10–49 PC-Arbeitsplätze · Vertieft · Stand 22.10.2026. Kein reales Unternehmen, keine Prüfung tatsächlicher Sicherheit. Unveränderlicher Beispielstand, keine bearbeitbare Selbsteinschätzung.
Kurzbericht · Maßnahmenplan · Ergebnisübersicht · Profil und sämtliche Antworten · Eigene Selbsteinschätzung starten
Pilotversion · Bitte zunächst nur fiktive Testprofile verwenden. Fachliche Freigabe des Fragenpools steht aus.
Antworten gespeichert.
Schritt 3 · Ergebnisübersicht
Ihr aktueller Stand
Handel · 10-49 PC-Arbeitsplätze · Vertieft – systematische Umsetzung
Wie vollständig ist Ihre Einschätzung?
Konkret eingeschätzt
44 von 45 FragenWeiß ich nicht
Informationen klärenNoch offen
Antwortgrundlagen ansehenAls nicht zutreffend markiert
Anwendbarkeit prüfenBerechnung: konkrete Sachantworten geteilt durch 45 Fragen (45 insgesamt abzüglich 0 als nicht zutreffend markierter Fragen). Auch Nein, 0 % und eine niedrige Prozessstufe zählen als konkrete Angaben. 100 % bedeutet vollständige Angaben, nicht vollständige Sicherheit.
Antwortgrundlagen ansehen Bericht mit Maßnahmen ansehen18 ergänzende Fragen bleiben außerhalb der Punkteberechnung und der Bewertungsspannen. Die Antworten sind unter Prozessstand beziehungsweise Informationslücken sichtbar; sie zählen zur Vollständigkeit der Angaben.
CRA-P1 · 21.10.2026 · vorläufig
Vorläufige Modellbewertung
85,0–90,0 von 100 Modellpunkten
Rechnerische Spanne, keine fertige Gesamtnote: Ungeklärte Bewertungen werden für die untere Grenze mit 0 und für die obere mit 100 angesetzt. Das ist keine statistische Wahrscheinlichkeit und keine Behauptung, dass die fehlenden Maßnahmen nicht umgesetzt seien.
Fragen innerhalb einer Kategorie zählen gleich viel. Die Kategoriegewichte sind fest und unabhängig von Branche, Anspruchsniveau und Anforderungsbezügen. Nicht erhobene Kategorien bleiben mit einer Spanne von 0 bis 100 offen; ihre Gewichte werden nicht auf andere Kategorien verteilt.
Berechnungsregeln ansehen
Ja = 100, teilweise = 50, nein = 0 Punkte. Prozentanteil = gleicher Zahlenwert als Punkte. Freigegebene Prozessstufen = 0 / 25 / 60 / 100. Kategoriepunkte = Summe der Fragepunkte geteilt durch die Anzahl ihrer ausgewählten Fragen. Gesamtpunkte = Summe aus Kategoriepunkten × Kategoriegewicht / 100. Es wird erst für die Anzeige gerundet.
Prozessbeschreibungen werden nur bewertet, wenn sie mit den im Modell freigegebenen Beschreibungen übereinstimmen. Geänderte oder neue Prozessstufen brauchen eine fachliche Zuordnung. Die Bewertung wird bei jedem Aufruf aus den gespeicherten Antworten berechnet und mit der Modellversion gekennzeichnet. Eine historische Ergebnisablage oder ein Vergleich zwischen Durchläufen ist noch nicht enthalten.
Einzeldefizite im Blick behalten
Diese ausdrücklich angegebenen Lücken bleiben unabhängig vom Gesamtwert sichtbar: Nein, 0 % oder die unterste freigegebene Prozessstufe. Eine fachliche Einstufung ihrer Kritikalität ist damit noch nicht verbunden.
Zugänge und Berechtigungen
Sind wichtige Zugänge, insbesondere E-Mail und Administrationszugänge, durch Mehrfaktor-Authentifizierung geschützt?
