Vor drei Jahren hat dein Betrieb Geld in die Hand genommen. Neue Firewall, ordentlicher Virenschutz auf allen Rechnern, ein Backup, das jede Nacht durchläuft. Der Haken darunter hat sich gut angefühlt. Die IT-Sicherheit war damit für dich abgehakt. Seitdem läuft alles. Genau darin liegt die Falle, denn Ruhe im Tagesgeschäft ist kein Beleg für einen wirksamen Schutz. Wer seither nie wieder die IT-Sicherheit überprüfen ließ, betreibt heute ein Konzept, das für eine ganz andere IT gebaut wurde als für die, die tatsächlich im Serverraum steht. Dieser Text erklärt, was sich in drei Jahren still verändert, welche Prüfungen es gibt und warum du deine IT-Sicherheit überprüfen lassen solltest, bevor jemand anderes danach fragt.
Warum du deine IT-Sicherheit überprüfen solltest, obwohl nie etwas passiert ist
In Gevelsberg, Schwelm und Wetter sitzen Betriebe, die exakt diesen Satz sagen: Bei uns war noch nie was. Das stimmt meistens sogar. Es sagt halt wenig über morgen aus. Das BSI hat für den Zeitraum Juli 2024 bis Juni 2025 festgestellt, dass die Zahl der täglich neu entdeckten Schwachstellen um 24 Prozent gestiegen ist.1 Jede dieser Lücken steckt in Software, die vielleicht auch bei dir läuft. Dein Schutz von damals kennt sie nicht. Deshalb muss man die IT-Sicherheit überprüfen, auch wenn nichts brennt.
Der Trugschluss vom abgeschlossenen Projekt
IT-Sicherheit fühlt sich an wie ein Projekt mit Anfang und Ende. Angebot, Umsetzung, Rechnung, fertig. So funktioniert die Brandschutztür im Lager, die einmal eingebaut wird und danach ihren Dienst tut. Deine IT verhält sich anders. Sie verändert sich unter deinen Händen, während du an ganz anderen Dingen arbeitest. Deshalb sagen wir bei edv-trend unseren Kunden im Ennepe-Ruhr-Kreis von Anfang an, dass sie die IT-Sicherheit überprüfen lassen sollten, sobald das erste Konzept in Betrieb ist. Die Prüfung gehört zum laufenden Betrieb, so wie die UVV-Prüfung am Gabelstapler zum Fuhrpark gehört. Einmal im Jahr, ohne Diskussion.
Was drei Jahre in Zahlen bedeuten
Der Bitkom hat 2025 rund tausend Unternehmen ab zehn Beschäftigten befragt. 87 Prozent berichten von Datendiebstahl, Spionage oder Sabotage. 34 Prozent waren von Ransomware betroffen, der Gesamtschaden für die deutsche Wirtschaft liegt bei 289,2 Milliarden Euro im Jahr. Nur die Hälfte der Befragten hält den eigenen Betrieb für sehr gut vorbereitet.2 Die andere Hälfte ahnt also, dass da irgendwo eine Lücke ist. Ahnen reicht nicht. Wer seine IT-Sicherheit überprüft, ersetzt das Bauchgefühl durch eine Liste, die man abarbeiten kann.
Was sich in drei Jahren in deinem Betrieb verändert hat
Setz dich mal hin und geh in Gedanken durch, was seit 2022 dazugekommen ist. Bei den meisten Betrieben, mit denen edv-trend im Ennepe-Ruhr-Kreis arbeitet, kommt eine überraschend lange Liste zusammen. Jeder Punkt darauf berührt deine IT-Sicherheit. Das ist der eigentliche Grund, die IT-Sicherheit überprüfen zu lassen. Die stillen Veränderungen im eigenen Haus treiben das Risiko, viel mehr als die spektakulären Angriffe aus den Nachrichten.
