Irgendwann fragt jemand im Büro beiläufig: „Läuft das Backup eigentlich noch?“ Und für zwei Sekunden ist es still. Wenn Sie diese Stille kennen, lohnen sich die folgenden fünfzehn Fragen. Keine davon ist technisch, alle sind in etwa zwanzig Minuten beantwortbar. Sie brauchen kein IT-Wissen, nur Ehrlichkeit beim Ankreuzen.
Wir haben die Liste so gebaut, wie wir selbst in ein Unternehmen hineinschauen, wenn wir es zum ersten Mal sehen. Nicht vollständig – eine vollständige Prüfung sieht anders aus – aber die Punkte, an denen es in kleinen Unternehmen am häufigsten hängt, sind alle drin.
Bewerten Sie jeden Punkt mit Ja, Nein oder Weiß ich nicht. Das „Weiß ich nicht“ ist dabei kein Ausweichfeld. Es ist die aufschlussreichste Antwort von allen.
Backup: Können Sie morgen weiterarbeiten?
1. Es gibt ein Backup, das nicht am selben Ort liegt wie die Daten
Eine externe Festplatte im Serverschrank zählt nicht. Ein Sync in die Cloud zählt auch nicht, dazu gleich mehr. Gemeint ist eine echte Kopie, die ein Brand, ein Diebstahl oder ein Verschlüsselungstrojaner nicht gleichzeitig mit dem Original erwischt.
2. Jemand hat in den letzten drei Monaten eine Wiederherstellung ausprobiert
Nicht „das Backup meldet Erfolg“, sondern tatsächlich eine Datei oder einen Ordner zurückgeholt und geöffnet. Backups, die noch nie zurückgespielt wurden, sind Hoffnung, keine Sicherung.
3. Sie wissen, wie lange eine komplette Wiederherstellung dauern würde
Einen Tag? Eine Woche? Die Antwort bestimmt, wie lange Ihr Betrieb stillsteht. Erstaunlich viele Unternehmen haben diese Zahl noch nie gehört.
Wer hier zweimal Nein hat, muss den Rest der Liste eigentlich nicht mehr lesen, sondern erst das Backup in Ordnung bringen. Warum ein Cloud-Sync das nicht ersetzt, steht in Backup ist kein Sync.
Zugänge: Wer kommt an was heran?
4. Jeder Mitarbeiter hat ein eigenes Konto
Kein „Büro-Login“, den alle kennen. Sobald zwei Menschen dasselbe Konto nutzen, wissen Sie nie, wer was gemacht hat, und Sie können niemandem den Zugang entziehen, ohne allen anderen das Passwort neu zu geben.
5. Bei E-Mail und Cloud ist eine zweite Bestätigung eingeschaltet
Die Zwei-Faktor-Anmeldung, bei der zusätzlich eine App oder ein Code abgefragt wird. Sie ist der einzelne Punkt, der Angreifern das Leben am meisten schwer macht, und trotzdem in vielen Unternehmen nur bei der Hälfte der Konten aktiv.
6. Wenn jemand das Unternehmen verlässt, werden alle Zugänge am selben Tag gesperrt
E-Mail, Cloud, VPN, Buchhaltungssoftware, Online-Banking-Freigaben. Wenn dafür kein fester Ablauf existiert, bleibt regelmäßig etwas offen. Wir finden bei Bestandsaufnahmen fast immer Konten von Menschen, die seit Jahren nicht mehr im Haus sind.
7. Es gibt einen Passwort-Manager, und er wird benutzt
Eine Excel-Liste mit Passwörtern ist ehrlich gesagt besser als nichts, aber deutlich schlechter als ein richtiger Manager. Der Unterschied liegt nicht in der Verschlüsselung, sondern darin, dass Menschen mit einem Manager tatsächlich für jeden Dienst ein anderes Passwort verwenden.
Geräte und Updates
8. Alle Rechner laufen mit einem Betriebssystem, das noch Updates bekommt
Windows 10 ist seit Oktober 2025 ohne Sicherheitsupdates. Wenn im Lager oder an der Zeiterfassung noch so ein Rechner steht, ist das die offene Hintertür, über die man am wenigsten nachdenkt.
