CRA · Selbsteinschätzung der Cybersicherheit
10–49 PC-Arbeitsplätze · Vertieft · Stand 22.10.2026. Kein reales Unternehmen, keine Prüfung tatsächlicher Sicherheit. Unveränderlicher Beispielstand, keine bearbeitbare Selbsteinschätzung.
Kurzbericht · Maßnahmenplan · Ergebnisübersicht · Profil und sämtliche Antworten · Eigene Selbsteinschätzung starten
Profil und sämtliche Antworten
Branche Handel; 10–49 Beschäftigte mit PC-Arbeitsplatz; Niveau Vertieft. Keine zusätzlichen IT-Merkmale und keine gesonderten Anforderungsbezüge gewählt. Die Angaben sind vollständig erfunden. „Weiß ich nicht“ ist eine bewusst gesetzte Informationslücke.
Ist klar benannt, wer Entscheidungen zur Informationssicherheit trifft?
Gespeicherte Antwort: Ja
Gibt es eine aktuelle Übersicht der wichtigsten Geräte, Anwendungen und IT-Dienstleister?
Gespeicherte Antwort: Ja, umgesetzt
Sind die für den Geschäftsbetrieb unverzichtbaren IT-Systeme bekannt?
Gespeicherte Antwort: Ja, umgesetzt
Werden Sicherheitsmaßnahmen regelmäßig mit Verantwortlichen und Terminen überprüft?
Gespeicherte Antwort: Ja, umgesetzt
Sind die grundlegenden Regeln zur sicheren Nutzung der IT schriftlich festgehalten und den Beschäftigten bekannt?
Gespeicherte Antwort: Die grundlegenden Regeln sind schriftlich festgehalten und allen betroffenen Personen bekannt.
Haben Sie festgehalten, welche IT-Sicherheitsereignisse Ihren Betrieb wesentlich beeinträchtigen könnten?
Gespeicherte Antwort: Für unsere wichtigen Geschäftsabläufe sind wesentliche Risiken und mögliche Folgen festgehalten.
Beurteilen Sie nach nachvollziehbaren Kriterien, welche Risiken zuerst behandelt werden müssen?
Gespeicherte Antwort: Wir beurteilen die Risiken nach einheitlichen Kriterien für mögliche Folgen und die Wahrscheinlichkeit ihres Eintretens.
Ist für wesentliche Risiken entschieden, was dagegen getan wird und wer dafür zuständig ist?
Gespeicherte Antwort: Für wesentliche Risiken sind Vorgehen, Verantwortliche und Termine festgelegt.
Werden Risiken, die trotz Maßnahmen bestehen bleiben, bewusst von einer befugten Person akzeptiert?
Gespeicherte Antwort: Wesentliche verbleibende Risiken werden einschließlich ihrer Folgen von einer befugten Person nachvollziehbar akzeptiert.
Entscheidet die Unternehmensleitung über die wesentlichen Sicherheitsziele und Schutzmaßnahmen?
Gespeicherte Antwort: Sie hat wesentliche Sicherheitsziele und Schutzmaßnahmen ausdrücklich bestätigt.
Stellt die Leitung ausreichend Zeit, Unterstützung und finanzielle Mittel für die beschlossenen Sicherheitsmaßnahmen bereit?
Gespeicherte Antwort: Für die beschlossenen Maßnahmen sind Zeit, Zuständigkeiten und erforderliche Mittel eingeplant.
Lässt sich die Leitung über Sicherheitsprobleme und den Stand wichtiger Maßnahmen informieren und entscheidet sie über notwendige Schritte?
Gespeicherte Antwort: Sie erhält regelmäßig einen Überblick über wichtige Risiken, Vorfälle und offene Maßnahmen und trifft erforderliche Entscheidungen.
Hat sich die Leitung gezielt Wissen angeeignet, um Cyberrisiken und ihre eigene Verantwortung beurteilen zu können?
Gespeicherte Antwort: Die Leitung hat eine auf ihre Aufgaben zugeschnittene Schulung oder strukturierte Einweisung erhalten.
Sind wichtige Zugänge, insbesondere E-Mail und Administrationszugänge, durch Mehrfaktor-Authentifizierung geschützt?
Gespeicherte Antwort: Nein
Welcher Anteil der Beschäftigten mit IT-Zugang nutzt ausschließlich persönliche Benutzerkonten?
Gespeicherte Antwort: 80 % – angegebener Anteil
Werden Zugänge beim Ausscheiden von Beschäftigten oder Dienstleistern zeitnah gesperrt?
Gespeicherte Antwort: Ja, umgesetzt
Sind administrative Berechtigungen auf notwendige Personen und Aufgaben begrenzt?
Gespeicherte Antwort: Ja, umgesetzt
Wie werden vorhandene Zugriffsrechte überprüft?
Gespeicherte Antwort: Die Rechte in allen wichtigen Systemen wurden überprüft und Abweichungen bearbeitet; ein regelmäßiger Prüfablauf fehlt noch.
Werden Passwörter und andere Zugangsinformationen mit einem festgelegten sicheren Verfahren verwaltet?
Gespeicherte Antwort: Für alle betrieblichen Zugänge gelten festgelegte Regeln für geschützte Ablage und berechtigten Zugriff.
Ist geregelt, wie berechtigte Personen bei Verlust eines zweiten Anmeldefaktors wieder Zugang erhalten?
