IT-Sicherheitskonzept mit Gap-Analyse

Kostenloser Assistent für kleine und mittlere Betriebe: 19 Blöcke, 85 Fragen mit Entscheidungshilfen für Nicht-Techniker. Am Ende stehen das Konzeptdokument nach Art. 32 DSGVO (Druck oder Word-Datei), ein priorisierter Maßnahmenplan und ein Reifegrad mit Ampel. Alle Eingaben bleiben in Ihrem Browser.

Assistent in der Desktop-Ansicht starten Kurzfassung: IT-Sicherheits-Check

Warum ein IT-Sicherheitskonzept

Art. 32 DSGVO verlangt von jedem Unternehmen, das personenbezogene Daten verarbeitet, geeignete technische und organisatorische Maßnahmen – und deren Nachweis. Das Konzeptdokument ist dieser Nachweis.

NIS2 und NISG 2026: Seit 1. Oktober 2026 gelten in Österreich für wesentliche und wichtige Einrichtungen Pflichten zu Risikomanagement, Meldung und Registrierung. Auch wer nicht direkt betroffen ist, wird als Lieferant zunehmend nach seinem Sicherheitsniveau gefragt.

Versicherer und Auftraggeber fragen nach Multi-Faktor-Authentifizierung, Sicherungskonzept und Notfallplan. Wer die Antworten schriftlich hat, verhandelt leichter.

So funktioniert es

Stammdaten eingeben – nur der Firmenname ist Pflicht.
19 Blöcke beantworten: Ja, Teilweise, Geplant, Nein, Nicht zutreffend oder Weiß nicht. Vier Blöcke beginnen mit einer Einstiegsfrage und lassen sich überspringen.
Auswertung ansehen: Reifegrad, Ampel je Block, Maßnahmenplan mit Prioritäten P1 bis P3.
Konzept drucken oder als Word-Datei speichern, Stand auf „Diskette“ sichern und im nächsten Jahr aktualisieren.

Die 19 Blöcke und ihre Fragen

01 · Geräte- & Software-Übersicht

Schützen lässt sich nur, was bekannt ist – deshalb beginnt jedes Sicherheitskonzept mit einer vollständigen Übersicht über Geräte und Programme.

Gibt es eine aktuelle Liste aller Geräte im Unternehmen?
Gibt es eine Übersicht der eingesetzten Programme samt Branchen- und ERP-Software?
Sind alle Betriebssysteme noch im Herstellersupport (kein Windows 10 oder älter ohne erweiterte Sicherheitsupdates)?
Ist geregelt, dass Programme und Cloud-Dienste nicht eigenmächtig eingeführt werden?

02 · Netzwerk & Firewall

Das Netzwerk entscheidet, wie weit ein Angreifer kommt, wenn ein einzelnes Gerät befallen ist. Zonen wirken dabei wie Brandabschnitte im Gebäude.

Gibt es eine eigene, verwaltete Firewall am Internetzugang (nicht nur den Router des Internetanbieters)?
Existiert ein aktueller Netzwerkplan des Unternehmens?
Ist das Netz in getrennte Zonen unterteilt (Server, Arbeitsplätze, Gäste, Sondergeräte)?
Sind Gäste-WLAN und Firmennetz strikt getrennt?
Ist das WLAN modern verschlüsselt (WPA2 oder WPA3) und mit starken Zugangsdaten geschützt?
Kommen nur bekannte, freigegebene Geräte ins Firmennetz (Netzwerkzugangskontrolle)?

03 · Fernwartung & Lieferantenzugänge

Jeder Zugang von außen ist eine Tür in Ihr Netz – sie gehört dokumentiert, abgesichert und wieder verschlossen, sobald sie nicht mehr gebraucht wird.

Einstiegsfrage: Greifen externe Personen auf Ihre Systeme zu – IT-Betreuung, Softwarehersteller, Anlagen- oder Gerätelieferanten?

Sind alle Zugänge von außen dokumentiert (wer greift worauf und wofür zu)?
Werden Fernwartungssitzungen erst nach Ihrer Freigabe aktiv und protokolliert?
Erfolgt jeder Fernzugriff verschlüsselt und mit zweitem Faktor?