Nein
Antwort prüfenWeitere unvollständige Umsetzungen · 5
- Zugänge und Berechtigungen: Welcher Anteil der Beschäftigten mit IT-Zugang nutzt ausschließlich persönliche Benutzerkonten? — 80 % – angegebener Anteil Antwort prüfen
- Zugänge und Berechtigungen: Wie werden vorhandene Zugriffsrechte überprüft? — Die Rechte in allen wichtigen Systemen wurden überprüft und Abweichungen bearbeitet; ein regelmäßiger Prüfablauf fehlt noch. Antwort prüfen
- Geräte, Software und Netz: Welcher Anteil der betrieblichen PC-Arbeitsplätze verfügt über aktiven, aktuell gehaltenen Schutz gegen Schadsoftware? — 80 % – angegebener Anteil Antwort prüfen
- Daten und Sicherungen: Wie werden Wiederherstellungen wichtiger Daten aus Sicherungen praktisch geprüft? — Die Wiederherstellung aller als wichtig festgelegten Datenbereiche wurde erfolgreich getestet; regelmäßige Wiederholungen sind noch nicht etabliert. Antwort prüfen
- Daten und Sicherungen: Welcher Anteil der betrieblichen mobilen Geräte und tragbaren Datenträger mit Unternehmensdaten ist verschlüsselt? — 80 % – angegebener Anteil Antwort prüfen
Sicherheitskategorien im Spinnendiagramm
Die sechs Achsen zeigen die Kategoriepunkte von 0 bis 100 nach CRA-P1 · 21.10.2026 · vorläufig. Die Gewichte verändern nur die Gesamtbewertung, nicht die Achsen oder deren Länge.
Durchgezogen: rechnerische Untergrenze. Gestrichelt: rechnerische Obergrenze. Schraffur und ?: ungeklärte Bewertung, keine bestätigte Umsetzung.
- Organisation — 100,0 Punkte; 4 von 4 Fragen bewertet.
- Zugänge und Berechtigungen — 68,0 Punkte; 5 von 5 Fragen bewertet.
- Geräte, Software und Netz — 96,0 Punkte; 5 von 5 Fragen bewertet.
- Daten und Sicherungen — 68,0–88,0 mögliche Punkte · ungeklärt; 4 von 5 Fragen bewertet.
- Menschen und Dienstleister — 100,0 Punkte; 4 von 4 Fragen bewertet.
- Vorfälle und Betriebsfähigkeit — 100,0 Punkte; 4 von 4 Fragen bewertet.
100 ist das Skalenmaximum des vorläufigen Modells, kein bestätigter Zielwert und kein Branchenvergleich. Für solche Vergleiche liegen noch keine vereinbarten Referenzdaten vor. Die eingeschlossene Fläche ist keine zusätzliche Kennzahl. Informationslücken und Einzeldefizite bleiben separat ausgewiesen.
Kategoriegewichte und Modellpunkte
Organisation
15 % Gewicht
100,0 von 100 Modellpunkten
4 von 4 Fragen bewertet.
0 unbekannt · 0 offen · 0 Anwendbarkeit ungeprüft · 0 ohne Punktezuordnung
Zugänge und Berechtigungen
20 % Gewicht
68,0 von 100 Modellpunkten
5 von 5 Fragen bewertet.
0 unbekannt · 0 offen · 0 Anwendbarkeit ungeprüft · 0 ohne Punktezuordnung
Geräte, Software und Netz
15 % Gewicht
96,0 von 100 Modellpunkten
5 von 5 Fragen bewertet.
0 unbekannt · 0 offen · 0 Anwendbarkeit ungeprüft · 0 ohne Punktezuordnung
Daten und Sicherungen
25 % Gewicht
68,0–88,0 von 100 Modellpunkten
4 von 5 Fragen bewertet.
1 unbekannt · 0 offen · 0 Anwendbarkeit ungeprüft · 0 ohne Punktezuordnung
Menschen und Dienstleister
10 % Gewicht
100,0 von 100 Modellpunkten
4 von 4 Fragen bewertet.
