10–49 PC-Arbeitsplätze · Vertieft · Stand 22.10.2026. Kein reales Unternehmen, keine Prüfung tatsächlicher Sicherheit. Unveränderlicher Beispielstand, keine bearbeitbare Selbsteinschätzung.
Kurzbericht · Maßnahmenplan · Ergebnisübersicht · Profil und sämtliche Antworten · Eigene Selbsteinschätzung starten
Pilotversion · Bitte zunächst nur fiktive Testprofile verwenden. Fachliche Freigabe des Fragenpools steht aus.
Ihre Selbsteinschätzung · Optionaler Maßnahmenplan
Ihre nächsten Schritte im Detail
Handel · 10-49 PC-Arbeitsplätze · Vertieft – systematische Umsetzung
Beispielstand: 22.10.2026 · Unveränderlicher Beispielstand.
Drucken oder als PDF speichern: Strg + P. Kurzbericht und Maßnahmenplan werden jeweils separat gedruckt.
18 ergänzende Fragen werden beschreibend ausgewertet. Sie verändern weder Modellpunkte noch Bewertungsspannen. Ihre Angaben und offenen Klärungen bleiben separat sichtbar.
Die Aufgaben beruhen auf Ihren Antworten. Verantwortliche Rollen und Reihenfolge sind Vorschläge; Erfolgskriterien helfen bei der praktischen Prüfung. Bereits erledigte Teilschritte müssen nicht wiederholt werden.
Verbesserungen umsetzen
Zuerst absichern · Zugänge und Berechtigungen
Mehrfaktor-Schutz wichtiger Zugänge vervollständigen
Ihre Angabe: Sind wichtige Zugänge, insbesondere E-Mail und Administrationszugänge, durch Mehrfaktor-Authentifizierung geschützt? — Nein
Diese Maßnahme betrifft einen unmittelbaren Zugangs-, Erkennungs- oder Wiederherstellungsweg. Deshalb wird sie im redaktionellen Vorschlag zuerst behandelt.
- E-Mail-, Administrations- und weitere wichtige Zugänge auflisten und bestehende MFA-Abdeckung prüfen.
- MFA für ungeschützte Zugänge einrichten; Wiederherstellungszugang sicher hinterlegen und Anmeldung testen.
Verantwortliche Rolle: IT-Verantwortliche mit betroffener Fachabteilung; bei Bedarf IT-Dienstleister
Erfolgskriterium: Alle als wichtig festgelegten Zugänge verlangen MFA; kontrollierte Ausnahmen und Wiederherstellungswege sind dokumentiert.
Voraussetzungen: Zuständige Person und betroffene Systeme beziehungsweise Abläufe müssen bekannt sein; Änderungen mit dem Betrieb abstimmen.
Aufwand: Abhängig von Umfang und vorhandener Technik; vor Umsetzung durch die zuständige Person abschätzen.
Zuerst absichern · Daten und Sicherungen
Erfolgreiche Wiederherstellungstests regelmäßig wiederholen
Ihre Angabe: Wie werden Wiederherstellungen wichtiger Daten aus Sicherungen praktisch geprüft? — Die Wiederherstellung aller als wichtig festgelegten Datenbereiche wurde erfolgreich getestet; regelmäßige Wiederholungen sind noch nicht etabliert.
Diese Maßnahme betrifft einen unmittelbaren Zugangs-, Erkennungs- oder Wiederherstellungsweg. Deshalb wird sie im redaktionellen Vorschlag zuerst behandelt.
- Für alle wichtigen Datenbereiche einen wiederkehrenden Testplan mit Verantwortlichen festlegen.
- Tests in isolierter Umgebung wiederholen und Ergebnisse, Dauer sowie Korrekturen dokumentieren.
Verantwortliche Rolle: IT-Verantwortliche mit betroffener Fachabteilung; bei Bedarf IT-Dienstleister
Erfolgskriterium: Wiederholungen sind geplant und werden mit dokumentierten Ergebnissen durchgeführt.
Voraussetzungen: Zuständige Person und betroffene Systeme beziehungsweise Abläufe müssen bekannt sein; Änderungen mit dem Betrieb abstimmen.