9. Updates werden innerhalb weniger Tage eingespielt, nicht irgendwann
Der Klassiker: „Später erinnern“ für Monate. Das gilt für Windows, für den Browser, für Office und für die Firmware der Firewall gleichermaßen.
10. Auf jedem Gerät läuft ein aktueller Virenschutz, den jemand auch überwacht
Ein Schutzprogramm, das Alarm schlägt, ohne dass jemand den Alarm sieht, ist Dekoration. Die Frage ist weniger, welches Produkt läuft, als wer die Meldungen liest.
11. Firmenlaptops sind verschlüsselt
Ein Laptop geht im Zug verloren – das passiert, und meist ist es kein Drama. Ohne Verschlüsselung ist es eines, weil dann alle Daten darauf für den Finder lesbar sind und Sie im Zweifel eine Datenpanne melden müssen.
Netz und E-Mail
12. Gäste-WLAN und Firmennetz sind getrennt
Das Handy des Besuchers sollte den Server nicht sehen können. Klingt banal, ist in vielen kleinen Büros aber nicht so eingerichtet, weil der Router einmal „schnell“ konfiguriert wurde.
13. Ihre Mitarbeiter wissen, wie eine Phishing-Mail aussieht, und trauen sich, nachzufragen
Der zweite Teil ist der wichtigere. Die gefährlichste Mail ist die, bei der jemand ein ungutes Gefühl hat und trotzdem klickt, weil er nicht als ahnungslos dastehen will. Beispiele dafür haben wir in Phishing erkennen: 7 Beispiele aus der Praxis gesammelt.
Verantwortung und Dokumentation
14. Sie wissen, wen Sie anrufen, wenn heute Nacht alles verschlüsselt ist
Mit Telefonnummer. Und derjenige weiß, dass Sie ihn anrufen würden. Wenn die Antwort „mein Neffe“ oder „der Dienstleister, glaube ich“ lautet, ist das ein Nein.
15. Es gibt eine Liste, welche Systeme, Zugänge und Verträge Ihr Unternehmen hat
Nicht für Sie – Sie haben das im Kopf. Für den Fall, dass Sie ausfallen oder den Dienstleister wechseln wollen. Woran Sie merken, dass so ein Wechsel ansteht, lesen Sie in IT-Dienstleister wechseln.
Und jetzt?
Zählen Sie die Nein- und die Weiß-ich-nicht-Antworten zusammen. Bis drei: Sie stehen besser da als die meisten, kümmern Sie sich um genau diese drei. Vier bis sieben: typisch für Unternehmen, die IT „nebenbei“ betreuen lassen, das lässt sich in einigen Wochen aufräumen. Ab acht sollten Sie mit dem Backup anfangen, heute, und den Rest danach sortieren.
Wenn Sie es genauer wissen wollen als mit einer Liste im Blog, machen wir einen IT-Sicherheitscheck entlang der Prüfbereiche der DIN SPEC 27076. Das ist die strukturierte Fassung derselben Fragen, mit Blick in die Systeme statt aufs Bauchgefühl, und mit einem Bericht, den Sie auch Ihrer Versicherung zeigen können.
Häufige Fragen
Wie lange dauert der Selbstcheck wirklich?
Mit den Antworten im Kopf etwa zwanzig Minuten. Wenn Sie bei mehreren Punkten erst nachfragen müssen, wer das eigentlich weiß, dauert es länger – und genau dieses Nachfragen ist schon ein Ergebnis.
Muss ich dafür IT-Kenntnisse haben?
Nein. Die Fragen sind so gestellt, dass Sie sie als Geschäftsführung beantworten können. Wo Sie es nicht wissen, fragen Sie Ihren Dienstleister. Wenn der auch nicht sofort antworten kann, ist das ebenfalls eine Antwort.
Was mache ich mit dem Ergebnis?
Die roten Punkte der Reihe nach angehen, am besten mit Backup und Zugängen beginnen. Wenn Sie eine belastbare Einschätzung wollen, machen wir einen IT-Sicherheitscheck entlang der Prüfbereiche der DIN SPEC 27076 – das ist der strukturierte große Bruder dieser Liste.