Cybersicherheits-Checkliste 2025

Diese Checkliste unterstützt kleine und mittlere Unternehmen bei einer strukturierten Bestandsaufnahme. Sie ist kein Audit, keine Zertifizierung und keine Garantie gegen Sicherheitsvorfälle. Maßnahmen sollten nach Geschäftsauswirkung, Exponierung und verfügbaren Ressourcen priorisiert werden.

1. Verantwortung und Inventar

• Für IT-Sicherheit, Datenschutz und Notfälle sind Ansprechpartner benannt.
• Geräte, Server, Cloud-Dienste, Anwendungen und externe Zugänge sind inventarisiert.
• Geschäftskritische Prozesse und ihre technischen Abhängigkeiten sind dokumentiert.
• Nicht mehr benötigte Systeme, Konten und Schnittstellen werden entfernt.

2. Identitäten und Berechtigungen

• Privilegierte Konten sind von normalen Benutzerkonten getrennt.
• Externe, administrative und besonders schutzbedürftige Zugänge nutzen starke MFA.
• Eintritt, Rollenwechsel und Austritt lösen eine Berechtigungsprüfung aus.
• Kontowiederherstellung und Helpdesk-Prozesse sind gegen Social Engineering abgesichert.

3. Systeme und Schwachstellen

• Sicherheitsupdates werden nach Risiko priorisiert und nachverfolgt.
• Internetnahe und geschäftskritische Systeme erhalten besondere Aufmerksamkeit.
• Ausnahmen und nicht patchbare Systeme haben dokumentierte kompensierende Maßnahmen.
• Nach Änderungen wird geprüft, ob Dienst und Schutzfunktionen weiter funktionieren.

4. Backups und Wiederherstellung

• Kritische Daten und Konfigurationen werden gesichert.
• Mindestens eine Kopie ist vom Produktivnetz getrennt oder gegen Änderungen geschützt.
• Wiederherstellungen werden praktisch getestet und dokumentiert.
• Reihenfolge, Zielzeiten und Abhängigkeiten für den Wiederanlauf sind festgelegt.

5. E-Mail, Mobilgeräte und Arbeitsplätze

• E-Mail-Domains nutzen passende SPF-, DKIM- und DMARC-Konfigurationen.
• Zahlungs- und Bankverbindungsänderungen werden unabhängig bestätigt.
• Mobilgeräte mit Unternehmenszugriff unterliegen klaren Sicherheitsregeln.
• Mitarbeitende kennen Meldewege für Phishing, Quishing und verdächtige Anrufe.

6. Netzwerk, Protokolle und Erkennung

• Benutzer-, Server-, Gast-, Backup- und Administrationsbereiche sind angemessen getrennt.
• Relevante Protokolle werden geschützt gesammelt.
• Für wichtige Alarme sind Verantwortliche und Eskalationswege definiert.
• Erkennungsregeln und Kontaktketten werden regelmäßig getestet.

7. Lieferanten und Cloud-Dienste

• Dienstleister mit System- oder Datenzugriff sind bekannt und priorisiert.
• Fernzugänge sind minimal berechtigt, nachvollziehbar und möglichst zeitlich begrenzt.
• Sicherheitskontakte, Vorfallmeldungen, Datenexport und Beendigung sind geklärt.
• Kritische Abhängigkeiten haben einen Ausweich- oder Notbetriebsplan.

8. Incident Response

• Ein Incident-Response-Plan regelt Eindämmung, Beweissicherung, Kommunikation und Wiederanlauf.
• Der Plan enthält interne und externe Notfallkontakte.
• Rechtliche und regulatorische Meldepflichten werden fallbezogen geprüft.
• Mindestens ein realistisches Szenario wurde gemeinsam geübt.

Nächster Schritt

Nicht alle Punkte müssen gleichzeitig umgesetzt werden. Starten Sie mit geschäftskritischen Prozessen, exponierten Systemen, privilegierten Konten und der Wiederherstellung. Eine IT-Sicherheitsberatung kann offene Punkte bewerten und eine realistische Reihenfolge entwickeln, ohne vollständigen Schutz oder Rechtskonformität zu versprechen.