Gewachsene Systeme und neue Cloud-Dienste
Ein Zerspanungsbetrieb in Witten kauft eine neue Maschine mit Fernwartungszugang. Die Buchhaltung nutzt seit zwei Jahren ein Cloud-Portal für den Steuerberater. Der Vertrieb arbeitet mit einem CRM, das jemand mit der Firmenkreditkarte abonniert hat. Drei Systeme, drei neue Wege in dein Netz, und keines davon stand im Konzept von damals. Genau solche Zugänge kommen ans Licht, wenn einmal jemand systematisch hinschaut. In der Buchhaltung tauchen sie als kleine Monatsposten auf, mehr nicht.
Konten von Menschen, die längst woanders arbeiten
Der Kollege aus der Arbeitsvorbereitung ist 2023 gegangen. Sein Windows-Konto ist deaktiviert. Sein Zugang zum Lieferantenportal lebt weiter, sein Postfach wird noch weitergeleitet, sein VPN-Zertifikat liegt auf einem privaten Laptop. Das BSI verlangt im IT-Grundschutz, dass bei personellen Veränderungen nicht mehr benötigte Benutzendenkennungen und Berechtigungen entfernt werden, und dass die Dokumentation der Rechtevergabe regelmäßig darauf überprüft wird, ob sie den tatsächlichen Stand widerspiegelt.3 In der Praxis passiert das selten von allein. Es passiert, wenn Leute die IT-Sicherheit überprüfen und die Kontenliste neben die Personalliste legen. Dann wird es schnell still im Raum. Karteileichen dieser Art gehören zu den häufigsten Befunden rund um die IT-Sicherheit.
Du weißt nicht, wie viele solcher Karteileichen bei dir noch aktiv sind? edv-trend gleicht deine Kontenliste mit der Personalliste ab und räumt auf, ruf uns dafür einfach an.
Firewall-Regeln, an die sich niemand erinnert
Jede Firewall sammelt Geschichte. Die Freigabe für den Techniker der Klimaanlage aus dem Sommer 2022 steht noch drin. Der Portweiterleitung für das alte Zeiterfassungssystem hat nie jemand widersprochen. Nach drei Jahren ist ein Regelwerk gewachsen, das keiner mehr im Kopf hat. Wenn wir bei edv-trend die IT-Sicherheit überprüfen, drucken wir dieses Regelwerk aus und gehen es mit dem Betrieb Zeile für Zeile durch. Die Gespräche sind meistens kurz. Weg damit, sagen die Leute dann.
Ausgelaufener Support fällt im Alltag überhaupt nicht auf
Software hört nicht auf zu funktionieren, wenn der Hersteller den Support beendet. Sie läuft weiter, sieht gleich aus und öffnet die gleichen Dateien. Nur kommen eben keine Sicherheitsupdates mehr. Das ist die tückischste Veränderung von allen, weil sie unsichtbar bleibt. Ausgelaufener Support ist eine der größten Baustellen der IT-Sicherheit im Mittelstand. Ein Handwerksbetrieb in Hagen merkt davon im Tagesgeschäft genau nichts. Er bekommt bei einer Prüfung zuerst eine Inventarliste und dann einen Schreck.
Windows 10 als Beispiel aus dem Alltag
Microsoft hat den Support für Windows 10 am 14. Oktober 2025 beendet. Danach gibt es keine Qualitätsupdates und keine Sicherheitsupdates mehr, das Betriebssystem läuft aber weiter.4 Wer 2022 fünfzig Rechner ausgerollt hat, hat heute vielleicht fünfzig Geräte im Netz, die keine Lücke mehr geschlossen bekommen. Das fällt erst auf, wenn jemand hinschaut. Deshalb steht die Bestandsaufnahme ganz am Anfang, wenn wir mit Betrieben in Südwestfalen anfangen.
Geräte, die auf keiner Liste stehen
Der Netzwerkdrucker im Meisterbüro. Die Überwachungskamera am Tor. Der kleine NAS-Speicher, den mal jemand für Konstruktionsdaten gekauft hat. Der Router in der Außenstelle in Schwelm. Diese Dinger bekommen selten Updates und stehen in keinem Inventar. Sie hängen trotzdem im Netz. Auch diese Kisten gehören zur IT-Sicherheit deines Betriebs. Eine ordentliche Prüfung erfasst sie alle. edv-trend arbeitet dabei mit einer Liste, die der Betrieb behalten darf, damit die nächste Runde schneller geht.
