Was ist ein IT-Sicherheitscheck?

IT-Sicherheitscheck ist ein Sammelbegriff und keine einheitlich definierte Testmethode. Gemeint sein können ein strukturiertes Interview, eine Prüfung von Richtlinien und Konfigurationen, ein Schwachstellenscan oder eine Kombination mehrerer Verfahren. Deshalb sagt die Bezeichnung allein wenig über Aussagekraft und Prüftiefe aus. Ein gutes Angebot beschreibt konkret, welche Systeme, Kontrollen und Nachweise untersucht werden.

Was kann ein IT-Sicherheitscheck umfassen?

Ein kleiner Basischeck kann bewusst nur die wichtigsten Schutzmaßnahmen betrachten. Eine umfassende technische Untersuchung erfordert dagegen ausreichende Zugänge, Scans und manuelle Tests. Beide können sinnvoll sein, dürfen aber nicht unter derselben Bezeichnung dieselbe Sicherheit versprechen.

Wann ist ein Sicherheitscheck sinnvoll?

• Als erste Standortbestimmung, wenn noch kein strukturierter Sicherheitsprozess besteht.
• Vor einer Cloud-Migration, einem größeren Systemwechsel oder einer Unternehmensübernahme.
• Nach deutlichem Wachstum, neuen Standorten oder Veränderungen der IT-Verantwortung.
• Zur Vorbereitung auf Kundenanforderungen, ein Audit oder den Aufbau eines ISMS.
• Nach einem Sicherheitsvorfall, um Ursachen und vergleichbare Lücken systematisch zu untersuchen.
• Regelmäßig, um Fortschritt und neu entstandene Risiken sichtbar zu machen.

Wie wird ein IT-Sicherheitscheck geplant?

Planung beginnt mit der gewünschten Aussage. „Wie sicher sind wir?“ ist zu ungenau. Besser sind Fragen wie: Sind die wichtigsten extern erreichbaren Systeme angemessen geschützt? Können wir nach Ransomware wiederherstellen? Erfüllt unser Administrationskonzept die definierten Anforderungen? Daraus entstehen Scope, Prüfkriterien, Methoden und benötigte Ansprechpartner.

Vorhandene Netzpläne, Asset-Listen, Richtlinien und frühere Berichte erhöhen die Effizienz. Ausschlüsse und Einschränkungen müssen sichtbar bleiben. Fehlen beispielsweise Produktionssysteme oder können Prüfer einen Cloud-Tenant nicht einsehen, gilt das Ergebnis nicht automatisch für diese Bereiche.

Wie läuft die Prüfung ab?

1. Kick-off: Ziel, Scope, Kommunikationswege und Regeln bestätigen.
2. Informationsaufnahme: Dokumente, Interviews, Assets und technische Zugänge zusammenführen.
3. Prüfung: Kontrollen nachvollziehen, Stichproben nehmen und vereinbarte technische Tests durchführen.
4. Validierung: Widersprüche und wichtige Findings mit den Verantwortlichen fachlich klären.
5. Bewertung: Auswirkungen, Prioritäten und übergreifende Ursachen bestimmen.
6. Abschluss: Ergebnisse erklären, Maßnahmen planen und eine spätere Verifikation vereinbaren.

Was gehört in das Ergebnis?

Der Bericht sollte Scope, Zeitpunkt, Methodik, Annahmen, Stichproben und Einschränkungen nennen. Findings benötigen verständliche Auswirkungen, technische oder organisatorische Belege und konkrete Maßnahmen. Eine Priorisierung hilft, zuerst die größten Risiken und gemeinsame Ursachen zu behandeln. Für jede wesentliche Maßnahme sollten Verantwortung, Zieltermin und Art der Verifikation festgelegt werden.

Neben Einzelfunden sind Muster wichtig: fehlende Asset-Verantwortung, uneinheitliche Administration oder ein Patchprozess ohne Kontrolle erklären oft mehrere Symptome gleichzeitig. Ein guter Check zeigt daher nicht nur, was falsch ist, sondern auch, wodurch dieselben Probleme künftig vermieden werden.

Was unterscheidet Check, Audit, Assessment und Pentest?

Ein Check sollte nicht als Penetrationstest verkauft werden, wenn keine aktive manuelle Angriffssimulation stattfindet. Ebenso ist ein Interview keine technische Verifikation. Die Verfahren können aufeinander aufbauen, beantworten aber unterschiedliche Fragen.

Woran erkennt man ein gutes Angebot?

Ein belastbares Angebot benennt Prüfkriterien, Scope, Methoden, Prüftage, Qualifikation, benötigte Zugänge und konkrete Liefergegenstände. Es erklärt, ob Stichproben, Scanner oder manuelle Tests eingesetzt werden und ob ein Retest enthalten ist. Pauschale Versprechen wie „vollständige Sicherheit“ oder ein Zertifikat ohne genannten Standard sind Warnsignale. Der erwartete Erkenntnisgewinn sollte vor Beauftragung klarer sein als die Marketingbezeichnung des Checks.