IT-Sicherheitscheck: zwölf Fragen, eine Ampel
Die meisten Angriffe auf kleine Unternehmen brauchen kein Hacker-Genie, nur eine offene Tür. Finde deine in drei Minuten. Du bekommst eine Ampel und eine Liste, was du zuerst zumachst, mit der passenden Empfehlung des BSI.
Der Check braucht JavaScript. Ohne geht es auch: Die zwölf Themen stehen in der Tabelle unten. Jedes, bei dem du nicht ehrlich „ja“ sagen kannst, ist eine offene Tür. Fang mit Updates, Zwei-Faktor-Anmeldung und getesteten Backups an.
Die zwölf Themen, Wirkung und Aufwand
Wirkung und Aufwand sind unsere Einschätzung für kleine und mittlere Unternehmen. Die Links führen zu den Empfehlungen des BSI.
| Thema | Grün, wenn … | Wirkung | Aufwand | Empfehlung des BSI |
|---|---|---|---|---|
| Updates (Grundlage) | Bekommen Betriebssysteme, Programme, Plugins und Geräte ihre Sicherheitsupdates automatisch oder zeitnah? | groß | klein | 10 Tipps zur Cyber-Sicherheit für Unternehmen (Tipp 8 „Patchen, patchen, patchen!“) |
| Passwörter und Zwei-Faktor (Grundlage) | Hat jede Person eigene Zugänge, und sind wichtige Konten wie Mail, Admin und Cloud mit Zwei-Faktor-Anmeldung geschützt? | groß | klein | Zwei-Faktor-Authentisierung |
| Backups (Grundlage) | Liegen eure Sicherungen getrennt vom System, und habt ihr die Wiederherstellung schon einmal getestet? | groß | mittel | 10 Tipps zur Cyber-Sicherheit für Unternehmen (Tipp 6 „Sichern Sie Ihre Daten!“) |
| Notfallplan | Steht schriftlich fest, wer im Ernstfall was tut und wen informiert? | groß | mittel | IT-Notfallkarte |
| Zugänge | Werden Konten ehemaliger Mitarbeitender sofort gesperrt, und haben nur die Adminrechte, die sie wirklich brauchen? | groß | klein | Leitfaden Basis-Absicherung (IT-Grundschutz) |
| Mail-Sicherheit | Ist deine Domain gegen gefälschte Absender geschützt (SPF, DKIM, DMARC), und werden verdächtige Anhänge gefiltert? | mittel | klein | TR-03182 E-Mail-Authentifizierung |
| Website | Ist auf deiner Website TLS aktiv, die Software aktuell, und sind Formulare gegen Spam und Missbrauch geschützt? | mittel | mittel | Webanwendungen |
| Schulung | Erkennt dein Team Phishing, und weiß jeder, wem er einen Verdacht meldet? | groß | klein | Awareness |
| Dienstleister | Weißt du, welche Dienstleister Zugriff auf deine Systeme haben, und ist das geregelt? | mittel | mittel | Leitfaden Basis-Absicherung (IT-Grundschutz) |
| Inventar | Gibt es eine aktuelle Liste deiner Geräte, Systeme und Konten? | mittel | klein | 10 Tipps zur Cyber-Sicherheit für Unternehmen (Tipp 5 „Schützen Sie die Kronjuwelen!“) |
| Verschlüsselung | Sind Laptops und Handys verschlüsselt, und werden sensible Daten verschlüsselt übertragen? | mittel | klein | 10 Tipps zur Cyber-Sicherheit für Unternehmen (Tipp 9 „Verschlüsselung sollte der Normalfall werden!“) |
| Verantwortung | Ist eine Person für IT-Sicherheit zuständig, mit Zeit und Rückendeckung der Geschäftsführung? | groß | klein | 10 Tipps zur Cyber-Sicherheit für Unternehmen (Tipp 1 „Cyber-Sicherheit ist Chefsache!“) |
So entsteht die Ampel
„Ja“ zählt zwei Punkte, „teilweise“ einen, „nein“ und „weiß nicht“ keinen. Zwölf Fragen, also höchstens 24 Punkte. Drei Fragen sind Grundlagen, weil sie die meisten Angriffe ins Leere laufen lassen: Updates, Zwei-Faktor-Anmeldung und getestete Backups.