Welche Prüfungen es gibt, wenn du deine IT-Sicherheit überprüfen lässt
Der Begriff Sicherheitsprüfung klingt nach einer einzigen großen Sache. Es gibt aber mehrere Verfahren mit ganz unterschiedlichem Aufwand. Für einen Betrieb mit dreißig Arbeitsplätzen in Gevelsberg sieht die Auswahl anders aus als für einen Automobilzulieferer mit drei Standorten. Diese fünf Prüfungen der IT-Sicherheit spielen im Mittelstand tatsächlich eine Rolle.
Schwachstellenscan und Penetrationstest
Der Schwachstellenscan ist die automatisierte Variante. Ein Programm klopft alle Systeme im Netz ab und gleicht die gefundenen Versionsstände gegen Datenbanken bekannter Lücken ab. Das geht schnell, kostet wenig und liefert eine Menge Treffer. Für die meisten Betriebe ist das der richtige Einstieg, um überhaupt erst einmal die IT-Sicherheit überprüfen zu lassen.
Der Penetrationstest geht weiter. Menschen versuchen, in dein Netz einzudringen, und kombinieren dabei Lücken, die einzeln harmlos aussehen. Das BSI empfiehlt in seinem Praxis-Leitfaden ausdrücklich, alle zwei bis drei Jahre Wiederholungsprüfungen durchzuführen, weil regelmäßig neue Schwachstellen und Angriffsmethoden bekannt werden.5 Das ist die amtliche Antwort auf die Frage aus der Überschrift. Drei Jahre markieren die Grenze, ab der die Behörde eine neue Prüfung erwartet. Wer länger wartet, sollte die IT-Sicherheit überprüfen lassen, ohne noch einmal darüber nachzudenken.
Das Berechtigungsreview
Beim Berechtigungsreview geht es um eine simple Frage: Wer darf gerade was? Man zieht die Konten aus Active Directory, Microsoft 365, dem ERP und den Cloud-Diensten und legt sie neben die aktuelle Personalliste. Dann klärt man Zeile für Zeile, ob die Berechtigung noch zur Aufgabe passt. Das ist unglamourös und findet regelmäßig die dicksten Brocken. Für die IT-Sicherheit ist dieser Abgleich oft wertvoller als jede neue Software. Bei einem Kunden in Wetter fanden wir 2024 einen aktiven Administratorzugang eines Dienstleisters, der 2021 das letzte Mal im Haus war. edv-trend nimmt dieses Review deshalb in jeden Auftrag auf, bei dem wir die IT-Sicherheit überprüfen.
Frag dich mal, welcher externe Dienstleister bei dir heute noch Adminrechte hat. Wenn dir die Antwort fehlt, lass deine IT-Sicherheit überprüfen und mache ein Berechtigungsreview mit edv-trend.
Notfallübung und Wiederherstellungstest bringen die Wahrheit ans Licht
Die beiden wirkungsvollsten Prüfungen brauchen am wenigsten Technik und die meiste Überwindung. Sie tun weh, weil sie den Betrieb kurz anhalten. Sie sind trotzdem der einzige Weg herauszufinden, ob dein Schutz im Ernstfall hält. Ein Speditionsbetrieb aus dem Ennepe-Ruhr-Kreis hat das im vergangenen Jahr durchgezogen. Der Termin war ein Samstag.
Das Backup, das nie zurückgespielt wurde
Nachts läuft die Sicherung, morgens steht das grüne Häkchen im Protokoll. Das grüne Häkchen bedeutet, dass die Daten weggeschrieben wurden. Über das Zurückholen sagt es nichts. Dabei ist das Backup die letzte Verteidigungslinie deiner IT-Sicherheit. Das BSI führt fehlende Wiederherstellungstests im IT-Grundschutz als eigene Gefährdung und verlangt in der Basis-Anforderung CON.3.A15, dass regelmäßig getestet wird, ob gesicherte Daten einwandfrei und in angemessener Zeit zurückgespielt werden können.6 Einwandfrei und in angemessener Zeit sind dabei zwei getrennte Fragen. Ein Restore, der vierzehn Tage dauert, ist technisch erfolgreich und wirtschaftlich eine Katastrophe. Genau solche Zahlen bekommst du bei einem echten Test auf den Tisch.
