selbst umsetzen oder mich beauftragen. Einen Folgeauftrag setzt die Standortbestimmung nicht voraus.

Seit dem 6. Dezember 2025 gilt in Deutschland das NIS2-Umsetzungsgesetz. Direkt betroffen sind Unternehmen in bestimmten Sektoren ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme. Die meisten kleinen Unternehmen fallen nicht darunter, mittlere Unternehmen dagegen häufiger, als sie vermuten. Kleine Unternehmen spüren das Gesetz aber trotzdem, wenn betroffene Kunden von ihren Zulieferern Nachweise zur IT-Sicherheit verlangen. Die Standortbestimmung ist dafür ein guter Ausgangspunkt, ersetzt aber keine rechtliche Prüfung Ihrer Betroffenheit.