- Grün gibt es ab 20 Punkten, und nur, wenn alle drei Grundlagen auf „ja“ stehen.
- Rot gibt es unter 12 Punkten oder wenn mindestens zwei Grundlagen auf „nein“ oder „weiß nicht“ stehen.
- Gelb ist alles dazwischen.
Die offenen Punkte sortiert der Check nach Wirkung und Aufwand: Was viel bringt und wenig kostet, kommt zuerst. Bei gleichem Rang stehen offene Punkte vor halb erledigten. „Weiß nicht“ ist übrigens eine ehrliche Antwort und ein Befund: Wenn niemand weiß, ob die Backups funktionieren, funktionieren sie im Zweifel nicht.
Was der Check nicht ist
Kein Scan, kein Penetrationstest, keine Zertifizierung. Er fragt, was du weißt, und rechnet daraus eine Reihenfolge. Gründlicher geht es mit dem CyberRisikoCheck des BSI nach DIN SPEC 27076, einem Interview mit Bericht, oder mit uns: Wir prüfen Website, Server und Zugänge von außen und schließen, was offen ist. Mehr unter IT-Sicherheit für KMU.
Fällt dein Unternehmen unter NIS2, reicht die Selbsteinschätzung nicht, dann gelten Pflichten mit Nachweis. Ob du betroffen bist, zeigt der NIS2-Check.
Häufige Fragen zum IT-Sicherheitscheck
Was ist der erste Schritt zu mehr IT-Sicherheit?
Eine ehrliche Bestandsaufnahme, und dann die drei Grundlagen: Updates automatisch, Zwei-Faktor-Anmeldung für wichtige Konten, Backups getrennt vom Netz und einmal zurückgespielt. Die drei bringen oft den größten Effekt für den kleinsten Aufwand.
Prüft der Check meine Website oder meine Systeme?
Nein. Er fragt nur. Kein System wird abgerufen oder gescannt. Wie schwer und wie aktuell deine Website ist, zeigt der Website-Check, der nur öffentlich sichtbare Daten der Startseite liest.
Wir sind zu klein für Hacker. Stimmt das?
Leider nicht. Viele Angriffe laufen automatisiert und suchen nach bekannten Lücken und schwachen Passwörtern, egal wem das System gehört. Kleine Unternehmen trifft es oft härter, weil Backups und Notfallplan fehlen.
Was kostet ein Sicherheits-Check durch mediabrandcast?
Wir rechnen nach Stunden, 150 € pro Stunde, für Unternehmen, zzgl. USt. Eine Schätzung für Bestandsaufnahme, Prüfung und Bericht zeigt der Stundenrechner unter „Sicherheits-Check für Website und Server“.
Was passiert mit meinen Antworten?
Nichts. Der Check läuft komplett in deinem Browser. Deine Antworten werden weder gesendet noch gespeichert.
Quellen
- BSI: 10 Tipps zur Cyber-Sicherheit für Unternehmen. bsi.bund.de, abgerufen am 14.11.2026.
- BSI: Informationen und Empfehlungen für kleine und mittlere Unternehmen, CyberRisikoCheck nach DIN SPEC 27076. bsi.bund.de, abgerufen am 14.11.2026.
- BSI: Leitfaden zur Basis-Absicherung nach IT-Grundschutz. bsi.bund.de, abgerufen am 14.11.2026.
- Die Empfehlungen zu einzelnen Themen sind in der Tabelle oben verlinkt, alle abgerufen am 14.11.2026.
Gelb oder Rot? Wir machen die Türen zu.
Wir prüfen von außen, was jeder sehen kann, priorisieren mit dir und setzen um. Als Liste, nicht als Angst-Folie.
150 € pro Stunde, pauschal für alles. Für Unternehmen, zzgl. USt.