Die Notfallübung am Samstagmorgen
Bei der Notfallübung spielt der Betrieb einen Vorfall durch. Wer ruft wen an, wenn der Server verschlüsselt ist? Wo liegen die Zugangsdaten, wenn keiner mehr an sein Postfach kommt? Wie erreicht die Produktion in Witten ihre Kunden, wenn die Telefonanlage über dieselbe Leitung läuft? Diese Fragen wirken banal, bis man sie im Ernstfall beantworten muss. Wer die IT-Sicherheit überprüft, ohne einmal den Notfall zu proben, prüft nur die halbe Strecke. edv-trend moderiert solche Übungen und schreibt anschließend auf, was gefehlt hat.
Sinnvolle Intervalle für Betriebe im Ennepe-Ruhr-Kreis
Die Frage nach dem richtigen Rhythmus kommt in jedem Erstgespräch. Wie oft du die IT-Sicherheit unter die Lupe nimmst, hängt vom Betrieb ab. Eine Antwort für alle gibt es nicht, weil ein Sanitätshaus in Schwelm andere Daten hat als ein Werkzeugbauer mit Konstruktionszeichnungen aus dreißig Jahren. Es gibt aber Erfahrungswerte, die im Mittelstand gut funktionieren.
Was jährlich gehört und was alle zwei bis drei Jahre
Ein Schwachstellenscan gehört mindestens einmal im Jahr auf den Plan, bei exponierten Systemen öfter. Das Berechtigungsreview ebenfalls jährlich, am besten gekoppelt an einen Termin, den es sowieso schon gibt, etwa den Jahresabschluss. Der Wiederherstellungstest gehört zweimal im Jahr gemacht, weil sich Backup-Systeme leise verändern. Die Notfallübung reicht alle zwei Jahre. Den Penetrationstest legst du nach der BSI-Empfehlung auf zwei bis drei Jahre.5 Wer diese fünf Termine im Kalender stehen hat, muss über den richtigen Zeitpunkt nicht mehr diskutieren.
Anlässe, die den Kalender überstimmen
Manche Ereignisse ziehen die Prüfung vor. Sie verschieben die IT-Sicherheit deines Betriebs von einem Tag auf den anderen. Ein Standortwechsel. Die Übernahme eines anderen Betriebs. Der Wechsel des IT-Dienstleisters. Eine neue Maschine mit Fernwartung. Der Abgang eines Administrators. Ein Vorfall bei einem Lieferanten, mit dem du Daten austauschst. In all diesen Fällen solltest du die IT-Sicherheit überprüfen lassen, ohne auf den nächsten Turnus zu warten. Ruf bei edv-trend an, dann sortieren wir gemeinsam, was Vorrang hat.
Was ein Prüfbericht wirklich wert ist
Nach jeder Prüfung liegt ein Bericht auf dem Tisch. Manche sind achtzig Seiten dick und voller roter Balken. Als Geschäftsführer rechnest du in Ausfalltagen und Lieferterminen, und so ein Dokument ist für dich erst einmal wertlos. Es wird wertvoll, sobald jemand es übersetzt. Genau daran entscheidet sich der Nutzen der ganzen Aktion.
Ein Bericht ist eine Aufgabenliste mit Preisschildern
Ein brauchbarer Bericht beantwortet drei Dinge: Was ist der Befund, was kann im schlimmsten Fall passieren, was kostet die Behebung an Geld und an Zeit. Damit lässt sich entscheiden. Zwölf Befunde behebt man in einer Woche, drei brauchen ein Budget, zwei akzeptiert man bewusst mit einer Notiz im Protokoll. Wenn wir bei edv-trend die IT-Sicherheit überprüfen, liefern wir Befund und Übersetzung im selben Termin. Der Bericht landet dann eben nicht ungelesen im Ordner.