Aufwand: Abhängig von Umfang und vorhandener Technik; vor Umsetzung durch die zuständige Person abschätzen.
Anschließend umsetzen · Zugänge und Berechtigungen
Persönliche Konten vervollständigen
Ihre Angabe: Welcher Anteil der Beschäftigten mit IT-Zugang nutzt ausschließlich persönliche Benutzerkonten? — 80 % – angegebener Anteil
Die Maßnahme verbessert die verlässliche Durchführung und Organisation des Sicherheitsbetriebs. Die Reihenfolge ist mit den betrieblichen Abhängigkeiten abzugleichen.
- Beschäftigte mit gemeinsam verwendeten Kennungen ermitteln.
- Persönliche Konten einrichten und gemeinsame Kennungen nach geprüftem Übergang ablösen.
Verantwortliche Rolle: IT-Verantwortliche mit betroffener Fachabteilung; bei Bedarf IT-Dienstleister
Erfolgskriterium: Der Anteil ausschließlich persönlicher Konten ist erneut anhand der Beschäftigten mit IT-Zugang ermittelt.
Voraussetzungen: Zuständige Person und betroffene Systeme beziehungsweise Abläufe müssen bekannt sein; Änderungen mit dem Betrieb abstimmen.
Aufwand: Abhängig von Umfang und vorhandener Technik; vor Umsetzung durch die zuständige Person abschätzen.
Anschließend umsetzen · Zugänge und Berechtigungen
Berechtigungsprüfung vervollständigen und wiederholen
Ihre Angabe: Wie werden vorhandene Zugriffsrechte überprüft? — Die Rechte in allen wichtigen Systemen wurden überprüft und Abweichungen bearbeitet; ein regelmäßiger Prüfablauf fehlt noch.
Die Maßnahme verbessert die verlässliche Durchführung und Organisation des Sicherheitsbetriebs. Die Reihenfolge ist mit den betrieblichen Abhängigkeiten abzugleichen.
- Ausgehend von der gewählten Prozessstufe die noch nicht geprüften wichtigen Systeme erfassen und Rechte mit den Verantwortlichen abgleichen.
- Abweichungen bearbeiten und für die vollständige Übersicht einen wiederkehrenden Prüfplan mit Ergebnisprotokoll einrichten.
Verantwortliche Rolle: IT-Verantwortliche mit betroffener Fachabteilung; bei Bedarf IT-Dienstleister
Erfolgskriterium: Alle wichtigen Systeme sind geprüft; Korrekturen und der nächste Prüftermin sind dokumentiert.
Voraussetzungen: Zuständige Person und betroffene Systeme beziehungsweise Abläufe müssen bekannt sein; Änderungen mit dem Betrieb abstimmen.
Aufwand: Abhängig von Umfang und vorhandener Technik; vor Umsetzung durch die zuständige Person abschätzen.
Anschließend umsetzen · Geräte, Software und Netz
Abdeckung des Schadsoftwareschutzes vervollständigen
Ihre Angabe: Welcher Anteil der betrieblichen PC-Arbeitsplätze verfügt über aktiven, aktuell gehaltenen Schutz gegen Schadsoftware? — 80 % – angegebener Anteil
Die Maßnahme verbessert die verlässliche Durchführung und Organisation des Sicherheitsbetriebs. Die Reihenfolge ist mit den betrieblichen Abhängigkeiten abzugleichen.
- Desktop-PCs und Notebooks mit fehlendem oder veraltetem Schutz ermitteln.
- Schutz aktivieren beziehungsweise aktualisieren und zentrale Statuskontrolle prüfen.
Verantwortliche Rolle: IT-Verantwortliche mit betroffener Fachabteilung; bei Bedarf IT-Dienstleister
Erfolgskriterium: Der Gerätestatus ist erneut erhoben; verbleibende Ausnahmen sind bekannt und werden bearbeitet.
Voraussetzungen: Zuständige Person und betroffene Systeme beziehungsweise Abläufe müssen bekannt sein; Änderungen mit dem Betrieb abstimmen.
Aufwand: Abhängig von Umfang und vorhandener Technik; vor Umsetzung durch die zuständige Person abschätzen.
