IT-Sicherheit-Checkliste für KMU (Quartals-Review)
IT-Sicherheit-Checkliste für KMU: MFA, Admin-Konten, Updates, Backups, Alarme, Domains und offene Risiken einmal pro Quartal in rund einer Stunde prüfen.
- Typischer Rhythmus quartalsweise
- Die Checkliste 5 Abschnitte, 20 Punkte
- Variablen
{{quarter}}
Zwischen zwei Audits schleichen sich Sicherheitslücken ein: ein Admin-Konto, das niemand entfernt hat, ein Laptop ohne Updates, eine Domain kurz vor dem Ablauf, eine Alarmregel, die nicht mehr auslöst. Diese Checkliste ist ein Hygiene-Check für kleine und mittlere Unternehmen ohne eigenes Security-Team. Ein konzentrierter Durchlauf dauert ein bis zwei Stunden, nicht eine Woche.
Wer verantwortlich ist
Die IT-Verantwortliche, die Betriebsleitung oder die technische Leitung führt den Durchlauf. Einzelne Punkte brauchen eine zweite Person, etwa die Buchhaltung für Zahlungskonten oder eine Entwicklerin für Abhängigkeitswarnungen. Diese Punkte im Durchlauf zuweisen.
Typische Fehler
- Die Einstellung prüfen, nicht die Ausnahmen. "MFA aktiv" in der Admin-Konsole kann trotzdem Ausnahmen zulassen. Die Liste der Konten ohne zweiten Faktor ansehen.
- Alles während des Reviews beheben wollen. Das Review dient dem Finden. Größere Punkte als Tickets erfassen und im normalen Betrieb erledigen.
- Langweilige Punkte überspringen. Domain-Verlängerungen, Wiederherstellungscodes und Notfallkonten sind selten dringend, bis sie einen Ausfall verursachen.
- Kein Vergleich. Ergebnisse mit dem Vorquartal vergleichen, damit wiederkehrende Probleme sichtbar werden.
Den Durchlauf in Runbook für die erste Woche jedes Quartals planen. So ist belegt, was wann von wem geprüft wurde, was auch bei einem ISO-27001- oder SOC-2-Audit hilft. Passen Sie die Checkliste an Ihre Rechtsordnung und Ihre Richtlinien an; sie ist keine Rechtsberatung.
Die Checkliste: IT-Sicherheits-Review {{quarter}}
Identitäten und Zugriffe
-
Alle Konten im Identitätsanbieter haben MFA eingerichtet
Die Liste der Ausnahmen bzw. Konten ohne zweiten Faktor prüfen, nicht nur die Richtlinie.
-
Admin-Konten im Identitätsanbieter, in Cloud-Konten und im Code-Hosting überprüft
-
Konten von Personen, die in
{{quarter}}ausgetreten sind, in allen Tools entfernt, auch außerhalb von SSO -
Notfall-Admin-Konten getestet und sicher aufbewahrt
Geräte und Software
-
Alle Firmen-Laptops mit Festplattenverschlüsselung und aktuellen Betriebssystem-Updates
-
Endpoint-Schutz auf allen Geräten aktiv und meldet sich
-
Offene Warnungen zu Abhängigkeiten und Container-Schwachstellen geprüft, kritische zugewiesen
-
Server und Managed Services laufen auf unterstützten Versionen
Daten und Backups
-
Backups in
{{quarter}}erfolgreich gelaufen -
Ein Backup in einer Testumgebung wiederhergestellt und die Daten geprüft
-
Öffentlich geteilte Dateien, Links und Speicher geprüft und unnötige Freigaben entfernt
Überwachung und Angriffsfläche
-
Testalarm ausgelöst und Eingang bei der Bereitschaft bestätigt
-
Audit-Logs auf ungewöhnliche Admin-Aktivitäten geprüft optional
-
Ablaufdaten von Domains und TLS-Zertifikaten für die nächsten sechs Monate geprüft
-
SPF-, DKIM- und DMARC-Einträge für jede versendende Domain geprüft
-
Externer Scan öffentlicher IPs und Hostnamen durchgeführt und mit dem Vorquartal verglichen optional
Risiken und Nacharbeit
-
Risikoregister geprüft und in
{{quarter}}veränderte Risiken aktualisiert -
Offene Sicherheitstickets und Ausnahmen geprüft, geschlossen oder neu genehmigt
-
Feststellungen dieses Reviews als Tickets mit Verantwortlichen erfasst
-
Kurze Zusammenfassung an die Geschäftsleitung verschickt
Checkliste als Markdown
Häufige Fragen
Was gehört in einen IT-Sicherheitscheck für KMU?
Im Fokus stehen Dinge, die mit der Zeit abdriften: Benutzerkonten und MFA, Admin-Rechte, Updates auf Geräten, Schwachstellenwarnungen, Backups, Alarmierung und öffentlich erreichbare Freigaben oder Dienste. Dazu kommen wiederkehrende Kontrollen, die Ihre Richtlinien oder Ihre Kunden verlangen. Der Check sollte so kurz sein, dass er wirklich jedes Quartal stattfindet.
Ist das dasselbe wie eine Zugriffsprüfung?
Nein, aber beides überschneidet sich. Eine Zugriffsprüfung (Access Review) kontrolliert die Rechte jeder Person in jedem System im Detail und wird von den Führungskräften abgezeichnet. Das Quartals-Review ist ein breiterer Hygiene-Check. Viele Teams erledigen beides in derselben Woche.
Wer sollte das Review in einem kleinen Unternehmen durchführen?
Meist die Person, die für IT oder Infrastruktur zuständig ist, mit Unterstützung der Personen, die Finanz- und HR-Tools verwalten. Wenn eine Person alles allein macht, sollte ab und zu jemand anderes die Ergebnisse ansehen, damit blinde Flecken auffallen.
Aktualisiert