Diese eine Zahl bekommst du an einem einzigen Samstagvormittag. Buch bei edv-trend einen Restore-Test, lass dabei deine IT-Sicherheit überprüfen und trag die gemessene Wiederanlaufzeit in deine Unterlagen ein.
[CTA] -> „Du hast einen Prüfbericht im Schrank, den nie jemand übersetzt hat? Schick ihn edv-trend rüber, wir machen daraus eine priorisierte Aufgabenliste mit Aufwand und Kosten.“
Der Unterschied zwischen Papier und Wirkung
Ein Prüfbericht allein verändert null. Wirkung entsteht durch die IT-Sicherheitsmaßnahmen danach und durch die Nachschau, ob sie greifen. Das BSI benennt genau diesen Punkt: Bekannte Sicherheitslücken werden oft zu spät oder gar nicht behoben, und kleineren und mittleren Unternehmen fehlen häufig die Ressourcen und das Bewusstsein für die eigene Verwundbarkeit.1 Deshalb setzt edv-trend nach jedem Prüfauftrag einen festen Nachschautermin an. Vier Wochen später schauen wir, was erledigt ist. Das klingt streng. Es wirkt aber.
Cyberversicherung, Kunden und Auftraggeber verlangen Nachweise
Der unangenehmste Moment im Leben eines Unternehmers im Ennepe-Ruhr-Kreis kommt drei Wochen nach dem Angriff. Der Sachbearbeiter der Versicherung ruft an und fragt nach Dokumenten, die es nie gegeben hat. Ab diesem Punkt kommt jede Prüfung zu spät.
Was die Versicherung nach dem Schaden fragt
Cyberversicherer knüpfen ihre Leistung an Obliegenheiten. Hinter diesen Punkten steckt schlicht gelebte IT-Sicherheit. Typisch sind aktuelle Patchstände, Mehrfaktor-Anmeldung für externe Zugänge, getrennte Backups samt Nachweis über deren Test, geregelte Rechtevergabe und Schulungen für die Belegschaft. Wer diese Punkte im Antrag angekreuzt und danach nie wieder die IT-Sicherheit überprüft hat, steht im Schadensfall mit leeren Händen da. Ein dokumentierter Prüfzyklus liefert exakt die Belege, die dann verlangt werden. Er hilft übrigens schon vorher, weil er die Prämie beeinflusst.
NIS2 wirkt über die Lieferkette bis nach Gevelsberg
Das NIS-2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten. Betroffene Unternehmen müssen zehn Risikomanagementmaßnahmen umsetzen, darunter die Bewertung der Wirksamkeit dieser Maßnahmen, Backup-Management und Wiederherstellung, Zugriffskontrolle und Sicherheit in der Lieferkette. Die Verantwortung für Umsetzung und Überwachung liegt laut BSI bei der Geschäftsleitung.7 Auch wenn dein Betrieb selbst nicht reguliert ist, erreicht dich die Anforderung über deine Kunden. Große Auftraggeber geben ihre Pflichten in Form von Fragebögen weiter. Wer dann zeigen kann, dass er die IT-Sicherheit überprüfen lässt und die Ergebnisse ablegt, füllt so einen Bogen in einer halben Stunde aus.
So geht edv-trend eine Überprüfung an
Wir sitzen selbst in Gevelsberg und fahren zu unseren Kunden nach Hagen, Witten, Wetter und Schwelm hin. Das prägt die Arbeitsweise. IT-Sicherheit ist bei uns vor allem Handwerk. Wir kennen die Serverräume, in denen der Schrank neben dem Kompressor steht, und die Betriebe, in denen der Chef die Passwörter im Kopf hat. Beides ist normal. Beides lässt sich beheben.