Anschließend umsetzen · Daten und Sicherungen
Verschlüsselung mobiler Daten vervollständigen
Ihre Angabe: Welcher Anteil der betrieblichen mobilen Geräte und tragbaren Datenträger mit Unternehmensdaten ist verschlüsselt? — 80 % – angegebener Anteil
Die Maßnahme verbessert die verlässliche Durchführung und Organisation des Sicherheitsbetriebs. Die Reihenfolge ist mit den betrieblichen Abhängigkeiten abzugleichen.
- Mobile Geräte und tragbare Datenträger mit Unternehmensdaten sowie ihren Verschlüsselungsstatus erfassen.
- Fehlende Verschlüsselung einrichten und Wiederherstellungsschlüssel geschützt verwalten.
Verantwortliche Rolle: IT-Verantwortliche mit betroffener Fachabteilung; bei Bedarf IT-Dienstleister
Erfolgskriterium: Der Verschlüsselungsstatus ist für die Bezugsgröße geprüft; die sichere Wiederherstellung des Zugangs wurde getestet.
Voraussetzungen: Zuständige Person und betroffene Systeme beziehungsweise Abläufe müssen bekannt sein; Änderungen mit dem Betrieb abstimmen.
Aufwand: Abhängig von Umfang und vorhandener Technik; vor Umsetzung durch die zuständige Person abschätzen.
Informationen und Anwendbarkeit klären
Informationslücken sind keine bestätigten Schutzlücken. Befragen Sie zuständige Personen und prüfen Sie verfügbare Unterlagen. Eine Nichtanwendbarkeit sollte begründet werden.
Stand klären: Sicherung wichtiger Daten vervollständigen
Werden geschäftskritische Daten regelmäßig und automatisiert gesichert? — Weiß ich nicht
Der tatsächliche Stand ist unbekannt. Eine fehlende Information belegt keine fehlende Schutzmaßnahme.
- Die zuständige Person oder den IT-Dienstleister zur konkreten Frage befragen.
- Den tatsächlichen Stand anhand einer Konfiguration, Übersicht oder eines Testprotokolls prüfen und die Gespeicherte Beispielantwort ansehen.
Erfolgskriterium: Eine nachvollziehbare Antwort liegt vor; eine Nichtanwendbarkeit ist intern begründet.
Positive Ausgangspunkte erhalten
- Ist klar benannt, wer Entscheidungen zur Informationssicherheit trifft? — Ja, umgesetzt
- Gibt es eine aktuelle Übersicht der wichtigsten Geräte, Anwendungen und IT-Dienstleister? — Ja, umgesetzt
- Sind die für den Geschäftsbetrieb unverzichtbaren IT-Systeme bekannt? — Ja, umgesetzt
- Werden Sicherheitsmaßnahmen regelmäßig mit Verantwortlichen und Terminen überprüft? — Ja, umgesetzt
- Werden Zugänge beim Ausscheiden von Beschäftigten oder Dienstleistern zeitnah gesperrt? — Ja, umgesetzt
- Sind administrative Berechtigungen auf notwendige Personen und Aufgaben begrenzt? — Ja, umgesetzt
- Werden Sicherheitsupdates für Betriebssysteme und Anwendungen zeitnah installiert? — Ja, umgesetzt
- Werden ausschließlich unterstützte Systeme verwendet oder Ausnahmen mit Schutzmaßnahmen dokumentiert? — Ja, umgesetzt
- Sind eingehende Verbindungen auf tatsächlich benötigte Dienste beschränkt? — Ja, umgesetzt
- Sind besonders wichtige Systeme und Gastgeräte durch getrennte Netzwerkbereiche geschützt? — Ja, umgesetzt
- Sind Sicherungen gegen Veränderung oder Löschung über kompromittierte Produktivzugänge geschützt? — Ja, umgesetzt
- Sind tolerierbarer Datenverlust und Wiederanlaufzeiten festgelegt und durch Tests überprüft? — Ja, umgesetzt
- Erhalten Beschäftigte verständliche Hinweise zum Umgang mit verdächtigen E-Mails und Anfragen? — Ja, umgesetzt
- Wissen Beschäftigte, an wen sie verdächtige Vorgänge ohne Verzögerung melden können? — Ja, umgesetzt
- Sind Sicherheitsaufgaben und Zuständigkeiten mit IT-Dienstleistern eindeutig vereinbart? — Ja, umgesetzt
- Werden Sicherheitsleistungen wichtiger Dienstleister regelmäßig überprüft? — Ja, umgesetzt
- Sind Notfallkontakte auch bei Ausfall von E-Mail oder zentralen IT-Systemen erreichbar? — Ja, umgesetzt
- Gibt es verständliche Schritte für den Umgang mit einem vermuteten Sicherheitsvorfall? — Ja, umgesetzt
- Werden wichtige technische Sicherheitsmeldungen von einer zuständigen Person bearbeitet? — Ja, umgesetzt
- Sind alternative Arbeitsabläufe für den Ausfall wichtiger IT-Systeme festgelegt? — Ja, umgesetzt
Auch positive Angaben sind Selbstauskünfte und keine unabhängig geprüften Nachweise.