0 unbekannt · 0 offen · 0 Anwendbarkeit ungeprüft · 0 ohne Punktezuordnung
Vorfälle und Betriebsfähigkeit
15 % Gewicht
100,0 von 100 Modellpunkten
4 von 4 Fragen bewertet.
0 unbekannt · 0 offen · 0 Anwendbarkeit ungeprüft · 0 ohne Punktezuordnung
Maßnahmenabdeckung
Die Anteile gelten jeweils für die angegebene Bezugsgröße. Das Bewertungsmodell übernimmt den Zahlenwert als Punkte; daraus entsteht keine gemeinsame prozentuale Abdeckung von Personen, Geräten und Datenträgern.
Zugänge und Berechtigungen
Welcher Anteil der Beschäftigten mit IT-Zugang nutzt ausschließlich persönliche Benutzerkonten?
80 % – angegebener Anteil
Bezugsgröße: alle Beschäftigten mit IT-Zugang. Zählen Sie Personen, die für ihre Arbeit ausschließlich eigene Konten verwenden. 0 %: niemand; 100 %: alle. Beispiel: 14 von 20 Personen = 70 %. Auf den nächsten Zehnerwert schätzen; bei fehlender Übersicht „Weiß ich nicht“ wählen.
Geräte, Software und Netz
Welcher Anteil der betrieblichen PC-Arbeitsplätze verfügt über aktiven, aktuell gehaltenen Schutz gegen Schadsoftware?
80 % – angegebener Anteil
Bezugsgröße: alle betrieblich genutzten Desktop-PCs und Notebooks. Zählen Sie Geräte mit aktiviertem, aktuell gehaltenem Schutz gegen Schadsoftware. 0 %: kein Gerät; 100 %: alle Geräte. Auf den nächsten Zehnerwert schätzen. Bei unbekanntem Gerätestatus „Weiß ich nicht“ wählen. Der Anteil bewertet nicht die Qualität des Schutzprodukts.
Daten und Sicherungen
Welcher Anteil der betrieblichen mobilen Geräte und tragbaren Datenträger mit Unternehmensdaten ist verschlüsselt?
80 % – angegebener Anteil
Bezugsgröße: alle betrieblichen Notebooks, Smartphones, Tablets und tragbaren Datenträger, auf denen Unternehmensdaten liegen. Zählen Sie vollständig verschlüsselte Geräte bzw. Datenträger. 0 %: keiner; 100 %: alle. Auf den nächsten Zehnerwert schätzen. Gibt es keine solchen Geräte oder Datenträger, wählen Sie „Nicht zutreffend“.
Prozessstand
Die gewählte Beschreibung bleibt maßgeblich. Für die im Modell freigegebenen vierstufigen Prozesse werden ergänzend 0, 25, 60 oder 100 Punkte zugeordnet. Das sind keine Umsetzungsprozente.
Organisation
Sind die grundlegenden Regeln zur sicheren Nutzung der IT schriftlich festgehalten und den Beschäftigten bekannt?
Die grundlegenden Regeln sind schriftlich festgehalten und allen betroffenen Personen bekannt.
Für diese Prozessbeschreibung ist noch keine Punktezuordnung freigegeben.
Organisation
Haben Sie festgehalten, welche IT-Sicherheitsereignisse Ihren Betrieb wesentlich beeinträchtigen könnten?
Für unsere wichtigen Geschäftsabläufe sind wesentliche Risiken und mögliche Folgen festgehalten.
Für diese Prozessbeschreibung ist noch keine Punktezuordnung freigegeben.
Organisation
Beurteilen Sie nach nachvollziehbaren Kriterien, welche Risiken zuerst behandelt werden müssen?
Wir beurteilen die Risiken nach einheitlichen Kriterien für mögliche Folgen und die Wahrscheinlichkeit ihres Eintretens.