Erst schauen, dann bewerten
Am Anfang steht eine Bestandsaufnahme ohne Bewertung. Welche Systeme laufen, welche Zugänge existieren, welche Verträge sind aktiv, wo endet welcher Support. Für Betriebe, die zum ersten Mal ihre IT-Sicherheit überprüfen lassen, ist diese Liste die eigentliche Überraschung. Erst danach bewerten wir das Risiko und schlagen die passenden Verfahren vor. Ein Betrieb mit fünfzehn Arbeitsplätzen braucht keinen Penetrationstest für 15.000 Euro. Er braucht einen Scan, ein Berechtigungsreview und einen ehrlichen Restore-Test.
Was nach der Prüfung passiert
Wir übergeben Befund, Übersetzung und Aufgabenliste in einem Termin, bei dem die Geschäftsführung dabei ist. Dann wird priorisiert und terminiert. edv-trend übernimmt auf Wunsch die Umsetzung, dokumentiert sie und legt den nächsten Prüftermin fest. Nach vier Wochen kommt die Nachschau. Danach steht dein Betrieb an einem Punkt, an dem er auf jede Frage von Versicherung, Kunde oder Auftraggeber eine belegte Antwort hat. Genau darin liegt der praktische Nutzen des ganzen Aufwands.
Die eine Frage, die offen bleibt
Es gibt eine Zahl, die wir in fast keinem Erstgespräch beantwortet bekommen. Wie lange würde es dauern, deinen wichtigsten Server aus dem Backup wieder ans Laufen zu bringen? Gemeint ist eine gemessene Zahl mit Datum darunter. Solange diese Zahl fehlt, bleibt jede Aussage über den Zustand deiner IT eine Vermutung. edv-trend misst sie mit, wenn wir die IT-Sicherheit überprüfen. Was dabei herauskommt, überrascht die Betriebe fast immer, und selten in die angenehme Richtung.
Diese eine Zahl bekommst du an einem einzigen Samstagvormittag. Buch bei edv-trend einen Restore-Test, lass dabei deine IT-Sicherheit überprüfen und trag die gemessene Wiederanlaufzeit in deine Unterlagen ein.
Wir haben vor drei Jahren viel Geld in Schutzsoftware gesteckt. Reicht das heute noch?
Wahrscheinlich nicht mehr ganz. IT-Sicherheit meint alles, was deine Rechner, Server und Daten vor fremdem Zugriff schützt, und dieser Schutz altert mit. Seit 2022 sind bei dir neue Geräte und Cloud-Dienste dazugekommen, und das BSI meldet 24 Prozent mehr täglich neu entdeckte Schwachstellen. Lass einmal im Jahr prüfen, ob dein Schutz noch zu deiner heutigen Technik passt.
In unserem System sind noch Konten von Leuten aktiv, die längst gekündigt haben. Wie schlimm ist das?
Das ist einer der häufigsten Befunde überhaupt. Jedes vergessene Konto ist eine offene Tür in deinen Betrieb, besonders bei Zugängen von außen. Zur IT-Sicherheit, also zum praktischen Schutz deiner Daten, gehört deshalb der regelmäßige Abgleich von Kontenliste und Personalliste. Das BSI verlangt, bei personellen Veränderungen alle nicht mehr benötigten Zugänge zu entfernen. edv-trend erledigt diesen Abgleich in einem halben Tag.
Unsere Backups laufen jede Nacht automatisch. Woher weiß ich, dass sie im Ernstfall funktionieren?
Das weißt du erst, wenn du einmal zurückspielst. Das grüne Häkchen im Protokoll sagt nur, dass Daten weggeschrieben wurden. Zur IT-Sicherheit gehört der echte Wiederherstellungstest, bei dem ein System aus der Sicherung zurückgeholt und die Dauer gestoppt wird. Das BSI verlangt in der Basis-Anforderung CON.3.A15 regelmäßige Tests. Plan so einen Durchlauf zweimal im Jahr ein.
Nach einem Schaden will die Versicherung Nachweise sehen. Was verlangt die konkret?