Ergänzende Fragen ohne Punkte
Diese Antworten beschreiben Ihren Stand. Eine Punktebewertung und individuelle Maßnahmenableitung sind für diese neuen Fragen noch nicht freigegeben.
Sind die grundlegenden Regeln zur sicheren Nutzung der IT schriftlich festgehalten und den Beschäftigten bekannt?
Ihre Antwort: Die grundlegenden Regeln sind schriftlich festgehalten und allen betroffenen Personen bekannt.
Haben Sie festgehalten, welche IT-Sicherheitsereignisse Ihren Betrieb wesentlich beeinträchtigen könnten?
Ihre Antwort: Für unsere wichtigen Geschäftsabläufe sind wesentliche Risiken und mögliche Folgen festgehalten.
Beurteilen Sie nach nachvollziehbaren Kriterien, welche Risiken zuerst behandelt werden müssen?
Ihre Antwort: Wir beurteilen die Risiken nach einheitlichen Kriterien für mögliche Folgen und die Wahrscheinlichkeit ihres Eintretens.
Ist für wesentliche Risiken entschieden, was dagegen getan wird und wer dafür zuständig ist?
Ihre Antwort: Für wesentliche Risiken sind Vorgehen, Verantwortliche und Termine festgelegt.
Werden Risiken, die trotz Maßnahmen bestehen bleiben, bewusst von einer befugten Person akzeptiert?
Ihre Antwort: Wesentliche verbleibende Risiken werden einschließlich ihrer Folgen von einer befugten Person nachvollziehbar akzeptiert.
Entscheidet die Unternehmensleitung über die wesentlichen Sicherheitsziele und Schutzmaßnahmen?
Ihre Antwort: Sie hat wesentliche Sicherheitsziele und Schutzmaßnahmen ausdrücklich bestätigt.
Stellt die Leitung ausreichend Zeit, Unterstützung und finanzielle Mittel für die beschlossenen Sicherheitsmaßnahmen bereit?
Ihre Antwort: Für die beschlossenen Maßnahmen sind Zeit, Zuständigkeiten und erforderliche Mittel eingeplant.
Lässt sich die Leitung über Sicherheitsprobleme und den Stand wichtiger Maßnahmen informieren und entscheidet sie über notwendige Schritte?
Ihre Antwort: Sie erhält regelmäßig einen Überblick über wichtige Risiken, Vorfälle und offene Maßnahmen und trifft erforderliche Entscheidungen.
Hat sich die Leitung gezielt Wissen angeeignet, um Cyberrisiken und ihre eigene Verantwortung beurteilen zu können?
Ihre Antwort: Die Leitung hat eine auf ihre Aufgaben zugeschnittene Schulung oder strukturierte Einweisung erhalten.
Werden Passwörter und andere Zugangsinformationen mit einem festgelegten sicheren Verfahren verwaltet?
Ihre Antwort: Für alle betrieblichen Zugänge gelten festgelegte Regeln für geschützte Ablage und berechtigten Zugriff.
Ist geregelt, wie berechtigte Personen bei Verlust eines zweiten Anmeldefaktors wieder Zugang erhalten?
Ihre Antwort: Für alle betroffenen wichtigen Zugänge sind Identitätsprüfung, Zuständigkeit und geschützte Ersatzverfahren festgelegt.
