IT-Sicherheits-Prüfliste

IT-Sicherheits-Prüfliste für kleine Unternehmen und Selbständige¶

Diese Prüfliste fasst alle Checklisten des Guides in einem Dokument zusammen. Sie ist kein Test – sie ist ein Arbeitsinstrument. Geh sie einmal pro Jahr durch, oder immer dann wenn sich etwas Wesentliches ändert: neuer IT-Dienstleister, neue Mitarbeiter, Umzug, neue Cloud-Dienste.

Nicht jeder Punkt ist für jedes Unternehmen gleich relevant. Ein Soloselbständiger ohne Mitarbeiter überspringt die Abschnitte zu Mitarbeiterverwaltung. Wer keine eigene Domain betreibt, überspringt DNS. Konzentriere dich auf das, was für deine konkrete Situation zutrifft.

Legende: Du = Inhaber/Verantwortliche/r · IT = IT-Dienstleister · G = Gemeinsam

1. Domain & DNS¶

Ich bin der registrierte Inhaber meiner Domain – nicht mein Webdesigner oder Hoster. (du)
Ich habe Zugang zum Konto bei meinem Registrar und kenne das Passwort. (du)
Die automatische Verlängerung ist aktiviert und die Zahlungsmethode ist aktuell. (du)
Das Ablaufdatum meiner Domain ist in meinem Kalender eingetragen. (du)
Ich habe eine Kopie meiner DNS-Einträge im Notfalldokument. (du)
Ich weiß, wie ich im Notfall den A-Record und den MX-Record meiner Domain ändern kann. (du)

2. E-Mail¶

3. Passwörter & Zwei-Faktor-Authentifizierung¶

4. Geräte & Updates¶

5. Verschlüsselung¶

Festplattenverschlüsselung ist auf allen Laptops aktiv (FileVault / BitLocker / LUKS). (IT)
Bei BitLocker: Die Online-Speicherung des Schlüssels ist geprüft und eine bewusste Entscheidung getroffen. (du)
Der Wiederherstellungsschlüssel ist sicher aufbewahrt – getrennt vom Gerät, z. B. im Passwort-Manager oder Notfalldokument. (du)
Mein Smartphone hat eine Bildschirmsperre – damit ist die Geräteverschlüsselung aktiv. (du)
Mein NAS verschlüsselt zumindest die Ordner mit sensiblen Daten. (IT / du)
Externe Festplatten und USB-Sticks mit sensiblen Daten sind verschlüsselt. (IT / du)
Für besonders sensible Cloud-Daten nutze ich clientseitige Verschlüsselung – z. B. mit Cryptomator. (du)

6. Backups¶

Falls NAS vorhanden:

Mir ist bewusst, dass RAID kein Backup ist – ich habe ein separates Backup meines NAS. (du)
Das NAS-Backup enthält eine physisch getrennte Kopie und eine Offsite-Kopie. (IT / du)
Auf meinem NAS laufen nur Dienste, die ich aktiv nutze – alle anderen sind deaktiviert. (IT)
Das NAS ist nicht direkt aus dem Internet erreichbar, oder der Zugang ist per VPN abgesichert. (IT)

7. Netzwerk & Internet¶

8. Cloud-Dienste & Plattformen¶

Meine wichtigsten Cloud-Daten sind Teil meines normalen Backups. (IT / du)
Als Wiederherstellungskontakt ist eine E-Mail-Adresse hinterlegt, die nicht beim selben Anbieter liegt. (du)
Ich nutze für kritische Funktionen nicht ausschließlich einen einzigen Anbieter. (du)
Ich weiß, wo ich den Support meiner wichtigsten Cloud-Anbieter erreiche – und habe die Kontaktdaten notiert. (du)
Meine wichtigsten laufenden Projektdaten sind auch lokal verfügbar, nicht nur in der Cloud. (du)
Datenstandort meiner Cloud-Dienste ist bekannt und DSGVO-konform (EU/EWR bevorzugt). (du)
Exit-Strategie ist vorhanden: Daten können bei Bedarf exportiert werden. (du)