Meistens geht es um aktuelle Updatestände, Anmeldung mit zweitem Faktor bei externen Zugängen, getrennte Backups samt Testprotokoll, geregelte Rechtevergabe und Schulungen der Belegschaft. Cyberversicherer prüfen damit, ob die IT-Sicherheit im Betrieb tatsächlich gelebt wurde, ob der Schutz also dokumentiert und regelmäßig kontrolliert ist. Ohne Belege wird das Gespräch unangenehm. Ein Prüfzyklus mit Protokoll löst das Problem.
Auf der Hälfte unserer Rechner läuft noch Windows 10. Wie eilig ist ein Wechsel?
Eilig. Microsoft hat den Support am 14. Oktober 2025 beendet, seitdem gibt es keine Sicherheitsupdates mehr. Die Geräte starten weiter und sehen aus wie immer, neu entdeckte Lücken bleiben aber für immer offen. Für die IT-Sicherheit im ganzen Netz ist das ein ernstes Problem, weil ein einziger ungepatchter Rechner als Einstieg reicht. Setz den Austausch auf die Jahresplanung.
Ein großer Kunde schickt uns Fragebögen und will Nachweise über unsere Technik sehen. Müssen wir da mitmachen?
In der Praxis ja, wenn du den Auftrag behalten willst. Seit Dezember 2025 gilt das NIS-2-Umsetzungsgesetz, und regulierte Unternehmen müssen auch die Sicherheit ihrer Lieferanten belegen. Diese Pflicht wandert per Fragebogen zu dir weiter. Wer seine IT-Sicherheit regelmäßig prüfen lässt und die Ergebnisse ablegt, füllt so einen Bogen in einer halben Stunde aus.
Bei uns ist noch nie etwas passiert. Warum sollten wir jetzt Geld ausgeben?
Ruhe ist kein Beweis. Der Bitkom hat 2025 rund tausend Unternehmen befragt, 87 Prozent berichteten von Datendiebstahl, Spionage oder Sabotage. Nur die Hälfte hält sich für gut vorbereitet. IT-Sicherheit heißt vor allem, dass dein Betrieb einen Angriff übersteht, ohne tagelang stillzustehen. Eine jährliche Prüfung kostet weniger als ein einziger Ausfalltag in der Produktion.
Unser früherer IT-Dienstleister hat vermutlich noch Zugänge zu unseren Servern. Wie finde ich das heraus?
Über ein Berechtigungsreview. Man zieht alle Konten aus Windows, Microsoft 365 und den Cloud-Diensten und klärt Zeile für Zeile, wer heute noch Zugriff braucht. Solche Altlasten sind ein Klassiker der schwachen IT-Sicherheit, also des unbemerkt gewachsenen Zugriffs auf deine Systeme. Bei einem Kunden in Wetter fanden wir einen Adminzugang, der seit 2021 unbenutzt offen stand.
Wir sind ein Handwerksbetrieb mit fünfzehn Leuten. Was kostet es, einmal alles durchchecken zu lassen?
Für einen Betrieb dieser Größe reicht ein kleines Paket. Ein automatisierter Suchlauf nach bekannten Lücken liegt im niedrigen vierstelligen Bereich, dazu kommen ein bis zwei Arbeitstage für Kontenprüfung und Rückspieltest. Ein voller Angriffstest lohnt sich erst später. edv-trend sagt dir nach einer kurzen Aufnahme, welche Stufe deine IT-Sicherheit gerade wirklich braucht.
Wenn morgen früh alle Rechner verschlüsselt wären, wüsste ich nicht, wen ich anrufe. Was sollte man vorbereiten?
Eine Notfallkarte auf Papier. Darauf stehen Telefonnummern, wer zuerst informiert wird, wo die Zugangsdaten liegen und wie ihr eure Kunden erreicht, wenn Telefon und Mail ausfallen. Zur IT-Sicherheit gehören solche Absprachen genauso wie Technik. edv-trend spielt den Ernstfall einmal mit dir durch und schreibt danach auf, was gefehlt hat.
Quellen
Primärquellen
4 Microsoft, Primärquelle: https://learn.microsoft.com/de-de/lifecycle/faq/windows