Werden neue Geräte und Anwendungen vor der Nutzung anhand festgelegter Sicherheitseinstellungen eingerichtet?
Ihre Antwort: Für neue Geräte und Anwendungen gelten dokumentierte Sicherheitseinstellungen, die vor Nutzung geprüft werden.
Werden bekannt gewordene Schwachstellen erfasst, nach Dringlichkeit behandelt und bis zur Behebung nachverfolgt?
Ihre Antwort: Schwachstellen werden erfasst, priorisiert und mit Zuständigkeit bis zur Behebung oder dokumentierten Entscheidung verfolgt.
Sind wichtige Geräte, Datenträger und Netzkomponenten gegen unbefugten physischen Zugriff geschützt?
Ihre Antwort: Alle wichtigen Geräte, Datenträger und Netzkomponenten sind durch passende Zugangsbeschränkungen geschützt.
Gibt es freigegebene Verfahren für die Weitergabe vertraulicher Informationen?
Ihre Antwort: Freigegebene Übertragungswege und die Prüfung berechtigter Empfänger sind festgelegt und bekannt.
Werden Unternehmensdaten auf ausgemusterten Geräten und Datenträgern nachvollziehbar gelöscht oder vernichtet?
Ihre Antwort: Für alle betroffenen Geräte und Datenträger ist ein geeignetes Verfahren mit Zuständigkeit und Nachweis festgelegt.
Werden Cloud-Dienste vor ihrer betrieblichen Nutzung hinsichtlich Sicherheit und Verantwortlichkeiten geprüft?
Ihre Antwort: Vor Nutzung werden festgelegte Sicherheitskriterien und Verantwortlichkeiten geprüft und die Freigabe dokumentiert.
Werden neue Beschäftigte vor der Nutzung betrieblicher IT in die geltenden Sicherheitsregeln eingewiesen?
Ihre Antwort: Alle neuen Beschäftigten werden vor der IT-Nutzung anhand festgelegter Inhalte eingewiesen.
Begründete Risikoszenarien
Bedingte mögliche Abläufe, keine Vorhersagen. Zeitpunkt, Eintrittswahrscheinlichkeit und Schadenshöhe sind nicht bestimmt.
Missbrauch eines wichtigen Benutzerkontos
Ausgangspunkt sind Ihre Angaben:
- Sind wichtige Zugänge, insbesondere E-Mail und Administrationszugänge, durch Mehrfaktor-Authentifizierung geschützt? — Nein
- Welcher Anteil der Beschäftigten mit IT-Zugang nutzt ausschließlich persönliche Benutzerkonten? — 80 % – angegebener Anteil
- Wie werden vorhandene Zugriffsrechte überprüft? — Die Rechte in allen wichtigen Systemen wurden überprüft und Abweichungen bearbeitet; ein regelmäßiger Prüfablauf fehlt noch.
Angriffsversuch: Ein Angreifer versucht, durch eine gefälschte Anmeldung oder wiederverwendete Zugangsdaten Zugriff zu erhalten.
Mögliche Kompromittierung: Wenn ein betroffenes Konto unzureichend geschützt oder zu weit berechtigt ist und weitere Schutzmechanismen versagen, könnte daraus unbefugter Zugriff entstehen.
Möglicher Schaden: Je nach Berechtigungen wären Einsicht in Daten, missbräuchliche Nachrichten oder Änderungen an Systemen möglich. Ein Anmeldeversuch allein belegt keinen solchen Schaden.
Unsicherheit: Der Fragebogen belegt weder einen laufenden Angriff noch dessen Eintritt oder Schadenshöhe. Exposition, Wirksamkeit weiterer Schutzmaßnahmen und aktuelle Bedrohungsdaten wurden nicht geprüft.
Schadsoftware und erschwerte Wiederherstellung
Ausgangspunkt sind Ihre Angaben:
- Welcher Anteil der betrieblichen PC-Arbeitsplätze verfügt über aktiven, aktuell gehaltenen Schutz gegen Schadsoftware? — 80 % – angegebener Anteil
- Wie werden Wiederherstellungen wichtiger Daten aus Sicherungen praktisch geprüft? — Die Wiederherstellung aller als wichtig festgelegten Datenbereiche wurde erfolgreich getestet; regelmäßige Wiederholungen sind noch nicht etabliert.