Für diese Prozessbeschreibung ist noch keine Punktezuordnung freigegeben.
Organisation
Ist für wesentliche Risiken entschieden, was dagegen getan wird und wer dafür zuständig ist?
Für wesentliche Risiken sind Vorgehen, Verantwortliche und Termine festgelegt.
Für diese Prozessbeschreibung ist noch keine Punktezuordnung freigegeben.
Organisation
Werden Risiken, die trotz Maßnahmen bestehen bleiben, bewusst von einer befugten Person akzeptiert?
Wesentliche verbleibende Risiken werden einschließlich ihrer Folgen von einer befugten Person nachvollziehbar akzeptiert.
Für diese Prozessbeschreibung ist noch keine Punktezuordnung freigegeben.
Organisation
Entscheidet die Unternehmensleitung über die wesentlichen Sicherheitsziele und Schutzmaßnahmen?
Sie hat wesentliche Sicherheitsziele und Schutzmaßnahmen ausdrücklich bestätigt.
Für diese Prozessbeschreibung ist noch keine Punktezuordnung freigegeben.
Organisation
Stellt die Leitung ausreichend Zeit, Unterstützung und finanzielle Mittel für die beschlossenen Sicherheitsmaßnahmen bereit?
Für die beschlossenen Maßnahmen sind Zeit, Zuständigkeiten und erforderliche Mittel eingeplant.
Für diese Prozessbeschreibung ist noch keine Punktezuordnung freigegeben.
Organisation
Lässt sich die Leitung über Sicherheitsprobleme und den Stand wichtiger Maßnahmen informieren und entscheidet sie über notwendige Schritte?
Sie erhält regelmäßig einen Überblick über wichtige Risiken, Vorfälle und offene Maßnahmen und trifft erforderliche Entscheidungen.
Für diese Prozessbeschreibung ist noch keine Punktezuordnung freigegeben.
Organisation
Hat sich die Leitung gezielt Wissen angeeignet, um Cyberrisiken und ihre eigene Verantwortung beurteilen zu können?
Die Leitung hat eine auf ihre Aufgaben zugeschnittene Schulung oder strukturierte Einweisung erhalten.
Für diese Prozessbeschreibung ist noch keine Punktezuordnung freigegeben.
Zugänge und Berechtigungen
Wie werden vorhandene Zugriffsrechte überprüft?
Die Rechte in allen wichtigen Systemen wurden überprüft und Abweichungen bearbeitet; ein regelmäßiger Prüfablauf fehlt noch.
60 Modellpunkte
Zugänge und Berechtigungen
Werden Passwörter und andere Zugangsinformationen mit einem festgelegten sicheren Verfahren verwaltet?
Für alle betrieblichen Zugänge gelten festgelegte Regeln für geschützte Ablage und berechtigten Zugriff.
Für diese Prozessbeschreibung ist noch keine Punktezuordnung freigegeben.
Zugänge und Berechtigungen
Ist geregelt, wie berechtigte Personen bei Verlust eines zweiten Anmeldefaktors wieder Zugang erhalten?
Für alle betroffenen wichtigen Zugänge sind Identitätsprüfung, Zuständigkeit und geschützte Ersatzverfahren festgelegt.
Für diese Prozessbeschreibung ist noch keine Punktezuordnung freigegeben.
Geräte, Software und Netz
Werden neue Geräte und Anwendungen vor der Nutzung anhand festgelegter Sicherheitseinstellungen eingerichtet?
Für neue Geräte und Anwendungen gelten dokumentierte Sicherheitseinstellungen, die vor Nutzung geprüft werden.
Für diese Prozessbeschreibung ist noch keine Punktezuordnung freigegeben.
Geräte, Software und Netz
Werden bekannt gewordene Schwachstellen erfasst, nach Dringlichkeit behandelt und bis zur Behebung nachverfolgt?
Schwachstellen werden erfasst, priorisiert und mit Zuständigkeit bis zur Behebung oder dokumentierten Entscheidung verfolgt.