04 · Branchensoftware & ERP

In der Branchen- oder ERP-Software stecken Aufträge, Kalkulationen, Kunden- und Personaldaten. Zugriffe müssen personenbezogen und nachvollziehbar sein.

Hat jede Person ein eigenes Login in der Branchen- bzw. ERP-Software (keine Sammelkonten)?
Sind die Zugriffsrechte nach Aufgaben abgestuft (Rollen- und Rechtekonzept)?
Werden Zugriffe und Änderungen in der Fachsoftware protokolliert?
Läuft die Fachsoftware in einer vom Hersteller unterstützten Version?

05 · Benutzer & Berechtigungen

Konten und Rechte sind die Schlüssel zum Unternehmen. Wer nur so viel darf, wie er für seine Aufgabe braucht, kann auch nur begrenzt Schaden anrichten.

Wird die tägliche Arbeit ohne Administrator-Rechte erledigt?
Gibt es einen festen Ablauf für Ein- und Austritte (Konten, Geräte, Schlüssel)?
Werden Konten und Berechtigungen mindestens jährlich überprüft?
Sperren sich die Bildschirme nach kurzer Inaktivität automatisch?

06 · Passwörter & Anmeldesicherheit

Gestohlene Passwörter sind der häufigste Angriffsweg. Ein zweiter Faktor macht sie für Angreifer nahezu wertlos.

Gibt es verbindliche Passwortregeln (lang, einzigartig, nicht mehrfach verwendet)?
Ist ein Passwort-Manager im Einsatz (statt Zetteln und Tabellendateien)?
Ist die Anmeldung bei E-Mail bzw. Microsoft 365 mit einem zweiten Faktor geschützt?
Sind auch Administrator- und Fernzugänge mit zweitem Faktor geschützt?
Sind administrative Konten nach Ebenen getrennt (Verzeichnisdienst, Server, Arbeitsplätze)?
Kommen phishing-resistente Verfahren zum Einsatz (Sicherheitsschlüssel, Passkeys) statt SMS-Codes?

07 · Datensicherung & Wiederherstellung

Die Sicherung ist die Lebensversicherung gegen Ransomware, Diebstahl, Brand und Bedienfehler – aber nur, wenn sie getestet ist.

Wird täglich automatisch nach einem festen Plan gesichert?
Folgt die Sicherung der 3-2-1-Regel (drei Kopien, zwei Medien, eine außer Haus)?
Ist mindestens eine Sicherungskopie unveränderbar oder offline?
Wird regelmäßig getestet, ob sich die Sicherung wirklich wiederherstellen lässt?
Ist festgelegt, wie viel Datenverlust und wie viel Ausfallzeit vertretbar sind (RPO/RTO)?
Ist dokumentiert, in welcher Reihenfolge die Systeme nach einem Ausfall wieder hochgefahren werden?

08 · Virenschutz & Angriffserkennung

Klassischer Virenschutz erkennt nur Bekanntes. Gegen moderne Angriffe braucht es Verhaltenserkennung, eine zentrale Übersicht und jemanden, der auf Meldungen reagiert.

Läuft auf allen Geräten ein aktueller Schutz?
Erkennt der Schutz auch verdächtiges Verhalten, nicht nur bekannte Schädlinge?
Wird der Schutz zentral verwaltet und laufend überwacht?
Ist geregelt, wer auf eine Warnmeldung reagiert – auch abends und am Wochenende?

09 · Updates & Patch-Management

Ein großer Teil der erfolgreichen Angriffe nutzt eine Lücke, für die es längst ein Update gab. Entscheidend ist, wie schnell dieses Update auf den Geräten ankommt.

Werden Betriebssystem-Updates zeitnah und kontrolliert eingespielt?
Werden auch die übrigen Programme aktuell gehalten (Browser, PDF-Programme, Laufzeitumgebungen)?
Werden Updates zuerst an einer kleinen Testgruppe ausgerollt?
Gibt es eine Übersicht darüber, ob alle Geräte aktuell sind?