Angriffsversuch: Eine schädliche Datei oder die Ausnutzung einer Schwachstelle könnte einen Angriffsversuch auf ein Arbeitssystem auslösen.
Mögliche Kompromittierung: Nur wenn die Ausführung oder Ausnutzung gelingt und weitere Schutzmaßnahmen nicht ausreichen, könnte Schadsoftware Daten verändern oder verschlüsseln. Sicherungsmängel sind kein Beleg für eine erhöhte Zahl von Angriffsversuchen.
Möglicher Schaden: Bei beeinträchtigten Produktivdaten könnte eine unzureichende Sicherung oder ungeprüfte Wiederherstellung die Betriebsunterbrechung verlängern. Dauer und Umfang sind hier nicht bezifferbar.
Unsicherheit: Der Fragebogen belegt weder einen laufenden Angriff noch dessen Eintritt oder Schadenshöhe. Exposition, Wirksamkeit weiterer Schutzmaßnahmen und aktuelle Bedrohungsdaten wurden nicht geprüft.
Ergänzende KI-Einordnung
KI-Entwurf für dieses fiktive Beispiel redaktionell geprüft. KI-Texte können Fehler enthalten. Die Aufgaben und Angaben oben bleiben die nachvollziehbare Grundlage.
Angaben gemeinsam klären
Keine zugeordneteten Angaben.
Befunde
Wichtige Zugänge wie E-Mail und Administrationskonten verlangen nicht durchgängig MFA; es bestehen Lücken laut Selbstauskunft.
Nur ein Teil der Beschäftigten nutzt ausschließlich persönliche Konten; gemeinsame Kennungen bestehen fort.
Bezug: Welcher Anteil der Beschäftigten mit IT-Zugang nutzt ausschließlich persönliche Benutzerkonten?
Die Rechte in allen wichtigen Systemen wurden geprüft und Abweichungen bearbeitet. Ein regelmäßiger Prüfablauf fehlt noch; die Anzahl bisheriger Prüfungen ist nicht bekannt.
Ein Teil der PC-Arbeitsplätze hat keinen aktiven, aktuellen Schadsoftwareschutz.
Wiederherstellungen wichtiger Daten wurden erfolgreich getestet, aber es gibt noch keinen etablierten Wiederholungsplan.
Bezug: Wie werden Wiederherstellungen wichtiger Daten aus Sicherungen praktisch geprüft?
Ein Teil der mobilen Geräte und Datenträger ist noch unverschlüsselt.
Informationslücken
Unklar, ob geschäftskritische Daten regelmäßig und automatisiert gesichert werden; zuständige Person oder Dienstleister befragen und Konfiguration oder Testprotokoll prüfen.
Bezug: Werden geschäftskritische Daten regelmäßig und automatisiert gesichert?
Maßnahmen
Empfehlung: Wichtige Zugänge inventarisieren, MFA-Abdeckung prüfen und fehlende MFA aktivieren; Wiederherstellungszugänge sicher hinterlegen und Anmeldung testen. Erfolg, wenn alle definiert wichtigen Zugänge MFA verlangen und Ausnahmen mit Wiederherstellungswegen dokumentiert sind.
Empfehlung: Für alle wichtigen Datenbereiche einen wiederkehrenden Testplan mit Verantwortlichen festlegen und in isolierter Umgebung Tests samt Ergebnissen, Dauer und Korrekturen dokumentieren. Erfolg, wenn Wiederholungen geplant und mit Ergebnissen durchgeführt werden.
Bezug: Wie werden Wiederherstellungen wichtiger Daten aus Sicherungen praktisch geprüft?
Empfehlung: Zuständige Person oder IT-Dienstleister zur Sicherung befragen und den Stand per Konfiguration, Übersicht oder Testprotokoll verifizieren. Erfolg, wenn eine nachvollziehbare Antwort oder begründete Nichtanwendbarkeit vorliegt.
Bezug: Werden geschäftskritische Daten regelmäßig und automatisiert gesichert?