Ich habe eine eigene Website als unabhängigen Ankerpunkt – unabhängig von Plattformen. (du)
Ich baue aktiv eine E-Mail-Liste auf – als plattformunabhängigen Kontaktkanal. (du)
Meine Inhalte existieren zuerst auf meiner Website, dann auf Plattformen. (du)
Ich exportiere meine LinkedIn-Kontakte regelmäßig. (du)
Ich nutze „Mit Facebook/Google anmelden" nicht als einzigen Login für wichtige Dienste. (du)
Auf meinen Social-Media-Konten sind E-Mail-Adresse und Telefonnummer aktuell hinterlegt. (du)
Ich habe einen Notfallkontakt auf meinen wichtigsten Plattformen – jemand, der im Fall einer Sperrung in meinem Netzwerk kommunizieren kann. (du)

10. Kommunikations-Redundanz¶

Ich habe einen vorbereiteten Notfallhinweis-Text für meine Website – bereit zum schnellen Aktivieren. (du)
Ich weiß, wie ich auf meiner Website kurzfristig einen Hinweis schalten kann, ohne meinen Webdesigner anrufen zu müssen. (du)
Meine Mobilnummer ist auf mich registriert – nicht auf einen Anbieter oder Arbeitgeber. (du)
Ich habe eine zweite SIM oder eSIM bei einem anderen Anbieter als Fallback. (du)
WhatsApp oder andere Messenger sind auf einem Zweitgerät eingerichtet oder als verknüpftes Gerät aktiv. (du)
Wichtige Kunden kennen mindestens zwei Wege, mich zu erreichen. (du)
Mein Kommunikations-Notfallset ist im Notfalldokument dokumentiert. (du)

11. Dritte & externe Zugänge¶

Ich gebe keine eigenen Zugangsdaten an Dritte weiter – stattdessen richte ich separate Konten ein. (du)
Dritte erhalten nur die Rechte, die sie für ihre konkrete Aufgabe brauchen. (du)
Ich führe eine einfache Liste: Wer hat aktuell Zugang zu was? (du)
Zeitlich begrenzte Zugänge haben ein Ablaufdatum oder einen Kalendereintrag zum Widerrufen. (du)
Bei Beendigung einer Zusammenarbeit entziehe ich den Zugang aktiv am selben Tag. (du)
Geteilte Passwörter werden nach Beendigung der Zusammenarbeit geändert. (du)
Den Steuerberater-Zugang habe ich über die Freigabefunktion meiner Buchhaltungssoftware eingerichtet, nicht über E-Mail-Anhänge. (du)
IT-Fernzugriff gewähre ich nur aktiv und gezielt – nie auf unaufgeforderte Anfrage. (du)
Alle Fernwartungssitzungen werden protokolliert. (IT)

12. Virenschutz & Schutz vor Schadsoftware¶

Virenschutz-Software ist auf allen Geräten installiert und aktuell. (IT / du)
Automatische Signatur-Updates sind aktiv. (IT)
Ransomware-Schutz ist aktiviert. (IT)
Web-Filter / DNS-Schutz für gefährliche Websites ist aktiv. (IT)
Browser und Browser-Plugins sind aktuell und auf das Minimum reduziert. (IT / du)
Es werden keine raubkopierten oder nicht vertrauenswürdigen Softwarequellen genutzt. (du)
Lizenzen des Virenschutzes sind aktuell. (du)

Ich prüfe die tatsächliche Absenderadresse bei verdächtigen E-Mails, nicht nur den Anzeigenamen. (du)
Ich klicke nicht auf Links in E-Mails, die ich nicht erwartet habe – ich rufe die Website direkt auf. (du)
Ich öffne keine Anhänge aus unbekannten oder verdächtigen Quellen. (du)
Geänderte Bankverbindungen bestätige ich immer telefonisch. (du)
Ich weiß, was ich tun muss, wenn ich auf eine Phishing-Mail hereingefallen bin – inklusive Session-Terminierung. (du)
Ich weiß, wo ich in meinen wichtigsten Diensten alle aktiven Sitzungen beenden kann. (du)

14. KI-Tools sicher nutzen¶

15. Datenschutz & DSGVO¶

Auftragsverarbeitungsverträge (AVV):

AVV mit IT-Dienstleister ist geschlossen. (du)
AVV mit allen genutzten Cloud-Anbietern ist vorhanden. (du)
AVV mit Hosting-Provider / Website-Betreiber ist vorhanden. (du)
Alle AVVs sind aktuell und vollständig – jährliche Prüfung. (du)