Für diese Prozessbeschreibung ist noch keine Punktezuordnung freigegeben.
Geräte, Software und Netz
Sind wichtige Geräte, Datenträger und Netzkomponenten gegen unbefugten physischen Zugriff geschützt?
Alle wichtigen Geräte, Datenträger und Netzkomponenten sind durch passende Zugangsbeschränkungen geschützt.
Für diese Prozessbeschreibung ist noch keine Punktezuordnung freigegeben.
Daten und Sicherungen
Wie werden Wiederherstellungen wichtiger Daten aus Sicherungen praktisch geprüft?
Die Wiederherstellung aller als wichtig festgelegten Datenbereiche wurde erfolgreich getestet; regelmäßige Wiederholungen sind noch nicht etabliert.
60 Modellpunkte
Daten und Sicherungen
Gibt es freigegebene Verfahren für die Weitergabe vertraulicher Informationen?
Freigegebene Übertragungswege und die Prüfung berechtigter Empfänger sind festgelegt und bekannt.
Für diese Prozessbeschreibung ist noch keine Punktezuordnung freigegeben.
Daten und Sicherungen
Werden Unternehmensdaten auf ausgemusterten Geräten und Datenträgern nachvollziehbar gelöscht oder vernichtet?
Für alle betroffenen Geräte und Datenträger ist ein geeignetes Verfahren mit Zuständigkeit und Nachweis festgelegt.
Für diese Prozessbeschreibung ist noch keine Punktezuordnung freigegeben.
Menschen und Dienstleister
Werden Cloud-Dienste vor ihrer betrieblichen Nutzung hinsichtlich Sicherheit und Verantwortlichkeiten geprüft?
Vor Nutzung werden festgelegte Sicherheitskriterien und Verantwortlichkeiten geprüft und die Freigabe dokumentiert.
Für diese Prozessbeschreibung ist noch keine Punktezuordnung freigegeben.
Menschen und Dienstleister
Werden neue Beschäftigte vor der Nutzung betrieblicher IT in die geltenden Sicherheitsregeln eingewiesen?
Alle neuen Beschäftigten werden vor der IT-Nutzung anhand festgelegter Inhalte eingewiesen.
Für diese Prozessbeschreibung ist noch keine Punktezuordnung freigegeben.
Weitere Sachangaben
Ja, teilweise und nein bleiben als Aussagen erhalten. Das vorläufige Modell ordnet ihnen ergänzend 100, 50 beziehungsweise 0 Punkte zu.
Organisation
Ist klar benannt, wer Entscheidungen zur Informationssicherheit trifft?
Ja, umgesetzt
Organisation
Gibt es eine aktuelle Übersicht der wichtigsten Geräte, Anwendungen und IT-Dienstleister?
Ja, umgesetzt
Organisation
Sind die für den Geschäftsbetrieb unverzichtbaren IT-Systeme bekannt?
Ja, umgesetzt
Organisation
Werden Sicherheitsmaßnahmen regelmäßig mit Verantwortlichen und Terminen überprüft?
Ja, umgesetzt
Zugänge und Berechtigungen
Sind wichtige Zugänge, insbesondere E-Mail und Administrationszugänge, durch Mehrfaktor-Authentifizierung geschützt?
Nein
Zugänge und Berechtigungen
Werden Zugänge beim Ausscheiden von Beschäftigten oder Dienstleistern zeitnah gesperrt?
Ja, umgesetzt
Zugänge und Berechtigungen
Sind administrative Berechtigungen auf notwendige Personen und Aufgaben begrenzt?
Ja, umgesetzt
Geräte, Software und Netz
Werden Sicherheitsupdates für Betriebssysteme und Anwendungen zeitnah installiert?
Ja, umgesetzt
Geräte, Software und Netz
Werden ausschließlich unterstützte Systeme verwendet oder Ausnahmen mit Schutzmaßnahmen dokumentiert?