10 · E-Mail & Phishing

Die meisten erfolgreichen Angriffe beginnen mit einer täuschend echten E-Mail oder mit gestohlenen Zugangsdaten. Technik kann einen großen Teil davon abfangen.

Sind wirksame Spam- und Phishing-Filter aktiv?
Ist Ihre eigene Domäne gegen Missbrauch geschützt (SPF, DKIM, DMARC)?
Werden E-Mails von außerhalb sichtbar gekennzeichnet?
Sind Makros aus dem Internet gesperrt?
Sind Zahlungen und Kontoänderungen durch eine zweite Person freizugeben?
Ist ein Web- oder DNS-Filter aktiv, der gefährliche Seiten blockiert?

11 · Mobile Geräte & Homeoffice

Diensthandys, Notebooks und Heimarbeitsplätze tragen Firmendaten aus dem geschützten Netz hinaus – und wieder herein.

Einstiegsfrage: Sind dienstliche Smartphones, Tablets oder Notebooks außer Haus im Einsatz oder wird von zu Hause bzw. unterwegs gearbeitet?

Sind alle mobilen Dienstgeräte gesperrt und verschlüsselt?
Können verlorene Geräte aus der Ferne gesperrt und gelöscht werden?
Erfolgt der Zugriff von außen nur über eine verschlüsselte Verbindung mit zweitem Faktor?
Ist geregelt, ob und wie private Geräte auf Firmendaten zugreifen dürfen?
Gibt es schriftliche Regeln für das Arbeiten im Homeoffice und unterwegs?

12 · Cloud-Dienste & Microsoft 365

Cloud-Dienste sind aus dem Arbeitsalltag nicht wegzudenken. Entscheidend sind Übersicht, Absicherung, Verträge – und eine eigene Sicherung.

Einstiegsfrage: Nutzen Sie Cloud-Dienste (Microsoft 365, Online-Speicher, Zeiterfassung, Webshop, Cloud-Fachsoftware …)?

Ist dokumentiert, welche Cloud-Dienste mit welchen Daten arbeiten?
Sind Datenstandort und Auftragsverarbeitungsverträge geprüft?
Sind die Cloud-Zugänge gehärtet und werden Änderungen überwacht?
Werden Cloud-Daten (E-Mails, Dokumente, Kalender) eigenständig gesichert?
Ist die Zahl der Cloud-Administratoren begrenzt und sind diese Konten besonders geschützt?

13 · DSGVO-Dokumente & Auftragsverarbeiter

Das IT-Sicherheitskonzept ist ein Baustein; daneben verlangt die DSGVO weitere Dokumente, die im Anlassfall als Erstes abgefragt werden.

Existiert ein Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO)?
Bestehen Auftragsverarbeitungsverträge mit allen Dienstleistern?
Werden Kunden, Mitarbeiter und Bewerber über die Datenverarbeitung informiert?
Sind die technischen und organisatorischen Maßnahmen (Art. 32 DSGVO) schriftlich beschrieben?

14 · Physische Sicherheit

Der beste digitale Schutz nützt wenig, wenn der Server im offenen Abstellraum steht oder das Netzwerkkabel im Gang frei zugänglich ist.

Stehen Server und Netzwerktechnik in einem versperrbaren Raum oder Schrank?
Ist geregelt, wer Zutritt zu Technikräumen hat, und werden Schlüssel verwaltet?
Sind Server gegen Stromausfall gepuffert und ist die Umgebung geeignet (Kühlung, kein Wasser)?
Sind vertrauliche Unterlagen versperrt und Bildschirme vor fremder Einsicht geschützt?

15 · Notfallplan & Vorfallsreaktion

Im Ernstfall zählt jede Minute – und ein kühler Kopf braucht einen schriftlichen Plan, der auch dann lesbar ist, wenn nichts mehr läuft.