16. Website & Recht¶

17. Berufsgeheimnisträger (nur relevant für Ärzte, Anwälte, Steuerberater, Notare, Wirtschaftsprüfer)¶

18. Notfallplanung & Krisenmanagement¶

Vorbereitung:

Kontaktdaten der zuständigen Landesdatenschutzbehörde sind im Notfalldokument. (du)
Kontaktdaten der ZAC (Zentrale Ansprechstelle Cybercrime) meines Bundeslandes sind im Notfalldokument. (du)
BSI-Warnmeldungen sind abonniert (bsi.bund.de). (du)
Ein IT-Dienstleister mit Incident-Response-Erfahrung ist identifiziert und seine Nummer im Notfalldokument. (du)
Eine zweite E-Mail-Adresse bei einem anderen Anbieter ist eingerichtet und meinen wichtigsten Kunden bekannt. (du)
Eine Offline-Kundenliste (Name, E-Mail, Telefon) ist aktuell und offline verfügbar. (du)
Mein aktuellstes Backup liegt offline – nicht synchronisiert mit dem Primärsystem. (IT / du)
Cyber-Versicherung ist vorhanden; Notfall-Hotline ist im Notfalldokument eingetragen. (du)
Notfall-Kontaktliste ist auch analog (auf Papier) verfügbar. (du)

Sofortmaßnahmen bei einem Vorfall:

Betroffenes Gerät sofort vom Netz getrennt (Kabel, WLAN, Bluetooth). (du)
Cloud-Synchronisation von anderen Geräten pausiert. (du)
Dokumentation des Vorfalls gestartet (was, wann, was getan). (du)
Analyse: Welche personenbezogenen Daten sind betroffen? (du)
Datenschutzbehörde informiert, wenn Datenpanne vorliegt (72-Stunden-Frist, Art. 33 DSGVO). (du)
Strafanzeige erstattet (Aktenzeichen notieren). (du)
Cyber-Versicherung informiert – keine eigenmächtigen Kosten ohne Rücksprache. (du)
Betroffene Kunden informiert – proaktiv, ehrlich, konkret. (du)
Passwörter von einem sauberen Gerät aus geändert. (du)

Bei Ransomware zusätzlich:

nomoreransom.org geprüft – gibt es ein kostenloses Entschlüsselungstool? (du)
Nicht gezahlt ohne vorherigen rechtlichen Rat. (du)
ZAC und ggf. Anwalt kontaktiert. (du)

Wiederherstellung:

Einfallstor identifiziert und geschlossen, bevor das System wieder online geht. (IT)
System vollständig neu aufgesetzt – kein Bereinigen ohne Neuinstallation. (IT)
Backup aus dem Zeitraum vor der Infektion verwendet. (IT)
Backup vor dem Zurückspielen auf Schadsoftware geprüft. (IT)
Alle Passwörter geändert, bevor das System produktiv genutzt wird. (du)

19. Digitaler Nachlass & Notfallvollmacht¶

Es gibt eine Vertrauensperson, die im Notfall handeln kann und weiß, dass sie diese Rolle hat. (du)
Diese Person weiß, wo das Notfalldokument liegt – und wie sie darauf zugreifen kann. (du)
Das Notfalldokument enthält Anweisungen für den Ausfall- oder Todesfall. (du)
Ich habe eine schriftliche Vollmacht vorbereitet oder zumindest geprüft, ob ich eine brauche. (du)
Das Thema ist in meinem Testament oder meiner Nachlassplanung berücksichtigt. (du)

20. Regelmäßige Sicherheitsroutine¶

Monatlicher Kalendertermin „IT-Kurzcheck" ist eingerichtet (15 Min.). (du)
Quartalsweiser Kalendertermin „IT-Wartung" ist eingerichtet (60 Min.). (du)
Jährlicher Kalendertermin „IT-Jahrescheck" ist eingerichtet (halber Tag). (du)
Ich bin beim BSI-Newsletter angemeldet oder nutze Have I Been Pwned für monatliche Leck-Prüfung. (du)
Ich habe eine Liste der Zugänge für Dritte, die ich monatlich prüfe. (du)
Mein Notfalldokument hat ein Datum der letzten Aktualisierung. (du)

IT-Sicherheits-Prüfliste