Ja, umgesetzt
Geräte, Software und Netz
Sind eingehende Verbindungen auf tatsächlich benötigte Dienste beschränkt?
Ja, umgesetzt
Geräte, Software und Netz
Sind besonders wichtige Systeme und Gastgeräte durch getrennte Netzwerkbereiche geschützt?
Ja, umgesetzt
Daten und Sicherungen
Sind Sicherungen gegen Veränderung oder Löschung über kompromittierte Produktivzugänge geschützt?
Ja, umgesetzt
Daten und Sicherungen
Sind tolerierbarer Datenverlust und Wiederanlaufzeiten festgelegt und durch Tests überprüft?
Ja, umgesetzt
Menschen und Dienstleister
Erhalten Beschäftigte verständliche Hinweise zum Umgang mit verdächtigen E-Mails und Anfragen?
Ja, umgesetzt
Menschen und Dienstleister
Wissen Beschäftigte, an wen sie verdächtige Vorgänge ohne Verzögerung melden können?
Ja, umgesetzt
Menschen und Dienstleister
Sind Sicherheitsaufgaben und Zuständigkeiten mit IT-Dienstleistern eindeutig vereinbart?
Ja, umgesetzt
Menschen und Dienstleister
Werden Sicherheitsleistungen wichtiger Dienstleister regelmäßig überprüft?
Ja, umgesetzt
Vorfälle und Betriebsfähigkeit
Sind Notfallkontakte auch bei Ausfall von E-Mail oder zentralen IT-Systemen erreichbar?
Ja, umgesetzt
Vorfälle und Betriebsfähigkeit
Gibt es verständliche Schritte für den Umgang mit einem vermuteten Sicherheitsvorfall?
Ja, umgesetzt
Vorfälle und Betriebsfähigkeit
Werden wichtige technische Sicherheitsmeldungen von einer zuständigen Person bearbeitet?
Ja, umgesetzt
Vorfälle und Betriebsfähigkeit
Sind alternative Arbeitsabläufe für den Ausfall wichtiger IT-Systeme festgelegt?
Ja, umgesetzt
Informationslücken
Weiß ich nicht · 1
Diese Angaben müssen geklärt werden. Sie gelten nicht als bestätigtes Defizit.
- Daten und Sicherungen: Werden geschäftskritische Daten regelmäßig und automatisiert gesichert?
Noch offen · 0
Zu diesen Fragen wurde noch keine Antwort gespeichert.
- Keine offenen Antworten.
Anwendbarkeit prüfen · 0
Als nicht zutreffend markierte Fragen liefern keine Aussage über die Umsetzung.
- Keine Fragen ausgeschlossen.
Vollständigkeit nach Kategorie
Diese Übersicht zeigt, wo konkrete Angaben vorliegen und wo Informationen fehlen. Sie bewertet nicht den Sicherheitsstand der Kategorie.
Organisation
13 von 13 Fragen konkret eingeschätzt · 100,0 %
0 unbekannt · 0 offen · 0 als nicht zutreffend markiert
Zugänge und Berechtigungen
7 von 7 Fragen konkret eingeschätzt · 100,0 %
0 unbekannt · 0 offen · 0 als nicht zutreffend markiert
Geräte, Software und Netz
8 von 8 Fragen konkret eingeschätzt · 100,0 %
0 unbekannt · 0 offen · 0 als nicht zutreffend markiert
Daten und Sicherungen
6 von 7 Fragen konkret eingeschätzt · 85,7 %
1 unbekannt · 0 offen · 0 als nicht zutreffend markiert
Menschen und Dienstleister
6 von 6 Fragen konkret eingeschätzt · 100,0 %
0 unbekannt · 0 offen · 0 als nicht zutreffend markiert
Vorfälle und Betriebsfähigkeit
4 von 4 Fragen konkret eingeschätzt · 100,0 %
0 unbekannt · 0 offen · 0 als nicht zutreffend markiert