Gibt es einen schriftlichen IT-Notfallplan, der auch ohne Computer verfügbar ist?
Weiß das Team, was im Verdachtsfall sofort zu tun ist?
Sind die gesetzlichen Meldefristen und Meldewege bekannt?
Sind Zugangsdaten, Lizenzen und Notfallkontakte sicher hinterlegt und im Ernstfall verfügbar?
Wird der Ernstfall mindestens einmal jährlich durchgespielt?

16 · Team & Schulung

Technik schützt nur, wenn das Team mitwirkt. Dafür braucht es Wissen, klare Regeln und eine Fehlerkultur, in der niemand Angst vor einer Meldung hat.

Haben alle Mitarbeitern eine unterschriebene Verschwiegenheits- und Datenschutzbelehrung?
Wird das Team regelmäßig zu IT-Sicherheit geschult und die Teilnahme dokumentiert?
Werden neue Mitarbeiter strukturiert in die IT- und Datenschutzregeln eingeführt?

17 · Löschung, Entsorgung & Verschlüsselung

Daten müssen geschützt und am Ende ihrer Aufbewahrung nachweislich vernichtet werden.

Werden ausgediente Datenträger und vertrauliche Unterlagen sicher vernichtet?
Sind die Datenträger der Arbeitsplätze und Notebooks verschlüsselt?
Sind auch die Sicherungen verschlüsselt – einschließlich der Kopie außer Haus?
Sind Aufbewahrungsfristen festgelegt und wird nach Ablauf tatsächlich gelöscht?

18 · IT-Dienstleister & Verträge

Ihre IT-Partner haben weitreichenden Zugriff. Die Zusammenarbeit gehört vertraglich geregelt – und jede Zuständigkeit eindeutig zugeordnet.

Gibt es schriftliche Verträge mit dem IT-Dienstleister (inklusive Verschwiegenheit)?
Sind Reaktions- und Entstörzeiten schriftlich vereinbart?
Ist eindeutig geregelt, wer wofür verantwortlich ist (Sicherung, Updates, Störungen, Notfall)?
Erhalten Sie regelmäßige Berichte und liegt die Dokumentation bei Ihnen?

19 · Produktion & Netzwerkgeräte

Maschinen, Steuerungen und Sondergeräte hängen zunehmend im Netz – oft mit Systemen, die seit Jahren kein Update mehr gesehen haben.

Einstiegsfrage: Gibt es netzwerkfähige Produktions-, Steuerungs- oder Sondergeräte im Unternehmen?

Sind alle Produktions- und Sondergeräte inventarisiert (inklusive Softwarestand und Herstellersupport)?
Laufen Produktions- und Steuerungsgeräte in einem eigenen, vom Büronetz getrennten Netz?
Wurden die Werkspasswörter dieser Geräte geändert?
Sind die Fernzugänge der Gerätehersteller geregelt und eingeschränkt?

Häufige Fragen

Werden meine Antworten übertragen?
Nein. Antworten und Stammdaten bleiben im Browser. An den Server gehen nur anonyme Zählimpulse (begonnen, fertig, exportiert) mit einer zufälligen Nummer des Konzeptstands – ohne Firma und ohne Inhalte.

Ersetzt das Dokument eine Beratung?
Nein. Es ist eine strukturierte Selbstdokumentation nach Ihren Angaben. Für Vollständigkeit und Rechtskonformität im Einzelfall braucht es den Blick von außen.

Wie wird der Reifegrad berechnet?
Ja zählt zwei Punkte, Teilweise und Geplant je einen, Nein und Weiß nicht null; Nicht zutreffend nimmt die Frage aus der Wertung. Unter 50 % kritisch, ab 50 % ausbaufähig, ab 85 % solide.

Kann ich das Konzept später aktualisieren?
Ja. „Auf Diskette sichern“ erzeugt eine Datei mit allen Antworten, „Von Diskette laden“ stellt sie wieder her – auch auf einem anderen Rechner. Empfohlen ist eine jährliche Überprüfung.

Fachlicher Stand des Fragenkatalogs: 07.10.2026. Grundlage: Art. 32 DSGVO, NIS2 / NISG 2026, CIS Controls IG1, ISO 27001 als Maßstab.