Empfehlung: Nutzer mit gemeinsamen Kennungen erfassen, persönliche Konten anlegen und gemeinsame Kennungen nach geprüftem Übergang ablösen. Erfolg, wenn der Anteil ausschließlich persönlicher Konten erneut anhand der Beschäftigten mit IT-Zugang ermittelt ist.
Bezug: Welcher Anteil der Beschäftigten mit IT-Zugang nutzt ausschließlich persönliche Benutzerkonten?
Empfehlung: Fehlende Systeme je Prozessstufe erfassen, Rechte mit Verantwortlichen abgleichen, Abweichungen beheben und einen wiederkehrenden Prüfplan mit Protokoll einrichten. Erfolg, wenn alle wichtigen Systeme geprüft sind und Korrekturen sowie nächster Prüftermin dokumentiert sind.
Empfehlung: PCs und Notebooks mit fehlendem oder veraltetem Schutz identifizieren, Schutz aktivieren oder aktualisieren und zentrale Statuskontrolle prüfen. Erfolg, wenn der Gerätestatus erneut erhoben ist und verbleibende Ausnahmen bekannt und in Bearbeitung sind.
Empfehlung: Mobile Geräte und tragbare Datenträger samt Verschlüsselungsstatus erfassen, fehlende Verschlüsselung einrichten und Wiederherstellungsschlüssel sicher verwalten. Erfolg, wenn der Verschlüsselungsstatus für die Bezugsgröße geprüft und die Zugangswiederherstellung getestet ist.
Bedingte Risikoszenarien
Angriffsversuch: Ein Angreifer versucht, sich per Phishing oder wiederverwendeten Zugangsdaten anzumelden.
Mögliche Kompromittierung: Ungeschützte oder überberechtigte Konten könnten bei Versagen weiterer Schutzmechanismen unbefugten Zugriff ermöglichen; Grundlage sind die Defizite bei MFA, persönlichen Konten und fehlender Wiederholprüfung von Rechten.
Möglicher Schaden: Je nach Rechten wären Einsicht in Daten, missbräuchliche Kommunikation oder Systemänderungen möglich; ein Anmeldeversuch allein belegt keinen Schaden.
Unsicherheit: Der Fragebogen belegt keinen laufenden Angriff, keinen Eintritt und keine Schadenshöhe; Exposition, Wirksamkeit weiterer Schutzmaßnahmen und Bedrohungsdaten wurden nicht geprüft.
Bezug: Sind wichtige Zugänge, insbesondere E-Mail und Administrationszugänge, durch Mehrfaktor-Authentifizierung geschützt? · Welcher Anteil der Beschäftigten mit IT-Zugang nutzt ausschließlich persönliche Benutzerkonten? · Wie werden vorhandene Zugriffsrechte überprüft?
Angriffsversuch: Schädliche Dateien oder Schwachstellenausnutzung zielen auf ein Arbeitssystem.
Mögliche Kompromittierung: Bei gelungener Ausführung und unzureichenden weiteren Schutzmaßnahmen könnte Schadsoftware Daten verändern oder verschlüsseln. Der angegebene lückenhafte Schadsoftwareschutz ist hierfür ein möglicher Anknüpfungspunkt. Fehlende Wiederholungstests verursachen keine Kompromittierung.
Möglicher Schaden: Bei beeinträchtigten Produktivdaten könnten Änderungen seit den erfolgreichen Wiederherstellungstests unbemerkt bleiben, solange Wiederholungstests fehlen. Ein tatsächliches Wiederherstellungsproblem ist damit nicht belegt. Dauer und Umfang eines möglichen Ausfalls sind nicht bezifferbar.
Unsicherheit: Der Fragebogen belegt keinen laufenden Angriff, keinen Eintritt und keine Schadenshöhe; Exposition, Wirksamkeit weiterer Schutzmaßnahmen und Bedrohungsdaten wurden nicht geprüft.
Bezug: Welcher Anteil der betrieblichen PC-Arbeitsplätze verfügt über aktiven, aktuell gehaltenen Schutz gegen Schadsoftware? · Wie werden Wiederherstellungen wichtiger Daten aus Sicherungen praktisch geprüft?
Den Stand nach Änderungen erneut prüfen. Die Bewertung bleibt vorläufig und ersetzt keine technische Prüfung, kein Audit und kein Zertifikat.