Gespeicherte Antwort: Für alle betroffenen wichtigen Zugänge sind Identitätsprüfung, Zuständigkeit und geschützte Ersatzverfahren festgelegt.
Werden Sicherheitsupdates für Betriebssysteme und Anwendungen zeitnah installiert?
Gespeicherte Antwort: Ja, umgesetzt
Werden ausschließlich unterstützte Systeme verwendet oder Ausnahmen mit Schutzmaßnahmen dokumentiert?
Gespeicherte Antwort: Ja, umgesetzt
Welcher Anteil der betrieblichen PC-Arbeitsplätze verfügt über aktiven, aktuell gehaltenen Schutz gegen Schadsoftware?
Gespeicherte Antwort: 80 % – angegebener Anteil
Sind eingehende Verbindungen auf tatsächlich benötigte Dienste beschränkt?
Gespeicherte Antwort: Ja, umgesetzt
Sind besonders wichtige Systeme und Gastgeräte durch getrennte Netzwerkbereiche geschützt?
Gespeicherte Antwort: Ja, umgesetzt
Werden neue Geräte und Anwendungen vor der Nutzung anhand festgelegter Sicherheitseinstellungen eingerichtet?
Gespeicherte Antwort: Für neue Geräte und Anwendungen gelten dokumentierte Sicherheitseinstellungen, die vor Nutzung geprüft werden.
Werden bekannt gewordene Schwachstellen erfasst, nach Dringlichkeit behandelt und bis zur Behebung nachverfolgt?
Gespeicherte Antwort: Schwachstellen werden erfasst, priorisiert und mit Zuständigkeit bis zur Behebung oder dokumentierten Entscheidung verfolgt.
Sind wichtige Geräte, Datenträger und Netzkomponenten gegen unbefugten physischen Zugriff geschützt?
Gespeicherte Antwort: Alle wichtigen Geräte, Datenträger und Netzkomponenten sind durch passende Zugangsbeschränkungen geschützt.
Werden geschäftskritische Daten regelmäßig und automatisiert gesichert?
Gespeicherte Antwort: Weiß ich nicht
Sind Sicherungen gegen Veränderung oder Löschung über kompromittierte Produktivzugänge geschützt?
Gespeicherte Antwort: Ja, umgesetzt
Wie werden Wiederherstellungen wichtiger Daten aus Sicherungen praktisch geprüft?
Gespeicherte Antwort: Die Wiederherstellung aller als wichtig festgelegten Datenbereiche wurde erfolgreich getestet; regelmäßige Wiederholungen sind noch nicht etabliert.
Welcher Anteil der betrieblichen mobilen Geräte und tragbaren Datenträger mit Unternehmensdaten ist verschlüsselt?
Gespeicherte Antwort: 80 % – angegebener Anteil
Sind tolerierbarer Datenverlust und Wiederanlaufzeiten festgelegt und durch Tests überprüft?
Gespeicherte Antwort: Ja, umgesetzt
Gibt es freigegebene Verfahren für die Weitergabe vertraulicher Informationen?
Gespeicherte Antwort: Freigegebene Übertragungswege und die Prüfung berechtigter Empfänger sind festgelegt und bekannt.
Werden Unternehmensdaten auf ausgemusterten Geräten und Datenträgern nachvollziehbar gelöscht oder vernichtet?
Gespeicherte Antwort: Für alle betroffenen Geräte und Datenträger ist ein geeignetes Verfahren mit Zuständigkeit und Nachweis festgelegt.
Erhalten Beschäftigte verständliche Hinweise zum Umgang mit verdächtigen E-Mails und Anfragen?
Gespeicherte Antwort: Ja, umgesetzt
Wissen Beschäftigte, an wen sie verdächtige Vorgänge ohne Verzögerung melden können?
Gespeicherte Antwort: Ja, umgesetzt
Sind Sicherheitsaufgaben und Zuständigkeiten mit IT-Dienstleistern eindeutig vereinbart?
Gespeicherte Antwort: Ja, umgesetzt
Werden Sicherheitsleistungen wichtiger Dienstleister regelmäßig überprüft?
Gespeicherte Antwort: Ja, umgesetzt
Werden Cloud-Dienste vor ihrer betrieblichen Nutzung hinsichtlich Sicherheit und Verantwortlichkeiten geprüft?
Gespeicherte Antwort: Vor Nutzung werden festgelegte Sicherheitskriterien und Verantwortlichkeiten geprüft und die Freigabe dokumentiert.
Werden neue Beschäftigte vor der Nutzung betrieblicher IT in die geltenden Sicherheitsregeln eingewiesen?
Gespeicherte Antwort: Alle neuen Beschäftigten werden vor der IT-Nutzung anhand festgelegter Inhalte eingewiesen.
Sind Notfallkontakte auch bei Ausfall von E-Mail oder zentralen IT-Systemen erreichbar?
Gespeicherte Antwort: Ja, umgesetzt
Gibt es verständliche Schritte für den Umgang mit einem vermuteten Sicherheitsvorfall?
Gespeicherte Antwort: Ja, umgesetzt
Werden wichtige technische Sicherheitsmeldungen von einer zuständigen Person bearbeitet?
Gespeicherte Antwort: Ja, umgesetzt
Sind alternative Arbeitsabläufe für den Ausfall wichtiger IT-Systeme festgelegt?
Gespeicherte Antwort: Ja, umgesetzt